Хакер #305. Многошаговые SQL-инъекции
Google представила улучшенную схему двухфакторной аутентификации для Gmail и других своих сервисов. Новая схема предполагает использование маленького аппаратного USB-токена. Пока что токен работает только для сайтов Google, но может работать и с другими, если те реализуют поддержку стандарта Universal 2nd Factor (U2F). Одновременно технологию U2F желательно внедрить и в другие браузеры, кроме Chrome 38+.
Новая система Security Key призвана надёжно защитить аккаунт пользователя от постороннего доступа. Без ключа зайти в почтовый аккаунт будет невозможно. Токен проверяет аутентичность сайта Google, предотвращая фишинговые атаки и защищая от кражи куков (технология TLS Channel ID).
Устройство поддерживает спецификации Universal 2nd Factor (U2F), разработанные FIDO Alliance.
Сейчас в продаже на Amazon есть два токена с поддержкой FIDO U2F. Более дешёвый из них стоит $5,99. Вероятно, в будущем ассортимент расширится.
Google использует двухфакторную аутентификацию для Gmail около четырёх лет. Предусмотрена отправку кода на мобильный телефон в виде SMS или в специальное мобильное приложение. Код нужно ввести вместе с паролем, чтобы зайти в почтовый ящик. Однако, существуют некоторые техники, когда с помощью продвинутых фишинговых сайтов можно всё-таки принудить пользователя ввести код в постороннее поле на поддельном сайте, после чего зайти в аккаунт от его имени.
Преимущество токена ещё и в том, что он работает в отсутствие телефона. Например, если в аппарате сел аккумулятор, ты всё равно сможешь зайти в почтовый ящик.
