Pytanie:
IT przekaże hasło tylko przez telefon - ale czy to naprawdę bezpieczniejsze niż e-mail?
Chris Cirefice
2018-08-16 22:39:21 UTC
view on stackexchange narkive permalink

Co roku automatyczne resetowanie hasła następuje na koncie VPN, którego używam do łączenia się z serwerami instytucji. Kontami / hasłami VPN zarządza dział IT instytucji, więc co roku muszę wysyłać e-mail, aby skontaktować się z kontrolerem konta w celu uzyskania nowego hasła. To zawsze kończy się rozmową telefoniczną , ponieważ ich zasadą jest nieprzesyłanie haseł pocztą e-mail.

Mam niejasne zrozumienie, dlaczego wysyłanie haseł pocztą elektroniczną jest złe, ale szczerze mówiąc, nie rozumiem, dlaczego podanie komuś hasła przez telefon byłoby lepsze. Zakładając, że mam 0% szans na zmianę ich zasad (naprawdę nie mam szans), dlaczego podanie komuś hasła przez telefon byłoby bezpieczniejsze niż e-mail?

I skupiam się głównie na możliwości przechwycenia telefonu / e-maila przez osobę trzecią , ale @Andrew poruszył dobrą uwagę na temat trwałości e-maili.

Jest kilka świetnych informacji w tym pytaniu / odpowiedzi, ale to pytanie dotyczy najbezpieczniejszego sposobu przesyłania danych logowania, a ja w szczególności pytam o bezpieczeństwo rozmowy telefonicznej i poczty e-mail.

Rozmowa telefoniczna zwykle nie jest nagrywana bezterminowo, podczas gdy wiadomość e-mail zwykle nie jest usuwana.Bezpieczeństwo transportu zależy od wielu rzeczy (telefon: czy był to telefon stacjonarny, 2G / 3G / 4G, VoIP; e-mail: czy SMTP używa TLS, czy klient używa TLS itp.)
@dandavis Tylko dlatego, że połączenie z Gmailem lub czymkolwiek innym jest bezpieczne, nie oznacza, że wiadomość zostanie zaszyfrowana aż do miejsca przeznaczenia.https://superuser.com/questions/260002/why-are-email-transfers-between-mail-servers-often-not-encrypted
Komentarze nie służą do rozszerzonej dyskusji;ta rozmowa została [przeniesiona do czatu] (https://chat.stackexchange.com/rooms/81926/discussion-on-question-by-chris-cirefice-it-will-only-give-password-over-phone).
Gdyby tylko istniał bezpieczny kanał ... taki jak już istniejący VPN
Kilka kluczowych punktów, o których należy pamiętać, mówiąc o bezpieczeństwie haseł, polega na tym, że jeśli użytkownik końcowy ma telefon na głośniku, powtarza hasło lub zapisuje je, aby je zapamiętać, dodatkowe zabezpieczenie wynikające z nieprzechodzenia przez e-mail może zostać utracone, szczególniejeśli jest to hasło, nie są zmuszeni do zmiany lub nie mogą go zmienić.Inną kluczową kwestią jest to, że nie każdy może korzystać z telefonu, na przykład osoby niesłyszące, niedosłyszące i osoby, które z jakiegoś powodu utraciły głos, co oznacza, że potrzebne są inne sposoby podania użytkownikowi hasła.
Właściwie posiadanie kogoś przy telefonie, który poda Ci hasło, to już 1 osoba za dużo znająca to hasło ... I jest to wskazówka, że resetowanie hasła jest zarządzane w taki sposób, że gdzieś jest lista wszystkich tych haseł w postaci zwykłego tekstu (lub jakiekolwiek 2-drożne szyfrowanie).Dziwię się, że przechodzą przez taki kłopot, gdy cały proces ma już od początku pewne luki w zabezpieczeniach, o których uważam, że są bardziej niepokojące.I nie jestem ekspertem ds. Bezpieczeństwa ...
Dodatkowym powodem może być weryfikacja, czy z konta nadal korzysta osoba.Model zagrożenia może polegać na przejęciu konta, w którym pierwotny użytkownik nawet nie używa już konta.- W takim przypadku osoba atakująca musiałaby zasymulować pełną osobistą rozmowę, co jest znacznie trudniejsze dla botnetu lub osoby, która nie jest językiem ojczystym, którzy mogliby przejąć konto.
Jednym z kluczowych aspektów 2FA jest to, że czynniki muszą być całkowicie niezależnymi strumieniami dostaw.Dlatego uwierzytelnianie 2FA, które składa się z hasła i karty inteligentnej lub hasła i wymiany kluczy, nie jest tak naprawdę skuteczne.Wszystkie trzy są dobrymi metodami uwierzytelniania, ale ich połączenie nie wymusza dwóch czynników.Połączenie telefoniczne mogłoby to zrobić (zakładając, że nie odbierasz telefonu przez aplikację komputerową), a także dodatkowa korzyść, o której wspomina Andrew Greer, polegająca na tym, że nie pozostawia żadnego zapisu dźwięku rozmowy telefonicznej.
Dwanaście odpowiedzi:
Andrew Greer
2018-08-16 22:42:32 UTC
view on stackexchange narkive permalink

E-maile są zapisywane gdzieś, czy to na serwerze pocztowym, czy na czyimś komputerze osobistym. Rozmowy telefoniczne zwykle nie są dostępne, chyba że jest to środowisko dla klientów.

