Twitter's tofaktorautentisering kan ikke stoppe kapring av kontoer

Twitter adresserer endelig tornete problem med kaping av kontoer ved å rulle ut tofaktorautentisering for alle brukere. Selv om et nødvendig første skritt, er dette ikke tilstrekkelig for å folie alle kaprerne.

Brukere som velger å bruke tofaktorautentisering, blir bedt om å oppgi den unike sekssifrede koden som sendes via SMS til telefonene, sammen med deres normale brukernavn og passord når de prøver å logge seg på Twitter.com, Jim O'Leary, et medlem av Twitters produktsikkerhetsteam, skrev på firmabloggen. Siden tredjepartsverktøy som HootSuite er avhengige av en annen autentiseringsmetode, bør de ikke påvirkes av denne endringen.

"Dette er et stort, og forfalt steg fra Twitter mot å være sikrere, men det er bare halve slaget, " sa Ken Pickering, utviklingssjef for sikkerhetsintelligens i CORE Security, til SecurityWatch . To-faktor betyr ikke knebøy hvis folk ikke faktisk aktiverer det og konfigurerer det riktig.

SecurityWatch anbefaler at brukere slår på tofaktorautentisering for Twitter-kontoene sine. Å ha et ekstra lag med sikkerhet på toppen av det vanlige kombinasjonen av passord og brukernavn er alltid en god ting, selv om det ikke alltid er det mest praktiske trinnet. Hvis du ikke ser alternativet på innstillingssiden din, kan du sitte fast.

To-faktor bør ikke erstatte sunn fornuft, fordi det fortsatt er mange måter for motstandere å få kontroll over kontoen din.

Hvorfor det ikke hjelper selskaper

Tofaktorautentisering er en flott sikkerhetsfunksjon, og enkeltpersoner bør seriøst vurdere å aktivere beskyttelsen på kontoene sine, men det er ikke en kur for alle autentiseringsproblemer.

Faktisk vil ikke tofaktorer hjelpe engang organisasjoner som ikke vil bli kapret slik AP, The Onion og The Guardian ble tidligere denne måneden av den syriske elektroniske hæren. De fleste organisasjoner deler kontoer, der flere medarbeidere poster med samme konto. De vil ikke kunne slå på to-faktorer fordi ansatte ikke har tilgang til den samme telefonen, bemerket Graham Cluley, en senior teknologikonsulent hos Sophos, på bloggen Naked Security.

Alternativene deres er å enten alltid være logget på - noe som er et sikkerhetsnr. - eller at hver ansatt tar kontakt med eieren av telefonen for å sende den sekssifrede koden når de vil logge seg på. Jeg ser ikke at det fungerer bra, Gjør du?

Hvis brukerne er enkle phishing, er ikke to-faktor autentisering virkelig hjelpe. Noen faller for fellen og avvikler å legge inn den sekssifrede koden på en falsk side, og der går kontoen. "Kriminelle på nettet kan bruke" mann-i-midten "-teknikker for å hente den sekssifrede passordet sammen med passordet og brukernavnet ditt hvis de er bestemt, " sa Cluley.

Du kan ikke beskytte alle kontoene dine

Hvis du har flere kontoer, må du velge hvilken konto som er den viktigste, og beskytte det, siden Twitter begrenser en telefon for en konto. "Selv om det absolutt er bedre enn ingenting, vil dette sannsynligvis hjelpe en ganske liten prosentandel av Twitters brukerbase, " skrev Integos Lysa Myers på The Mac Security Blog.

Hvis Twitter virkelig ønsker å forhindre brukere i å distribuere skadelig programvare, må "tofaktorautentisering skje oftere, for eksempel hver gang en Twitter-bruker går for å publisere en tweet, " sa Yishay Yovel, visepresident for markedsføring i Trusteer, til SecurityWatch . Malware kan vente og legge ut ondsinnede meldinger etter at brukeren er logget inn, sa han.

Selv med begrensningene, gå foran og aktiver sikkerhetslaget når du får det. Men lær deg selv og alle rundt deg om hvordan du gjenkjenner phishing, velg sterke passord og i utgangspunktet forbli årvåken.

Som Integos Myers sa, Twitter's tofaktorautentisering er bedre enn ingenting. Men det er ikke helt der for mange brukere og organisasjoner, ennå.