Witajcie,

Idąc z duchem czasu i niestety coraz większych zagrożeń związanych z korzystaniem z sieci dodaliśmy możliwość korzystania z dwuskładnikowego uwierzytelniania. Polega to na tym, że podczas logowania oprócz emaila i hasła należy podać również kod wygenerowany w aplikacji Google Authenticator. Aplikację na telefon należy pobrać ze strony Google Play lub Apple Store.

Instrukcja włączenia jest dostepną w edycji profilu ("Ustawienia"). Jeżeli ktoś pozna Wasze dane gdziekolwiek indziej to nie będzie mógł się dostać na Wasze konto w serwisie sadistic.pl bez tego kodu z aplikacji mobilnej. Używanie tego jest dobrowolne i domyślnie wyłączone. To dodatkowe zabezpieczenie może być dla wielu osób bardzo uciążliwe, mimo to oczywiście zalecamy włączanie zabezpieczeń typu Two-Factor Authentication gdziekowiek jest to dostępne.

Dostajemy od użytkowników kilka razy do roku zgłoszenia o włamach, najczęściej pokazywane w postaci komunikatu z przeglądarki Google Chrome, o tym, że podana kombinacja email-hasło występuje w kompilacjach danych wykradzionych z różnych stron. Nie oznacza to automatycznie, że hasło wyciekło ze strony, na którą próbujecie się logować, mogło wyciec już wiele lat wcześniej. Zwłaszcza że większość użytkowników używa wszędzie tego samego hasła.

To czy hasło do Waszego maila mogło wyciec, możecie sprawdzić wpisując go na stronie https://haveibeenpwned.com/. Jeżeli Wasze konto pocztowe jest relatywnie stare, rejestrowaliście się w przeszłości na różne strony i fora, które trzymały hashe haseł (haseł jako otwarty tekst, oprócz jakichś patologii, strony internetowe nie przechowują) np. w czystym formacie MD5 (wszystkie fora phpBB by Przemo) to możecie śmiało założyć że Wasze dane już dawno wyciekły. Nie oznacza to jednak, że nowsze konta są bezpieczniejsze, mimo, że prawdopodobnie hashe haseł trzymane w bazach danych są w tej chwili znacznie mocniejsze niż np. 10 lat temu. Hasła można przechwycić w momencie ich wpisywania, zarówno na urzadzeniu użytkownika (np. keyloggery) jak i na stronie (inwazyjne skrypty javascript lub po prostu włamanie na serwer i odczytywanie bezpośrednio w aplikacji).

Jesli chodzi o nasz serwis, to jak wielu pamięta, został on stworzony w 2007 roku i oparty o silnik forum phpBB by Przemo, jednak prawodopodobnie od 2011 hashe haseł są tak przetworzone i zapisane aby w razie ewentualnego wycieku bazy ich "odczytanie" po prostu się nie opłacało. Nic nie wskazuje także na to żeby ktoś był w stanie odczytywać Wasze dane w momencie logowania. Każdy serwer można jednak zhackować, zatem pierwszą dobrą praktyką jest nieużywanie tego samego hasła w różnych serwisach. A następnymi uważanie na to w co się klika i instaluje.

Bądźcie bezpieczni.