To była również moja pierwsza myśl.Inną rzeczą, nad którą możesz się rozwinąć, jest bezpieczeństwo transportu w przypadku obu metod.(Zobacz także mój komentarz do pytania.)
@Luc Na tym się właściwie skupiałem początkowo, ale Andrew mówi dobrze o wytrwałości tego wszystkiego.Początkowo myślałem o tym, jak e-mail lub rozmowa telefoniczna może zostać przechwycona przez osobę trzecią.
@ChrisCirefice - Chociaż z pewnością telefony mogą być podsłuchiwane, jest to znacznie mniej prawdopodobne niż włamanie do systemów komputerowych.Zwłaszcza jeśli w grę wchodzi telefon stacjonarny (... chociaż obecnie raczej nie ma linii stacjonarnej, ale wiele firm może nadal z nich korzystać).
Czytelną wiadomość e-mail przez ramię, która nie jest tak łatwa w przypadku rozmowy telefonicznej.
Zgodnie z polityką moja firma rejestruje * wszystkie * rozmowy telefoniczne, przychodzące i wychodzące.Zapisy są zapisywane w chmurze za poświadczeniami, a jeśli administrator lub użytkownik, który wykonał połączenie, chce, może pobrać nagranie i wysłać je e-mailem.Chociaż nie jest to częste zjawisko, to się zdarza.
Firmowe wewnętrzne rozmowy telefoniczne mogą nie być nagrywane.Jednak niektóre kraje zamawiają sprzęt telefoniczny o ogromnej pojemności.
@JM-AGMS Nawet w takim przypadku trudniej jest przeskanować całe repozytorium audio w poszukiwaniu hasła niż repozytorium tekstowe.Chociaż ... myślę, że możesz przekazać proces zamiany dźwięku na tekst do całości, a następnie poszukać słów podobnych do „hasła”
O ile nie jesteś nieostrożny przy swoim haśle PGP, nikt inny nie powinien być w stanie odszyfrować wiadomości e-mail w dającej się przewidzieć przyszłości, więc dlaczego przechowywanie jest problemem?
Albo podsłuchiwanie przez telefon
Nagrywanie rozmów telefonicznych jest nielegalne.To było w księgach prawniczych, odkąd wkrótce pojawiły się telefony.W niektórych stanach wymaga to zgody wszystkich stron.W innych stanach 1 strona, ale nadal oznacza to, że system nie może nagrywać wszystkich połączeń za zgodą 0 strony.Jeśli jest to połączenie międzystanowe, * zastosowanie ma najbardziej restrykcyjne prawo *.
@Harper To tylko USA.W Wielkiej Brytanii często nagrywa się rozmowy telefoniczne po uprzednim powiadomieniu, a nie wyrażeniu zgody.
@Harper: Ponadto, gdy używasz telefonu firmowego, często jest to uważane za biznes firmy, a firma __ jest_ o tym informowana.
@Harper Na pewno dzwoniłeś do firmy i prosiłeś, aby powiadomiła Cię, że „ta rozmowa może być monitorowana / nagrywana w celu zapewnienia jakości”?Z pewnością nagrywanie tych rozmów nie jest dla nich nielegalne.
*Dokładnie*.Muszą cię o tym zauważyć, a jeśli i tak zdecydujesz się pozostać na linii, to jest to zgoda.Nie mogą po prostu przejść „la la la, jesteśmy firmą i posiadamy centralę i wyrażamy zgodę”.E-mail może działać w ten sposób, ale przepisy dotyczące podsłuchiwania są nieco starsze i zostały napisane, gdy firmy nie były ludźmi.
Innym ważnym aspektem jest to, aby nazwa użytkownika i hasło przechodziły przez różne kanały: dział IT ** będzie od czasu do czasu wprowadzać literówki, ale pod warunkiem, że oba adresy e-mail nie należą do tej samej osoby cobłędnie wpisany numer telefonu (musi to być dział IT, który inicjuje połączenie z numerem podanym w oficjalnej książce telefonicznej), pełne dane nigdy nie wyciekną.
Zasady bezpieczeństwa @TobySpeight nie są i nie powinny być projektowane przy założeniu, że twoja populacja jest świadoma bezpieczeństwa (tj. Używa kluczy PGP)
Dla każdej firmy zajmującej się Europą RODO jest znacznie lepszym powodem (i chciałbym to zamieścić jako odpowiedź).Wysyłając wiadomość e-mail, firma musi przestrzegać przepisów dotyczących przechowywania tych danych.Z tym wiąże się znaczna liczba bólów głowy.Śledzenie wiadomości e-mail jest powszechnym miejscem. Jeśli firma NIE nagrywa rozmowy telefonicznej, nie podlega RODO;i jako taka wymaga znacznie mniej uwagi.
Ben
2018-08-17 13:11:30 UTC
view on stackexchange narkive permalink

Ta zasada jest powszechna, gdy nazwy użytkowników i hasła są wysyłane oddzielnymi kanałami.

