#2FA

[smellslikebot]

heads up for anyone using Authy for 2FA

authy's desktop app is being discontinued on March 19, 2024-- apparently moved up from an initially-planned date of August 19 for some reason

i think authy gets recommended a lot specifically for having a desktop option, and the EOL announcement email ended up in my spam folder, so i figured i should try to spread the word.

as far as potential alternatives go, so far i've found ente Authenticator, which has apps for Android and iOS and apparently allows you to access your 2FA codes on web as well. there's also 2FAS, which is open source and has a browser extension, but it sounds like the extension still requires your phone and they recently launched an NFT project(???) so... ymmv!

(of course there are plenty of good mobile-only authenticators, but again, the appeal of authy was that it enabled you to access your keys even if you lost your smartphone or didn't have one in the first place)

#authy #two factor authentication #2fa #no idea how to tag this honestly lol

[antifainternational]

MEANWHILE, ON TWITTER...

#q-elon #elon musk #twitter #2fa #hostage taking

[simnostalgia]

I hate the fucking Sisyphean task of logging into accounts.

I try to log into an account that requires two step verification through email

I go to log into that email but it ALSO requires its own 2 step verification from another email account.

I go to log into the second email but it asks me to put in a captcha.

I get the pin, I've finally logged into the first email account. I had to enter a captcha for this one as well.

I finally have the pin to log into the original account. However, as I was doing everything else the pin number timed out.

#2fa #2 step verification

[odinsblog]

A social media company is charging money for a basic security measure like a two factor authentication.

Thanks to the “genius” “businessman,” Elon Musk, your Twitter account’s safety will be locked behind a paywall.

“Sorry your account got hacked, but you should have paid Elon Musk extra for basic security.”

If you’re still on Twitter, here’s how to do it Elon’s way…

#2fa #2 factor authentication #elon musk #twitter #two factor authentication

[techniktagebuch]

17. April 2024

Worin ich ein Handy repariere, verschiedene Dinge lerne und das Haus nicht anzünde

Anfang Januar ließ sich Aleks' Handy nicht mehr einschalten. Er war gerade in irgendeiner entlegenen schottischen Gegend, hatte aber das 2022 gekaufte Chromebook dabei und außerdem WLAN, so dass er mir das Problem mitteilen konnte. Ich habe zuerst erfolglos versucht, ihn von Deutschland aus zur Gehäuseöffnung anzuleiten, und ihm dann ein neues bestellt, was er wegen 2-Faktor-Authentisierung nicht selbst machen konnte.

Weil ich mein letztes Handy so oft auf- und wieder zugemacht habe, bin ich überzeugt, dass sich bestimmt alles reparieren lässt, und zwar von mir. Als ich einige Wochen später selbst in Schottland ankomme, sehe ich nach, ob es den von Aleks beschuldigten Einschaltknopf des Handys als Ersatzteil zu kaufen gibt, und es gibt ihn. Ich bestelle mir zum zweiten Mal ein Handyöffnungsbesteck, aber diesmal nicht mehr das riesige, von dem ich 98% bisher nicht gebraucht habe und das jetzt nutzlos in Berlin liegt, sondern eins zum Immerdabeihaben, also nur einen ganz kleinen Schraubenziehergriff mit magnetischen Bits für die gängigen Handyschrauben.

Als der angekommen ist, öffne ich die Handyrückseite mit dem neuen Heizungstoaster und meinem Küchenmesser, schraube alles raus und stelle fest: Die Hardwareknöpfe des Moto G7 Power, also der Einschaltknopf und die Lautstärkeregler, sind unaustauschbar mit dem Chassis verschweißt, man kommt nicht dran. Wozu es die Ersatzteile zu kaufen gibt: keine Ahnung. Eine Aus- oder Einbauanleitung existiert nicht.

