Tôi có một kênh YouTube nằm dưới một tài khoản Google khác với tài khoản bình thường của tôi. Tôi có một mật khẩu an toàn với nó và một địa chỉ email thay thế được thiết lập, nhưng tôi nghĩ tôi đã thấy tính năng khôi phục mật khẩu an toàn đến mức nào và liệu tôi có thể truy cập được với hầu như không có thông tin nào không.
Phải mất 10 phút và tôi đã truy cập đầy đủ. Họ đã gửi một liên kết đặt lại mật khẩu đến một địa chỉ email tôi đã nhập mà chưa bao giờ được liên kết với tài khoản của tôi dưới bất kỳ hình thức nào. Họ cũng không bao giờ gửi cho tôi e-mail tại địa chỉ thực tế được liên kết với tài khoản để cho tôi biết rằng mật khẩu đã bị người khác thay đổi, vì vậy nếu người khác có quyền kiểm soát tài khoản, tôi thậm chí sẽ không được thông báo về nó. !
Đây là tất cả những gì tôi phải làm để có quyền truy cập:
- Nhập tên người dùng YouTube.
- Nhấp vào Xác minh danh tính .
- Nhập địa chỉ email mà sau này họ sẽ gửi liên kết đặt lại nếu họ thích câu trả lời của tôi.
- Trả lời khoảng 20 câu hỏi.
Cái đầu tiên là cái này:
Tôi đã nhập một từ hoàn toàn ngẫu nhiên.
Hầu hết các câu hỏi còn lại là tùy chọn và có thể được tìm ra thực sự dễ dàng bằng cách thực sự xem thông tin trên kênh YouTube. Ví dụ,
- Ngày nào (đại khái) bạn đã tham gia Google?
- Chọn từ danh sách này các sản phẩm Google bạn sử dụng và khi bạn bắt đầu sử dụng chúng.
Cuối cùng, họ nói rằng có thể mất một ngày để ai đó xem lại câu trả lời, nhưng e-mail với liên kết đặt lại đã xuất hiện trong vài phút tiếp theo.
Theo ý kiến của tôi thì điều này thật kinh khủng và tôi không hiểu làm thế nào họ có thể tạo ra một mớ hỗn độn như vậy. Tôi không sử dụng xác thực hai yếu tố nhưng tôi hy vọng rằng điều này sẽ tạo ra sự khác biệt.
Khi bạn thay đổi mật khẩu, họ buộc nó phải theo một tiêu chuẩn nhất định và thậm chí họ còn chặn bạn sử dụng mật khẩu trước đó. Đây là tất cả tốt nhưng hoàn toàn vô nghĩa nếu nó có thể được bỏ qua bởi bất cứ ai một cách dễ dàng.
Về chủ đề 'mật khẩu cuối cùng bạn nhớ'
Điều này có nghĩa là Google đang lưu trữ mật khẩu tài khoản ở dạng văn bản rõ ràng? Nếu họ đang tạo băm thì không hiểu câu trả lời cho câu hỏi này sẽ hữu ích như thế nào vì họ không biết người đó đã nhập tương tự như thế nào trong cơ sở dữ liệu.
Đây là câu hỏi thực tế của tôi!
Có cách nào để vô hiệu hóa toàn bộ hệ thống khôi phục mật khẩu hoàn toàn không? Hoặc có cách nào để vô hiệu hóa bit 'Xác minh danh tính của bạn', theo ý kiến của tôi thậm chí không nên tồn tại ở nơi đầu tiên? Nó ít nhất phải là một tính năng chọn tham gia.
Tôi cũng nghĩ rằng họ nên cho phép bạn vô hiệu hóa tùy chọn 'Nhận qua: một cuộc gọi điện thoại tự động' bởi vì bất kỳ ai cũng có thể trả lời điện thoại và nhận được mã xác nhận thực sự dễ dàng. Nếu số bạn đã đặt là điện thoại di động, có thể bạn sẽ có màn hình khóa để những người ngẫu nhiên không thể đọc tin nhắn của bạn, nhưng bất kỳ ai cũng có thể trả lời một cuộc gọi điện thoại ngay cả khi nó bị khóa. Tôi biết rằng một số điện thoại hiển thị bản xem trước của các văn bản mới, do đó bạn cũng phải cẩn thận với điều đó (nhưng đó không phải là vấn đề của Google).
Tôi cũng nhận ra rằng họ có thể đã sử dụng thực tế rằng các yêu cầu đến từ địa chỉ IP thông thường, nhưng tôi vẫn không nghĩ rằng đây là nơi có đủ thông tin để mở khóa tài khoản cho ai đó.