Nie ma znaczenia, które kanały, tak długo, jak pary uwierzytelniania są rozdzielane i wysyłane różnymi metodami.

Jest to przyjęta najlepsza praktyka, ponieważ przechwycenie dwóch właściwych kanałów jest znacznie trudniejsze niż oglądanie jednego kanału, aby para uwierzytelniająca po prostu przeszła.

Powodem tego jest to, że zmiany hasła nie są tylko gdy zapomnisz hasła, ale istnieje podejrzenie, że konto zostało przejęte. Z tego powodu zmiany haseł są dokonywane „poza pasmem”, aby zapewnić, że aktualizacje haseł nie są łatwe do przechwycenia.

W świecie bezpieczeństwa IT czasami nie chodzi o to, aby być całkowicie bezpiecznym. Dopuszczalne jest bycie wystarczająco twardym, aby napastnicy poszli gdzie indziej.

+1 Dodając do tego: jeśli atakującemu łatwiej jest obejść mechanizm resetowania hasła, niż zgadnąć / wyłudzić hasło, to Twoja witryna nie jest tak naprawdę chroniona hasłem, prawda?
Zgoda (i zaopiniowana!): Odpowiedź brzmi „oddzielne kanały” :) Trochę bym poszukał ostatniego akapitu, ponieważ nie chodzi o to, że ludzie będą „próbować gdzie indziej”, ponieważ „obrona w głębi” jestwszystko o wielowarstwowych zabezpieczeniach, których żadna warstwa nie może stanowić pełnej ochrony przed wszystkimi możliwymi atakami.
Mike Ounsworth
2018-08-16 22:49:52 UTC
view on stackexchange narkive permalink

E-maile mogą (choć, jak wskazuje @Luc, nie zawsze) być wysyłane w postaci zwykłego tekstu przez Internet. Oznacza to, że mogą być rejestrowane przez dostawcę poczty e-mail, dostawcę usług internetowych, dostawcę usług internetowych odbiorcy, dostawcę poczty e-mail odbiorcy lub jakiekolwiek inne urządzenie sieciowe. Jako nadawca nie masz również kontroli nad tym, kto patrzy przez ramię osoby, która otwiera wiadomość e-mail.

Podczas rozmowy telefonicznej masz większą kontrolę nad weryfikacją, czy rozmawiasz z właściwym osoby, mogą odmówić odpowiedzi, jeśli są w miejscu publicznym itp. Ponadto, chociaż nie ma gwarancji, że nie zostanie nagrany, przynajmniej jest duża szansa - w przeciwieństwie do e-maili, które mają 100% gdzieś w bazie danych.

