ДОКОЛЕ будет длиться эта секьюрная шизофрения? Яндекс почте чёто померещился взлом, потому что я зашёл туда с дряхлого нетбука, с которого год не заходил. И эта хрень стала выносить мне мозг контрольными вопросами и аутентификациями, это на устройстве, где каждая страница еле грузится. Больше всего меня добило окно "придумайте пароль" с долбанутыми требованиями, с которыми всё труднее и труднее придумать пароль, который я хоть как-то сука могу запомнить. Меня чуть инсульт не хватил, пока я продирался через эту шизофрению секьюрности, потому что мне нужен доступ к почте, а вместо этого я трачу мозговые ресурсы на это говно.
Если б у меня был один комп, то было бы пофиг, браузер всё помнит. Но когда надо логиниться с другого устройства или просто переустановил винду, то в лучшем случае придётся на каждый чих восстанавливать пароль через телефон (который защищён примитивным паролем из 4-5 цифр или жестом, и это в лучшем случае), причём каждый раз придётся придумывать пароль, который ещё и не повторяется.
ДОКОЛЕ?! Если я хочу поставить пароль "111" — то может вы пойдёте на три буквы со своей секьюрностью? Да, мне НУЖЕН такой пароль, почему нет такой кнопки?

Здравствуйте, T4r4sB, Вы писали:

TB>Если б у меня был один комп, то было бы пофиг, браузер всё помнит. Но когда надо логиниться с другого устройства или просто переустановил винду, то в лучшем случае придётся на каждый чих восстанавливать пароль через телефон (который защищён примитивным паролем из 4-5 цифр или жестом, и это в лучшем случае), причём каждый раз придётся придумывать пароль, который ещё и не повторяется.

Так если пофиг на безопасность, то по крайней мере firefox и chrome/chromium умеют пароли
синхронизовать между машинами. Нужно будет помнить только один пароль,
а все остальные пароли автоматически подтянуться при синхронизации.

Здравствуйте, Zhendos, Вы писали:

Z>Так если пофиг на безопасность, то по крайней мере firefox и chrome/chromium умеют пароли
Z>синхронизовать между машинами. Нужно будет помнить только один пароль,
Z>а все остальные пароли автоматически подтянуться при синхронизации.

Либо менеджеры паролей.

Здравствуйте, T4r4sB, Вы писали:

TB>ДОКОЛЕ?! Если я хочу поставить пароль "111" — то может вы пойдёте на три буквы со своей секьюрностью? Да, мне НУЖЕН такой пароль, почему нет такой кнопки?

В итоге тебя взломают и будут спамить с твоего аккаунта. Яндексовые серверы начнут банить, админам придётся разбираться, тратить время, чтобы у всех почта ходила. И всё ради тебя, который даже деньги яндексу не платит.

Не будет такой кнопки. Почта это как автомобиль. Ответственная штука.

А для паролей используй KeePass. Ну или хотя бы в блокнотик записывай и через мой pwgen генерируй

Здравствуйте, vsb, Вы писали:


vsb>А для паролей используй KeePass.

Что это? Специальный файл на рабочем столе? А как его на другие компы переносить?
Или это хрень в облаке? Вообще офигенно — мы не можем позволить, чтобы вы доверяли сами себе, поэтому доверьте ваши пароли нам.

TB>И эта хрень стала выносить мне мозг контрольными вопросами и аутентификациями
Ну не могут же они прямым текстом сказать "будем пытать, пока не выдашь телефон".

Здравствуйте, T4r4sB, Вы писали:

vsb>>А для паролей используй KeePass.

TB>Что это? Специальный файл на рабочем столе?

Да.

> А как его на другие компы переносить?

Ну ты же не домохозяйка, как-нибудь справишься, наверное. Флешка, локалка, какие-нибудь сервисы для хранения файлов.

Лично я пароли держу сейчас в гугль-хроме. Если нужно ввести на чужом девайсе — смотрю в телефоне и перепечатываю. А на рабочий компьютер синхронизируется само. Пароль от гугл аккаунта, конечно, помнить нужно. Ну и экспорт паролей делаю периодически и храню на флешке в тумбочке.

