Humble Bundle: Ο νέος σχεδιασμός εξαφάνισε τη ρύθμιση ελέγχου ταυτότητας δύο παραγόντων

Η δημοφιλής πλατφόρμα ψηφιακής διανομής βιντεοπαιχνιδιών και λογισμικού Humble Bundle παρουσίασε πρόσφατα μια ανανεωμένη εμφάνιση στο ηλεκτρονικό της κατάστημα. Ωστόσο, πίσω από το φρεσκαρισμένο περιβάλλον χρήστη, αποκαλύφθηκε μια απρόσμενη και ανησυχητική παράλειψη: η δυνατότητα ενεργοποίησης και διαχείρισης του ελέγχου ταυτότητας δύο παραγόντων (2FA) απουσιάζει πλέον πλήρως από τη σελίδα των ρυθμίσεων.

Έλλειψη κρίσιμων ρυθμίσεων ασφαλείας μετά την ανανέωση

Σύμφωνα με ρεπορτάζ των εξειδικευμένων τεχνολογικών ιστοσελίδων Kotaku και PC Gamer, οι χρήστες δεν έχουν πλέον πρόσβαση σε εργαλεία προσθήκης ή τροποποίησης μεθόδων επαλήθευσης ταυτότητας. Παρότι οι επίσημες σελίδες υποστήριξης του Humble Bundle εξακολουθούν να περιγράφουν αναλυτικά τη διαδικασία χρήσης του 2FA, η αντίστοιχη επιλογή έχει αφαιρεθεί από τις καρτέλες διαχείρισης λογαριασμού.

Στην προηγούμενη έκδοση της πλατφόρμας, οι καταναλωτές μπορούσαν να συνδέσουν εφαρμογές αυθεντικοποίησης (authenticator apps) για τη λήψη κυλιόμενων κωδικών μίας χρήσης, διασφαλίζοντας τις ψηφιακές τους βιβλιοθήκες και τα συνδεδεμένα μέσα πληρωμής. Η αφαίρεση αυτής της παραμέτρου δημιουργεί εύλογες ανησυχίες για το επίπεδο προστασίας των λογαριασμών.

Ερωτήματα για τα κενά ασφαλείας και την αλλαγή κωδικών

Παρά την απουσία των σχετικών ρυθμίσεων, φαίνεται πως διατηρείται ένας υποτυπώδης μηχανισμός ασφαλείας. Κατά τη διαδικασία σύνδεσης, ορισμένοι χρήστες καλούνται να εισαγάγουν έναν κωδικό επιβεβαίωσης που αποστέλλεται στη διεύθυνση ηλεκτρονικού ταχυδρομείου τους. Εντούτοις, για όσους είχαν ήδη ρυθμίσει εξειδικευμένες εφαρμογές 2FA στο παρελθόν, το σύστημα δεν φαίνεται πλέον να ζητά αυτούς τους κωδικούς, παρακάμπτοντας ουσιαστικά την ισχυρότερη μέθοδο προστασίας.

Ακόμη πιο προβληματικό είναι το γεγονός ότι, όπως διαπιστώθηκε σε δοκιμές, ένας συνδεδεμένος χρήστης έχει τη δυνατότητα να ενημερώσει τον κωδικό πρόσβασής του χωρίς να απαιτείται η πληκτρολόγηση του τρέχοντος παλιού κωδικού. Η συγκεκριμένη πρακτική αποκλίνει από τα βασικά πρότυπα κυβερνοασφάλειας, καθώς αφήνει ανοιχτό το ενδεχόμενο άμεσης κατάληψης ενός λογαριασμού σε περίπτωση που μια συνεδρία παραμείνει ξεκλείδωτη.

Σιγή ιχθύος από την IGN Entertainment

Μέχρι στιγμής, ούτε η ιδιοκτήτρια εταιρεία IGN Entertainment ούτε η μητρική της, Ziff Davis, έχουν σχολιάσει επίσημα τις αλλαγές αυτές. Δεν έχει αποσαφηνιστεί αν πρόκειται για προσωρινό τεχνικό σφάλμα κατά τη μετάβαση στη νέα υποδομή ή για εσκεμμένη απλοποίηση της διαδικασίας.

Σε μια εποχή όπου οι κυβερνοεπιθέσεις και οι μαζικές παραβιάσεις κωδικών βρίσκονται σε διαρκή έξαρση, η αφαίρεση του ελέγχου ταυτότητας δύο παραγόντων αποτελεί σαφές βήμα προς τα πίσω για μια πλατφόρμα που διαχειρίζεται εκατομμύρια ψηφιακές συναλλαγές παγκοσμίως.