Kurz bevor ich das gemerkt habe, habe ich außerdem herausgefunden, warum in allen Anleitungen steht, dass man den im Handy eingeklebten Akku zum Beispiel mit einer Kreditkarte vorsichtig heraushebeln soll. Ich habe es mit meiner abgelaufenen Bahncard versucht, aber für die vorletzte festsitzende Ecke aus Ungeduld einen von den neuen kleinen spitzen Schraubenziehern verwendet und dabei ein winziges Loch in den Akku gemacht. Es hat geraucht und gefunkt, ich habe "uh-oh" gesagt, das Handy zur Haustür getragen und dort schnell den Akku ganz herausgerupft, wobei ich Gelegenheit hatte, endlich mal "thermal runaway" zu sagen. Dann kam der Akku in ein Metallgefäß im Garten, wo enttäuschenderweise nichts weiter geschah.

Kurz danach lernte ich (bei ifixit.com), dass man einen einmal ausgebauten Handyakku gar nicht wieder einkleben soll, wie ich es beim eigenen Handy viele Male getan habe. Man soll einen neuen bestellen. Diesmal bleibt mir nichts anderes übrig.

Im April kommt der neue Akku und ich baue ihn ein. Das Handy geht immer noch nicht, weil es ja nicht am Akku lag, sondern am Einschaltknopf. Aber manchmal hilft geduldiges Wackeln an allen Teilen. Ich wackle geduldig an allen Teilen, drücke oft und lange in verschiedenen Kombinationen die Hardwareknöpfe und stecke verschiedene Kabel in die Ladebuchse, die, wie sich dabei herausstellt, ebenfalls einen Wackelkontakt hat. Irgendwann geht das Handy wieder an. Zuerst nur die Ladeanzeige, etwas später startet es dann.

Jetzt kann ich die App "TestM" installieren und damit die Hardwareelemente des Handys einzeln testen. Sie bestätigt, dass der Einschaltknopf defekt ist.

Ich lese nach, ob man ohne Einschaltknopf leben kann. Für alle Funktionen – Ausschalten, Screenshot, Neustart, Aufwecken – gibt es Workarounds. Nur für eine nicht: das Einschalten.

Update: Molinarius weist mich nach der Veröffentlichung dieses Beitrags auf von mir ungefundene Anleitungen und Erfahrungsberichte hin, denen zufolge man manche Android-Handys ohne Einschaltknopf starten kann. Dazu soll man entweder den Akku aus- und wieder einbauen, was ich zufällig getan habe, oder das Ladekabel einstecken und dann – oder vielleicht auch gleichzeitig – eine Lautstärketaste drücken, was ich zufällig auch getan habe.

Weiteres Update: Nachdem mir ein paar Tage später beim Einbau des Ladebuchsen-Ersatzteils das Handy wieder ausgeht, probiere ich diese Methoden und noch ein paar andere durch und habe mit keiner davon Erfolg. Aber während das Handy noch an war, hatte ich es für alle Fälle schon mal in den Developer Mode versetzt. (Wer ein Android-Handy hat und das noch nicht getan hat, sollte es jetzt gleich tun – es ist extrem einfach, schadet nichts* und nützt manchmal). Deshalb kann ich jetzt dieser Anleitung folgen und auf meinem Laptop ADB ("Android Debug Bridge") und Fastboot installieren (wie es am Mac gegangen wäre, steht hier). "adb devices" erkennt das an den Laptop angeschlossene Handy zwar nicht, aber trotzdem funktioniert "fastboot reboot" einfach so** und das Handy schaltet sich ein. Ohne Einschaltknopf. Nur fünf Jahre, nachdem Gregor Meyer im Techniktagebuch beschrieben hat, wie es geht, richte ich das dann auch endlich für mein eigenes Handy ein.

* Richtiger wäre wie immer "kommt drauf an": Bitte diese Korrektur von Sushi Suppenkasper berücksichtigen.

** Weiteres Ausprobieren ergibt: Das funktioniert nur, wenn das ausgeschaltete Handy vorher in einen so-halb-eingeschalteten Modus versetzt wird. Und zwar muss man dazu beide Lautstärketasten gedrückt halten, dann das Kabel einstecken. Dann taucht so eine Art Kommandozeilenansicht auf, die zum Einschalten noch nichts nutzt, weil sie einen funktionierenden Einschaltknopf zum Bestätigen der Auswahl voraussetzt. Aber ab hier geht es dann mit "fastboot reboot".

