У мене є канал YouTube, який знаходиться під іншим обліковим записом Google від мого звичайного. У мене є захищений пароль і встановлена ​​альтернативна адреса електронної пошти, але я подумав, наскільки надійним є відновлення пароля та чи зможу я отримати доступ майже з будь-якою інформацією.

На це пішло 10 хвилин, і я мав повний доступ. Вони надіслали посилання для скидання пароля на адресу електронної пошти, яку я ввів, і жодного разу не була пов'язана з моїм обліковим записом. Вони також ніколи не надсилали мені електронну пошту за фактичною адресою, пов’язаною з обліковим записом, щоб повідомити мені, що пароль був змінений кимось іншим, тому якби хтось інший отримав контроль над обліковим записом, я навіть не отримав би повідомлення про нього !

Це все, що мені потрібно було зробити, щоб отримати доступ:

• Введіть ім’я користувача YouTube.
• Натисніть Підтвердити особу .

• Введіть адресу електронної пошти, на яку вони пізніше надішлють посилання для скидання, якщо мені сподобаються мої відповіді.
• Дайте відповідь на 20 запитань.

Першим було таке:

Я ввів цілком випадкове слово.

Більшість питань не є обов'язковими, і їх можна легко зрозуміти, переглянувши інформацію на каналі YouTube. Наприклад,

• Яка дата (приблизно) ви приєдналися до Google?
• Виберіть із цього списку продукти, які ви використовуєте Google, і коли ви почали їх використовувати.

Наприкінці було сказано, що хтось може переглянути відповіді, але повідомлення електронної пошти із посиланням для скидання надійшло протягом наступних кількох хвилин.

На мою думку, це жахливо, і я не розумію, як вони могли зробити такий безлад. Я не використовую двофакторну аутентифікацію, але сподіваюся, що це має певну зміну.

Коли ви змінюєте свій пароль, вони змушують його бути певним стандартом, і вони навіть блокують вас від використання попередніх паролів. Це все добре, але абсолютно безглуздо, якщо його ніхто так легко може обійти.

За темою "останнього пароля, який ви пам'ятаєте"

Чи означає це, що Google зберігає паролі облікового запису в чистому тексті? Якби вони створювали хеші, тоді не розумійте, наскільки відповідь на це питання їм не принесе користі, оскільки вони б не мали уявлення, наскільки схожий на введений у базі даних.

Ось моє актуальне питання!

Чи існує спосіб взагалі відключити всю систему відновлення пароля? Або є спосіб просто відключити біт "Підтвердити свою особу", який, на мою думку, навіть не повинен існувати в першу чергу? Це має бути, принаймні, функцією для входу.

Я також думаю, що вони повинні дозволити вам відключити опцію "Отримати через: автоматизований телефонний дзвінок", оскільки кожен може відповісти на телефон і отримати код підтвердження дуже легко. Якщо номер, який ви встановили, - ваш мобільний, напевно, у вас буде заблокований екран, тому випадкові люди не можуть читати ваші повідомлення, але кожен може відповісти на телефонний дзвінок, навіть якщо він заблокований. Я знаю, що на деяких телефонах відображається попередній перегляд нових текстів, тому ви повинні також бути обережними (але це не проблема Google).

Я також розумію, що вони, можливо, використовували той факт, що запити надходили зі звичайної IP-адреси, але я все ще не думаю, що це десь поблизу достатньо інформації, щоб розблокувати акаунт для когось.

Google, ймовірно, використовує інформацію, яку вона спеціально не вимагала від вас під час процедури скидання пароля, щоб підтвердити право власності на обліковий запис. Зокрема, маркери, що зберігаються на вашому комп’ютері, та ваша IP-адреса.

Я мав подібний досвід до вашого, який спочатку мене насторожив, і випробував вищезгадану теорію, використовуючи браузер Tor для виконання скидання. Цей веб-переглядач перенаправляє веб-сеанс через власні сервери в Європі, роблячи сеанс більш анонімним.

Результатом став набагато агресивніший набір питань. Перший раз, коли я спробував скинути пароль, я просто підірвав їх і вдарив про цегляну стіну. Я спробував другий раз, і як тільки я відповів на запитання дещо правильно, мені відкрили посилання на електронну пошту на сторінку скидання. Коли я натиснув на це посилання, оскільки у мене встановлено двоетапну перевірку, мені подали запит на номер, наданий додатком Google Authenticator на моєму телефоні. Я вказав цей номер, і лише тоді мені дозволили скинути пароль.

Цей досвід дає мені більше впевненості в цьому процесі. Google, маючи помилки, не є величезним корпоративним майданчиком, повним ідіотів. Безпека пароля є найважливішою особливістю бізнесу Google, і я впевнений, що вони довго і наполегливо думали над тим, як найкраще дозволити законним користувачам, які є досить скупими, втратити паролі, щоб отримати їх назад, не дозволяючи злодіям бігти з усіма Google рахунки.

Дивно, що мій обліковий запис не відображає варіант підтвердження вашої особи, а ваш. Здається, ця опція залежить від країни чи іншого предмета.

Редагувати: На форумі Google була одна аналогічна скарга , хоча жодного рішення, крім двоетапної перевірки, немає.

Не можна вимкнути відновлення пароля Google. Я пережив налаштування. Просто немає способу. І, виходячи з неабиякої кількості досліджень, "Перевірити свою особу" також не можна відключити.

Схоже, у вас є окремий обліковий запис YouTube з окремим іменем користувача та паролем. Зауважте, що процедура відновлення пароля відрізняється лише від YT порівняно з обліковими записами Google. Це здається менш безпечним.

У вас є кілька варіантів:

Пов’яжіть YouTube зі своїм обліковим записом Google

Якщо у вас є окремий обліковий запис YouTube, ви зможете обійти цю проблему, пов’язавши її зі своїм обліковим записом Google, як описано тут: http://support.google.com/youtube/bin/answer.py?hl=uk&hlrm=de&answer = 69964

Тоді запускається механізм відновлення пароля Google

Перемістіть YouTube на Google Apps

Використання Google Apps (навіть безкоштовна версія) дозволить вам створити користувача без прав адміністратора, який ні за яких умов не може скинути свій власний пароль. Це схоже на роботу з обліковим записом користувача під Windows в цілях безпеки.

Тут показано, як перенести свій обліковий запис YouTube у акаунт Google Apps: http://support.google.com/youtube/bin/answer.py?hl=uk&answer=1267449

Редагувати. Можливо, для облікового запису Google Apps не буде опції відновлення "Підтвердити свою особу". Я не можу це підтвердити, і я не знайшов підтверджень. Але варто спробувати, оскільки іншого варіанту, здається, немає.

Увімкнути двоетапну перевірку

Увімкнення двоетапної перевірки покращить вашу безпеку, оскільки лише одного пароля буде недостатньо для злому вашого облікового запису. Очевидно, це працюватиме лише після того, як ви зв’яжете ваш обліковий запис YouTube із обліковим записом Google.