как воруют аккаунты

Все больше и больше сайтов переходят на схему аутенфикации "введите свой email, мы вышлем вам одноразовый код, введите его", обходя вопрос паролей вообще стороной.

Да, это удобно тем, что не надо ничего помнить или пользоваться менеджером паролей (и защищает от плохой привычки пользоваться одним паролем для всех сайтов). Но в целом с точки зрения секьюрити это, пожалуй, хуже, потому что позволяет воровать аккаунты, даже без перехватки мейлов или контроля над девайсом пользователя. Комментарор в Hacker News подроно объясняет, как это работает:

"Схема атаки:

Пользователь заходит на ПЛОХОЙ сайт и регистрируется.

ПЛОХОЙ сайт говорит: "Мы отправили вам письмо, пожалуйста, введите 6-значный код! Письмо придет от ХОРОШЕГО сайта, поскольку они наш партнер для входа в систему."
Боты ПЛОХОГО сайта запускают процесс "Войти с помощью одноразового кода по email" на ХОРОШЕМ сайте, используя email пользователя.

ХОРОШИЙ сайт отправляет одноразовый код для входа на email пользователя.

Пользователь с большой вероятностью доверяет этому письму, потому что оно от ХОРОШЕГО сайта, и зачем бы ХОРОШЕМУ сайту отправлять его, если это не настоящий вход в систему?

Пользователь вводит код на ПЛОХОМ сайте.

ПЛОХОЙ сайт использует код для входа на ХОРОШИЙ сайт от имени пользователя. Теперь ПЛОХОЙ сайт имеет полный доступ к аккаунту пользователя на ХОРОШЕМ сайте.

Именно поэтому "отправить мне одноразовый код по email" — один из худших способов аутентификации с точки зрения фишинга. Просто очень сложно не дать пользователям совершить эту ошибку."

Единственная рекомендация при такой схеме - это всегда проверять себя, перед тем, как использовать код, посланный важным сайтом через мейл или SMS: действительно ли у меня этот код запросил ИМЕННО ЭТОТ сайт/сервис? В мейлах/SMS от банков и кредитных компаний, по моему опыту, теперь перед кодом или рядом с кодом помещают большой блок текста именно на эту тему: проверьте, действительно ли это мы запросили и вы у нас на сайте это вводите. Но кто ж это все читает, ясно, что никто. Будьте (хотя бы минимально) бдительны.

хочу все знать: котар

У меня есть неожиданный вопрос одновременно про иврит и Израиль, и я надеюсь, что знатоки обеих этих тем смогут мне помочь. А у тех, кто совсем не интересуется этими темами, прошу прощения, эту запись можно пропустить.

В моем городе Ришон ле-Ционе есть сеть муниципальных библиотек - вполне достойная, кстати - и по неизвестной мне причине многие из них называют себя не "сифрия" (ספרייה, обычное слово "библиотека" в иврите), а "котар" (כותר, слово, которое обычно означает "название книги"). Причем это непохоже на имя собственное: это слово склоняется по обычным правилам, и создается впечатление, что это синоним "библиотеки", может быть с каким-то дополнительным оттенком значения.

Например, страница на сайте муниципалитета так и называется:

כותר ראשון: רשת הכותרים והספריות

В списке библиотек на этой странице часть библиотек называют себя כותר, а другие ספריה:

כותר ראשון אלון
כותר ראשון חביב
כותר ראשון שקמה
ספריית יצחק שדה
ספריית נווה חוף

При этом не получается воспринять это как имя собственное (скажем, название брэнда именно ришонских библиотек, или компании, ими управляющей), потому что слово используется как имя нарицательное. Про библиотеку, которая закрыта в какой-то день, может быть написано "הכותר יהיה סגור...." итд. То есть создается ощущение, что для библиотекарей Ришон ле-Циона "כותר" это нормальное слово в иврите с значением "библиотека", почему-то использующееся наряду с "ספריה". Меж тем в словарях я такого значения, даже архаичного, обнаружить не смог. Как объяснить это странное явление?

Это, наверное, мелочь, и может, зря я морочу себе и вам голову этим вопросом. Но я не знаю ответ на него вот уже 34 года, с тех пор, как впервые приехал жить в Ришон ле-Цион!

Заранее спасибо.