TB>Или это хрень в облаке? Вообще офигенно — мы не можем позволить, чтобы вы доверяли сами себе, поэтому доверьте ваши пароли нам.

Обычно облачные сервисы хранят у себя шифрованные пароли, а расшифровывают уже на твоем устройстве твоим паролем. Но, конечно, софт при этом у них свой, поэтому определённое доверие нужно. Но ты действительно думаешь, что гугл будет воровать твои пароли от яндекса? Я думаю, что мои пароли он воровать не будет. А если что-то утечёт, то исключительно в зашифрованном виде.

А KeePass это старая виндовая опенсорс прога, работающая исключительно локально, ей доверять в целом можно.

Здравствуйте, T4r4sB, Вы писали:

TB>Здравствуйте, vsb, Вы писали:


vsb>>А для паролей используй KeePass.

TB>Что это? Специальный файл на рабочем столе? А как его на другие компы переносить?
TB>Или это хрень в облаке? Вообще офигенно — мы не можем позволить, чтобы вы доверяли сами себе, поэтому доверьте ваши пароли нам.

Можешь сам в своем облаке хранить, ограничив доступ VPN-ми

Я для себя VaultWarden fork сделал и бэкап к нему прикрутил

Для тебя попроще будет BitWarden использовать

Для пользователей KeePass, я еще программу импорта из LeePass подкрутил. Позволяет импотртировать из KeePass в организации с коллекциями, что есть аналог фолдеров в KeePass

Для личных в VaultWarden — точно также, фолдеры.

Организация — это общая БД. Наприммер, семейные пароли для банков, госуслуг, налогов и прочего.

Здравствуйте, vsb, Вы писали:

vsb>В итоге тебя взломают и будут спамить с твоего аккаунта

Ты вот сейчас серьёзно вот эту пургу пишешь?! Т.е. тот, кому надо рассылать спам, будет каким-то невероятным образом узнавать мой мыл, затем ещё более невероятным образом подбирать пароль, рискуя быть заблокированным по ИП с пятой же попытки, и всё это только ради того, чтобы прикинуться Васяном?! Сэр, вы явно в полном непонимании, как работает СПАМ система и в категории "опасных людей, желающих взломать твою почту" они стоят где-то после 1000-ного места!

vsb> Яндексовые серверы начнут банить, админам придётся разбираться, тратить время, чтобы у всех почта ходила

Это их работа. Они жопой не пошевелят, пока не пришлют жалобу.

vsb> И всё ради тебя, который даже деньги яндексу не платит.

Ещё одно заблуждение "мальчика ойтишнега". Если ты не платишь деньги, значиит ТОВАР — ТЫ САМ. Прочитать, выучить.

vsb>А для паролей используй KeePass

Ерунда. Кипасс — это только для тепличных условий "я использую только совместимые ОС, я всегда помню мастер-пароль, у меня всегда есть доступ к сети, я доверяю хрен-знает-кому и эта контора всегда на связи 24/7". Для реальной жизни даже фрешка с паролями — и то не всегда удобный вариант, тут можно докатиться вплоть до "листок с паролями".

И я не услышал ни единого довода, ПОЧЕМУ я не имею право использовать пароли, которые я хочу. Головняк админов меня КАК ЮЗЕРА интересут в последнюю очередь.

Здравствуйте, T4r4sB, Вы писали:

TB>ДОКОЛЕ будет длиться эта секьюрная шизофрения?

Пока у руля стоят ленивые ублюдки, эта шиза навсегда. Админу лень мышкой пошевелить, чтобы решить проблемы. Нанимать второго админа — директор боится, что на ламборгини нехватит. Поэтому гемор с админской жопы переваливается на юзера. Как будто "111" легче вскрыть, чем "3427ferk742".

Не переживай из-за этих парашников, причина — банальная лень.

vsb>А для паролей используй KeePass. Ну или хотя бы в блокнотик записывай и через мой pwgen генерируй

Мне кажется, проблема описанная топикстартером несколько шире, чем просто "как хранить сложный пароль".
Пароль был валиден, но яндекс запустил нетривиальную процедуру смены пароля.

