Nedávno mi přišlo z jednoho webu, kde mám účet, oznámení, že si do nějakýho datumu musim nastavit 2FA (two-factor authentication), protože jinak se tam pak nedostanu. Výmysl 2FA mě sral odjakživa, ale poslední dobou jsem došel k závěru, že tahle kravina nejen že neni opravdu užitečná, ale má jeden evidentní problém, stejnej jako skoro všechno ostatní dneska – zvyšuje vaši sledovatelnost na Internetu a snižuje vaši anonymitu.

2FA je nám prodáváno jako “zlepšení bezpečnosti” tim, že místo používání jen hesla k přihlášení se používáte nějakej druhej faktor, kterej prověří, jestli jste opravdu vy. Ačkoliv to na první pohled vypadá logicky a zdánlivě rozumně, problémy s touhle tezí jsou dva.

1. Dobrý heslo je dostatečný zabezpečení a v drtivý většině případů neni třeba ho “vylepšovat”. Pokud máte heslo “12345”, tak to samozřejmě bezpečný neni, ale problém neni v používání hesel, ale v tom, že je uživatel idiot a neumí si zvolit dobrý heslo. Pokud máte heslo 0kK7Cwtjlx:JfDmux.xsH/Q9mlM?9g, tak vážně nehrozí, že ho někdo uhodne, nebo si ho zapamatuje, když vás uvidí ho zadávat, nebo i že ho někdo zjistí skrz “brute force attack” (zkoušením všech možnejch kombinací znaků), i když ukradne hashe z databáze hesel.

Osobně používám buď takovýhle hesla, protože je používám doma ze svýho počítače a nepotřebuju si je “pamatovat”, nebo – když si ho z nějakýho důvodu pamatovat potřebuju – hesla, který se skládaji převážne ze slov, ale jsou dlouhý, tj. aspoň 25-30 znaků. Například heslo Vláda_je_banda_zkurvenejch_DEMENTŮ!! je dostatečně bezpečný a přitom vůbec neni těžký na zapamatování. Kromě toho na tohle existujou “password managers”, neboli programy, který vám pomáhaji s organizací a pamatováním hesel. O heslech jsem psal víc tady (ke konci).

2. Hlavním problémem 2FA (a podle mě s velkou pravděpodobností jeho pointou už od začátku) je, že z vás tahá víc osobních informací, aby vás všichni mohli víc a snadnějc špehovat.

Primární metodou pro 2FA je používání vašeho telefonu tak, že po zadání hesla vám pošlou na telefon ověřovací kód, kterej pak zadáte na stránkách. Neboli je to super způsob, jak z vás nějaká zkurvená psychopatická korporace jako Goolag dostane vaše telefoní číslo, který jinak vůbec na nic nepotřebuje, čimž vás jednak totálně deanonymizuje a jednak to jí a další korporacím, kterejm vaše data prodá (zatimco veřejně tvrdí, že to nedělá), umožňuje vás efektivnějc sledovat, ukazovat vám cílený reklamy, a všelijak vás otravovat. Kdo si myslí, že poskytnout Goolagu nebo Fujsbuku vlastní telefoní číslo “zlepšuje bezpečnost” čehokoliv, je blázen.

Už jen to, že po vás třeba mailový servery k obnovení zapomenutýho hesla chtěji váš jinej email, je na pováženou. Anonymita funguje tak, že máte víc emailů, který používáte na různý věci a nemícháte to mezi sebou. Jakmile provozovatelé nějakýho webu vědí (a vždycky je nutný počítat s tim, že kdokoliv, komu tu informaci dáte, ji může předat dál, a že když je to Goolag nebo Fujsbuk, tak je to na 100% jistý), že email A a email B patří jednomu člověku, můžou vás zase sledovat o něco líp. Ty maily bych ještě bral, protože si jich můžete založit prakticky neomezený množství, zadarmo a anonymně, ale telefonní číslo je úplně něco jinýho.

