Felhasználói oldalról nézd a dolgot, ne kimondottan biztonsági oldalról.
Egyébként droid tud olyat hogy az app ki tudja olvasni az sms lényeges részét, és már eleve be is illeszti neked a kódot.

link

1.4 millió, az azért sok...

Eloszor is ez itt infobizt topic, tehat nem nezhetem mashonnan - meg egyebkent sem neznem, ha mar egyszer security-s vonek...

Masreszt: az automatizmus pont nem jo MFA-nak, pont az a lenyege, hogy a usernek tevolegesen tennie kell azert, hogy az authentication teljesuljon. Pont ez az ujitas a Microsoft number matching MFA-ben: ha altala vedett resource-ot akarsz elerni, nem csak egy approve/deny jelenik meg, ahol a) veletlenul is ranyomhatsz az approve-ra, es b) effektive be kell irnod a kodot, nem csak jovahagynod. Igy megelozheto az MFA fatigue is.

Nem mellesleg az sms-bol automatikusan kiolvasott kod is lehet attack vector - pl. egy olyan jopofa alkalmazasban, amit belinkeltel.

https://www.coreinfinity.tech

Ez esetben meg én inkább az órák csúsztak fél percet-et gondolnám problémának... Ha 2 eszközön 2 app, egy időben (eszközön futó óra szerint), egy sablon (6 karakter, és adott algoritmus) szerint futtatja ugyanazt a seed-rt, akkor ugyanannak a 6 számnak kéne kiírva lennie... Ez az alapja az egésznek!

#1743 section9 Elméletileg jelenlegi formájában "szeróról bele lehet látni" állapotú...

#1744 cigam Ha nem érted, akkor nem érted.

#1747 aprokaroka87
Ha a google fiók védelmére gondolsz: modernebb mobillal be van lépve valaki, akkor az már hardver-azonosítóként van bent az azonosítási listában, és nagy eséllyel kapja a push-t...
Ha TOTP app használatra gondolsz: túl sok helyen az alap szöveg része a "olvasd be a kódot a Google authentikátoroddal"...
Ha nagy globálra, akkor meg "a fene sem tudja mi az a 2fa"..

// #ublockO-HardMode // anti-blockadblock-er // PH! új arculat: 1/ 500 // szeksziboj -nálam van egy pirospontod! // Találtam sárga fényű lézert! (kézit, ceruzaelemest) https://youtu.be/XQnmMjYHgcM //

link

Nincs itt semmi probléma.... :D

Mondjuk azt a weboldalt ahol elfogadják az 12345678-at szerintem van gond.

[ Szerkesztve ]

Azért mert nincs end-to-end encryption, még nem jelenti azt, hogy boldog boldogtalan rálát a Google-ön belül. Google Cloudban több szintü titkosítás van in transit és at rest, plusz egy rakás egyéb fizikai, adminisztratív és technikai kontroll.

Ugyanígy láttam már olyan end-to-end encryptiont ami csak arra volt jó, hogy el lehessen vele adni terméket, mert ha tényleg rendesen lett volna implementálva, akkor a funkciók nagy részét lehetett volna kidobni a kukába.

Na, a multkori CISO megszolalas utan megint egy gyongyszem:

https://www.coreinfinity.tech

Már egy ideje látom spameknél, hogy <a href=3D"http..... Szerintetek érdemes szűrni ezekre a 3D-s linkekre? Alapból nem túl gyakori, vagy legalábbis nekem új, és sosem használnék ilyen linket. Eddig csak spamnél láttam, gondolom hogy elkerüljék vele a gyengébb szűrőket... Ha működne, akkor kiváltaná szerintem az összes spam szűrőt egyetlen regexel ideiglenesen...

Buliban hasznos! =]

Szerintem ne.
És alapból elég rossz ötlet nem utánanézni valaminek mielőtt reflexből azon kezdesz el gondolkozni, hogy tiltod.

