Divpakāpju autorizācija hakeriem nav šķērslis

[samurajs]

Google, Yahoo, Facebook un citi intensīvi bīda divpakāpju autorizāciju (2FA) kā uzlabotu drošības līdzekli profila aizsardzībai. 18-gadīgais austrāliešu hakeris Š abhems Š ahs pierāda, kā tā nebūt nav. Viņa izstrādātā metode strādā visur, kur lapas piedāvā autorizācijas tokenu sūtīt uz tālruņa balss pastu (atšķirībā no Latvijas citur balss pasts ir ļoti populārs). Vienīgā problēma ir pirms tam iegūt upura lietotājvārdu/email un login paroli.

Paņēmiens vispār ir sen pazīstams, nav sarežģīts, un darbojas ar daudziem mobilajiem operatoriem. Lai piekļūtu kāda cilvēka parolei, gan vispirms ir jāzin viņa telefona numurs. Pēc tam jāpielieto numura pakaļdarināšanas pakalpojums kā Spoofcard.

Darbību kārtība ir šāda:

* Hakeris logojas upura kontā ar iepriekš uzzinātu paroli (piem. ar keyloggera palīdzību)

* Hakeris zvana upurim uz tālruņa numuru, kuru viņš lieto 2FA autorizācijai

* Nekavējoties hakeris iestata 2FA veidu kā zvanu uz tālruni

* Tā kā upura numurs ir aizņemts, 2FA tokens automātiski pienāk uz viņa balss pastu

* Hakeris noklausās balss pastu no tālruņa ar Spoofcard palīdzību un tagad var nomainīt konta paroli.

Ievainojamība joprojām nav slēgta lielākajā daļā interneta kompāniju.

[img]https://notepad.lv/userpix/28_000_7.png[/img]

Pirmavots

[Crow]

Vairākpakāpju autorizācijas stūrakmeņi:

* ko tu zini (parole, lietotājvārds)

* kas tev ir (fizisks priekšmets, piem. atslēga)

* kas tu esi (biometrija)

Nepietiks, ja tiks aizlāpīts caurums tur, kur var rasties cits. Ja telefons un datorsistēma atrodas tīklā, kurus var vai tie ir fiziski savienoti, autorizācija nav uzskaitāma par divpakāpju, bet par tikai par blefpakāpju prāt3.14spakāpju.

[Andron MacBeton]

Ta bljed nu tak ja grib zagt ir vienkāršāks veids – atver kaukādu pajolšāri, atrodi failu ka saucās tjipo my bank account.txt un pārskaiti seu! 😀

Bet nu es nesaprotu kā var tērēt laiku lai kaukādas neiznēsātas daunes Facebook slimās sarakstes palasītu. Cilvēks kas to spēj izdarīt – negrib to nemaz darīt! Vai nu arī viņš ir datorspec-ornitologs vienā personā…

[Autors]

Ieraksti