Jednak wiele usług VoIP jest przesyłanych w postaci niezaszyfrowanej przez sieci LAN i Internet.A po stronie TDM sieci telefonicznej nie ma żadnego szyfrowania ani uwierzytelniania.
@user71659 W porządku.Nie mam doświadczenia w telefonii.Dzięki dziennikom tekstowym z serwerów e-mail itp. Bardzo łatwo jest ctrl + f dla haseł.Zakładając nieszyfrowaną sieć telefoniczną i / lub pakiety VoIP, czy podobnie łatwo jest wyodrębnić hasło?
Zwróć uwagę, że mówimy tutaj o firmie.Prawdopodobnie wewnętrzna poczta e-mail nigdy nie opuści ich siedziby.Więc tak, zwracam uwagę, że nie zawsze jest wysyłany w postaci zwykłego tekstu, ale dla kompletności, w tym konkretnym scenariuszu jest rzeczywiście * prawdopodobne *, że jest wysyłany bezpiecznie.Z drugiej strony rozmowy telefoniczne prawie zawsze wychodzą z lokalu, ponieważ w dzisiejszych czasach ludzie zwykle dzwonią tylko przez telefony komórkowe (znowu sprawa wygląda inaczej w przypadku wewnętrznego VoIP lub DECT, czy w przypadku CCC: GSM)
@MikeOunsworth Z pewnością trudniej jest sobie poradzić z nagraniami mowy (pomysłem jest zapłacenie komuś za transkrypcję na Mechanical Turk).Jeśli jednak wszyscy resetują się o tej samej porze roku, możesz na przykład przefiltrować SIP i nagrywać strumienie dla krótkich połączeń z helpdeskiem IT.
@Luc Jeśli założysz, że wewnętrzne e-maile nie opuszczają lokalu, wewnętrzne połączenie PBX również nie.Dział IT może zrobić coś takiego, jak zadzwonić tylko do Ciebie przy biurku wymienionym w katalogu firmowym.
@user71659 Czy obecnie ludzie zwykle nie używają telefonów komórkowych zamiast telefonów stacjonarnych?Mogę się mylić, nie przeprowadziłem ankiety w tysiącach firm na całym świecie, ale z mojego doświadczenia wynika, że zwykle dostajesz smartfon ze zwykłym numerem w sieci krajowej i jest to Twój główny numer telefonu, do którego firma może dotrzećty.
@Luc Poza USA.Moim zdaniem telefon stacjonarny jest wygodniejszy w użytkowaniu, ma lepszą akustykę, nie stosuje dużej kompresji mowy, nie ma przerw.To znacznie bardziej profesjonalne doświadczenie.Masz również problemy, gdy ktoś musi zadzwonić pod numer 911, a także z zasięgiem, jak biuro w piwnicy.Również Stany Zjednoczone, jeszcze kilka lat temu, miały problemy podatkowe z odpisywaniem telefonów komórkowych.
@Luc Trochę złapać-22 tam: kiedy zresetujesz hasło VPN, otrzymasz nowe przez e-mail, które nigdy nie opuszcza sieci firmowej, do której potrzebujesz VPN, aby uzyskać dostęp.Wygląda na to, że OP wysyła wiadomości e-mail do działu IT spoza sieci VPN i chce, aby hasło zostało zwrócone w ten sposób.
@Luc Jeśli chodzi o telefony komórkowe, moja firma korzysta również z telefonów stacjonarnych / oprogramowania VoIP, w których zakładam, że ruch dla połączeń wewnętrznych pozostaje wewnątrz sieci korporacyjnej lub przynajmniej sieci dostawcy VoIP.
@user71659 Osoba atakująca VoIP musi mieć wcześniej ustaloną obecność w celu proxy sesji, mieć dostęp do zrzutu pośredniczącego interfejsu sieciowego lub utknęła podczas próby sfałszowania jednej ze stron i wymuszenia na żywo renegocjacji sesji.Aby to zrobić, musisz mieć dość znaczącą obecność lub dużo czasu na przygotowanie.Z pewnością nie jest to niemożliwe, ale nazwałbym to znacznie bardziej wyrafinowanym atakiem, a na pewno takim, który jest znacznie trudniejszy do wykonania bez pozostawiania dowodów.
@IronGremlin A czym różnią się one od przechwytywania poczty e-mail podczas przesyłania?To cały ruch IP.
@user71659 Ponieważ przekierowywanie połączenia VoIP przez serwer proxy jest uciążliwe, nawet jeśli robisz to jako legalny i autoryzowany serwer proxy, o którym wiedzą oba punkty końcowe.
@IronGremlin Nie rozumiem.Po opuszczeniu przedsiębiorstwa systemy SBC są standardem w każdej architekturze.Jeśli masz TDM, masz bramę medialną.Asterisk to B2BUA.Jeśli wykonuję połączenie konferencyjne w Cisco CallManager, automatycznie wstawia mostek konferencyjny w sposób przezroczysty.Kiedy mój telefon programowy jest poza naszą siecią LAN, automatycznie przechodzi przez Cisco Expressway.Kiedy dzwonię z telefonu VoLTE, zestawia tunel IPSEC do P-CSCF.Kiedy naciskam przycisk wstrzymania telefonu, ponowne zaproszenie SIP w zasadzie ustanawia nowe połączenie z wstrzymanym strumieniem muzyki ...
@Luc Twoje założenie, że e-maile nie opuszczają siedziby, niestety nie jest już prawdziwe (nawet zakładając, że użytkownik nie pobiera ich z zewnątrz).Tutaj nasz system poczty elektronicznej jest obsługiwany przez serwery firmy Microsoft;w ostatnim miejscu był to Google.
@ChrisH To jest zawarte w „Nie wychodzeniu z siedziby”: jeśli w pierwszej kolejności ufasz im całym swoim e-mailem, to nie będzie miało znaczenia, że oni również dokonują wewnętrznego tranzytu wiadomości e-mail.
W przypadkach innych niż VoIP, chyba że używasz specjalnego sprzętu, dźwięk jest prawie zawsze przesyłany w postaci niezaszyfrowanej;możesz wskazać np.telefony komórkowe i powiedz, że istnieje szyfrowanie, co jest prawdą, ale obejmuje tylko część radiową połączenia.W samej sieci telefonicznej jest niezaszyfrowany i może zostać łatwo przechwycony przez każdego, kto ma dostęp do sieci.Ponadto, w przypadku „niezaszyfrowanej wiadomości e-mail w Internecie może zostać zarejestrowana”, chociaż technicznie prawda, fakt, że sieć jest przełączana pakietowo, oznacza, że jest to często praktyczne tylko dla tych stron, których sprzęt * koniecznie * znajduje się na ścieżce danych.
Zgoda @alastair.Nie sądzę, by ktokolwiek tutaj argumentował, że podsłuchiwanie telefonu jest niemożliwe lub że zawsze można przechwycić e-maile;po prostu _ ogólnie_ łatwiej jest zdobyć swoje ręce i wydobyć hasła z danych tekstowych wiadomości e-mail w porównaniu z danymi głosowymi.
Zdecydowanie łatwiej jest wydobywać dane tekstowe niż dane głosowe (chociaż konwersja głosu na tekst nie jest poza rozumem człowieka).Jeśli chodzi o zdobycie go, jest to bardzo zależne od sytuacji;w szczególności, jeśli którekolwiek z tradycyjnych, mało zaawansowanych technologicznie podejść jest opcją, to jest to naprawdę bardzo łatwe w porównaniu z jakimkolwiek rodzajem włamania / wymaganym dostępem do sieci.Uważam, że bezpieczeństwo telefonii jest przesadzone, a e-maili zaniżone, ponieważ wielu z nas zbytnio koncentruje się na cyfrowej stronie rzeczy i zapomina o staromodnych rzeczach.
AMADANON Inc.
2018-08-17 12:24:19 UTC
view on stackexchange narkive permalink

