Mam kanał YouTube, który ma inne konto Google niż moje normalne. Mam przy nim bezpieczne hasło i skonfigurowany alternatywny adres e-mail, ale pomyślałem, że zobaczę, jak bezpieczna jest funkcja odzyskiwania hasła i czy mogę uzyskać dostęp praktycznie bez żadnych informacji.

Zajęło mi to 10 minut i miałem pełny dostęp. Wysłali link do resetowania hasła na podany przeze mnie adres e-mail, który nigdy nie został w żaden sposób powiązany z moim kontem. Nigdy też nie wysłali mi e-maila na rzeczywisty adres powiązany z kontem, aby poinformować mnie, że hasło zostało zmienione przez kogoś innego, więc jeśli ktoś przejmie kontrolę nad kontem, nie zostałbym o tym powiadomiony !

To wszystko, co musiałem zrobić, aby uzyskać dostęp:

• Wpisz nazwę użytkownika YouTube.
• Kliknij Zweryfikuj tożsamość .

• Wpisz adres e-mail, na który później wyślą link resetowania, jeśli podobają mi się moje odpowiedzi.
• Odpowiedz na około 20 pytań.

Pierwszy był następujący:

Wprowadziłem całkowicie losowe słowo.

Większość pozostałych pytań jest opcjonalna i można je naprawdę łatwo zrozumieć, przeglądając informacje na kanale YouTube. Na przykład,

• Jaką datę (z grubsza) dołączyłeś do Google?
• Wybierz z tej listy produkty Google, których używasz i kiedy zacząłeś ich używać.

Na koniec napisano, że sprawdzenie odpowiedzi może zająć dzień, ale wiadomość e-mail z linkiem do resetowania nadeszła w ciągu kilku minut.

Moim zdaniem jest to przerażające i nie rozumiem, jak mogliby zrobić z tego bałagan. Nie używam uwierzytelniania dwuskładnikowego, ale mam nadzieję, że to coś zmieni.

Gdy zmienisz hasło, wymuszają one jego określony standard, a nawet blokują korzystanie z poprzednich haseł. To wszystko jest dobre, ale całkowicie bezcelowe, jeśli ktoś może tak łatwo ominąć.

Na temat „ostatniego hasła, które pamiętasz”

Czy to oznacza, że ​​Google przechowuje hasła do konta w postaci zwykłego tekstu? Gdyby tworzyli skróty, nie rozumieją, w jaki sposób przydatna byłaby dla nich odpowiedź na to pytanie, ponieważ nie mieliby pojęcia, jak podobne było to wpisane w bazie danych.

Oto moje aktualne pytanie!

Czy istnieje sposób na całkowite wyłączenie całego systemu odzyskiwania hasła? A może istnieje sposób na wyłączenie bitu „Zweryfikuj swoją tożsamość”, który moim zdaniem nie powinien istnieć w ogóle? Powinna to być przynajmniej opcja opt-in.

Uważam również, że powinny one umożliwiać wyłączenie opcji „Odbierz przez: zautomatyzowane połączenie telefoniczne”, ponieważ każdy może odebrać telefon i otrzymać kod potwierdzający naprawdę łatwo. Jeśli ustawiony numer to Twój telefon komórkowy, prawdopodobnie będziesz mieć ekran blokady, aby przypadkowi ludzie nie mogli odczytać twoich wiadomości, ale każdy może odebrać połączenie telefoniczne, nawet jeśli jest zablokowane. Wiem, że niektóre telefony wyświetlają podgląd nowych tekstów, więc musisz być ostrożny (ale to nie jest problem Google).

Zdaję sobie również sprawę, że mogli skorzystać z faktu, że żądania pochodziły ze zwykłego adresu IP, ale nadal nie sądzę, że jest to wystarczająco blisko informacji, aby odblokować konto dla kogoś.

