GitHub wprowadza dwuskładnikowe uwierzytelnianie

Zrób sobie prosty test – narysuj w Paintcie litery odpowiednio Kw (duże K małe w razem) – powtórz czynność kilka razy. Następnie porównaj sobie zapisane obrazki. Ważne, żebyś miał to zapisane w plikach, abyś nie widział poprzednich prób. Zauważysz, że niektóre elementy, na wszystkich obrazkach będą ze sobą zgodne, chodzi o konkretne szczegóły – np. podobne będą za każdym razem połączenia V i V, albo ). Każde oprogramowanie każdego serwera, można dodatkowo modyfikować, zmieniać czułość, zwiększać, skupiać się na innych elementach np. końcach prostej, bądź na łączeniach itd. Dodatkowo, jeżeli wykryjemy inne IP, nazwę komputera, GUID przeglądarki etc. znowu zwracamy błąd i blokujemy konto, a podstawowych informacji mogą nam dostarczyć flashcookies.

Mój sposób całkowicie eliminuje hurtowe sprawdzanie danych, nie wystarczy bruteforce, nie wystarczy zainfekować komputerów keyloggerem, by wszystkiego się dowiedzieć. Trzeba będzie pokombinować i się solidnie namęczyć, a jak wszyscy wiemy, crackerom się nie chce męczyć, jeżeli nie ma po co.

Tak jak w 2FA wystarczy ukraść telefon, tak tutaj trzeba poświęcić sporo czasu na analizy. Obie możliwości łączy jedna wspólna cecha – jak ktoś chce, to i tak się dostanie gdzie chce. Nie ma wyjątków. Mój sposób jednak jest zdecydowanie bardziej logiczny, efektywny i nie wymaga od ciebie jakichkolwiek danych – ani numeru telefonu, ani imienia, ani nazwiska, ani hasła, ani emaila itd. itd. i w końcowym wyniku jest tańszy :)

Zauważ też, że wymyśliłem to w kilka sekund, to nie ma być dopracowane od A do Z. Sam siebie zapytałem, jak rozwiązał bym taki problem i sam sobie zaproponowałem rozwiązanie. Wszystko można ulepszyć, wszystko można zaszyfrować, wszystko można utrudnić. To tylko pomysł, nawet nie ma być dokładny, ma tylko zobrazować, że taki człowiek jak ja (bez specjalnych osiągów ^^), wymyśla coś w kilka sekund – a miliony innych jełopów, wymyślają 2FA przez kilka lat, a to nic innego, jak uwierzytelnienie za pomocą czegoś innego niż internet. Czarujące.

Józek problem w tym, że wymyślasz swoje argumenty na poczekaniu – jak sam powiedziałeś 2-3 sec. Rozumiem, że każdy pomysł wydaje się na początku prosty, skuteczny wręcz genialny, ale… jest bardzo prosty argument obalający wszystkie twoje pomysły – kasa. Weźmy na przykład pomysł z rozpoznawaniem kształtu jakiegoś tam rysunku. Operacje jakie muszą wykonać serwery są dużo bardziej zasoborzerne niż zwykłe porównywanie tekstu, przemnażając to przez liczbę logowań kilkutysięcy urzytkowników okaże się, że serwery zajęte tymi obliczeniami nie będą mogły robić nic innego, co za tym idzie firma będzie musiała zainwestować w spro mocniejszy sprzęt. Nie mówię już, że takie rozwiązania mają również swoje wady nie tylko związane z bezpieczeństwem, ale chociażby związane z wygodą użytkowania. Pomyśl jak bardo denerwujące jest szukanie capcha, które możnaby rozszyfrować i bezbłędnie przepisać. Urzytkownik, który nie będzie mógł powtórzyć jakiegoś kształtu np z powodu braku myszki, lub tabletu (bo jest np u znajomego, a on ma tylko touchpada) , będzie znacznie bardziej poirytowany tym faktem. Argument dotyczący pisma też jest średni. Ostatnio zgubiłęm dowód co wiązało się z wyrobieniem nowego. Już po wyrobieniu odzyskałem stary dokument (ktoś odniósł na komisariat) i porównując swój podpis z teraz a sprzed 3 lat są one znacząco różne. Tak więc, zbyt czułe ustawienie sprawdzania spowoduje nie tylko wyczerpanie zasobów serwera, ale również frustracje użytkowników, zbyt słabe nie da nam wystarczającego poziomu bezpieczeństwa. Sam powiedziałeś, że programistów jest wielu, pozwól nam pracować – wiemy co robimy:)