Nawet jeśli zarówno e-mail, jak i rozmowa telefoniczna są nagrywane, o rząd wielkości łatwiej jest przeszukać bazę danych e-maili pod kątem „hasła” niż przeszukać nagrania głosowe.

Jednak najlepsze praktyki mówią, że jedna i tylko jedna osoba powinna znać hasło do konta, a jest to osoba będąca właścicielem konta. Administrator nie powinien o tym wiedzieć, ani serwer (np. Zaszyfrowane hasło).

Zwykle można to zrobić: jeśli hasło niedawno (dla danej wartości) wygasło, użytkownik mogą używać swojego starego hasła, ale natychmiast po uwierzytelnieniu (przed zalogowaniem) są zmuszeni do zmiany hasła, a następnie natychmiast się rozłączają. Jeśli hasło wygasło jakiś czas temu, administrator może oznaczyć wygasłe hasło jako „niedawno wygasło” na krótki okres czasu - np. 10 minut. Administrator nie musi wiedzieć, jakie jest to hasło. Jeśli użytkownik zapomniał hasła, administrator może nadać krótkoterminowe (np. 10-minutowe) hasło, które również wymusza natychmiastową zmianę hasła.

Ponadto, jeśli użytkownik zmienił swoje hasło w ciągu ostatniego roku , powinni być zwolnieni ze zmiany (do dokładnie 1 roku od ostatniej zmiany).

Teoria, że ​​hasło powinno być zmieniane raz w roku, jest również niezwykle wątpliwa, w większości przypadków - jeśli hasło jest jest zagrożony, zwykle jest natychmiast maksymalnie wykorzystany. Tylko przyznanie atakującemu „tylko” 6 miesięcy dostępu (średnio) wydaje się dość bezcelowe (lub „tylko” 6 dni w tej kwestii). Sugeruje to uwierzytelnianie dwuskładnikowe, przy czym drugi czynnik jest za każdym razem unikalny (Google Authenticator, OTP, OPIE, challenge-response itp.), Jeśli zasób jest wart ochrony.

Administrator nie powinien znać hasła użytkownika, jeśli można go uniknąć. W razie potrzeby powinni mieć możliwość zostania innym użytkownikiem za pomocą swojego WŁASNEGO hasła, które jest następnie zapisywane w dzienniku kontroli. Jest to szczególnie ważne, jeśli istnieje kilka poziomów „administratora” (tj. Jeśli są ludzie, którzy mogą zmieniać hasła, ale nie mają wpływu na dziennik audytu).

Drobne zaciemnienia (takie jak zabezpieczenia audio, obrazu itp. ), są niebezpieczne, ponieważ sprzyjają samozadowoleniu bez zabezpieczenia.

Tak, chociaż byłoby dość łatwo dodać tutaj przeszkodę, wysyłając jedynie plik obrazu o nazwie „kotek.gif”, który faktycznie zawiera „zrzut ekranu” z tekstem „nowe hasło: pwd1234”.Zdeterminowany napastnik będzie w stanie złamać to równie dobrze jak nagranie telefoniczne, ale nie tylko za pomocą polecenia „grep”.Obie metody to tylko bezpieczeństwo poprzez zaciemnienie.
Scott McMahan
2018-08-18 12:44:58 UTC
view on stackexchange narkive permalink

W bezpiecznym systemie hasła dostarczane przez IT powinny być tylko tymczasowe, jednorazowe, losowe ciągi znaków, więc użytkownik musi natychmiast je wpisać i zmienić na swoje nowe tajne hasło. Dział IT nigdy nie powinien znać ani przekazywać „prawdziwego” hasła użytkownika.

