Názory k článku Mark Risher (Google): Hesla jsou hrozná, ale pohodlná. Budeme je potřebovat stále méně

Tak to je ten člověk, co mě furt nasí... blokováním přístupu nových zařízení, otravným upozorňováním na podezřelou aktivitu atd. Myslel jsem, že to dělá počítač. A vida, mohu svoji nenávist přiřadit ke konkrétnímu obličeji.

Lepší upozornit než si to nechat vykrást.

Ano, současná ochrana je špatná. Především u google. Třeba tak triviální věc, jako pop3/imap připojení nepodporuje TLS, ale jen SSL o kterém se již léta ví, že je nebezpečné a některé emailové klienty takovou volbu nabízí vlastně už jen proto, aby fungoval gmail. Navíc s nutností nastavit explicitně přístup "less secure" aplikací, tedy jakéhosi zbavení se odpovědnosti je to pikantní.
Oauth snad nemá smysl ani rozebírat. Kdo někdy zkoušel použít, tak ví, že bez api napsaném google se prakticky vzato neobejde, consent screen, pokud se podaří jej vyvolat, se ptá na věci, které programátor nežádal, plno bugů včetně memory leaků, atd. Celá léta nahlášené a neopravené.
Nedávný únik dat z plus je už jen třešnička na dortu.

S tim TLS vs. SSL nemate pravdu. Rozdil neni mezi samotnymi verzemi sifrovaciho protokolu, ale v tom, jestli se pres TLS rovnou navaze spojeni (tomu obvykle klienti rikaji "SSL"), a nebo jestli se nejprve navaze nesifrovane napr. IMAP spojeni, ktere se ihned, jeste pred prenesenim hesla, povysi na sifrovane spojeni (tomu aplikace obvykle rikaji "TLS", technicky spravny nazev by mohlo byt napr. "STARTTLS" podle toho, jak se to technologicky dela).

Rozdil v bezpecnosti mezi temito dvema metodami neni vubec zadny.

Mate samozrejme pravdu v tom, ze googli terminologie "enable less secure applications" je snaha o vendor lock-in a nahaneni do historicky proprietarnich protokolu (ahoj XOAUTH2).

Díky za vysvětlení.

S tím 3D secure je to fakt blbý.
Ale na ty opakované platby jsem byl vždy upozorněn. Většinou šly i "odškrtnout". Kde to tak není?

jo 3D secure popravde cumel jsem jak puk na to jak to funguje, to je asi jako mit do bytu trezorove dvere a hned vedle nich prosklene dvere od balkonu....

Myslím, že je tam rozdiel v možnosti reklamovať platbu, že nebola uskutočnená vlastníkom karty.

3D Secure je výhodné hlavne pre banku. Aj keď u nás chargeback aj tak nie je zďaleka taký jednoduchý ako v USA.

3DSecure opravdu nevznikla kvůli ochraně zákazníků. Ve skutečnosti má chránit banky, které jsou zodpovědné za neautorizované transakce a tak si platby zákazníků ověřují, aby jim nemusely vracet peníze. Ale pak je fakt vtipné, že to ověření nefunguje zdaleka všude...

"banky platby zákazníků ověřují, aby jim nemusely vracet peníze. Ale pak je fakt vtipné, že to ověření nefunguje zdaleka všude..."

V Unicreditu mi tvrdili, že to je volba obchodníka, jestli podporuje 3DSecure.
Což jestli je pravda, je fakt na hlavu.

Protoze vy nevite jak to funguje, a banky propaguji neco, cemu sami propagatori nerozumi (v lepsim pripade) v tom horsim totiz verejne lzou.

3dsecure nezajistuje bezpecnost vasich penez, s tim nema zhola nic spolecneho, zajistuje (respektive zlepsuje) bezpecnost obchodnika. Protoze vy jste opravnen libovolnou platbu kartou stornovat (ano, vim jak to nefunguje v nascich luzich a hajicih). Pokud obchodnik ale vyuzil 3dsecure, ma v ruce pomerne dost silny nastroj jak dolozit, ze platbu realizoval opravneny uzivatel karty, coz jinak dolozit nemuze vubec nijak (kartou lze bez problemu zaplatit i jen se znalosti jejiho cisla).

Osobne jsem se s tim, ze by neco vyzadovalo 3dsecure jeste nikdy nesetkal, a to presto, ze karta kterou pouzivam jej ma aktivni.

Pokud si pamatuji, tamk mBank v nastavení karty měla zaškrtávátko, že vyžaduje 3D secure?

Částečným řešením proti opakovaným platbám bez vyžádání/ověření je virtuální jednorázová karta (drahé) či alespoň nějaká uzamykatelná.

Způsobuje to potíže u některých služeb (třeba ihned.cz se zamčenou kartou prostě neobjednáte, musíte převodem a nebo nechat kartu odemčenou déle, než byste chtěl). Opruz na n-tou.

Zadavani hesla nebo cehokoliv jineho jednou za 2 roky je udealni zpusob jak prijit o pristup k uctu - alespon pro bezne uzivatele

To si vždycky takhle přečtu o nějaké novince od Google, vlezu na jejich stránky, a ejhle!

We aren’t in your country yet.

A vlastně to ani nemusí být novinka. V podstatě cokoliv od Google - Pixely, Chromebooky, Chromecasty, Titan key, opravdu cokoliv. Takže f-word-off a vraťte se, až náš trh budete brát vážně :(

Myslíš ten trh, co dělá 1 % jejich zisku?
Jako akcionář Alphabetu říkám ne.

a ja vam z celeho srdce dekuji

Přihlašovací údaje sestávají z jména a hesla. A byl to právě Google, kdo nás svým rozhodnutím připravil o obrovskou část naší bezpečnosti, když jméno nahradil emailovou adresou a ostatní ho následovali. Důsledky jsou fatální a jak ukazuje rozhovor, místo přiznání chyby v Googlu raději vymýšlejí blbosti.

Ostatně v Googlu už dávno levá neví co dělá pravá.. Chodily maily, abych si z iPadu odinstaloval appku pro Gmail, že ji nepoužívám. Proč taky, když nějakej chytrák zakázal zoomování zprávy a já na ta malá písmenka bez brýlí nevidím. Tak jsem ji odinstaloval, abych měl klid. A začaly chodit zprávy, abych si ji nainstaloval.. :-D