Może i nie mam tyle doświadczenia co Ty, ale zdążyłem się już nauczyć, że software wytwarzamy pod użytkownika i często okazuje się, że innowacyjne rozwiązania przegrywają ze starymi sprawdzonymi mechanizmami – przykładów chociażby z gier komputeroych można mnożyć – w tym momencie został obalony podpunkt a.
Co do punktu b to zapewniam Cię, że bardzo mi się zmienił, gdyż w tym okresie uczyłem się stenograficznego systemu Polińskiego co odbiło się na moim normalnym piśmie bardzo:)
Wątpie również w to by crakerzy stracili z tego powodu swoja prace:) Przechwycenie zdarzeń z klawiatury jest możliwe, z myszki – również:) Program do odtworzenia tego ruchu można w kilka linijek napisać chociażby w basicu:) Z tego też powodu uważam, że twój sposób nie jest wcale lepszy od starego dobrego hasła, a nawet z uwagi na niewygode z jaką spotyka się użytkownik – gorszy.
Na koniec kwestia kosztów:) Być może koszt serwera nie jest taki duży, ale pamiętaj że dane na serwerze musisz jakoś zaszyfrować na wypadek kradzieży danych. Aby, porównać dwa wzorce musisz go jednak rozszyfrować lub wykorzystać algorytmy homomorficzne (dodajmy do tego rozpoznawanie obrazu i sprawa się komplikuje:)). Może doświadczony programista powie mi ile może kosztować opracowanie takiej technologii – ja nie wiem:)

Opowiem jednym słowem – skalowanie. Wystarczy że ktoś narysuje mniejszą kopie rysunku i już ci się % zgodność nie zgodzi. Powiem więcej. Zgodność musi być na poziome powiedzmy minumum 50% – a to i tak zamało – i zapewniam Cię, że nigdy nie uzyskasz takiej dokładności dla 2 rysunków. Wystarczy, że ktoś zmieni trochę pozycje rysunku na bardziej z prawej i jeszcze zrobi mniejszy lub nieco większy i po frytkach. Gdyby to było takie proste to OCR’y nie zaprzęgały, by do pracy sztucznych sieci neurnowych. Ja wiem, pomysł rzucony ot tak – żeby pokazać że się da. A jedynie udowodniłeś, że wymyśleć prosty i skuteczny sposób autentykacji użytkownika jest diabelnie trudno. Niestety, lub stety 2FA jest na tę chwilę najlepszym na to sposobem – pogódz się z tym:)

PS. Nadal pozostaje problem szyfrowania wzorca na serverze;) Jeśli miałbyś szyfrować to odwracalnym szyfrem, to może porzućmy MD5 i szyfrujmy wszystko szyfrem cezara:)

*z napisami osiągaliśmy medianę 85% zgodności

z efektami rozmycia, zmiany koloru, kafelki etc. uzyskiwaliśmy średnio 71%

Lubie takie ciekawe dyskusje:)
Co do algorytmów opartych na wykrywaniu krawędzi, za bardzo w tym temacie nie mogę się wypowiedzieć, być może są ona szybsze i lepsze od algorytmów opartych na SSN, należało by sprawdzić jak taki algorytm sprawdza się w tym konkretnym zastosowaniu już na jakimś małym przykładowym serwerku:)
Oczywiście znany jest mi fakt, że SHA-1 czy MD5 nie są nie do złamania, ale miej również na uwadze to, że wiele serwisów nadal przechowuje hasła jawnym tekstem i tu jest kolejna ważna kwestia, o której powiem za chwile.
Pomysł z pendrive nie jest zły, co więcej takie rozwiązania były już stosowane, ale argument przeciw jest bardzo prosty i sam go podałeś, jeśli ktoś mi go skradnie to podobnie jak w przypadku telefonu ma w gratisie dostęp do moich kont. Inna rzecz to kwestia dystrybucji tych kluczy? Serwis wysyła Ci klucz specjalnie spreparowany pod ich strone? Czy jest możliwość „doinstalowania” na swoim urządzeniu uprawnień do danej strony. W obu przypadkach nie jest to wygodne i bezpieczne rozwiązanie.
Mam nadzieje, że ten drugi sposób to żart? A to ze względu na to, że wystarczy zmienić miejsce pobytu (zmienia się IP), lub przeinstalować system i już nie mam dostępu do konta, co więcej u znajomego również nie będę mógł się zalogować na swoje konto, gdyż jego maszyna jest inna.
Aplikacja jest iekawym rozwiązaniem. Mogę ją zainstalować również u znajomych i korzystać z mojego konta. Problem w tym, że atakujący też może, a jak się okazuje SSL też nie jest super bezpiecznym rozwiązaniem. Zwyczajnie powstaną nowe techniki kradzierzy danych. Inna rzecz, że to jednokrotne wpisanie hasła, może być wystarczające by keylogger je wyłapał(nie uda ci się przekonać wszystkich by korzystali z klawiatury ekranowej).
Kwestią ostatecznie kończącą dyskusję jest świadomość innych w sprawach bezpieczeństwa. Jako programiści długo możemy spierać się który sposób jest bezpieczny, wygodny czy optymalny. Dopóki jednak będą istniały serwery z hasłami w jawnym tekscie, a użytkownicy do każdego serwisu będą mieli te same hasło, dopóki nie zmieni się podejscie ludzi do bezpieczeństwa własnej maszyny, nasze starania pójdą na marne.

Ps. Chętnie dowiedziałbym się więcej o tych algorytmach rozpoznawania krawędzi. Mój mail dracoborg@gmail.com.