Użytkownicy muszą zostać zweryfikowani przed zresetowaniem, co jest o wiele łatwiejsze dzięki połączeniu głosowemu, zadaniu pytania, uzyskaniu odpowiedzi i zakończeniu.

Nawet jeśli temp. hasło zostanie podsłuchane podczas połączenia, nie będzie czasu na jego użycie. Jednak e-maile są czasami pomijane przez jakiś czas, zanim zostaną odczytane, co daje atakującemu szansę na zrobienie wszystkiego, co najgorsze.

Ponadto nagrane połączenie głosowe może być wykorzystane do zidentyfikowania późniejszego podszywania się pod użytkownika podczas gdy nie można powiedzieć, kto patrzył na otwarty ekran poczty e-mail lub zdalny serwer poczty e-mail.

Moje 10-letnie doświadczenie pracuję w środowisku instytucji finansowych, więc ten poziom bezpieczeństwa może nie być ekonomicznie uzasadniony, jeśli potrzeby w zakresie bezpieczeństwa są mniej rygorystyczne. Płacenie za organy IT jest drogie, a większość systemów / aplikacji i tak przechodzi na zabezpieczenia internetowe, więc dni resetowania haseł IT za pomocą głosu są policzone w każdym przypadku.

Zgadzam się z twoją odpowiedzią, ale niestety w tym systemie VPN nie ma zarządzania hasłami po stronie użytkownika końcowego.Więc IT ustala hasło i zmienia je co roku.Nie jest to w najmniejszym stopniu bezpieczny system, ponieważ dział IT zna wszystkie hasła użytkowników.Co gorsza, hasło nie miało dużej entropii (8 znaków i 2 cyfry, brak symboli).
ETL
2018-08-17 02:27:06 UTC
view on stackexchange narkive permalink

Trudno jest ustalić bezpieczeństwo wiadomości e-mail. E-mail jest najprawdopodobniej przechowywany w archiwach (istnieją nawet pewne regulacje dla niektórych firm). Z tego punktu widzenia wysłanie hasła w wiadomości e-mail to zły pomysł. Może się również zdarzyć przechwycenie wiadomości e-mail.

Z drugiej strony jest mniej prawdopodobne, że telefon zostanie nagrany, ale może istnieć przechwycenie lub nagranie telefonu. Więc to nie jest taki wspaniały pomysł. Przeczytałem komentarz, że telefon stacjonarny jest trudniejszy do podsłuchania niż systemy komputerowe - nie zgodziłbym się. Nagrywanie tradycyjnej linii telefonicznej jest znacznie prostsze niż włamanie się do zdalnego serwera. Telefony VOIP wymagają nowej techniki, ale nie są też takie trudne - podłącz koncentrator, podłącz komputer do jednego portu koncentratora i masz teraz kopię wszystkich pakietów, a oprogramowanie dekodujące VOIP jest dostępne w wielu wersjach. Prawdopodobnie trudniej jest przechwycić sygnał telefonu komórkowego, ale nie wiem, nie zrobiłem tego.

Jedną (być może dostrzegalną) zaletą korzystania z telefonu przez e-mail jest zapewnienie, że dajesz hasło do osoby, której chcesz je podać. Jako administrator systemu, który musi resetować hasła, mogę to potwierdzić. Jeśli wysyłasz e-mail, tak naprawdę nie wiesz, kto jest na drugim końcu. Może to być sfałszowany e-mail, przejęcie konta itp. Jeśli znasz osobę, możesz rozpoznać jej głos. Możesz zadać kilka pytań, aby zweryfikować autentyczność (możesz to zrobić również w e-mailu, ale robiąc to przez telefon, masz poczucie bezpieczeństwa).

Teraz administrator ustawił hasło, które pozostaje hasłem i nie pozwalanie użytkownikowi na ustawienie własnego hasła jest moim zdaniem naprawdę złą praktyką z powodu tych czynników, teraz hasło musi zostać przesłane, a wszystko, co zostanie przesłane, będzie hasłem na zawsze.

Joe M
2018-08-16 23:08:35 UTC
view on stackexchange narkive permalink

Czy ta polityka zawiera coś więcej? W wielu organizacjach podadzą nowe hasło przez telefon, ale muszą znać głos danej osoby i odpowiedzieć na pytanie (kto jest twoim szefem, kiedy była twoja ostatnia recenzja).

Jest to trochę podobne do procesu uwierzytelniania wieloskładnikowego.

