Vlákno názorů k článku
Seznam.cz zavádí dvoufaktorovou autentizaci pomocí OTP a ruší kontrolní otázky od Danny - Proc rovnou neimplementovali i FIDO/webauthn je zahadou... aspon...

Proc rovnou neimplementovali i FIDO/webauthn je zahadou... aspon TOTP a nebazirovani na "specialni" aplikaci (kterou jde spise povazovat za slepou cestu a ukazku toho, jak to nedelat) je samozrejme fajn, ale v roce 2023 maji v tomhle smeru u Seznamu proste technologicke zpozdeni...

Možná proto, že implementovat TOTP je triviální. mají know-how a není to třeba nějak více řešit? Nebo proto, že TOTP je podstatně rozšířenější a zrovna pro uživatele Seznamu, což opravdu není žádná IT extratřída podstatně vhodnější?

Tenhle adminovský bias tady na rootu je naprosto příšerný.

Nikoliv, FIDO/Webauthn neni slozity na implementaci, mate na to i dostupne hotove knihovny - a uzivatelsky je naopak o dost privetivejsi nez nejake opisovani kodu z TOTP autentifikatoru (toto reseni bylo cool tak pred deseti roky).

Vam snad prijde spatne snazit se udelat bezpecne prihlasovani uzivatelsky privetivejsi? :-) Prave to FIDO/Webauthn resi... od TOTP se utika prave proto, ze to je dobre v tom adminovskem pojeti... ale pro beznyho frantu uzivatele to moc pohodlne neni.

Nebo mohli implementovat MojeID, stejně jako tady.

Jo, MojeID jsem zrovna nedávno rušil jako minimáně pro mě naprosto zbytečnou věc. A jestli by mi začali nutit MojeID jako druhý faktor, nejspíš bych zrušil i účty u toho Seznamu. Nebo jak jste to myslel?

Danny, je irelevantní, co je uživatelsky přívětivější. Pro Seznam je celkem logicky podstatné, na co jsou uživatelé zvyklí. Uživatelsky to může být přívětivé jak chce. Jenomže tohle není něco, co by někdo obvykle používal denně. Podstatné je, že to uživatelé znají.

Nenapsal jsem, že FIDO je složité. Napsal jsem, že TOTP je (taky) triviální a tím, že je všude, máte know-how. Vlastně to tedy platí obecně. Máte know-how při implementaci i u uživatelů. S FIDO si teď mohou hrát další rok bez ideologických řečiček o tom, jak nejsou dostatečně cool.

A z ceho jste dovodil, ze na TOTP jsou uzivatele zvykli? :-) Jen z toho, ze v Seznamu nasadili tohleto obstarozni reseni - pravdepodobne i v reakci na vytky ze vsech stran, ze stavet MFA jen na proprietarni aplikaci je cesta akorat tak do pekel?

Nikoliv, TOTP pouzivalo par hracicku a paranoiku, dlouhodobe to byla vsude akorat volitelna moznost, rozhodne ne zadna maskovka - a zdaleka ne vsude, takova Alza treba furt posila jen SMSky, stejne tak funguje treba i statni NIA ID.

To jste sice vysvětlil, proč je užitečné nabídnout TOTP jako druhý faktor, ale vůbec to neodpovídá na otázku, proč by to měla být jediná možnost.

No ještě mají tu jejich aplikaci :-D
Jinak by mne zajímalo, proč nepřidali TOTP dříve, proč až teď.

[Michal Kubeček]
Souhlas. Ono je mozne a bezne pouzivane poslat na uzivatelem zadane telofoni cislo, nebo e-mail* overovaci kod, ktery pak uzivatel zada do overovaciho pole. A nechapu, proc by to nemohly vyuzit, kdyz si tak bezohledne vynucuji zadani telefobniho cisla do profilu.

A sel bych i dal.

Uprime, zacinaji me ty kecy ruznych spolecnosti kolem bezpecnosti dost s odpustenim srat. Kde kdo ma uhlazene reci o tom, jak maji na srdci bezpecnost uzivatelu, ale leckdy to spis vypada, ze to pouzivaji jako strasak a klacek na uzivatele, aby mohly uzivatelum vnutit pouze sve technologie a reseni, bez moznost alternativ a budovat tak zavislost uzivatelu na jejich resenich. V IT sluzbach se pojem "bezpecnost" posledni dobou stejne zneuziva, jako se jinde zneuziva souslovi "Evropska Unie naridila". Nemluve o tom, ze uzivatel by mel mit pravo rizika zvazit a zhodnotit co pro nej je, ci neni bezpecne, a mit moznost se podle toho zaridit. Kterez to pravo, je mu timto zpusobem upirano.

V pripade Seznamu mi uz pekne lezly krkem tim vynucovanim zadani soukromeho telefoniho kontaktu. Nakonec jsem to zkousl, priznavam, ze z vlastni lenosti. Ale pokud udelaji to co se zde pise, bez moznosti vhodne alternativy, s nejvetsi pravdepodobnosti me dokopou k tomu, abych ucet u nich definitivne zrusil.

*Coz je z meho hlediska ta lepsi varianta.

Myslel jsem, že jsem jediný, kdo zarputile odolává a radši při každém přihlášení trpělivě odklikává "připomenout později". :-)

Protože teď nemají naimplementované nic dalšího? Nepřekvapivě.