Ano, můžete obejít přihlášení bezpečnostního kódu PayPal
- Kategorie: Bezpečnostní
Když jsem si všiml neautorizovaná platba provedená pomocí mého PayPal účet v roce 2008, okamžitě jsem si objednal Zařízení VeriSign Identity Protection přidat druhou vrstvu ochrany k procesu přihlášení na webu. V podstatě namísto přihlášení k PayPal s e-mailovou adresou a heslem jsem nyní požádán o zadání bezpečnostního kódu vygenerovaného zařízením. Kód generovaný zařízením je platný nejvýše 30 sekund, po kterém je automaticky zneplatněn.
To je teoreticky dost na ochranu účtu před keyloggery, trojskými koni a dokonce i někoho, kdo se dívá přes rameno, zatímco se přihlašujete do PayPal. Zde je třeba řešit dva problémy. Za prvé, co se stane, když ztratíte přístup k ochrannému zařízení? Jak se tedy můžete přihlásit k PayPal? Za druhé, co se stane, pokud zapomenete heslo?
Nový článek o Nahá bezpečnost - mimochodem skvělý blog - upozorňuje na možnou chybu v systému. Pokud zapomenete heslo PayPal, můžete účet obnovit zadáním dvou sekundárních hesel, která jste vybrali při registraci. S pomocí těchto dvou hesel se můžete přihlásit ke svému účtu PayPal a dělat vše, co můžete normálně udělat, aniž byste museli nejprve poskytnout bezpečnostní klíč.
Dalo by se nyní říci, že se nejedná o skutečný problém, protože k přihlášení musíte zadat dvě hesla. Problém je však v tom, že zadání dvou hesel k přihlášení do PayPal poskytuje útočníkům například použití keyloggeru, se všemi informacemi potřebnými pro přístup k úplnému účtu.
PayPal nejprve požádá o e-mailovou adresu účtu s možnostmi, jak ji obnovit, a také zadáním potenciálních kandidátů, pokud jste zapomněli, který e-mail používáte na PayPal. V tomto e-mailu získáte odkaz, který vás přenese na stránku pro obnovení. V závislosti na nastavení vašeho účtu zde můžete mít více možností. Například jsem dostal možnost zadat číslo kreditní karty spojené s účtem, nebo odpovědět na bezpečnostní otázky.
Tyto bezpečnostní otázky se skládají z obvyklých „rodných jmen vaší matky, přítele z dětství nebo nemocnice, ve které jste se narodili“. Vezměte prosím na vědomí, že je vysoce doporučeno neodpovídat na otázky správně během instalace, protože jinak je možné tyto odpovědi uhodnout nebo získat přístup k účtu.
Proces zcela obchází ochranné zařízení, což není zcela jasné, proč k tomu dochází. Pokud jste zapomněli pouze heslo, měli byste mít stále přístup k zařízení, abyste mohli stále generovat kód jako součást procesu přihlášení.
Možnost obnovit heslo bez nutnosti procházet zdlouhavým procesem ověření telefonicky nebo zasláním dokumentů do PayPal k ověření vaší identity je jistě výhodná, ale zabezpečení by mělo být důležitější než to.
Jaký je váš názor na zjištění?