אבטחה - באימות דו שלבי / דעתכם... 🪪💂🏻

[שמואל]

@צצ כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@שמואל מה עם זה? אולי מרוב הודעות פיספסת את זה, נראה לי שזה משהו מאד משמעותי.

לא ברור על איזה ״חשבון מסויים״ אתה מדבר.
ניתן לשייך מספר מערכות לטלפון אחד לטובת ביצוע אימות דו״ש מאותו הטלפון במספר מערכות. זה לא נחשב ״חשבון״? לא יודע. לא ברורה השאלה.
טוקן הוא לפי מערכת, אין כרגע משהוא שיכול ״לאחד״ בצורה כזו או אחרת מערכות - אז השאלה לא ברורה. נשמע שאתה לא מבקש איזה תוספת, אלא שיוכלו לפתוח ״ניהול מרוכז״ לכמה מערכות, בצורה שהיא לא ממש מחוברת למציאות ולצורה הקיימת שבה המערכת עובדת.

[אני עם הקו]

הוא מבקש לי אמות למספר הטלפון שפתחתי את המערכת
וזה אין לי
מה עושים?

[עידו]

@שמואל כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@מנסה-להבין12a כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

האם זה קטע של אבטחה?
או קטע של לא לעשות משחקים עם המערכת?
או שיטה שרק מי שמבין באמת יעבוד בזה וירויח ?

זה לא ״קטע״ של שום דבר.
זה בשביל למנוע מצב שבו לקוח, כאמור בתיאור הקודם, ״מתקין״ מודול כזה או אחר על המערכת שלו שאיזה ״מפתח״ פיתוח, והוא מקבל את הסיסמאות של הלקוחות - בלי שהם מבינים את משמעות הדברים.

כן, אבל מי שיכניס בתמימות מספר:סיסמא יכניס גם APIKEY (כי הם לא מודעים לבעייתיות שיכולה להיות מזה שהכל עובר דרך השרת של מישהו אחר...) שבסופו של דבר זה בעצם אותו הדבר רק פחות נוח.

[MGM IVR]

@עידו כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@שמואל כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@מנסה-להבין12a כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

האם זה קטע של אבטחה?
או קטע של לא לעשות משחקים עם המערכת?
או שיטה שרק מי שמבין באמת יעבוד בזה וירויח ?

זה לא ״קטע״ של שום דבר.
זה בשביל למנוע מצב שבו לקוח, כאמור בתיאור הקודם, ״מתקין״ מודול כזה או אחר על המערכת שלו שאיזה ״מפתח״ פיתוח, והוא מקבל את הסיסמאות של הלקוחות - בלי שהם מבינים את משמעות הדברים.

כן, אבל מי שיכניס בתמימות מספר:סיסמא יכניס גם APIKEY (כי הם לא מודעים לבעייתיות שיכולה להיות מזה שהכל עובר דרך השרת של מישהו אחר...) שבסופו של דבר זה בעצם אותו הדבר רק פחות נוח.

בשביל ליצור api key יש תהליך, שבו יוסבר בדיוק המשמעות של זה לכאורה
ואולי גם יוכלו להגביל לפעולות מסויימות, ואז בכלל זה יעבוד חלק יותר

[CUBASE]

@שמואל
אם הסיבה שמבטלים את השימוש במספר־מערכת:סיסמה במקום טוקן (ועכשיו גם מפתח API) זה בגלל הבעיה של שליחת הסיסמה כחלק מהבקשה, אז מה השתנה בזה מ־Login שגם מצרפים סיסמה כחלק מהבקשה?

אלא הבעיה היא שבמספר־מערכת:סיסמה א"א לבדוק אם התבצע אימות דו־שלבי או לא?

א"כ למה שלא יוכלו להשתמש במספר־מערכת:סיסמה לכתובות IP לפי רשימה לבנה?

Spoiler

או שיש סיבות אחרות שפיספסתי - אשמח לדעת!

[CUBASE]

@MGM-IVR כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@עידו כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@שמואל כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@מנסה-להבין12a כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

האם זה קטע של אבטחה?
או קטע של לא לעשות משחקים עם המערכת?
או שיטה שרק מי שמבין באמת יעבוד בזה וירויח ?

זה לא ״קטע״ של שום דבר.
זה בשביל למנוע מצב שבו לקוח, כאמור בתיאור הקודם, ״מתקין״ מודול כזה או אחר על המערכת שלו שאיזה ״מפתח״ פיתוח, והוא מקבל את הסיסמאות של הלקוחות - בלי שהם מבינים את משמעות הדברים.

כן, אבל מי שיכניס בתמימות מספר:סיסמא יכניס גם APIKEY (כי הם לא מודעים לבעייתיות שיכולה להיות מזה שהכל עובר דרך השרת של מישהו אחר...) שבסופו של דבר זה בעצם אותו הדבר רק פחות נוח.

בשביל ליצור api key יש תהליך, שבו יוסבר בדיוק המשמעות של זה לכאורה
ואולי גם יוכלו להגביל לפעולות מסויימות, ואז בכלל זה יעבוד חלק יותר

מי שלא מבין בזה - ייצור מפתח API בלי להגביל לשירותים ולכתובות IP (אא"כ מְפַתֵּח המודול יציין שיש להגביל, שכל עוד ברירת המחדל היא שכל השירותים עובדים - אין עניין להסתבך בלהדריך את המשתמש איך להגביל ולְמָה..)

