Аутентификация, биометрия, электронная подпись

У админов по-прежнему популярны пароли admin и 123456 Анализ 1,8 млн украденных вредоносами паролей для доступа к порталам администрирования показал, что пользователи с такими привилегиями чаще всего (более чем в 40 тыс. случаев) отдают предпочтение дефолтному «admin». https://www.anti-malware.ru/news/2023-10-18-114534/42132

Пользователям WhatsApp на Android дали беспарольный доступ — passkey Пользователи Android-версии WhatsApp теперь смогут попрощаться с двухфакторной аутентификацией по СМС. Разработчики мессенджера сообщили об имплементации ключей доступа (passkey) для любителей зелёного робота. https://www.anti-malware.ru/news/2023-10-17-111332/42120

Microsoft полностью заменит протокол аутентификации NTLM на Kerberos Microsoft хочет отказаться от набора протоколов сетевой аутентификации NTLM (NT LAN Manager) в будущих релизах Windows 11. В планах — перейти на альтернативные методы аутентификации и усилить с их помощью безопасность. https://www.anti-malware.ru/news/2023-10-16-111332/42109

X5 запустила собственную платформу аутентификации сотрудников «Х5 ключ» X5 Group, продуктовая розничная компания, разработала и запустила собственную систему аутентификации сотрудников «Х5 ключ». Новый инструмент делает доступ сотрудников к ключевым сервисам и данным компании более удобным и безопасным. https://safe.cnews.ru/news/line/2023-10-12_x5_zapustila_sobstvennuyu

Google предложит пользователям устанавливать passkey по умолчанию Американская корпорация Google теперь будет предлагать пользователям установить аутентификацию без паролей (passkey) по умолчанию. При авторизации в аккаунте Google появится предложение об установке ключа доступа, который, как считается, обеспечивает более надежную криптографическую защиту, чем стандартные пароли. https://www.kommersant.ru/doc/6267523

CISA считает пароли вроде Admin123 основной причиной удачных кибератак Агентство по кибербезопасности и защите инфраструктуры (CISA) и Агентство национальной безопасности (АНБ) США видят основного виновника успешных кибератак в дефолтных учётных данных. https://www.anti-malware.ru/news/2023-10-09-111332/42065

Минцифры разработало правила использования «цифрового паспорта» Минцифры России разработало правила использования «цифрового паспорта», созданного для упрощения использования документов, удостоверяющих личность. Согласно документу, россияне смогут показывать QR-код в мобильном приложении «Госуслуги» вместо паспорта или другого документа в некоторых ситуациях. Например, для посадки на поезд, при покупке алкоголя и посещении мероприятий, при заселении в гостиницу, при обращении в медорганизацию или почтовое отделение. Уточняется, что QR-коды и приложение не станут заменой паспорта и других документов – добавится только возможность показывать QR-код вместо них. Воспользоваться «цифровым паспортом» смогут те, кто разместил свои биометрические персональные данные в единой биометрической системе (ЕБС), а также те, кто загрузил в приложение «Госуслуг» фото загранпаспорта, водительского удостоверения или карты болельщика или сдал биометрические данные в МФЦ. https://www.vedomosti.ru/technology/news/2023/10/06/999332-mintsifri-razrabotalo-pravila-tsifrovogo-pasporta

Многие компании не готовы к автоматизации PKI На рынке инфраструктуры открытых ключей (PKI) в ближайшее время могут произойти значительные изменения. Самое главное из них — предложение Google по сокращению срока службы сертификатов SSL/TLS. Максимально допустимым сроком сертификата станет 90 дней. Это потребует от владельцев веб-сайтов полной автоматизации выдачи, переоформления и продления сертификатов, чего и добивается Google. https://habr.com/ru/companies/globalsign/articles/765214/

Пароли пользователей ccontent[.]ru в виде простого текста утекли в Сеть Сервис «готовых постов для Instagram (признана экстремистской и запрещена на территории России) и ВК», находящийся по адресу ccontent[.]ru, стал очередной жертвой утечки. Слитый дамп БД датируется 26 июля 2023 года. https://www.anti-malware.ru/news/2023-09-26-111332/41990

