Этим летом пользователи Instagram массово жаловались на взломы своих аккаунтов, и многим жертвам разрешили использовать двухфакторную аутентификацию (2FA) через SMS-сообщения.
Вскоре стало очевидно, что проблема заключается в небезопасности такого метода 2FA в целом.Например, в июле 2018 года журналисты подразделения Mother Board опубликовали результаты расследования, доказывающего, что злоумышленники часто «крали» SIM-карты пользователей, что позволяло им похищать аккаунты и личности других людей десятками и даже сотнями.
Стоит отметить, что в 2016 году Национальный институт стандартов и технологий (NIST) представил интересный документ, согласно которому использование SMS-сообщений для двухфакторной аутентификации «неприемлемо» и «небезопасно». Специалисты по безопасности говорят об этом давно, ведь здесь может существовать множество вариантов атак. Например, злоумышленники могут эксплуатировать уязвимости SS7 и перехватывать сообщения, осуществлять обмен SIM-картами, то есть повторно выпускать SIM-карту жертвы, а также SMS-сообщения могут перехватывать даже вредоносные программы, проникшие на устройство.
Разработчики Instagram прислушались к мнению экспертов и жалобам жертв. Они объявили, что улучшают двухфакторную аутентификацию своего сервиса, добавляя поддержку сторонних приложений-аутентификаторов (Google Authenticator, DUO Mobile), которая будет запущена на этой неделе. Пользователи смогут выбрать решение для внедрения 2FA в Google Play или App Store, активировав соответствующую опцию в настройках аккаунта.
Кроме того, для борьбы с ботами, фальшивыми звёздными аккаунтами и злоупотреблениями разработчики внедрили новую функцию: «О этом аккаунте». С её помощью пользователи могут просмотреть историю аккаунта другого человека и узнать дату его создания. страну, к которой относится аккаунт; информацию об изменении имени пользователя; поиск профилей, у которых пересекаются базы подписчиков.
Кроме того, пользователи теперь могут подать заявку на верификацию своих аккаунтов, предоставив операторам Instagram копии документов и указав своё настоящее имя. Такие аккаунты получат соответствующую галочку.