Als ich Aleks davon berichte, dass sein Handy jetzt wieder läuft, das Grundproblem aber nicht behebbar ist, sagt er: "Ist mir egal, der Einschaltknopf ging schon jahrelang nicht. Ich hab das Handy einfach nie ausgeschaltet. Man muss nur aufpassen, dass der Akku nicht leer wird."

Nachdem ich "Wieso steht das noch nicht im Techniktagebuch!" gerufen habe, diskutieren wir verschiedene Einsatzmöglichkeiten für das reparierte ... also das jedenfalls jetzt wieder eingeschaltete Handy. Ich bin für eine im Hausflur aufgehängte ständige Regenradar-Anzeige (nützlich, wenn man in Schottland wohnt und einen Hund hat). Aleks möchte lieber ein Betthandy. Was die Vorteile eines Betthandys sein sollen, erschließt sich mir nicht, aber vielleicht wird er es eines Tages selbst aufschreiben.

"Gut, dass ich nicht so ein blödes Handy habe, sondern das praktische Fairphone, bei dem man alles austauschen kann", habe ich bei der Reparatur mehrmals gedacht. Erst als ich für diesen Beitrag noch mal genauer recherchiere, finde ich heraus, dass man beim Fairphone 5 alles austauschen kann außer dem Einschaltknopf.

(Kathrin Passig)

#defekt #Reparatur #Handy #Motorola Moto G7 Power #Einschaltknopf #Workaround #Lithium-Akku #Fairphone #2FA #2-Faktor-Authentisierung #Toaster #TestM #Regenradar #Schraubenzieher #Kathrin Passig #Developer Mode #Android #Android Debug Bridge #ADB #best of

[mostlysignssomeportents]

I just solved a mystery

I just solved a mystery! For weeks, my authenticator app wasn't working. It turned out that I had somehow fatfingered my phone's time settings so that it wasn't automatically trueing up its clock with NTP, and was gradually losing a few seconds every week. Yesterday, I noticed that my phone was 3 minutes fast (when I tried to check in for a Southwest flight 24h in advance to get a good seat, and the system wouldn't let me check in). Later, I dug into the time settings and noticed that NTP was off. That meant that my phone was generating OTPs based on a timestamp that was 3 minutes off, which means that my OTPs were three minutes in the future and were failing at 2FA challenges. Now that my clock is back to accurate, Authenticator is working again.

#troubleshooting #ntp #2fa #pebcak #otp #time #tzdata

[slack-wise]

#2fa #computers #memes #funny #lol #horses #animals

[rextomblr]

this week was a painful experience.

to start, I was presented last Friday with the proposition at my work — hand in your resignation on Monday or fire your coworker on Monday. Your call, rext. I’m still employed, so you can guess what I chose.

This week, we had to surrender social media accounts to a now ex client of ours and it has gone horribly. There’s something with the 2FA codes with #instagram that’s not lining up. I had to talk to a bunch of ex coworkers, including the one they let go

yeah, the one they let go instead of me. she wasn’t able to help out with the situation, but she asked if I put in a good word for her. Which, I said I did, because I did. But that I too was in negative light atm.

She was understanding and apologized for putting our team in that situation. I empathized with her and we continued to have a good talk. I told her to put me down as a reference for her applications, I’ll put in a good word for her. It’s the least I can do.

As for the 2FA, I now have a seriously pissed off ex client who’s demanding me (very hostility) to figure this mess out. I’m gonna make a margarita and do it tomorrow. It’s 7pm and I want pizza.

#rext #writers on tumblr #writing #creative writing #milwaukee #twitter #wisconsin #midwest #writer #sunrise city #work #work life #modern workplace #fevered egos #milwaukee wisconsin #millennials #work from home #for work #2FA #instagram #ugh

[author-a-holmes]

PSA To My Newsletter Subscribers

My newsletter is going to be late this month. This is because I am a certified idiot, and when I updated my phone number last month I thought I'd updated all the websites that required 2-Factor-Authentication.

