Detail hlášky #70165
13 příspěvků v diskuzi
<A> Dobrý den, poprvé jsem se rozhodl připojit se u Vás na poker. Při nainstalování aplikace jsem ale zjistil, že mám již vytvořenou přezdívku a k jejímu dalšímu používání potřebuji zadat matčino dívčí jméno. To jsem tedy několikrát vyplnil, ale ve všech případech jsem se dozvěděl, že má odpověď není správná a můj účet byl následně zablokován. Můžete mi prosím pomoci s umožněním přístupu na můj pokerový účet? Děkuji, s pozdravem <A>
<B> Vážený zákazníku, velmi se omlouvám za zpožděnou odpověď. Vaše bezpečnostní otázka je jméno matky za svobodna a odpověď je asdfghjklů. Tedy není divu, že jste se nemohl přihlásit. S pozdravem <B>
Informace o hlášce
Diskuze
A jak jinak? Když to zahashuješ a budeš potřebovat obnovit svůj účet, budeš muset odpovědět stejně přesným řetězcem, jako jsi tam kdysi zadal, což může být větší problém, než se od pohledu zdá. Zadal jsem jméno oblíbeného učitele s velkým písmenem nebo s malým? Jen příjmení, nebo i křestní? A co když jsem udělal překlep? Nebo omylem stiskl mezerník za posledním/před prvním znakem?
A to ještě není všechno, co když jediná cesta k obnově účtu vede přes customer support linku? To bys jim tam vážně chtěl přesně znak po znaku hláskovat tvou tajnou odpověď a doufat, že to ten člověk u telefonu nepoplete? Ne, ne, tajnou odpověď rozhodně nehashovat. Raději tam mít těch otázek+odpovědí víc a umožnit i částečnou shodu.
A to ještě není všechno, co když jediná cesta k obnově účtu vede přes customer support linku? To bys jim tam vážně chtěl přesně znak po znaku hláskovat tvou tajnou odpověď a doufat, že to ten člověk u telefonu nepoplete? Ne, ne, tajnou odpověď rozhodně nehashovat. Raději tam mít těch otázek+odpovědí víc a umožnit i částečnou shodu.
There is no dark side of the Moon really… as a matter of fact it's all dark.
no... ale bezpecnostna otazka predsa nemoze byt menej bezpecna ako heslo, potom by nikto nehadal hesla ale odpovede na tie otazky :)
a jasne ze v DB to ukladat hashovane, takto ma k tomu pristup zjavne minimalne pracovnik supportu, co je super, ked si uvedomis, ze vacsina ludi ma rovnake/podobne hesla a otazky na viacerych kontach (mail, poker, fora,...)
ad strata pristupu k e-mailovej schranke - ked si zakladas konta na pokri s mailom na pobox.sk/(dopln si svoju neoblubenu sluzbu) alebo podobnych sluzbach, tak potom co cakas.
okrem toho to by musela byt nahoda, ze clovek zabudne heslo na poker/whatever zrovna vtedy ked mu zrusia konto na tom poboxe/whatever, s cim sa tam registroval...
a jasne ze v DB to ukladat hashovane, takto ma k tomu pristup zjavne minimalne pracovnik supportu, co je super, ked si uvedomis, ze vacsina ludi ma rovnake/podobne hesla a otazky na viacerych kontach (mail, poker, fora,...)
ad strata pristupu k e-mailovej schranke - ked si zakladas konta na pokri s mailom na pobox.sk/(dopln si svoju neoblubenu sluzbu) alebo podobnych sluzbach, tak potom co cakas.
okrem toho to by musela byt nahoda, ze clovek zabudne heslo na poker/whatever zrovna vtedy ked mu zrusia konto na tom poboxe/whatever, s cim sa tam registroval...
Hey! Bite my shiny metal ass!
S dovolením odpovím tímhle komentářem i kolegovi SUKovi, neboť oba říkáte podobné věci.
Určitě; proto taky neříkám, že by se mělo jednat o náhradu hesla, ale o něco, co se použije skoro „balíček poslední pomoci“, často ještě v kombinaci s jinou formou ověření. Vezmu si na pomoc Blizzard, protože u nich vím, jak to probíhá. Ztratí-li člověk přístup ke své e-mailové adrese a zároveň zapomene heslo k účtu, což se opravdu neděje tak zřídkakdy, jak by si člověk myslel (ono se to vůbec nemusí stát ve stejném časovém rozsahu, člověk může prve přijít o schránku, neuvědomit si plně důsledky a neřešit vzniklou situaci změnou e-mailové adresy u důležitého účtu, no a pak už jen kdykoli poté stačí zapomenout heslo, a je švandy kopec), musí volat (nebo přinejmenším donedávna musel volat) na customer support.