Sufferer
2018-08-17 02:52:40 UTC
view on stackexchange narkive permalink

Logika, której używam, nalegając na użycie telefonu lub SMS-a do wysłania hasła, polega na tym, że jest to drugi kanał.

Nawet przy wszystkich niepewnościach opisanych powyżej w wiadomości e-mail, jeśli wiadomość e-mail została wysłana z tylko hasło, nie ma wystarczającej ilości informacji do złośliwego użycia. Jeśli jednak przechwycisz wiadomość e-mail o podobnym znaczeniu do „Twoje hasło do konta xxx w usłudze yyy zostało zmienione na zzz”, masz wszystko, czego potrzebujesz, aby uzyskać dostęp do konta.

Zakładasz, że e-mail pochodzi z adresu w innej domenie.Jeśli osoba atakująca otrzyma wiadomość e-mail z hasłem z „noreply@example.com” do „alice@gmail.com”, pierwszą rzeczą, jaką spróbuje, jest zalogowanie się na example.com przy użyciu nazwy użytkownika „alice” i hasła z e-maila.
Cort Ammon
2018-08-20 06:56:00 UTC
view on stackexchange narkive permalink

W tej chwili przechwycenie wiadomości e-mail jest o wiele łatwiejsze. Może się to zmienić w przyszłości, ale na razie:

  • E-maile są przeznaczone do przechowywania przez dowolnie długi czas. Możesz się spodziewać, że przynajmniej jeden, jeśli nie kilka serwerów zaoszczędzi wszystkich danych.
  • E-maile są łatwiejsze w przetwarzaniu. Identyfikacja wiadomości e-mail zawierających hasła jest stosunkowo łatwa. Zidentyfikowanie ich w rozmowach telefonicznych jest trudniejsze. Jeśli przeciwnik nasłuchuje, przechwycenie hasła będzie oczywiście trywialne. Jednak nasłuchiwanie wymaga więcej zasobów.
    • W pewnym momencie sztuczna inteligencja znacznie to ułatwi. Ale w tej chwili nie wydaje się, aby tak było.

To naprawdę zależy od modelu zagrożeń. Jak cenne jest to hasło? Zakładam, że dane uwierzytelniające miliardera byłyby lepiej chronione niż te lub informacje niejawne, ale im mniejsza, tym większe znaczenie mają środki zainwestowane w uzyskanie tych informacji.

Przechwycenie wiadomości e-mail nie jest łatwiejsze.O wiele łatwiej jest przechwycić rozmowę telefoniczną za pośrednictwem linii analogowej, niż dostać się do ścieżki danych transakcji e-mailowej - a ponadto serwery poczty e-mail w rzeczywistości często używają szyfrowania podczas przesyłania wiadomości.
@alastair Czy to prawda, nawet jeśli nie wiesz, który konkretny e-mail lub telefon był ważny?Wydaje się, że łatwiej jest przechwycić i przetworzyć milion e-maili, niż przechwycić i przetworzyć sto połączeń telefonicznych.Przynajmniej rzeczywiście działamy na podstawie iluzji, że to, co mówię, jest prawdą.W Stanach Zjednoczonych poufność prawnik-klient jest prawnie chroniona, jeśli podjęto wystarczające wysiłki, aby chronić komunikację.Uważa się, że telefon stacjonarny jest „wystarczająco chroniony”, ale e-maile nie są.
Przetwarzanie połączeń telefonicznych jest z pewnością trudniejsze, ale myślę, że przechwytywanie połączeń jest łatwiejsze.Myślę, że jeśli skoncentrujesz się na stronie komputera / sieci danych, może się to nie wydawać, ale wtedy zapomniałeś o wszystkich staromodnych metodach podsłuchiwania rozmów telefonicznych, które są generalnie znacznie łatwiejsze niż hakowanie sprzętu sieciowegodo przechwytywania pakietów.Przetwarzanie również nie jest katastrofalnie trudne (wymaga tylko rozpoznawania mowy lub siły roboczej; nawet Mechaniczny Turk by działał).
Machavity
2018-08-21 20:17:16 UTC
view on stackexchange narkive permalink

Głównym haczykiem w rozmowie telefonicznej jest to, że rozmowy telefoniczne są nadal podatne na ataki socjotechniczne, w ramach których dzwoniący może nakłonić zaufaną osobę do udzielenia im dostępu

W telefonie wybrałem zautomatyzowane menu, aby „uzyskać pomoc dotyczącą logowania się do konta”. Przedstawicielka obsługi klienta, Christine, była bardzo przyjazna i poprosiła mnie o podanie adresu e-mail i adresu domowego, aby współpracować ze mną w celu uzyskania dostępu do mojego konta.

Myślę, że znaleźliśmy problem… Christine potrzebowała tylko tych dwie informacje, które pozwolą mi wejść na moje konto? Bez hasła? Nie masz telefonu komórkowego? Żadnych innych informacji? Co powstrzymuje kogoś przed znalezieniem mojego adresu e-mail i adresu domowego w bazie danych i wezwaniem, aby przejąć moje konto?

