Passwordless dla Microsoft Account
niedawno Microsoft ogłosił funkcję 'passwordless’ dla kont 'Microsoft Account’ – czyli tych nie-firmowych/nie-szkolnych. wszystkie arty dot. braq haseł rozpływają się w zaletach tego rozwiązania i ah, oh [fapfap] … więc daruję sobie powtarzanie zalet braq hasła. funkcję włączyłem i … obniżyłem sobie bezpieczeństwo dostępu.
trzeba jasno odgrodzić passwordless dla firm i funkcje Windows Hello for Business, który zakłada MultiFactor Auth – z naciskiem na ’Mutli’, od passwordless dla kont MS. zastanawiałem się jak to będzie praktycznie zrealizowane, włączyłem – i osobiście mnie to trochę przeraża – ponieważ z MFA wracamy do Single Factor Auth, którym jest nasz smartfon. nie spodziewam się, aby wiele osób miało na kontach dane warte ucięcia komuś kciuka [i przechowywania w odpowiednich warunkach], ale mimo wszystko logowanie, w którym JEDYNYM czynnikiem jest kliknięcie na ekranie telefonu, budzi u mnie alarm. jakiś czas temu, o ile pamiętam, była opcja dodatkowego zabezpieczenia apki Microsoft Authenticator PINem. dziś znajduję w opcjach jedynie 'require biometric or PIN’ ale bez możliwości wyboru – wygląda na to, że ustawienie pobierane jest z systemu (sprawdzałem na Android) – a więc czy będzie to odcisk, czy PIN – będzie to TEN SAM odcisk/PIN, co do reszty. ciekawy jestem czy ta formuła faktycznie zadziała – dowodem będzie, że przez najbliższe kilka lat będzie funkcjonować w tej postaci, będzie używana, a w prasie nie zaczną się pojawiać arty o tym jak to wypłynęła porcja danych/zdjęć/doqmentów bo ktoś zgubił smartfona. imho bardzo szybko pojawi się nowa wersja apki lub ustawienie, które doda jakiś drugi czynnik – może PIN, może kod SMS, czy choćby wybór obrazka. co ciekawe w ustawieniach konta nadal widzę 'Two-step auth ON’ – pomimo, że loguję się teraz tylko przykładając palec do ekranu.
niezależnie od mojej subiektywnej opinii, każdy powinien zrewidować swoje ustawienia haseł i upewnić się:
- czy na pewno mamy skonfigurowane dodatkowe metody uwierzytelnienia?
- czy je pamiętamy? [np. czy znamy odpowiedzi do pytań weryfikacyjnych]
- czy ustawienia tych metod nie zapętlają się?
jeśli naszą drugą metodą jest adres email, który ma włączone MFA oparte o tą samą apkę – to tracąc telefon nie zalogujemy się nigdzie. powinniśmy mieć realną alternatywę inaczej czeka nas długie przebijanie się przez support. jeśli coś takiego wydarzy się gdy nie mamy czasu, będziemy w kropce. każdy powinien poświęcić czas chociaż raz, i 'na niby’ zgubić telefon. wyłączyć go i sprawdzić gdzie jest w stanie się zalogować, czego braqje, ile to trwa czasu. w firmach na podobne scenariusze powinny istnieć procedury, ale sprawę ułatwia, że zazwyczaj jest kilq administratorów, więc w większości scenariuszy są sobie w stanie pomóc na wzajem. prywatnie, nas czeka przebijanie się przez linie wsparcia – warto przynajmniej spróbować, żeby oszacować ile to może trwać czasu i jak w ogóle taka procedura wygląda.
z jednej strony firmy dwoją się i troją, żeby było bezpieczniej a zarazem łatwiej… wygoda na pewno się zwiększa – ale w momencie kiedy coś się sypnie, zaczynają się schody. i wcale nie jest łatwo wymyśleć i skonfigurować swoje konta tak, aby faktycznie odzyskać awaryjnie dostęp szybko i bezpiecznie.
ciekaw jestem opinii – bo na razie nie trafiłem na te negatywne czy krytyczne. moja jest dość mieszana – niby wygodnie, ale [w przypadku kont prywatnych] na pewno nie bezpieczniej!
eN.
jabłko bez reklam to koniec świata?
bawią mnie statystyki podawane przez zatrwożonych fanów apple, głoszących zamach na światową gospodarkę opartą na reklamach:
„Its Safari browser has a 25% share of all mobile web browsing, by some estimates.”
że safari ma niby 25% rynq? ciekawe, że statystyki IDC udziału urządzeń mobilnych mówią o ledwie 14% udziale iOS na rynq. to by musiało znaczyć, że safari jest takie popularne na androidzie. a sumaryczny udział światowy, nie tylko na urządzenia mobilne, będzie jeszcze mniejszy. są zresztą blockery na safari OSX. co by oznaczało, że potencjalnie ~9o% użytkowników może korzystać z blokerów reklam i świat jakoś się kręci nadal. firmy nadal publiqją, działają, zmieniają formę owej reklamy na mniej inwazyjne. w3school pokazuje, że safari ma 4.5%. oczywiście – statsy są brane z konkretnej grupy stron. jakby sprawdzić jaki udział przeglądarek na podstawie wejść na update.windows.com to pewnie będą się lekko różnić od tych z www.apple.com (;
czytanie newsów z aj-świata jest za prawdę zabawne. można dowiedzieć się jakież to rewelacyjne nowości się pojawiają [typu apka do newsów], jak to cały świat jest zależny od reklam na najpopularniejszej przeglądarce świata, czy jaki to google jest potworny, bo ludzie nie odróżniają linków sponsorowanych od wyniqw wyszukiwania. normalnie jakbym się cofnął dekadę i poczytał o nadchodzącym 'roq linuxa’ q:
eN.