यैंडेक्स से विवादास्पद नवाचार - एक पत्र के माध्यम से अपने खाते में प्रवेश करें

एक बार फिर एक ब्राउज़र के माध्यम से Yandex खाते में प्रवेश करने के बाद, मैंने लॉगिन बटन के नीचे एक नवाचार देखा - आपके खाते में लॉग इन करने की क्षमता बस उस खाते में लिंक पर क्लिक करके जिसे इस खाते में मेल भेजा जाएगा।



जाहिर है, यह फ़ंक्शन ए / बी परीक्षण में है, क्योंकि बटन हमेशा प्रदर्शित नहीं होता है।

फ़ंक्शन के विवरण के अनुसार, बटन पर क्लिक करने के बाद, आपको एक पत्र प्राप्त होगा जिसमें आपको लॉगिन फ़ॉर्म पर प्रदर्शित चित्रों की तुलना करने के लिए कहा जाएगा, और फिर लॉगिन बटन दबाकर प्रवेश की पुष्टि करें। प्रवेश पत्र के लिए पत्र से कोई पासवर्ड या कोड प्रविष्टि नहीं।

पल के विवरण में, अंतिम आइटम है:

क्या मैं ईमेल के माध्यम से साइन-इन को अक्षम कर सकता हूं?
ईमेल के माध्यम से साइन-इन को अक्षम करना अभी तक संभव नहीं है।

एकमात्र विकल्प जहां एक पत्र के माध्यम से प्रवेश करना असंभव है, 2FA का उपयोग करना है, जो केवल Yandex.Key एप्लिकेशन के साथ काम करता है और पूरी तरह से पासवर्ड प्रविष्टि को बाहर करता है।

एक दिलचस्प तथ्य: यांडेक्स (2015) से 2FA की घोषणा के साथ एक पोस्ट में, 2FA के लिए उनके दृष्टिकोण की व्याख्या करने वाला पहला बिंदु था:

शुरू करने के लिए, औसत उपयोगकर्ता के कंप्यूटर को हमेशा एक सुरक्षा मॉडल नहीं कहा जा सकता है: यहां आप विंडोज अपडेट बंद कर सकते हैं, और आधुनिक हस्ताक्षर के बिना एंटीवायरस की पायरेटेड कॉपी, और संदिग्ध मूल के सॉफ्टवेयर this यह सब सुरक्षा के स्तर को नहीं बढ़ाता है। हमारे अनुमान में, उपयोगकर्ता के कंप्यूटर से छेड़छाड़ करना "अपहरण" खातों का सबसे बड़ा तरीका है

यह राय साझा करते हुए कि स्मार्टफोन के संबंध में पीसी कम सुरक्षित हैं, मैंने 2FA के बिना खातों के लिए ईमेल साइन-इन को अक्षम करने की संभावना के सवाल के साथ यांडेक्स समर्थन की ओर रुख किया - क्योंकि, शायद, ज्यादातर लोग कुकीज़ में व्यक्तिगत पीसी पर प्राधिकरण रखते हैं।

एक नई प्राधिकरण पद्धति की बात करें, तो आप वायरस के विकल्प, पत्र भेजने की संभावना आदि पर भी विचार नहीं कर सकते। - माउस के लिए केवल आधे मिनट की पहुंच और खुले मेल के साथ एक अनलॉक पीसी की निगरानी तीन क्लिक करने के लिए पर्याप्त है (पत्र पर क्लिक करें, पत्र में लिंक पर और पुष्टि बटन पर) खाता दर्ज करने के लिए। एक ट्रेस के बिना एक संदेश को हटाने के लिए तीन या चार और क्लिक की आवश्यकता होती है, फिर आप केवल सुरक्षा लॉग द्वारा प्राधिकरण के बारे में पता लगा सकते हैं - आप वहां कितनी बार देखते हैं?

उन्होंने मुझे इस तरह जवाब दिया:

पत्र के माध्यम से लॉगिंग पूरी तरह से सुरक्षित है, और आपके द्वारा अनलॉक किए गए पीसी के साथ वर्णित मामले में, इस पर खोले गए खाते तक पहुंच आसान हो सकती है - उदाहरण के लिए, ब्राउज़र में संग्रहीत पासवर्ड को देखकर।

फ़ंक्शन को अक्षम करने की संभावना के बारे में सवाल का जवाब देना - "हमने आपकी इच्छा दर्ज की है, हम इसके बारे में सोचेंगे।"

प्राधिकरण को सरल बनाने के लिए असंबद्ध नवाचारों से उन उपयोगकर्ताओं के लिए बहुत अप्रिय आश्चर्य हो सकता है जो एक चाल की उम्मीद नहीं करते हैं। या शायद यह केवल मुझे सुरक्षा में गिरावट के लिए लगता है?