Тут 1Password запустил интеграцию с Claude Desktop — теперь вы можете включить коннектор с установленным 1Password в Claude и отправить его на сайт, требущий логина. Claude откроет сайт в браузере, 1Password спросит у вас разрешения заполнить логин/пароль и Claude пойдет тратить ваши деньги, например. Я проверил на небольшои интернет-магазине — сработало, хотя пришлось перезапустить 1Password и проверить залогиненность расширения Claude в браузере. Надо будет еще попробовать, как сработает логин с 2FA, если второй фактор в 1Password. Дополнительная задача — то же самое, но с passkey. Но может быть удобно, если вам нужно пустить агента за логин — в разовых задачах, конечно, иначе устанете подтверждать запросы. https://1password.com/blog/1password-for-claude

Сюжет достойный Гая Ричи: лопата для снега открыла хакерам доступ к корпоративной сети 😐 Два профессиональных пентестера приехали проверять физическую безопасность офиса крупной компании зимой. Заметив открытую дверь хозблока, они спокойно зашли внутрь, представились новыми сотрудниками IT без пропусков и вежливо предложили местным наивным рабочим помочь почистить снег и лед. Пока один вовсю махал лопатой на улице, второй прошел вглубь здания, нашел конференц-зал и спрятал Raspberry Pi за мусорными ведрами, подключив его к активной сетевой розетке. Дальше всё по классике — через малинку они нашли десятки аккаунтов с паролем вроде winter2023!, расковыряли Active Directory и в итоге получили domain admin. Зато с уборкой помогли 📹

Passkey без Apple, Google и облаков: делаем собственный аппаратный ключ за 4 евро YubiKey с гордостью заявляет, что вмещает до 24 OTP-аккаунтов. Автор посчитал: один TOTP-секрет весит около 20 байт, а значит на обычную microSD размером с ноготь таких секретов поместилось бы под 50 миллиардов. Разница в девять порядков заставляет задуматься, за что на самом деле платишь такие деньги, покупая защищённый ключ. Разбираться в этом парадоксе заставила вполне приземлённая жаба: платить по 70-80 евро за ключ, когда под некоторые задачи хочется иметь их сразу несколько. Оказалось, что превратить обычную плату за 4 евро в security key вполне реально, вопрос только в том, чем за это приходится расплачиваться.

В мире, у каждой хромой собаки есть свой веб-сайт, в каждую электронную сигарету надо логиниться, а память браузеров стремительно приближается к памяти золотой рыбки, проблема логинов во все подряд стоит ОЧЕНЬ ОСТРО. И на фоне всего этого, пасскеи как будто неплохо получились? Я знаю, жизнь отучила нас ожидать от современных «инноваций» чего-то хорошего, но тут как будто исключение? Типа, это правильно навязаный пользователю менеджер паролей (ты не придумываешь пароли, они генерятся для тебя — случайно и усточиво), плюс ты не показываешь пароль даже сайту, на который логинишься, т.е. это еще такая навязаная система асимметричной криптографии. Уберегает от ошибок и пользователя, и программиста сайта. По сути это те же ssh-ключи, которыми мы все пользовались вот уже 50 лет, но сделанные ДЛЯ ЛЮДЕЙ. Но это даже не главный кайф. Главный — что поскольку пасскеи настолько дуракоустойчивы, сайты смогли наконец расслабить булки и им поверить. А это значит, что логин в сайт по пасскею происходит одной кнопкой. Нажал — выбрал паскей — все, ты внутри. Тебя никто не считает за дебила и не перепроверяет по десять раз, не задает тупых вопросов типа «ваш ли это компьютер» или «доверяете ли вы своей маме». И КАК ЖЕ Я ПО ЭТОМУ СКУЧАЛ. Пароли когда-то именно так и работали. Потом надмозги придумали делить логин и пароль на два разных экрана, чем сломали автозаполнение из менеджера паролей. Потом решили, что тупым пользователям верить ни в чем нельзя и сделали двухфакторку. Это еще хуже — бегаешь каждый раз по всей квартире как дурак в поисках телефона. А учитывая, сколько современные сервисы просят тебя логиниться и как часто, это превратилось в нормальный такой воркаут. Потом кто-то догадался сделать «волшебные ссылки» на почту, типа, пароль вообще не нужен. Круто, но это лишняя вкладка, переключение между приложениями, задержка на доставку почты. Если там ссылка, то у тебя вторая вкладка приложения появляется, или не в том браузере откроется (пытались залогиниться? Мы залогинили вас в embedded браузер внутри приложения, который не шарит ссылки ни с чем другим в системе, и по сути растворится, как только вы его закроете. Кстати, ваша ссылка теперь невалидна! Рады помочь, обращайтесь!), короче, не сильно-то то ты и выиграл. Я мог бы нажать одну кнопку, а вместо этого бегаю по пяти экранам и что-то там копи-пащу туда-сюда. Как дурак. Ну и вот. На фоне всего этого пасскеи — реально магический опыт. Каждый раз радуюсь. Современная молодежь не знает даже, что когда-то компьютеры работали нормально и ими можно было пользоваться без приступов паники/ярости. Понятно, создать пасскей это целая проблема, сайты так и не разобрались, когда там попап показывать, где кнопки нажимать и т.д. Перенести между компами их нетривиально (только не пишите мне, что над этим работают, пожалуйста, Я ЗНАЮ). Другу его быстренько не передашь, на бумажку не запишешь, и т.д. Но в целом — когда все настроишь уже — как будто очень приятно пользоваться. Прям кайфую, когда не надо ни на почту ходить, ни за телефоном бегать, ни даже на втором экране ничего заполнять. — Это ты? — Это я. — Входи, верю. Ну офигенно же?

Грустный #producthumor на тему событий прошлой недели, когда Apple удалил все приложения VK из стора. Хочется понять как работает такой подход и почему им активно не пользуются мошенники. Помню был период, когда Альфабанк почти каждую неделю публиковал новое приложение в сторе. Всякие Учёты доходов, Холдеры, A-интерьеры и BizKey-и. Их регулярно удаляли, а компания запускала новые. Интересно, как это выглядит с точки зрения команды безопасности? У каждого приложения есть возможность авторизовать клиента в мобильном банкинге с доступом ко всем деньгам? А поддержка как с этим работает? Для мошенников, кажется, вообще идеальный способ. Делаешь приложение, заманиваешь клиентов банка, получаешь реквизиты доступа, делаешь запрос на OTP, используешь его и реквизиты для входа в настоящее приложение, выводишь деньги. Или я что-то не понимаю? Поделитесь в комментариях, если знаете. #producteye

Небольшое дополнение (давайте договоримся, что это все лишь мои догадки, чтобы не выглядело, как будто я реверс-инженерю нечто, доступа к чему у меня нет). Разные операторы у Телеграм имеют разный скор, продиктованный как количеством спам-аккаунтов и других нарушений с него, так, вероятно, и стоимостью звонков или смс-кодов. Пул номеров внутри оператора тоже имеет значение. Скоринг этот, вероятно, динамический, период пересчета я бы предположил в месяц. Если оператор улетает ниже порога доверия, смс коды и звонки на его номера ходить не будут, если только к номеру не привязана почта или иной способ авторизации. Поэтому если вам там что-то не прхиходит — вероятно, у вас «плохой» оператор — высокая стоимость оповещений и высокая нагрузка на пул номеров по спаму и блокировкам.