Ответ на пост «Max и беспредел»5
ЕСТЬ РЕШЕНИЕ
⚡️В Минцифры подтвердили, что отказались от подтверждения входа на «Госуслуги» по СМС:
Принято решение постепенно отказываться от подтверждения входа на «Госуслуги» через СМС из-за растущих случаев мошенничества. Возможность получить код доступа к «Госуслугам» через СМС будет у пользователей десктопной версии портала.
Тем временем появился простой и надёжный способ избавиться от Max для «Госуслуг» на любом устройстве.
Нужно всего лишь в настройках «Госуслуг» вместо подтверждения входа по СМС включить вход по одноразовому коду — тогда коды будут приходить не в СМС, а в отдельное приложение, например Google Authenticator.
В таком случае подтвердить вход через Max даже не предложат.
Для ЛЛ поработаю капитаном очевидностью.
Как работает TOTP, и почему ему не нужен интернет:
Приложение - любое - мобильное, десктопное, даже плагин в браузере - генерирует пароль по единому алгоритму на основе двух компонентов: 1. специального кода (который в данном случае дают госуслуги, и который называется seed), и 2. текущей временной метки, взятой с шагом 30 секунд.
Таким образом, код, сгенерированный в двух разных местах на основании одинакового seed и текущего времени - будет одинаковым, и для этого не нужен интернет (Это при условии, что время на вашем устройстве, компьютере и т.п. не расходится с реальным больше чем на 30 секунд).
Т.Е. - код из вашей системы будет таким же, как и код, который в тоже самое время сгенерируют госуслуги.
===
НО - становится очень важным не проебать этот самый seed, потому что если что-то сбросится и seed будет потерян, вход на госуслуги для его восстановления станет настоящим геморроем. Поэтому, код для TOTP надо куда-нибудь записать или сохранить дополнительно. (Google Authenticator синхронизирует код, введенный на одном из устройств - с другими).
===
НО - Общий алгоритм и seed, который тоже можно узнать - на первый взгляд не самая надежная система с позиции безопасности. Стоит помнить, что этот код не заменяет пароль, и работает дополнительным (вторым) фактором ко входу по паролю, вместо СМС.
Если где ошибся, поправьте.