Методы хэширования паролей. Долгий путь после bcrypt Прошло 25 лет с момента изобретения алгоритма хэширования bcrypt (1997), но он до сих пор считается одним из самых стойких к брутфорсу хэшей. Вот уже несколько десятилетий некоторые специалисты прогнозируют, что аутентификация будет производиться ключами/сертификатами. Но этого до сих пор не случилось. Пароли остаются неотъемлемой частью систем информационной безопасности. Вообще, они широко использовались ещё до изобретения компьютеров, так что в таком долгожительстве нет ничего удивительного. https://habr.com/ru/companies/globalsign/articles/764492/

Переезжаем с DUO Mobile на Мультифактор. Опыт (и грабли) QIWI Когда каждый день слышишь о новых утечках учетных данных пользователей, а социальная инженерия и разного рода мошенники активно прокачивают свои скиллы в выманивании паролей у пользователей, многофакторная аутентификация становится must have. А если мы говорим о работе в больших компаниях, где есть множество разных систем с разным уровнем доступа, то без одного или нескольких дополнительных факторов не обойтись. https://habr.com/ru/companies/qiwi/articles/764074/

Двухфакторная аутентификации на «Госуслугах» стала обязательной с 1 октября При таком способе аутентификации у пользователя при входе запрашивается пароль и дополнительное подтверждение, которое можно получить через одноразовый СМС-код, по биометрическим данным или через актуальный код в приложении ТОРТ https://www.bfm.ru/news/535038

Российские банкиры хотят аккредитоваться для работы с биометрией Сбербанк, ВТБ и Почта Банк подали заявки на включение в реестр Минцифры по аккредитации для работы с данными из ГИС ЕБС. Новый статус позволит расширить спектр услуг на основе биометрии, а также повысить безопасность таких сервисов. https://www.anti-malware.ru/news/2023-09-26-114534/41989

В приложении «Яндекс с Алисой» появился инструмент для быстрого и безопасного входа в сервисы «Яндекс» сделал двухфакторную аутентификацию доступнее и интегрировал «Яндекс ключ» в приложение «Яндекс с Алисой». Теперь у пользователей под рукой будет инструмент для быстрого и безопасного входа в «Яндекс ID» — «Ключ» не нужно устанавливать отдельно. «Яндекс ключ» создаёт уникальные одноразовые пароли для быстрого и безопасного входа в ID — единый аккаунт в «Такси», «Еде», «Почте», «Диске», «Кинопоиске», «Музыке» и других сервисах «Яндекса». Для аутентификации с помощью «Ключа» нужно скопировать временный пароль или отсканировать QR-код. https://safe.cnews.ru/news/line/2023-09-26_v_prilozhenii_yandeks_s_alisoj

С 1 января в Казахстане при выдаче паспорта будут брать отпечатки пальцев С 1 января 2024 года в Казахстане вводится обязательная дактилоскопическая регистрация при получении паспорта и удостоверения личности. Новая норма призвана упростить жизнь граждан этой страны. https://www.anti-malware.ru/news/2023-09-25-114534/41984

Эволюция CAPTCHA: доказательство PoW, продвинутые боты Поскольку во всех типах капчи системы ИИ показывают результат лучше человека, исследователи задались задачей придумать более эффективные методы защиты от ботов. Например, mCaptcha — опенсорсная CAPTCHA, работающая по принципу proof-of-work. Её уже можно встретить на некоторых сайтах. https://habr.com/ru/companies/globalsign/articles/763106/

Пассворк — современный менеджер паролей для компаний, организаций и бизнеса В обновлённом релизе корпоративного менеджера паролей «Пассворк 6.0» представлен ряд улучшений для более гибкой и комфортной совместной работы с паролями, оптимизированы пользовательский интерфейс и раздел настроек, усилена безопасность. https://www.anti-malware.ru/reviews/PassWork

С 1 декабря этого года с помощью биометрии можно будет совершать покупки и получать ряд госуслуг В Москве оплата проезда в метро системой Face Pay действует с 2021 года, биометрические сервисы развивают у себя некоторые банки и торговые сети. Теперь развитие пойдет на уровне правительства. Есть ли у системы, помимо удобства, минусы? https://www.bfm.ru/news/534448

На Южном Урале открыто дело о краже учеток с целью продажи В Челябинске задержан молодой человек по подозрению в совершении серии взломов онлайн-аккаунтов с помощью вредоносной программы. Скомпрометированные учетки впоследствии за плату расшаривались в Telegram. https://www.anti-malware.ru/news/2023-09-20-114534/41958