[צדיק תמים]

@שמואל אוקיי בדקתי שוב וזה תקין, רק שעושים חידוש מפתח הלינק של היצירה מפסיק לעבוד ומחזיר שגיאת

{"yemotAPIVersion":6,"responseStatus":"EXCEPTION","message":"IllegalStateException(session token is invalid)"}

[שואל ברצינות]

@שמואל כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@צצ כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@שמואל מה עם זה? אולי מרוב הודעות פיספסת את זה, נראה לי שזה משהו מאד משמעותי.

לא ברור על איזה ״חשבון מסויים״ אתה מדבר.
ניתן לשייך מספר מערכות לטלפון אחד לטובת ביצוע אימות דו״ש מאותו הטלפון במספר מערכות. זה לא נחשב ״חשבון״? לא יודע. לא ברורה השאלה.
טוקן הוא לפי מערכת, אין כרגע משהוא שיכול ״לאחד״ בצורה כזו או אחרת מערכות - אז השאלה לא ברורה. נשמע שאתה לא מבקש איזה תוספת, אלא שיוכלו לפתוח ״ניהול מרוכז״ לכמה מערכות, בצורה שהיא לא ממש מחוברת למציאות ולצורה הקיימת שבה המערכת עובדת.

קיים משהו דומה - חשבון ריסיילר.
לפי מה שבדקתי - מספר ריסיילרים נתנו מערכות ללקוחות ללא אפשרות להגדיר את המספר שיצר את המערכת וכתובת המייל. זה יוצר מצב שבו מערכות פופולריות עם עשרות אלפי מאזינים עשויות להיעלם בחודשים הקרובים, תוצאה של חוסר גישה לניהול. נדרש API ייעודי עבור כך.

Spoiler

מקווה שהובנתי, במידת הצורך "רשותי" נתונה להשמדת הפוסט. מעריך את ההשקעה בנושא האבטחה.

[עידו]

@מה כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@שמואל

עם היכנסו של הרגולציות החדשות:

אם הבנתי נכון, שהמודול שהרב @מיכאלוש הובא מודול הורדת נתונים לגוגל שיטס
יפסיק לעבוד.

הייתי מעיז לבקש מימות, לראות שיהיה אופציה חילופית (ממשק נתונים קבוע כמו דיגיקול וכדו')

צריך לראות אם הAPIKEY יעזור לגוגל סקריפט, ואז זה יהיה עוד יותר טוב.

[עידו]

@שואל-ברצינות כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@שמואל כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@צצ כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

@שמואל מה עם זה? אולי מרוב הודעות פיספסת את זה, נראה לי שזה משהו מאד משמעותי.

לא ברור על איזה ״חשבון מסויים״ אתה מדבר.
ניתן לשייך מספר מערכות לטלפון אחד לטובת ביצוע אימות דו״ש מאותו הטלפון במספר מערכות. זה לא נחשב ״חשבון״? לא יודע. לא ברורה השאלה.
טוקן הוא לפי מערכת, אין כרגע משהוא שיכול ״לאחד״ בצורה כזו או אחרת מערכות - אז השאלה לא ברורה. נשמע שאתה לא מבקש איזה תוספת, אלא שיוכלו לפתוח ״ניהול מרוכז״ לכמה מערכות, בצורה שהיא לא ממש מחוברת למציאות ולצורה הקיימת שבה המערכת עובדת.

קיים משהו דומה - חשבון ריסיילר.
לפי מה שבדקתי - מספר ריסיילרים נתנו מערכות ללקוחות ללא אפשרות להגדיר את המספר שיצר את המערכת וכתובת המייל. זה יוצר מצב שבו מערכות פופולריות עם עשרות אלפי מאזינים עשויות להיעלם בחודשים הקרובים, תוצאה של חוסר גישה לניהול. נדרש API ייעודי עבור כך.

Spoiler

מקווה שהובנתי, במידת הצורך "רשותי" נתונה להשמדת הפוסט. מעריך את ההשקעה בנושא האבטחה.

זה בגלל שלרוב הריסיילרים אין אפשרות לעדכן כאלו פרטים, זה רק דרך הCRM של ימות המשיח שלרוב הריסיילרים אין (משום מה) גישה אליה, תצטרך ישירות מול שירות הלקוחות.

תצחק אבל אפילו לי בתור ריסיילר אין אפשרות לעדכן את הפרטים של עצמי... אין לי אפשרות לעשות אימות דו שלבי על כל המשתמע מכך... אני צריך באמת לדבר עם שירות הלקוחות לפני שייהיה מאוחר.

ואם כבר, @שמואל צריך פתרון גם לזה, יצא מזה שריסיילר שיש לו קווים שהוא יכול לפתוח ללקוחות אבל הםלא יוכלו להשתמש בהם כיון שאין אפשרות להכנס לחשבון, כי לא מוגדר בו פרטים לאימות דו שלבי, ויתכן שלא יהיה אפשר אפילו להחליף סיסמא כדי להביא ללקוח קו חדש.

[עידו]

@שמואל עוד שאלה, האם יהיה אפשר להגדיר כתובת IP לבנה באופן קבוע עד שהAPIKEY יעבוד לגמרי?

[ז"למאן]

@שמואל כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

מבחינה טכנית - לא יהיה שום פגיעה בפונקציונליות של הAPI וכד, נהפוך הוא.

ועדיין לא הצלחתי להבין איך הקוד אמור להצליח לעשות לוג-אין, אם לא שיש לי IP קבוע.

---

@שמואל כתב באבטחה - באימות דו שלבי / דעתכם... 🪪:

ועדיין לא ברור לי בדיוק מה הנקודה שמפריעה לכם,

אאל"ט זה עיקר האירוע.