Do toho samozřejmě můžu z vlastní zkušenosti přidat, že když ten telefon nemám, tak se ze všeho stane takovej voser, že je prakticky nemožný se přes všechny ty polofunkční “bezpečnostní” mechanismy dostat, a kolikrát je nejjednodušší se na celou tu službu vykašlat a jít někam jinam – což je přesně to, co jsem udělal v tom případě, kterej jsem zmínil hned na začátku. Chvíli jsem zkoušel dostat se přes nějakej formulář s QR kódem, ale jelikož to bylo nefunkční a jediná další možnost byl telefon, vykašlal jsem se na celej ten účet, kterej nijak nutně nepotřebuju.

Bohužel poslední dobou vás všude možně k používání 2FA přímo nebo nepřímo nutí. Přímo tak, že prostě řeknou, že od novýho roku jejich služby můžete používat jen s 2FA, což prakticky znamená jen, když jim dáte svoje telefonní číslo. Nepřímo k tomu nutí například mailový servery, který vám zablokujou účet pokaždý, když se přihlašujete z IP adresy v jinym státě než obvykle. Neboli když používáte Tor, VPN, nebo nějakou jinou proxy, tak vám zablokujou účet třeba pokaždý, když se přihlašujete. Pak musíte účet reaktivovat nějakou metodou, která bejvá tak krkolomná, že to nikoho nebaví. A oni vám řeknou, že jestli se tomu chcete vyhnout, máte si zařídit 2FA, neboli navalit jim svůj telefon. Alternativně můžete nepoužívat proxy připojení, ale tim už zase okamžitě ztrácíte anonymitu, takže je to všechno z bláta do louže nebo do nějakejch ještě větších sraček.

Dlaším apektem, kterýho jsem si všim, je, že aby vám všechny tyhle “zabezpečovací” (tj. soukromí kradoucí) sračky fungovaly, musíte mít tu nejnovější verzi prohlížeče. Proč? Protože starší verze neumožňujou dostatečnou míru špehování. Takže prostě všechno tohle svinstvo vede systematicky k tomu, abyste neměli žádný soukromí, žádnou anonymitu, mohli vás sledovat všichni všude a vždycky, a pokud možno jste neměli jak se z toho vymanit.

Samozřejmě většina lidí se tomuhle směje a všechny svoje informace poskytuje dobrovolně, protože je to pohodlný a protože si myslí, že “nemaji co skrejvat” a naše obavy se jich nijak natýkaji. Nechápou, o čem mluvil Martin Niemöller:

Nejdřív přišli pro komunisty, a já jsem se neozval, protože jsem nebyl komunista.
Pak přišli pro Židy, a já jsem se neozval, protože jsem nebyl Žid.
Pak přišli pro odboráře, a já jsem se neozval, protože jsem nebyl odborář.
Pak přišli pro katolíky, a já jsem se neozval, protože jsem byl protestant.
Pak přišli pro mě… a tehdy už nezbýval nikdo, kdo by se mohl ozvat.

Komu to připadá zastaralý a irelevantní, může si to pozměnit: Nejdřív přišli pro neočkovaný, pak pro “dezinformátory”, pak pro “dezoláty”, pak pro ty, co nemaji mobilní telefon, pak pro voliče SPD, pak pro lidi, co umí rusky, pak pro lidi, co jsou zbytečně vzdělaní… každopádně dřív nebo pozdějc na vás taky dojde, ať jste kdo jste. Tak to končí v každym systému, kterej se bojí vlastních lidí, sleduje je na každym kroku, chce o nich všechno vědět a neustále jim něco povinně nařizuje nebo zakazuje. Jen totální nepoučitelnej dement věří, že to ten systém dělá “pro dobro lidí”.

Můžu jen dodat, že při krátkym hledání slov “2FA” a “problems” jsem našel hromadu mainstreamovejch článků, který rozebíraji všechny možný problémy s 2FA a jak to zdaleka neni dokonalý a neřeší to problémy, který to mělo vyřešit. Takže i mainstream v podstatě přiznává, že z hlediska bezpečnosti se tim, že z vás všech vytahali vaše telefonní čísla, nic moc nevyřešilo.

Mně osobně neni moc jasný, že když někomu nějakej web řekne, “Aby vaše data byly bezpečnější, dejte nám svoje telefonní číslo”, tak si ten člověk řekne, “OK, to dává smysl! Můžu vám dát ještě číslo občanky a kopii rodnýho listu?”. Ale tahle zpitomělá populace už asi fakt nemá žádnou soudnost.

https://antivirus.22web.org/myslenky.htm