展开讨论

sebastiennightHN来源作者
经验与复盘经验摘录 · 机器翻译

从那时起，我开始将公司的团队和承包商（以及家人和朋友）……迁移出去

… 从那时起，我开始将公司的团队和承包商（以及家人和朋友）从Google Auth转移到Aegis。这个应用很简洁，易于使用，开源，拥有我们所能想象的所有功能。（而且它的隐私政策不像其他一些应用那样有几十页长，其中隐私似乎只是营销策略的一部分，而不是产品本身的一部分）我一直是这个应用的非常满意的用户。[0]: https://news.ycombinator.com/item?id=35690398 [1]: https://news.ycombinator.com/item?id=35708869 [2]: https://news.ycombinator.com/item?id=37500895

源讨论Aegis v3.0 – 一款免费、安全且开源的Android双因素验证应用原帖 169 条评论 · 导入时统计
3

社区评论 0

还没有社区评论，来聊聊你的看法。

原讨论中的回复 3

仅展示本次导入中包含的直接回复。中文为机器翻译，可查看英文原文。

CK
ckchengHN

那听起来很可怕，但读了关于Retool被入侵的情况（感谢指出这一点）之后，看起来Google Authenticator并不是完全的罪魁祸首。 Retool指出“攻击者能够通过多层安全措施”[0]，即： 1. “通过针对‘几名员工’的基于短信的钓鱼攻击” 2. “一名员工点击了[短信钓鱼]链接”，“登录了假的门户” 3. “攻击者致电[被钓鱼的]员工”，“并用我们[IT团队]员工的真实声音进行深度伪造” 4. “被钓鱼的员工越来越怀疑，但不幸的是还是向攻击者提供了一个...（MFA）验证码”（通过电话） 5. “通过电话共享的额外OTP令牌是关键，因为它允许攻击者将他们自己的个人设备添加到员工的Okta账户中，从那时起，他们就可以从该设备生成自己的Okta MFA。” 6. “这使得…

完整原文
EL
ElbrusHN

> 我开始将我公司的团队和承包商（以及家人和朋友）...迁移到Aegis上。 有一个重要的问题，如果你不介意的话： 如果安装了Aegis的手机没电/丢失/被盗，有哪些选项可以确保与该手机关联的账户不会丢失访问权限？

完整原文
TP
tptacekHN

程序问题：Retool遭到了短信钓鱼攻击，虽然他们大肆宣传Google同步TOTP种子，但他们故事的真正教训是停止使用TOTP；它不具有防钓鱼能力。与其将整个团队从一个TOTP应用切换到另一个，不如将整个团队转移到一个强制使用FIDO2的IdP。TOTP已经过时了。

完整原文
在 Hacker News 阅读

尊重不同观点，分享具体经验。

登录后即可发帖、评论、转发和引用。