Azért kérdeztem utána. :-)
Amúgy tudom mi a quoted printable, megnéztem én is SO-n régebben - nem mintha az érdemi tudást adna a témáról - viszont én nem láttam egy olyan normális levelet sem, amiben ezt használták volna, eddig csak spamben került elő saját levelezésben.

Itt van róla biztonsági szempontból releváns info: [link] Még mindig gondolkodom, hogy tiltsam e, előbb elemzek pár ezer levelet, hogy van e bármi haszna normál leveleknél, vagy egyáltalán nem fordul-e elő bennük. Azt vágom, hogy szabvány meg minden, de ha a spamek 90%-a használja, és a normál levelek 0%-a, akkor érdemes szűrni rá.

[ Szerkesztve ]

Buliban hasznos! =]

Én csak megteggelném, hogy a tárgy mezőben jelenjen meg, hogy SPAM.
Bár kérdés, hogy mennyi ilyen bejövő levél van, ha zavaróan sok akkor persze kell valami megoldás.

Mit használsz spam szűrésre? Saját email szervered van, vagy szolgáltatói?

[ Szerkesztve ]

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Discord discloses data breach after support agent got hacked (bleepingcomputer.com)

Lehet találgatni, hogy kamuznak-e vagy senem: vajh' tényleg csak egy "third-party support agent" kompromittálódott?

"Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

Ez a Discord kb ugyanaz mint az ICQ / IRC volt 20 éve? Nem ismerem ezt felületet.

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Ha a Slack/Teams is ugyanannak számít, akkor igen. Gyakorlatilag ugyanazt tudja, mint ezek csak olcsóbb/kevesebb az enterprise feature/más a célközönség.

Ok, köszi sz infót.

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Igazából az a kérdés, mennyi idő múlva vették észre? 1 perc, 1 óra, 1 nap?

https://www.coreinfinity.tech

Szinte mindegyik support a zendesk-et használja, mint support management felület (köszi ublock origin), szóval ha ott valakit törnek, akkor "nem a discordot törik"... A másik, hogy ha a discord-support kéreget necceseb dolgokat support révén, akkor azok amik kikerülhettek.

// #ublockO-HardMode // anti-blockadblock-er // PH! új arculat: 1/ 500 // szeksziboj -nálam van egy pirospontod! // Találtam sárga fényű lézert! (kézit, ceruzaelemest) https://youtu.be/XQnmMjYHgcM //

Üdv a klubban.

Kíváncsi leszek rá, hogy mi fog változni, most hogy bővítk az állományt, meg a feladatkört.

[ Szerkesztve ]

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Érdekes kis stat a simplelogin redditjéről. Hány, milyen formátumú emailt találtak a gemini.com data breach-ben... (fél éves, de mégis érdekes..)

// #ublockO-HardMode // anti-blockadblock-er // PH! új arculat: 1/ 500 // szeksziboj -nálam van egy pirospontod! // Találtam sárga fényű lézert! (kézit, ceruzaelemest) https://youtu.be/XQnmMjYHgcM //

Érdekes olvasmány: [link]

"Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

link

Koszi, pont ez volt az, amiert sok biztonsagi szakember ezt nem tartotta jo otletnek.

https://www.coreinfinity.tech

Szerintem nagyon szűk az a szegmens, akit ezzel át lehet verni.
Egy gyakorlottabb felhasználónak azonnal feltűnik a böngészősáv, egy gyakorlatlan meg már a Winrar képernyőjétől is megijed annyira, hogy hívja a rendszergizdát.

"Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

Nem akarok most ebbe belemenni, de enyhén szólva is mások a tapasztalataim...

https://www.coreinfinity.tech

Nagyon vicces társaság. Van pár sztorim róluk

"Fuck the Kingsguard, fuck the city....Fuck the king!"

Már megjelent a 2.0? Hol érhető el a login?

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Június 28 péntek elég messze van. Közvélemény kutatás, kinek lenne kedve aznap sörözni?