Google prawdopodobnie używa informacji, o które nie poprosił Cię w trakcie resetowania hasła, aby zweryfikować własność konta. W szczególności tokeny przechowywane na komputerze i adres IP.

Miałem podobne do ciebie doświadczenie, które początkowo mnie zaalarmowało i przetestowałem powyższą teorię, używając przeglądarki Tor do wykonania resetu. Ta przeglądarka przekierowuje sesję internetową przez własne serwery Tora w Europie, dzięki czemu twoja sesja jest bardziej anonimowa.

Rezultatem był znacznie bardziej agresywny zestaw pytań. Gdy po raz pierwszy spróbowałem zresetować hasło, po prostu zdmuchnąłem je i uderzyłem w ceglany mur. Spróbowałem drugi raz, a kiedy odpowiedziałem nieco poprawnie na pytania, otrzymałem e-mail z linkiem do strony resetowania. Gdy kliknąłem ten link, ponieważ skonfigurowałem weryfikację dwuetapową, otrzymałem żądanie podania numeru podanego przez aplikację Google Authenticator na moim telefonie. Podałem ten numer i dopiero wtedy mogłem zresetować hasło.

To doświadczenie daje mi więcej zaufania do procesu. Google, choć zawodny, nie jest wielkim korporacyjnym kojcem pełnym idiotów. Bezpieczeństwo haseł jest kluczową cechą firmy Google i jestem pewien, że długo i intensywnie zastanawiali się, jak najlepiej pozwolić legalnym użytkownikom, którzy są wystarczająco schleppy, aby stracili hasła, aby je odzyskać, nie pozwalając złodziejom na ucieczkę z całym Google konta

Dziwne jest to, że moje konto nie wyświetla opcji weryfikacji tożsamości podczas gdy twoje. Ta opcja różni się w zależności od kraju lub innego elementu.

Edycja: na forum Google pojawiła się jedna podobna skarga , ale nie ma rozwiązania oprócz weryfikacji dwuetapowej.

Nie ma możliwości wyłączenia odzyskiwania hasła Google. Przejrzałem ustawienia. Po prostu nie ma mowy. Ponadto, na podstawie rzetelnych badań, „Zweryfikuj swoją tożsamość” również nie może zostać wyłączone.

Wygląda na to, że masz osobne konto YouTube z oddzielną nazwą użytkownika i hasłem. Pamiętaj, że procedura odzyskiwania hasła różni się tylko w przypadku YT niż kont Google. Wydaje się być mniej bezpieczny.

Masz kilka opcji:

Połącz YouTube z kontem Google

Jeśli masz osobne konto YouTube, możesz obejść ten problem, łącząc je ze swoim kontem Google, jak opisano tutaj: http://support.google.com/youtube/bin/answer.py?hl=pl&hlrm=de&answer = 69964

Następnie uruchamia się mechanizm odzyskiwania hasła Google

Przenieś YouTube do Google Apps

Korzystanie z Google Apps (nawet darmowej wersji) umożliwiłoby utworzenie użytkownika bez uprawnień administratora, który w żadnym wypadku nie może zresetować własnego hasła. Jest podobny do pracy z kontem użytkownika w systemie Windows dla celów bezpieczeństwa.

Tutaj pokazano, jak przenieść konto YouTube na konto Google Apps: http://support.google.com/youtube/bin/answer.py?hl=pl&answer=1267449

Edycja: być może konto Google Apps nie zawiera opcji odzyskiwania „Zweryfikuj swoją tożsamość”. Nie mogę tego zweryfikować i nie znalazłem dowodów na poparcie. Ale warto spróbować, ponieważ wydaje się, że nie ma innej opcji.

Włącz weryfikację dwuetapową

Włączenie weryfikacji dwuetapowej poprawi Twoje bezpieczeństwo, ponieważ samo hasło nie wystarczy do zhakowania konta. Oczywiście będzie to działać tylko po połączeniu konta YouTube z kontem Google.