Więc nikt nie może wywęszyć Twojego e-maila (potencjalnie niezaszyfrowanego), ale potrzebuję tylko jego numer telefonu i trochę informacji o tobie i możemy to zrobić

Witam, tu Chris Cirefice. Znowu straciłem login VPN. Mógłbym przysiąc, że to zapisałem, czy możesz mi dać nowy? Wow, byłoby wspaniale, pozwól mi wziąć długopis i papier ...

James Jenkins
2018-08-17 22:29:25 UTC
view on stackexchange narkive permalink

Istnieje kilka dobrych odpowiedzi na pytanie, dlaczego wysyłanie hasła = -value- w wiadomości e-mail jest złe.

ALE

Nikt nie wspomina, że ​​jeśli hasło jest na tyle proste, że być komunikowane głosowo, prawdopodobnie nie jest wystarczająco skomplikowane, aby było skuteczne, a strona otrzymująca prawdopodobnie napisze na kartce papieru ...

Powiązane XKCD # 936: Krótkie, złożone hasło, lub długie hasło do słownika?

Nie ma nic złego w zapisywaniu haseł na kartce papieru.Wiele bezpiecznych informacji zostaje zapisanych na kartkach papieru.To kroki, które podejmujesz, aby upewnić się, że tylko właściwe osoby widzą ważną kartkę papieru.
Biorąc pod uwagę, że przekazywanie długich numerów seryjnych lub numerów wsparcia umów, o długości ponad 16 znaków, jest dość rutynowe przez telefon, nie rozumiem, dlaczego przekazanie hasła zawierającego ponad 16 znaków byłoby trudniejsze.Tak, zapiszą złożone hasło, ale i tak to zrobią, jeśli otrzymają je e-mailem.
@DougO'Neal Hasło powinno również zawierać znaki specjalne, których nazwy większość ludzi (a przynajmniej ja) nie zna.
Wydaje się też, że nikt nie kwestionuje poglądu, że użytkownikowi nie wolno zmieniać własnego hasła na coś, co tylko * zna *.
@schroeder ponownie przeczytaj pytanie.To nie jest hasło tymczasowe, jest to coroczna wymagana zmiana, z hasłem dostarczonym przez dzwoniącego.PO nie ma możliwości zmiany tego.
Pytanie nie mówi, że użytkownicy nie mogą zmienić swoich haseł.Ale kolejny komentarz do innej odpowiedzi dostarcza tych informacji.Mimo to 4 losowe słowa to więcej niż wystarczająca złożoność.A ludzie wiedzą, czym są „spacje” i znaki interpunkcyjne.Ponieważ ludzie będą wprowadzać hasło w pliku konfiguracyjnym swojego klienta VPN, i tak zostanie ono „zapisane”.
bluninja1234
2018-08-20 02:12:07 UTC
view on stackexchange narkive permalink

Wiadomości e-mail na ogół nie są zapisywane, jednak sygnały bezprzewodowe mogą zostać włamane, a także podsłuchiwanie telefonów stacjonarnych. Najlepszym sposobem na to jest skorzystanie z witryny https.

Witamy.„Wiadomości e-mail na ogół nie są zapisywane” - to dziwna opinia, ponieważ serwery poczty e-mail będą rejestrować lub przechowywać wiadomości e-mail przez dłuższy czas (z pewnością ponad rok), a e-maile będą istnieć w polu „wysłane” nadawcy, aż do konkretnego momentuwyczyszczony.Tak, sygnały bezprzewodowe mogą zostać zhakowane, ale związane z tym umiejętności i czas wydają się istotną barierą.
Firmy nierzadko * wymagają * zapisywania wiadomości e-mail.Z mojego doświadczenia wynika, że zrobią to, nawet jeśli w rzeczywistości nie będą musieli.
:-) E-maile * są * generalnie zapisywane, w taki czy inny sposób, czasami długoterminowe.Uważam jednak, że sedno sprawy polega na tym, że można się założyć, że większość atakujących nie będzie w stanie złamać zabezpieczeń zarówno poczty e-mail *, jak i * telefonii, więc użycie dwóch oddzielnych tras do przekazywania nazwy użytkownika i hasła jest wygraną w zakresie bezpieczeństwa.To nadal nie chroni przed wszystkimi napastnikami;jeśli twoim przeciwnikiem jest państwo narodowe, możesz podjąć jeszcze bardziej ekstremalne środki.
TO BYŁO OK
MINUS NIE LUDZIE PRZEPRASZAMY


ⓘ
To pytanie i odpowiedź zostało automatycznie przetłumaczone z języka angielskiego.Oryginalna treść jest dostępna na stackexchange, za co dziękujemy za licencję cc by-sa 4.0, w ramach której jest rozpowszechniana.
Loading...