	У меня была в чем-то похожая ситуация пару лет назад:
	отвалился основной ISP, нужно зайти в интернет с ноутбука через GPRS, поменять настройки ISP и пополнить счет банковской картой. Ноутбук старый, на нем windows xp. Поставил туда самый свежий web-браузер на gecko, с поддержкой win xp, версия наверное где-то 2015-16 года сборки. Т.е. возраст браузера 4-5 лет на тот момент — сопоставимо со сроками поддержки LTS версий ОС. Так вот оказалось, что примитивные формы ввода данных карты для оплаты совсем не работают, потому что сделаны на JS вместо простого HTML. Перепробовал не один десяток сервисов оплаты, прежде чем нашел тот, который более менее нормально отобразился в браузере и позволил провести оплату. Аналогично с ЛК ISP — непросто было пройти через несколько страниц, ломающихся из-за каких-то навороченных прогресс-баров, только для того, чтобы снять один checkbox.

Полагаю, что ситуация топикстартера в значительной степени связана с абсолютно излишней тяжеловесностью web страниц вообще, и яндекса в частности.
Диалог восстановления пароля должен быть минималистичен, чтобы работал даже на кофеварке
А что, если на нетбуке топикстартера вообще web-браузера нет, а только почтовый клиент?
Для этого случая должна быть возможность позвонить в support по телефону (голосом), по аналогии с банками и пр. Не знаю, есть ли такой сервис у яндекса.

Здравствуйте, m2user, Вы писали:

M>Так вот оказалось, что примитивные формы ввода данных карты для оплаты совсем не работают, потому что сделаны на JS вместо простого HTML.

Дык конечно, потому что эти примитивные формы шлют данные карты практически открытым текстом Такое давно выпилили. Помню, в локалке баловался вайршарком....

Здравствуйте, sambl74, Вы писали:

S>Дык конечно, потому что эти примитивные формы шлют данные карты практически открытым текстом Такое давно выпилили.

Они как тогда слали так и щас шлют, просто теперь все используют https

Здравствуйте, Baiker, Вы писали:

vsb>>В итоге тебя взломают и будут спамить с твоего аккаунта

B>Ты вот сейчас серьёзно вот эту пургу пишешь?! Т.е. тот, кому надо рассылать спам, будет каким-то невероятным образом узнавать мой мыл, затем ещё более невероятным образом подбирать пароль, рискуя быть заблокированным по ИП с пятой же попытки, и всё это только ради того, чтобы прикинуться Васяном?! Сэр, вы явно в полном непонимании, как работает СПАМ система и в категории "опасных людей, желающих взломать твою почту" они стоят где-то после 1000-ного места!

Я прекрасно понимаю, как работает спам. И в том числе он так работает, потому, что яндекс не даёт ставить пароли 123.

vsb>> Яндексовые серверы начнут банить, админам придётся разбираться, тратить время, чтобы у всех почта ходила

B>Это их работа. Они жопой не пошевелят, пока не пришлют жалобу.

За любую работу кто-то платит.

vsb>> И всё ради тебя, который даже деньги яндексу не платит.

B>Ещё одно заблуждение "мальчика ойтишнега". Если ты не платишь деньги, значиит ТОВАР — ТЫ САМ. Прочитать, выучить.

И сколько ты стоишь? Со своими адблоками.

vsb>>А для паролей используй KeePass

B>Ерунда. Кипасс — это только для тепличных условий "я использую только совместимые ОС, я всегда помню мастер-пароль, у меня всегда есть доступ к сети, я доверяю хрен-знает-кому и эта контора всегда на связи 24/7". Для реальной жизни даже фрешка с паролями — и то не всегда удобный вариант, тут можно докатиться вплоть до "листок с паролями".

На каких ОС нет кипасса или аналогов? Как можно забыть мастер-пароль? При чём тут доступ к сети? Какая контора? О чём ты вообще?