Turns out, I forgot to update my WEBSITE. That I need to update, so I can link to a post in my Newsletter.

All said and done, I have to phone my website provider in the morning to try and prove who I am so I can get back into it again.

Then, if I can do that, I need to update the website. A Worst case scenario will be me having to speedily rebuild my website. Let's hope it's not a worst case scenario, eh?

Then, I'll be able to send out my Newsletter.

Some deity out there better give me strength for the rest of 2024, I swear...

#I don't think I'd have minded so much but I had 24 hours between getting my new number and my old one being discontinued #So it's not like I had a whole lot of time to remember everywhere I needed to update it #RIP me #2FA #Two Factor Authentication #Newsletter #Website #FML #writeblr #writeblr community #writing #writing community #ari speaks #arista speaks #So far this year my mum's had severl hospital visits #and I've had a god awful cold knock me for six #and now this #I really thought 2024 was gonna be a good year but...

[ailurinae]

Anyone have any info about the migration of the Blizzard / Battlenet authenticator from a standalone app to part of the Blizzard mobile app?

The old one uses TOTP under the hood, just 8 digits instead of 6, and can be set up on some standard TOTP apps (e.g. Aegis Authenticator).

Hoping the new setup is too so I can keep doing that, but I worry it's a shitty push model...

#Blizzard #Battlenet #authenticator #TOTP #2FA #MFA #Microsoft #security #computers #my posts

[thinthle]

I made a meme to commemorate the situation.

#hackedchannel #linus tech tips #linustechtipshackedchannel #linustechtipsmeme #meme #hackedchannelmeme #2fa #2fameme #googlememe #cybersecuritymeme #aivoice #intothespiderverse #intothespiderversememe #spidermenmeme #techtipsmeme #youtubememe #youtubermeme #browsercookies #browsercookiesmeme #online #outofservice

[porterdavis]

So, have you seen this yet? Elon is desperate to make you pay for a blue checkmark so he's making it impossible to keep two-factor text authorization, thereby dramatically lowering your ability to protect your account. Yes, you can use an authorization app (not easy to institute) or a security key (damn-near impossible).

Yay Muskie!

#elon musk is an idiot #2fa #twitter

[valkyrianskies]

STOP MAKING ME HAVE TO TAKE OUT MY PHONE TO LOG INTO EVERY SINGLE THING, 2FA IS A GREAT OPTIONAL SECURITY MEASURE BUT WHEN I'M USING MY COMPUTER I DON'T WANT TO HAVE TO KEEP JUMPING BETWEEN DEVICES FOR EVERY SINGLE INNOCUOUS LOGIN

#valkposts #github #2fa

[subpardaemon]

Biztonsági gyorstalpaló #4: Megvan benned a két faktor?

Jesszusom, de cheesy volt. Bocsi. Szóval, fiókbiztonság folytatás: többlépcsős hitelesítés, aka multifactor authentication.

Ennek az a lényege, hogy nem elég, ha valaki tudja a belépési nevet (ami legtöbbször a fő emailcím) és a jelszót (amit ugye barokkosan csodálatosan jól választottál meg!), ha ez a kettő sikerült, akkor egy független csatornán (ami hangsúlyozottan nem a böngésző vagy maga az app) valamilyen módszerrel még kér egy hitelesítést, hogy tényleg te akarsz belépni.

Milyen fő többfaktoros módszerek vannak?

Általános célú hitelesítő (authenticator) app

👉 Ebből annyi van, mint csillag az égen (Google Authenticator, Okta, stb), mindegyik más extra dolgokkal, de az alap működésük ugyanaz: a website vagy app feldob egy QR kódot, azt beolvasod a hitelesítővel, az pedig létrehoz neked egy kis helyi fiókot, ami 30 másodpercenként változó, 6 számjegyű kódot ad neked. Itt fontos, hogy az eszköz, amin használod a hitelesítő appot, pontos időre legyen beállítva, mert a generált kód két dologtól függ: egy mag számtól, amit a QR kódból olvas ki a hitelesítő (és amit tud a hitelesítendő szolgáltatás), és a pontos időtől.

