Humble Bundle'ın yeni tasarımında iki adımlı doğrulama ayarının kaybolduğunu kullanıcılar bildiriyor; şirket henüz açıklama yapmadı
Oyun ve yazılım mağazası Humble Bundle'ın yenilenen sitesinde, ayarlar sayfasında iki adımlı doğrulama yöntemi ekleme ya da değiştirme seçeneğinin bulunmadığı bildiriliyor. The Verge, girişte e-postayla kod istendiğini ama uygulama tabanlı kodun sorulmadığını ve parolanın eski parola girilmeden değiştirilebildiğini aktardı.
Oyun, e-kitap ve yazılım paketleri satan Humble Bundle'ın yakın zamanda yenilenen sitesinde, ayarlar sayfasından iki adımlı doğrulama (2FA) yöntemi ekleme ve güncelleme seçeneğinin kaybolduğu bildiriliyor. Konu önce Hacker News'te ve oyun basınında gündeme geldi; The Verge 12 Kasım'da Kotaku ve PC Gamer'ın haberlerine atıfla durumu aktardı. PC Gamer, Humble Bundle'ın destek sayfalarında 2FA'yı anlatan metinlerin hâlâ durduğuna ve yazarının eski sitede 2FA kurmuş olduğuna dikkat çekti.
Humble Bundle'ın sahibi IGN Entertainment ve onun ana şirketi Ziff Davis, The Verge'ün yorum talebine yayın saatinde yanıt vermedi. Değişikliğin bilinçli bir tasarım kararı mı, geçiş sırasında oluşmuş bir eksik mi olduğu bilinmiyor. SiberMagazin bu davranışı kendi test etmedi.
Ne gözlendi?
The Verge yazarının kendi hesabıyla yaptığı denemede aktardıkları şöyle:
- Girişte hesaba erişmeden önce e-postayla gönderilen bir erişim kodu istendi; yani bir tür ikinci adım hâlâ var.
- Yazarın parola yöneticisinde Humble Bundle için daha önce kurulmuş, süreli kod üreten bir 2FA kaydı bulunmasına rağmen giriş sırasında bu kod sorulmadı.
- Oturum açıkken parola, eski parola girilmeden değiştirilebildi.
- Ayarlar sayfasında 2FA yöntemi ekleme ya da değiştirme seçeneği yer almıyordu.
Neden önemli?
Bildirilenler doğruysa hesabın ikinci adımı fiilen e-posta kutusuna bağlanmış oluyor: e-posta hesabı ele geçirilen bir kullanıcının mağaza hesabı da aynı anda açılabilir. Eski parola sorulmadan parola değişikliği ise açık bırakılmış bir oturumun ya da çalınmış bir oturum çerezinin hesabı kalıcı olarak devralmaya yetmesi anlamına gelebilir. Bunlar şirket doğrulayana kadar kullanıcı ve basın gözlemi olarak okunmalı.
Ne yapılmalı?
- Humble Bundle hesabına bağlı e-posta adresinizde güçlü bir 2FA (tercihen uygulama ya da güvenlik anahtarı) açık olduğundan emin olun; şu an hesabın asıl kilidi orası görünüyor.
- Humble Bundle parolanız başka bir yerde de kullanılıyorsa değiştirin ve parola yöneticisinde benzersiz bir parola üretin.
- Ortak ya da genel bilgisayarlarda oturumu açık bırakmayın; işiniz bitince çıkış yapın.
- Hesabınızda kayıtlı ödeme yöntemi varsa gerekmediği sürece kaldırmayı değerlendirin ve hesap e-postalarınızı beklenmeyen giriş kodu ya da parola değişikliği bildirimi için izleyin.
- Şirketten resmi açıklama geldiğinde ayarlarınızı yeniden gözden geçirin; açıklama yapılırsa bu haber güncellenecek.
