193. hiba: titkosírás feladvány kétfaktoros hitelesítésként

Kaptam egy képernyőképet róla, és nem hittem el azt, amit láttam a Diákhitel bejelentkezése kapcsán. Mutatom, hogy milyen titkosírási feladványt kell megfejteni belépéshez.

Mi az a kétfaktoros hitelesítés?

Leegyszerűsítve: A hagyományos név+ jelszó kombináció mellett egy másik azonosítási mód. Ez nem azt jelenti, hogy ahol kétfaktoros hitelesítés van, ott nem kell név+jelszó, hanem azt, hogy ezek felett, ezeket kiegészítve szükséges a belépéshez még egy módon azonosítani magunkat. További részletek a másik blogomon: Kétfaktoros hitelesítés WordPress belépéshez.

Milyen a titkosírásos kétfaktoros hitelesítés?

Mutatom azt, hogy a Diákhitel oldalon a név + jelszó beírása után mi történik:

És valóban küldenek egy ilyen levelet is:

Miért írtam, hogy titkosírásos hitelesítés ez?

Amikor megláttam először, kapásból a gyerekkoromban a SICC-ban olvasott, és agyamba égett PA-LE-RI-NO-FU-KÖ-TÉ-SÜ titkosírás jutott eszembe, ahol úgy titkosítunk egy szót, hogy a PA-LE-RI-NO-FU-KÖ-TÉ-SÜ betűpárok előfordulásait cseréljük, a többi betűt érintetlenül hagyjuk. Pl. a Szűcs Ádám így néz ki ezzel a kezdetleges titkosírással: ÜZSCÜ PDPD.

Ehhez kerestem illusztrációt, amikor a Szegedi Tudományegyetem Természettudományi és Informatikai Karának matematikai tanszékcsoportjának (Bolyai Intézet) weboldalán egy „Titkosírások” dokumentumban bukkantam rá, ahol a fenti belépőfeladványhoz hasonló (kicsit más logikával) példa is szerepel:

A kép forrása:
http://www.math.u-szeged.hu/~madera/202021/el1_7.pdf

Miért rossz megoldás ez?

Feleslegesen van irreálisan elbonyolítva a rendszer. Hiszen aki hozzáfér ahhoz az e-mail címhez, amire megy a kódfejtő kulcs, annak nem fog gondot okozni a betűk behelyettesítése a számok helyére.

Ezen felül lesznek olyanok, akik a saját fiókjukba sem fognak tudni belépni, mert egyszerűen nem értik meg a feladványt. Valljuk be, kell azért egy kis reál beállítottság, hogy bevegye az ember nyomra, és meg is tudja oldani.

Mi a jó megoldás?

Olyan kétfaktoros hitelesítés megoldás alkalmazása, ahol a felhasználó egy olyan kódot kap egy alternatív csatornán (e-mail, sms, stb.), amelyet csak be kell gépelnie.

Az OTP remek kétfaktoros hitelesítést alkalmaz. Küld egy 6 jegyű számot, amely:

A limitált idő és próbálkozási lehetőség miatt feltörhetetlen.
Egyszerű beírni.
És mégis kétfaktoros a hitelesítés.

Apró kiegészítés:
Nem gondoltam volna, hogy a Google Captcha-ja (ahol pl. be kell jelölni, hogy melyik képeken látok jelzőlámpát/zebrát, de soha nem egyértelmű, hogyha csak egy kis része lóg át a másik kockába, akkor azt jelölni kell-e) után látok idegesítőbb azonosítási módot.

A weboldal készítés lépései:

1️⃣ Lépjen velem kapcsolatba!
Tel.: +36 70 623 8822
E-mail: info@szucsadam.hu
2️⃣ Részletes igényfelmérő leendő weboldaláról (telefonos konzultáció).
3️⃣ Domain regisztráció, tárhely bérlés.
4️⃣ Grafikai tervezés és webes megjelenés kialakítása a megbeszéltek alapján.
5️⃣ Kapott anyag rendszerezése, feltöltése.
6️⃣ Weboldal átadás, majd az adminisztrációs felület használatának megtanítása.
7️⃣ Technikai támogatás: Ha elakad a szerkesztés során, számíthat rám!
8️⃣ Élvezze az új weboldala nyújtott előnyöket, szolgálja ki új ügyfeleit!

Részletek: Weboldal készítés lépésről-lépésre

Miért engem válasszon?
– 580+ weboldalt készítettem.
– 19 éves tapasztalatom van.
– Több, mint 1200 fős ügyfélkört építettem.
– 2060+ szakmai cikket írtam.
– 14,5 éve oktatom is a weboldal készítést.
– Precíz munkavégzés jellemez.
– Csak vállalkozási szerződéssel dolgozok!
– A határidőket maximálisan betartom.
– Számtalan referenciám van.

Weboldal készítés ajánlat:
– Igényes, modern kinézet.
– Online marketing szemlélet.
– 2-4 héten belül elkészül!
– Keresőbarát és gyors felépítés.
– Kapcsolati űrlap.
– Blog/hírek funkció.
– Részletes statisztika.
– Admin felület, oktatással.
– Biztonságos weboldal.

Részletek | Hívjon, vagy írjon!