Blizzardí customer support sídlí v Irsku, nešálí-li mě paměť, proto jakékoli přesné diktování odpovědi je zcela nemyslitelné – i kdyby člověk dokázal vyhláskovat odpověď a říct pracovníkovi na druhé straně drátu, co přesně má na mysli tou „diakritikou“, těžko lze očekávat, že stejné znaky dokáže pracovník zreplikovat u sebe v počítači. A to ještě pořád přemýšlíme lokálně, představ si tu bžundu s japonskou/čínskou/korejskou abecedou, no paráda.
Nicméně, k původní myšlence – odpověď samotná není snáze napadnutelná, než heslo, protože sama o sobě nestačí k obnovení přístupu do účtu. Slouží jen jako jeden z prvků, jak ověřit, že pracovník customer supportu opravdu hovoří s právoplatným vlastníkem účtu, dalšími elementy, které lze ověřit, je např. poslední čtyřčíslí posledně použité kreditní karty, či prvních pár čísel sériového čísla libovolné hry asociované s účtem.
A vůbec, https://www.owasp.org/index.php/Guide_to_Authentication#Secret_Questions_And_Answers :-)
Určitě; proto taky neříkám, že by se mělo jednat o náhradu hesla, ale o něco, co se použije skoro „balíček poslední pomoci“, často ještě v kombinaci s jinou formou ověření. Vezmu si na pomoc Blizzard, protože u nich vím, jak to probíhá. Ztratí-li člověk přístup ke své e-mailové adrese a zároveň zapomene heslo k účtu, což se opravdu neděje tak zřídkakdy, jak by si člověk myslel (ono se to vůbec nemusí stát ve stejném časovém rozsahu, člověk může prve přijít o schránku, neuvědomit si plně důsledky a neřešit vzniklou situaci změnou e-mailové adresy u důležitého účtu, no a pak už jen kdykoli poté stačí zapomenout heslo, a je švandy kopec), musí volat (nebo přinejmenším donedávna musel volat) na customer support.
Blizzardí customer support sídlí v Irsku, nešálí-li mě paměť, proto jakékoli přesné diktování odpovědi je zcela nemyslitelné – i kdyby člověk dokázal vyhláskovat odpověď a říct pracovníkovi na druhé straně drátu, co přesně má na mysli tou „diakritikou“, těžko lze očekávat, že stejné znaky dokáže pracovník zreplikovat u sebe v počítači. A to ještě pořád přemýšlíme lokálně, představ si tu bžundu s japonskou/čínskou/korejskou abecedou, no paráda.
Nicméně, k původní myšlence – odpověď samotná není snáze napadnutelná, než heslo, protože sama o sobě nestačí k obnovení přístupu do účtu. Slouží jen jako jeden z prvků, jak ověřit, že pracovník customer supportu opravdu hovoří s právoplatným vlastníkem účtu, dalšími elementy, které lze ověřit, je např. poslední čtyřčíslí posledně použité kreditní karty, či prvních pár čísel sériového čísla libovolné hry asociované s účtem.
A vůbec, https://www.owasp.org/index.php/Guide_to_Authentication#Secret_Questions_And_Answers :-)
There is no dark side of the Moon really… as a matter of fact it's all dark.
s velkym nebo malym - lowercase pred zahashovanim a testovanim
jen prijmeni nebo i krestni - vetsinou je bezp. otazka "jake je prijmeni matky...". Pokud nekdo napise krestni, jeho smula.
preklep - no, to je blby, at se nauci psat nebo aspon cist, co pise...
mezernik - trim()
diakritika - i na to existujou metody
jen prijmeni nebo i krestni - vetsinou je bezp. otazka "jake je prijmeni matky...". Pokud nekdo napise krestni, jeho smula.
preklep - no, to je blby, at se nauci psat nebo aspon cist, co pise...
mezernik - trim()
diakritika - i na to existujou metody
Pokud nesouhlasíte s mým názorem, popřemýšlejte sami nad sebou. Opravdu si myslíte, že já bych se mohl mýlit?