Apple представила решение, как сделать SMS-коды безопаснее
Время от времени мошенники активизируются и начинают атаковать, как правило, владельцев устройств от Apple. Они обманным путем получают доступ к Apple ID и паролям ни о чем не подозревающих пользователей или пытаются украсть деньги с банковской карты с помощью SMS-кодов. Иногда злоумышленники даже умудряются хитрым путем завладеть кодом, который приходит при активированной двухфакторной авторизации. Поэтому инженеры Apple решили сделать еще безопаснее и без того надежный способ входа в Apple ID.
Команда WebKit опубликовала на GitHub результаты своих исследований по повышению безопасности двухфакторной авторизации при получении кода в SMS-сообщении. Во-первых, инженеры Apple хотят сделать так, чтобы одноразовые коды доступа по SMS были связаны с адресом сайта. Для этого они предлагают добавить URL-адрес для входа в само SMS-сообщение.
Как не стать жертвой SMS-мошенников
Вторая часть предложения посвящена стандартизации формата кодов SMS для двухфакторной аутентификации. Это позволило бы браузерам и мобильным приложениям самостоятельно определять одноразовые коды доступа и распознавать домен. После этого браузер или приложение могут автоматически извлечь код OTP и завершить операцию входа в систему без дальнейшего взаимодействия с пользователем.
Ниже приведен формат одноразовых паролей SMS, которые предлагают инженеры Apple из команды WebKit. Первая строка предназначена для того, чтобы пользователи могли определить, откуда пришло сообщение, а вторая - для веб-сайта или приложения, чтобы они смогли распознать код и выполнить проверку:
Приложения и браузеры автоматически извлекут код OTP и завершат операцию входа в систему. В случае несоответствия и сбоя операции автозаполнения пользователи смогут увидеть фактический URL-адрес веб-сайта и сравнить его с сайтом, к которому они пытаются подключиться. Если они не совпадают, пользователи будут предупреждены о том, что они на самом деле находятся на фишинговом сайте, и откажутся от операции входа в систему.Предлагаем подписаться на наш канал в «Яндекс.Дзен». Там вы сможете найти эксклюзивные материалы, которых нет на сайте.В iOS 12 Apple реализовала ряд полезных новшеств, связанных с организацией и управлением паролями. В частности, в операционной системе впервые появилось автозаполнение паролей из сторонних менеджеров, отправка учетных записей по AirDrop на устройства поблизости. Кроме того, «Связка ключей» теперь сможет сама генерировать надежные пароли при создании аккаунтов. Также появилась возможность автоматической вставки кода из входящих SMS. Теперь при получении подтверждения в виде SMS-кода не нужно вручную вводить его в приложении.
Все эти меры были сделаны для борьбы с фишингом - чтобы пользователь точно понимал, на каком сайте он авторизуется. Еще один вид мошенничества связан с электронной почтой: пользователь проходит по ссылке, похожей на страницу Apple ID, и сам доверяет злоумышленникам свои данные. При получении таких писем пересылайте их на [email protected].