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Juni 30 pentek meg jo is lehetett volna nekem...

[ Szerkesztve ]

JOGI NYILATKOZAT: A bejegyzéseim és hozzászólásaim a személyes véleményemet tükrözik; ezek nem tekinthetők a munkáltatóm hivatalos állásfoglalásának...

Így egy hónappal előre teljesen jó. Nyilván Júliust akartál írni :3
Beírva.

"Fuck the Kingsguard, fuck the city....Fuck the king!"

Ááá, bocs,. Igen, július 28 péntek.

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Van valami diszkrét bája, amikor előadást tartok a pszichológiai befolyásolás elleni védekezésről, aztán rá egy órára az egyik kolléga egy Hitler idézettel arra buzdít, hogy alkalmazzak pszichológiai befolyásolást, hogy áttoljam az akaratom a többieken.

Buliban hasznos! =]

Hasonló, amikor az eszközök fizikai védelméről beszélek az ügyfélnél 200 ember előtt, kb 5 másodperccel később 4-5 telefon koppan a padlón.

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Kijött a proton pass, ami most bevezető áron 1 EUR/USD/CHF áron 1 vagy 2 évre végtelen email alias-t biztosít. Ha nem is jelszókezelőnek, de unlimited-email-aliasozni most ez a legjobb ajánlat annak aki mostanában jutott el oda, hogy egy emaillel létezni nem a legjobb..., és a cég is a globálisabban megbízhatóbbak közé tartozik!

// #ublockO-HardMode // anti-blockadblock-er // PH! új arculat: 1/ 500 // szeksziboj -nálam van egy pirospontod! // Találtam sárga fényű lézert! (kézit, ceruzaelemest) https://youtu.be/XQnmMjYHgcM //

Megjelent a kiberbiztonsági tanúsításról szóló törvény: [link]
Asszem le kellene ülni egy kávéra a Bencsik Balázzsal...

"Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

Nem mint jelszókezelő a lényeg, hanem mint alias generátor! Senki sem állít meg abban, hogy a PP-szal létrehozott alias email-t kepass-ba mentsd, és a jelszavad a kepassal generáltasd. De ha a -te tudod mennyi accountod- külön emailcímmel (nem fiókkal) akarnád kezeltetni, megbízhatóbb-féle céggel, saját domain macera nélkül,, akkor nem igazán van jobb ajánlat.

// #ublockO-HardMode // anti-blockadblock-er // PH! új arculat: 1/ 500 // szeksziboj -nálam van egy pirospontod! // Találtam sárga fényű lézert! (kézit, ceruzaelemest) https://youtu.be/XQnmMjYHgcM //

Ehhez azért kellene egy vhr. is, amivel lehetne ezt az egész betűhalmazt értelmezni. Ismerve 1-2 helyet akikre az ibtv eddig nem vonatkozott, de a 2023 évi XXIII-as igen, lesznek itt büntik rendesen.
Lassan kell egy másik gyűrűs mappát kérnem a kolléganőtől, kezd a "whitepaper" mappám megtelni. (IBTV, MNB ajánlások, NKI whitepaper, ISO27001, GDPR, stb.)

[ Szerkesztve ]

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Lehet én keverem, de nem a NIS2-höz jött ki a 2023 XXIII törvény? Még nem nagyon jártam utána a NIS2-nek.

[ Szerkesztve ]

Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.

Sziasztok !
Nem teljesen off mert a jelszómat próbálják megszerezni
Nálam is hasonló a helyzet kb 1 hónapja volt ugyanígy hogy egymás után kétszer is Június 21 és 23 volt az első kettő próbálkozás!
most pedig újra július 21 és 22 jött ilyen email
ilyenkor azt jelenti rossz kezekbe került az e-mailem?
Ilyenkor csak egy megoldás van új email és azt sehol nem megadni?

Erdély (Románia) Huawei Mate 20 Pro /Huawei Mate 10 Pro/ Xiaomi Redmi 3s Prime / Lenovo A660