Facebook serve quasi 2 miliardi di utenti, più di un miliardo ogni giorno. Questi utenti sono sparsi in tutto il mondo e ognuno di loro ha un account. La maggior parte di questi account sono semplicemente protetti da a password , il che significa che una persona malintenzionata che conosce il tuo indirizzo email ha bisogno solo di un'altra informazione per rubare il tuo account. Facebook ha il difficile compito di capire come impedirlo senza disturbare o confondere tutti quegli utenti, le cui norme culturali e alfabetizzazione informatica variano ampiamente
Una delle funzionalità di sicurezza di Facebook è l'autenticazione a due fattori, che tu potrebbe aver sentito parlare . 2FA (l'abbreviazione comune) può proteggere il tuo account anche nel caso in cui qualcuno ottenga la tua password. La 2FA viene solitamente implementata tramite messaggistica SMS o un'app sicura come Google Authenticator, sebbene il gold standard sia a secondo fattore fisico . I dettagli cambiano da servizio a servizio, ma il processo 2FA generale funziona in questo modo: 1) Inserisci il tuo nome utente e password. 2) Il sito web o l'app ti portano in un'altra schermata, dove ti viene chiesto di inserire un codice monouso generato dal tuo secondo fattore. Voilà, ci sei!
Ma ricordi i miliardi di utenti diversi di Facebook? Non tutti sono abbastanza coscienziosi da leggere la stampa fine. Si scopre che puoi abilitare 2FA senza sapere davvero cosa stai facendo e finire bloccato fuori dal tuo account. Facebook vuole impedirlo tanto quanto vuole impedire agli hacker di invadere la piattaforma.
Quindi l'azienda offre agli utenti che abilitano 2FA un periodo di grazia di una settimana per decidere se lo desiderano davvero. È facoltativo, ma selezionato per impostazione predefinita. Prima che il periodo di grazia scada, gli utenti possono scegliere di accedere normalmente. In questo modo si disattiverà 2FA.
Non tutti pensano che sia una grande idea.
Fox News rick reichmuth si è sposato
Questo è il tipo di politica di sicurezza irresponsabile e mortale che danneggia le persone, @Facebook . Taglia questa stronzata. cmq. @alexstamos pic.twitter.com/tVX7fczw37
-- Nadim Kobeissi (@kaepora) 25 maggio 2017
In una certa misura, questo vanifica in primo luogo lo scopo di creare 2FA. Un utente malintenzionato può comunque accedere al tuo account semplicemente utilizzando la tua password se riesce a colpire entro il periodo di grazia.
quanti anni ha matteo volpe
Alcuni esperti della comunità della sicurezza informatica trovano frustrante la scelta di design di Facebook. Nadim Kobeissi?, che ha creato l'app di messaggistica crittografata Cryptocat, chiamato 'il tipo di politica di sicurezza irresponsabile e mortale che danneggia le persone.' Ha aggiunto: 'Incredibile. Ho passato un'intera giornata a cercare di capire perché Facebook di un attivista sociale *è rimasto* insicuro anche dopo 2FA.' Si è scoperto che il periodo di grazia era il colpevole.
L'ingegnere della sicurezza di Facebook Brad Hill è intervenuto per dire che la funzione è 'lì per proteggere le persone che non leggono le istruzioni quando fanno cose consequenziali', sottolineando che agli utenti viene data la possibilità di scegliere se desiderano il periodo di grazia:
È lì per proteggere le persone che non leggono le istruzioni quando fanno cose consequenziali. pic.twitter.com/WHxoXSa4As
-- Hillbrad (@hillbrad) 25 maggio 2017
Kobeissi sparato indietro , 'Questo potrebbe sorprenderti, ma quando hai a che fare con alcune persone della regione MENA, le implicazioni di quella stampa fine non fanno parte del loro modello.' a quale collina ha risposto , 'In realtà non sono affatto sorpreso che ci siano diversi modelli mentali su come funziona la 2FA in una popolazione di quasi 2 miliardi di persone. Passo letteralmente ore ogni giorno a pensarci. E guardo i dati.' (Kobeissi ha ulteriormente elaborato il suo pensiero Qui .)
quanto è alto al roker
Il responsabile della sicurezza di Facebook Alex Stamos elaborato in un tweetstorm : 'Come con le cinture di sicurezza, la modalità di guasto n. 1 è 2FA non utilizzata. Dubito che qualsiasi grande provider abbia una penetrazione migliore di una cifra. Quindi diamo la colpa alle persone che non scelgono di utilizzare funzionalità rivolte ai puristi della sicurezza, o progettiamo un sistema che funzioni per tutti? Come per la [crittografia end-to-end], la 2FA è una tecnologia a cascata, richiesta e implementata da esperti che amano discutere su casi limite e modalità di errore.'
Ha continuato a notare: 'Ricorda che anche l'avversario ottiene un voto. Consentire agli account di essere bloccati istantaneamente verrà abusato anche nelle acquisizioni di account.' In altre parole, gli hacker che prendono il controllo di un account abiliteranno 2FA per impedire agli utenti legittimi di recuperare i propri account. (Naturalmente, sarebbe strano per un hacker optare per il periodo di grazia.)
Persone che si affidano a gestori di password generare e memorizzare password lunghe e univoche limitano efficacemente il rischio. Le persone che utilizzano più e più volte le stesse credenziali per vari servizi diversi, d'altra parte, sono molto più facili da raggiungere, perché i database di account e password sono spesso violati e rilasciato sulle darknet.
Facebook se ne rende conto, quindi l'azienda cerca di aiutare gli utenti a proteggersi. Ovviamente vuole ridurre al minimo il numero di account che vengono violati.
È molto più difficile per una persona malintenzionata dirottare un account protetto da 2FA (sebbene un'intelligente ingegneria sociale, che in genere implica contattare i rappresentanti dell'assistenza aziendale e ingannarli, a volte può fare il trucco e Gli SMS non sono perfettamente sicuri ). La maggior parte degli hacker vuole 'pwn' (hacker-parla per proprio) molti account rapidamente e non sono disposti a dedicare tempo e sforzi extra a un singolo utente.
In altre parole, proteggere gli account di Facebook è tanto una questione di comprensione del comportamento umano quanto di strumenti tecnologici. Come ha detto l'ingegnere Brad Hill, quando hai a che fare con miliardi di utenti, devi soddisfare molti diversi livelli di esperienza e diverse concezioni di come dovrebbe funzionare la sicurezza. Qualsiasi opzione 'taglia unica' è destinata a deludere alcune persone.
