Hacker News Digest

07 августа 2025 г. в 02:19 • blog.danielh.cc • ⭐ 784 • 💬 633

OriginalHN

#security#authentication#otp#microsoft#minecraft#phishing#totp#passkeys

Emailing a one-time code is worse than passwords

Слишком многие сервисы используют такой вход:

  • Введите email или телефон
  • Сайт отправит 6‑значный код
  • Введите код для входа

Пожалуйста, прекратите.

Почему это плохо для безопасности:

  • Злоумышленник может отправить ваш email на легитимный сервис и заставить вас ввести присланный код в фишинговой форме. Вы не можете быть уверены, где именно нужно вводить код. Менеджеры паролей тут не помогают.
  • Этот метод реально эксплуатируется: вход Microsoft для аккаунтов Minecraft использует такие коды, и уже множество аккаунтов было украдено (есть подтверждения на Reddit и YouTube, а также в документации Microsoft).