👉 A hitelesítésnél a website 90 másodperces precizitással dolgozik, tehát elfogad egy 30 másodperccel korábbi, és egy 30 másodperccel későbbi kódot is, ha esetleg kicsit mászkál az eszközök órája egymáshoz képest.

👉 Borzasztó fontos tudni, hogy onnantól, hogy levédtél egy fiókot egy ilyen hitelesítővel, csak az azon hitelesítő által generált kódokat fogja elfogadni. Mivel tipikusan telefonon használjuk az ilyen appokat, egy telefon újratelepítés (ha nem volt biztonsági mentés a hitelesítő app adatairól), vagy rosszabb esetben, egy telefon elvesztés, végzetes következményekkel járhat...

...na, ha nem lenne erre is jól kitalált megoldás.

👉 A legtöbb szolgáltatás, amikor a hitelesítő appot beállítod, generál neked egy rakat ún. visszaállítási kódot (recovery codes), amik egyszer használatos kódok (vagyis ha egyszer felhasználsz egyet, az elég, onnantól kezdve azzal már nem léphetsz be többé). Ha elvesztenéd a hitelesítő appodat, vegyél elő egy ilyen kódot, lépj be vele, és adj a fiókodhoz egy új hitelesítő appot.

👉 A megkapott visszaállítási kódjaidat biztonságos helyre mentsd el. Ki is nyomtathatod őket, és irány a páncélszekrény. Vagy ha van egy jó jelszókezelő programod, ami tud jegyzeteket is tárolni, akkor uzsgyi, mentsd bele őket, megjelölve, hogy melyik app vagy website adta őket.

👉 Vagy egy olyan hitelesítő appot használsz, ami központilag elmenti a felvett hitelesítési fiókokat, természetesen elkódolva, és egy mester jelszó megadása után a frissen telepített telefonodra visszarakja a hitelesítési fiókjaidat, és megy minden tovább. Erre én a Twilio Authyt ajánlom. (Azt még laptopon is használhatod!)

Egyedi hitelesítő megoldások

Ebből is van pár. Csak néhány elterjedt példa:

👉 Google app: a Gmail vagy Google alkalmazás a telefonodon rákérdez, hogy megengeded-e a belépést az akárhol, ahol éppen csinálod. Néha még megkérdezi, hogy a képernyő mit mutat (három szám közül valamelyiket). Ez nagyon tünci és fasza, de amikor pont a telefonodat veszted el, és próbálnál újra belépni az appban, akkor azért annyira nem vicces. Épp emiatt mindenképp javaslom, hogy csak egy általános hitelesítő app mellett legyen ez engedélyezve.

👉 Adobe Authenticator: ez is számokkal játszik. Az Adobe accountnál nem választható más, ez kötelező.

👉 Apple cuccok: ezeknél be van építve a belépési biztonság. Minden alkalommal, amikor iCloudba vagy az Apple fiókodba akarsz belépni, minden hozzád rendelt eszközön felpattan a kérdés, hogy engeded-e a belépést, és ha igen, akkor ad egy 6 jegyű kódot, hogy azt lécci üsd be a belépés helyén. Köszi, Apple, hogy vigyázol ránk!

👉 Facebook: ha van valahol telepítve Facebook app, és ott be vagy lépve, az is tud kódot adni. De pont emiatt itt is jobb ötlet, ha van egy általános hitelesítő.

👉 Fizikai kulcsok, esetleg biometrikával zárva: ilyened úgysincs. Vagy ha van, akkor tudod mi és hogy kell használni, úgyhogy minek is fecsegjünk róla, ugye.

Telefonszám és (másodlagos) email cím

👉 Igen, ezek is többfaktoros belépési megoldások tudnak lenni! Telefonszám esetén SMS-ben küldött kód vagy link, néhány nagy szolgáltatónál esetleg automata telefonhívás is játszik.

👉 Email cím esetén az emailbe kiküldött kód. A Steam Protect pl így működik.

