Humble Bundle'ın yeni tasarımı hesap ayarlarından two-factor authentication seçeneklerini kaldırdı

Tasarım yenilemesi 2FA yönetimini kaldırdı

Oyun ve diğer yazılımları satan Humble Bundle mağazası yakın zamanda yenilenmiş bir tasarıma geçti — ve bu süreçte bir yerlerde hesap ayarları two-factor doğrulama kontrollerini kaybetti. The Verge'ün haberine göre yeni ayarlar sayfası, kullanıcılara yeni bir ikinci faktör eklemenin ya da mevcut birini güncellemenin bir yolunu sunmuyor. Bu eksikliği ilk olarak Kotaku bildirdi.

Eksiklik, müşterilere duyurulmuş bilinçli bir karar olmaktan çok bir ihmalkârlığa benziyor. PC Gamer'ın da belirttiği gibi Humble Bundle, two-factor doğrulamanın nasıl çalışması gerektiğini anlatan destek sayfalarını hâlâ yayınlarında bulunduruyor ve yazarlarından biri bu özelliği sitenin önceki sürümünde başarıyla yapılandırmıştı. Belgeler artık canlı arayüzün sunmadığı seçenekleri tarif ediyor.

Neler çalışıyor, neler çalışmıyor

Bazı doğrulama mekanizmaları yerinde duruyor gibi görünüyor; ancak tablo tutarlı değil. The Verge muhabiri Jay Peters haberi üzerinde çalışırken kendi hesabına giriş yaptığında, site e-posta adresine bir erişim kodu gönderdi ve girişe izin vermeden önce bu kodu istedi.

Aynı testten çıkan iki ayrıntıyı açıklamak ise daha zor. Peters, oturum açıkken mevcut şifresini girmeden hesap şifresini değiştirebildi. Ayrıca şifre yöneticisi, Humble Bundle için bir zamanlar dönen, uygulama tarafından üretilen bir two-factor kodu kaydettiğini gösterse de site, oturum açma akışının hiçbir aşamasında bu kodu istemedi — bu da kaydedilmiş bir ikinci faktörün artık basitçe zorunlu tutulmadığına işaret ediyor.

The Verge, Humble Bundle'ın sahibi IGN Entertainment ve IGN'un ana şirketi Ziff Davis'in yayın öncesinde yorum talebine yanıt vermediğini belirtiyor.

Neden önemli

Two-factor authentication, hesap ele geçirmeye karşı en temel savunmalardan biridir ve buradaki sorun iki yönlüdür. Yeni kullanıcılar hiç ikinci faktör ekleyemiyor; mevcut kullanıcılar ise bir faktörü denetleyemiyor, değiştiremiyor ya da kaldıramıyor — ve yıllar önce ekledikleri bir faktörün artık kontrol edilmediğini fark etmeyebilirler. Peters'ın kendi deneyimi bunun somut bir örneği: hesabında dönen bir kod kayıtlıydı, ama oturum açma sürecinin hiçbir yerinde bu kod istenmedi.

Şifre davranışı ise riski büyütüyor. Mevcut şifreyi doğrulamadan şifre değişikliğine izin verilmesi, çalınmış bir cookie ya da başıboş bırakılmış ortak bir makine gibi yollarla aktif bir oturumu ele geçiren kişinin, önünde ek bir engel bulunmadan hesabın gerçek sahibini tamamen dışarıda bırakabileceği anlamına geliyor.

Tasarım yenilemeleri sık sık eksik özelliklerle gelir ve güvenlik ayarları da nadiren görsel yenilemeler sırasında test edildiği için sık karşılaşılan bir kayıptır. Humble Bundle kontrolleri geri getirene veya planlarını açıklayana kadar, mağazada gerçek bir two-factor koruması isteyen kullanıcıların bunu kendileri sağlayabileceği bir yol yok; buna zaten sahip olduklarını düşünenler ise oturum açma akışlarının gerçekten ikinci bir faktör isteyip istemediğini doğrulamak isteyebilir. Bir e-ticaret sitesi için bu rahatsız edici bir durum ve IGN ya da Ziff Davis'ten şimdiye kadar gelen herhangi bir yorumun yokluğu, düzeltme için zaman çizelgesini belirsiz bırakıyor.