Kicsit módosítva az ősi mondást, elmondhatjuk, hogy a multifaktoros autentikáció egy olyan eszköz, amely persze nem mindenható, de használata azért mégis sokat tesz a biztonság serpenyőjébe. Ezúttal az ismert kameragyártó termékeinél májustól lesz alapértelmezetten megkövetelt a felhasználói hitelesítés.

Még az év elején került terítékre, hogy a Nest kameráihoz illetéktelenek férhettek hozzá, ám az okok kivizsgálásánál az derült ki, hogy akik korábban már önként választották a kéttényezős hitelesítést, illetve eleve biztonságos Google fiókot használtak, azokat nem érintette az incidens.

Ebből egyenes következik, hogy a feltört accountok tulajdonosai nagy valószínűséggel ugyanolyan jelszavakat használtak, amelyek más bejelentkezéseiknél is alkalmaztak, és az adatszivárgás, az adatlopás máshol keletkezhetett, vagyis ez esetben jogosan hárított a Google.

Szóval most május elejétől a Nest kameráknál végre eljött ez a módi, így minden @nest.com ügyfél érteítést kap róla. A bevezetés módja viszont természetesen abszolút nem mindegy. Az persze egy hasznosnak tűnő röppálya, hogy “megvárjuk míg incidens keletkezik, megnézzük kire mutogathatunk, kiderül, hogy csak magunkra, ekkor aztán végre lépünk”.

Ám lehetne pozitív példákat, best practice megoldásokat máshonnan is átemelni, és nem megvárni, amíg gondok keletkezne. Nyilván egy bankban sosem várják ki a fenti eseménysort, hanem kiadják: 2FA van, mindenkinek kötelező, és kész.

“A gravitáció nem ismerete nem mentesít a zuhanás alól”. Az hogy valaki mennyire látja át, hogy biztonság kontra kényelem egyensúlyban egy kikényszerített kéttényezős hitelesítés ugyan “nehezítheti” az ő kényelmes életét, viszont kétségkívül a biztonságát szolgálja – hasznos, de nem szükséges.

Magyarán, nem csak azokat kell ezzel a lépéssel hatékonyan megvédeni, akik pontosan tudják mi is ez, hanem minden egyes felhasználót.

Ennek pedig az az útja, hogy a kikényszerített lépéseket kell alkalmazni, amire egyébként látunk jó példákat.

Ez Thome-éknál minden egyes router eszköz esetében teljesen egyedi, felmatricázott accountot jelent, de a Microsoft 2018-as lépése is előremutató volt és helyes, amelynél a legprimitívebb, Worst Password listán szereplő jelszavakat azóta már nem engedte beállítani az egyes szolgáltatásainál.

Forrás: https://antivirus.blog.hu