#2-factor

[nerdontour]

Apple's new macOS feature takes 2-factor authentication to the next level! Now, when a verification code arrives via SMS, a handy bubble shows the code right under the login field. No more memorizing or copy-pasting! Plus, it works with third-party browsers like Brave for seamless autofill. This update may seem small, but it seriously boosts your login efficiency! Video also published on YouTube

[tony1234world-blog]

How a trivial cell phone hack is ruining lives

FYI: http://dlvr.it/R7YbpN

[tony1234world-blog]

How a trivial cell phone hack is ruining lives

ICYMI: http://dlvr.it/R7WLRR

[tony1234world-blog]

How a trivial cell phone hack is ruining lives

http://dlvr.it/R7SjBW

[aofapp]

เหมือนไม่ใส่ใจ ระบบ 2-factor ของแอปเปิ้ลป้องกันไม่สมบูรณ์

หลังจากเกิดเหตุแฮกบัญชี Apple ID ครั้งใหญ่ที่ทำให้นักเขียนของนิตยสาร Wired ต้องสูญเสียข้อมูลทั้งหมดในอุปกรณ์ของแอปเปิ้ลไป จากนั้นไม่นานแอปเปิ้ลจึงเปิดใช้ระบบ 2-factor verification เมื่อเดือนมีนาคมที่ผ่านมา เพื่อเป็นการยืนยันผู้ใช้ Apple ID อีกครั้งว่าเป็นตัวจริงหรือไม่ แต่หลังจากเริ่มใช้ได้ไม่นาน นักวิจัยจากบริษัท Elcomsoft ของรัสเซีย ผู้เชี่ยวชาญเรื่องการแกะรหัสผ่าน (ทุกโปรแกรมของ Elcomsoft ล้วนแล้วเกี่ยวกับการเจาะรหัสทั้งนั้น) ก็ออกมาเปิดเผยผ่านบล็อกของบริษัทว่าระบบ 2-factor ของแอปเปิ้ลนั้นทำแค่ให้มี แต่ยังดีไม่พอ

แอปเปิ้ลอธิบายไว้ในคู่มือการใช้ระบบ 2-factor ว่ามันสร้างขึ้นเพื่อป้องกัน

การล็อกอินเข้า Apple ID เพื่อจัดการบัญชี

การซื้อแอพ, เพลง, หนัง, หนังสือจากอุปกรณ์ใหม่

การรับบริการที่เกี่ยวกับ Apple ID จากแอปเปิ้ล

โดยหลังจากเปิดใช้ระบบยืนยันตัว 2 ชั้นนี้แล้ว เมื่อทำอะไรกับ Apple ID ตามที่ระบุไว้ข้างบน แอปเปิ้ลจะส่งรหัสมายืนยันในอุปกรณ์ของเราที่ลงทะเบียนไว้ ผู้ใช้ก็เอารหัส 4 ตัวที่ได้ไปกรอก ซึ่งปัญหาแรกของแอปเปิ้ลอยู่ตรงนี้ คือรหัสยืนยันตัวที่ส่งมาจะแสดงทันทีที่หน้าอุปกรณ์ของเรา แม้ว่าเครื่องจะล็อก passcode ถ้ามีโจรที่รู้ Apple ID และรหัสผ่านของเรา พร้อมเข้าถึง iPhone, iPad ของเราได้ ก็จะรู้รหัสยืนยันทันทีโดยไม่ต้องปลดล็อกเครื่องเข้าไปดู Elcomsoft บอกว่าแอปเปิ้ลใช้กระบวนการส่งข้อความแบบเดียวกับ find my iphone คือใช้เซอร์วิสของ iCloud ในการส่งข้อมูล ซึ่งยังซ่อนข้อความใน Lock Screen ไม่ได้ ก็หวังว่าแอปเปิ้ลจะแก้ไขเร็วๆ นี้

รูรั่วต่อมาคือข้อมูลแบ็กอัพโทรศัพท์เราที่เก็บไว้บน iCloud มันไม่ได้ถูกป้องกันโดยระบบยืนยันตัว 2 ชั้น ถ้าแฮกเกอร์รู้ชื่อและรหัสผ่าน Apple ID ไปแล้วก็สามารถใช้อุปกรณ์ iOS อะไรก็ได้ Restore ดึงข้อมูลจาก iCloud มาลงเครื่องได้ทันที โดยระบบไม่ได้ถามรหัสชั้นที่ 2 แต่อย่างใด แล้วแบ็กอัพของ iOS บน iCloud เก็บข้อมูลอะไรไว้บ้าง สรุปง่ายๆ คือทุกอย่างเกี่ยวกับอุปกรณ์เครื่องนั้นๆ คือรูปภาพ-วิดีโอทุกอย่างใน Camera Roll, Contact, SMS, ข้อมูลแอพ-เซฟเกม ซึ่งแอพบางตัวที่ล็อกอินค้างไว้ แล้วไม่ได้ถามให้ล็อกอินใหม่หลัง Restore เครื่อง แฮกเกอร์ก็สามารถสวมสิทธิ์เป็นคนนั้นได้ทันที (แต่แอพส่วนใหญ่จะให้ผู้ใช้ล็อกอินอีกครั้ง)

แต่ตอนนี้ระบบ 2-factor verification ยังใช้ในไทยไม่ได้นะ แอปเปิ้ลกำลังค่อยๆ ทยอยเปิดใช้ทั่วโลก