🔓 Вчера на Хабре был печальный пост про кражу домена путем взлома учетной записи Яндекс, защищенной двухфакторной аутентификацией.

На мой взгляд, эмоциональный пост и особенно заголовок шлют неверный посыл "2FA - зло", поэтому предлагаю посмотреть на ситуацию технически.

У взлома было два этапа:
1. Перевыпуск SIM-карты
2. Сброс 2FA

От первого защититься, наверное, невозможно. Интереснее, что после этого в случае с Яндексом нет защиты и от второго, потому что для сброса 2FA используется код, высылаемый в SMS 🙈

У Яндекса вообще свой велосипед для 2FA, который при этом никак не защищает от перевыпуска SIM. Такая вот #безопасность… Помнится, в комментариях к моей статье блога читатели активно оспаривали тезис, что SMS – не фактор 😎

Upd. Я перепроверил процесс сам. И выяснилось два момента:
1. При сбросе 2FA Яндекс не шлет SMS, а звонит. Это плохо, потому что мобильные операторы могут блокировать SMS на сутки после перевыпуска SIM, а звонок проходит.

2. Для сброса 2FA нужно знать ее ПИН-код (он же ПИН-код аккаунта…

В апреле 2019 года Microsoft без фанфар реализовала (поначалу в превью) возможность установки OneDrive в папку Program Files (x86)\Microsoft OneDrive. Сегодня я расскажу, почему это важно и как перейти на новую модель установки.