Лично у меня был один юз-кейс, когда я не мог пользоваться кипасом. Это когда я работал в режимном учреждении, куда нельзя было проносить ничего электронного, даже флешку, не говоря уже о телефоне. Приходилось перед входом выписывать нужные пароли на бумажку. И жаву редактировать в блокноте и компилировать через javac. Ну то такое.

B>И я не услышал ни единого довода, ПОЧЕМУ я не имею право использовать пароли, которые я хочу. Головняк админов меня КАК ЮЗЕРА интересут в последнюю очередь.

Потому, что безопасники яндекса так решили. Головняк юзеров их интересует в последнюю очередь.

Здравствуйте, m2user, Вы писали:

M>Для этого случая должна быть возможность позвонить в support по телефону (голосом), по аналогии с банками и пр. Не знаю, есть ли такой сервис у яндекса.

Я думаю, что если ты купишь у яндекса платные почтовые услуги, то шансы позвонить голосом появятся. Хотя, конечно, точно не знаю. Я работаю с местным хостером, к нему я голосом звоню и вопросы решаю оперативно, вплоть до связи с админом, если приспичит. Но яндекс — большой, там не факт, что так получится.

Здравствуйте, T4r4sB, Вы писали:

TB>ДОКОЛЕ будет длиться эта секьюрная шизофрения?

NIST еще в 2017 выпустил рекомендации, что к пользовательким паролям должно быть только два требования: минимальная длина и отсутствие в списке известных паролей. Но чукчи же писатели, чукчи не читают свежие бюллетени, а ты придумывай "строчная заглавная цифра и знак препинания".

https://pages.nist.gov/800-63-3/sp800-63b.html#appA

Здравствуйте, vsb, Вы писали:

vsb>Я прекрасно понимаю, как работает спам. И в том числе он так работает, потому, что яндекс не даёт ставить пароли 123.

Если спам так работает, значит его так настроили админы! Нет никакой причины не ограничивать объём и частоту отправляемых писем. Нет никаких причин не иметь отдельных процедур проверки на получение и на отправку писем. Причина совершенно в другом, а спам — это просто отговорка.

Здравствуйте, B0FEE664, Вы писали:

vsb>>Я прекрасно понимаю, как работает спам. И в том числе он так работает, потому, что яндекс не даёт ставить пароли 123.

BFE>Если спам так работает, значит его так настроили админы! Нет никакой причины не ограничивать объём и частоту отправляемых писем.

И каким образом ты предлагаешь ограничивать? Многие пользователи посылают десятки, а то и сотни писем в день совершенно обоснованно. Возьми миллион таких аккаунтов (а без ограничения паролей каждый второй аккаунт будет с таким паролем) и ты можешь отослать сто миллионов писем с доверенного сервера, которые упадут в инбокс. Это же золотая жила.

> Нет никаких причин не иметь отдельных процедур проверки на получение и на отправку писем. Причина совершенно в другом, а спам — это просто отговорка.

И в чём же?

Здравствуйте, flаt, Вы писали:

F>Здравствуйте, Zhendos, Вы писали:

Z>>Так если пофиг на безопасность, то по крайней мере firefox и chrome/chromium умеют пароли
Z>>синхронизовать между машинами. Нужно будет помнить только один пароль,
Z>>а все остальные пароли автоматически подтянуться при синхронизации.

F>Либо менеджеры паролей.

Ага, потом вскоре там данные накроются медным тазом, что в первом, что во втором варианте, и все учётные записи будут утеряны, кроме одной-двух, где восстановление пароля не является таким quest'ом, пройти который не получится за одну жизнь точно.

Здравствуйте, Ilya81, Вы писали:

F>>Либо менеджеры паролей.

I>Ага, потом вскоре там данные накроются медным тазом, что в первом, что во втором варианте, и все учётные записи будут утеряны, кроме одной-двух, где восстановление пароля не является таким quest'ом, пройти который не получится за одну жизнь точно.

Бэкапы все позволяют делать. Твои данные кроме тебя никому не нужны.