No, egész szépen átnéztük a dolgokat. Viszont valamiről még beszélnünk kell... és nem, nem a bőrgomba az.

#magyar #biztonság #2fa #mfa #többlépcsős #okítás #biztonságigyorstalpaló

[muck-raker]

i know tfa is technically more secure but as someone who often doesn't have a phone it pisses me the fuck off

#two factor authentication #tfa #2fa

[aktionfsa-blog-blog]

Die Zwei-Faktor-Authentifizierung aushebeln

Schwachstelle Mensch

Jahrelang wurde uns versichert, dass wir mit einer Zwei-Faktor-Authentifizierung (2FA) sicher(er) seien. Allen voran die Banken haben solche Verfahren einführen müssen. Mit der EU Banken-Richtlinie PSD2 wurden sie Standard. Bereits damals hatten wir kritisiert, das das sinnvolle Verfahren durch die Abschaffung des "2. Wegs" wieder amputiert wird. So waren für die 2. Authentifizierung anfangs SMS o.ä. üblich, inzwischen laufen oft beide Wege wieder über ein Gerät - meist das Smartphone.

Nun hat sich herausgestellt, dass beim Kampf der Cybersicherheit gegen die Hacker letztere am Aufholen sind. In 2 Artikeln beschreibt Heise.de die Vorgehensweise der Hacker. Eigentlich ist alles beim alten geblieben - beim Pishing - nur der Aufwand, den die Hacker betreiben müssen, ist größer geworden.

Social Engineering statt neuer Technik

Weiterhin ist die Taktik der Hacker das Opfer solange zu verwirren, bis es Fehler macht. Die Tricks sind

dein Handy braucht ein Update,

dein Handy ist defekt,

ein Systemfehler ist aufgetreten, drücken Sie hier oder da,

u.v.m. ...

MFA-Fatigue-Angriff

Deshalb kommt ein MFA-Fatigue Angriff meist abends oder am Wochenende, wenn man ermüdet ist und eine technische Hilfe oder KollegInnen nicht erreichbar sind. Dann wird man mit "unlogischem Verhalten" der Technik verwirrt, solange bis man seine Passworte an der falschen Stelle eingibt. Eigentlich dürfte man das nicht tun, schreibt PCspezialist.de, denn:

Eine Authentifizierungsanfrage wird nur dann abgesendet, wenn Sie zuvor das korrekte Passwort in ein System eingegeben haben. Denn genau das ist ja der Sinn der Multi-Faktor-Authentifizierung – der zusätzliche Schutz durch eine zusätzliche Sicherheitsabfrage.

Ein Einmal-Passwort (OTP) kann also vom System nie verlangt, werden, wenn man sich nicht vorher dort einloggen wollte. Passiert dies doch, so ist es mit Sicherheit ein Cyberangriff. Die Angreifer versuchen ihre Opfer jedoch durch wiederholte Abfragen und/oder Abweisungen "des Systems" zu verwirren. So eine Abfrage kann auch ein Anruf "einer technischen Abteilung" sein, die einen angeblichen "Systemfehler" zurücksetzen müsse. Die Schwachstelle der Zwei-Faktor-Authentifizierung (2FA) bleibt der Mensch.

Mehr dazu bei https://www.heise.de/ratgeber/Ausprobiert-Phishing-trotz-Zwei-Faktor-Authentifizierung-8981919.html und https://www.heise.de/ratgeber/IT-Security-Wie-Angreifer-die-Zwei-Faktor-Authentifizierung-aushebeln-8973846.html und https://www.pcspezialist.de/blog/2022/11/28/mfa-fatigue-angriff/

Kategorie[21]: Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/3u1 Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/8395-20230510-die-zwei-faktor-authentifizierung-aushebeln.htm

#Schwachstelle #Mensch #Zwei-Faktor-Authentifizierung #2FA #PSD2 #SocialEngineering #MFA-Fatigue-Angriff #Verbraucherdatenschutz #Datenschutz #Datensicherheit #Smartphone #Handy #IMSI-Catcher #Cyberwar #Hacking