Встроить безопасность в каждое решение, которое вы принимаете в Интернете, не всегда легко, и в некоторых случаях веб-сайты и сервисы устраняют проблему и по большей части решают ее.
Волшебные ссылки, как их называют, призваны значительно упростить вход в ваши учетные записи. Вместо того, чтобы вводить пароль, вы нажимаете «Отправить мне ссылку для входа», открываете свой почтовый ящик, нажимаете на электронное письмо, и вы сразу в системе. Это звучит просто, современно и безопасно.
Но я продолжаю сталкиваться с проблемами с магическими ссылками, не говоря уже о том, что мне не всегда хочется открывать другое приложение для входа в приложения и службы, из-за чего вход в систему фактически занимает больше времени и добавляется в процесс еще одна служба.
Короче, я закончил.
Я вообще-то очень люблю пароли
Мне они нравятся больше, чем волшебные ссылки, это точно
Идею магических ссылок легко понять, и я понимаю, почему люди предпочитают их использовать. Нет никаких паролей, которые нужно запоминать, никаких потоков сброса, никаких ошибок при вводе и меньшего количества слабых или повторно используемых учетных данных.
Но в большинстве случаев это означает, что мне нужно прекратить то, что я делаю, открыть другое приложение, дождаться прибытия сообщения, нажать на ссылку и надеяться, что она откроется в нужном браузере. На рабочем столе это часто означает манипулирование несколькими вкладками и учетными записями. На мобильном устройстве оно может открыться не в том браузере.
Это прежде, чем вы перейдете к некоторым другим проблемам, с которыми я столкнулся при использовании электронных писем для входа по магической ссылке:
-
Отправлено в спам и тут же удалено
-
Не авторизован в электронной почте на устройстве
-
Срок действия ссылок истекает до их прибытия, если возникает сбой/проблема.
-
Пересылка электронной почты нарушает токен аутентификации
-
Профили браузера сбивают с толку сеанс входа в систему
А если вы не в сети или нет сигнала 4G/5G, вам просто не повезло, если служба не предлагает вход на основе пароля.
Если вы намеренно разделяете учетные записи — например, используете личный адрес электронной почты для регистрации и рабочий почтовый ящик для работы — магические ссылки активно наказывают такое разделение. У вас всегда должен быть доступ к одному и тому же почтовому ящику на одном и том же устройстве в одно и то же время. Если ваша учетная запись электронной почты заблокирована, вы теряете доступ ко всему, что с ней связано.
Волшебные ссылки предполагают, что ваш почтовый ящик всегда доступен и всегда подключен, но это не так.
Пожалуйста, прекратите хранить пароли в вашем браузере
Пришло время для менеджера паролей вашего браузера.
40. Гэвин Филлипс
Волшебные ссылки по своей сути не более безопасны
Это просто перенос аутентификации в другое место.
Волшебные ссылки часто представляются как повышение безопасности, поскольку нет пароля, который можно было бы украсть или использовать повторно. Но это смещает модель безопасности на что-то другое в цепочке: на вашу учетную запись электронной почты. Что, не будем забывать, по-прежнему так же безопасно, как и пароль, который вы использовали, не говоря уже о других проблемах, изложенных выше.
При этом ваша учетная запись электронной почты становится единой точкой отказа, будь то вредоносное ПО, взлом или иное. Злоумышленник не просто получает доступ к вашей учетной записи электронной почты; они получают доступ ко всему, что требует волшебной ссылки для входа в систему. Теперь я не упускаю из виду, что если кто-то взломал вашу учетную запись электронной почты, у вас возникнет целая куча проблем, и что они также могут перенаправить другие типы 2FA, такие как код одноразового пароля.
Я помещу эту комбинацию в стопку «электронная почта не очень хороша для аутентификации, но нам приходится использовать ее постоянно» вместе с другими моими жалобами, потому что они похожи. В любом случае вы передаете аутентификацию учетной записи своему провайдеру электронной почты, нравится им это или нет, и это может объединить целый ряд проблем безопасности.
По правде говоря, проблемы существуют со всеми формами многофакторной аутентификации, но некоторые из них определенно более безопасны, чем другие.
Настоящее решение очень простое
Бьюсь об заклад, вы уже догадались
Лично я бы предпочел просто использовать комбинацию адреса электронной почты и пароля, которую я сохранил в своем безопасном менеджере паролей. Это быстро, всегда доступно и не требует никаких других приложений. Этот процесс работал (ну ладно, в основном работал) хорошо в течение долгого времени, а с появлением бесплатных и безопасных менеджеров паролей стало проще, чем когда-либо, избежать повторного использования паролей, потери учетных данных и так далее.
Подпишитесь на рассылку, чтобы получить более разумный выбор входа в систему.
Подписка Подписываясь, вы соглашаетесь получать информационные бюллетени и маркетинговые электронные письма, а также принимаете Условия использования и Политику конфиденциальности Valnet. Вы можете отказаться от подписки в любое время.
Но я понимаю. Пароли не для всех, и не каждый хочет использовать менеджер паролей. В таких случаях люди, вероятно, будут в восторге от перспективы отправки волшебной ссылки, особенно если им не придется беспокоиться о каких-либо проблемах, описанных выше (учетные записи, разные приложения, разные профили и т. д.).
Итак… могут ли эти приложения и службы просто дать нам выбор, как мы хотим войти в систему, а не заставлять нас выбирать тот или иной маршрут? Потому что то, что работает для одного человека, не является лучшим для другого, и мы даже не рассматривали ключи доступа во всем этом. Вот как это должно работать на самом деле:
-
Ключи доступа
-
Пароли с OTP
-
Аппаратные ключи, такие как Yubikey
-
Волшебные ссылки необязательны на счетах с низкими ставками
Обратите внимание на счет с низкими ставками? Я никогда не хочу получать волшебную ссылку для входа в свои банковские или сберегательные счета, и никто не должен этого делать. Вот где следует провести огромную линию и никогда ее не пересекать.
