Двухфакторная аутентификация уязвима для новой атаки

Двухфакторная аутентификация уязвима для новой атаки

Двухфакторная аутентификация уязвима для новой атаки

Исследователи из Амстердамского свободного университета обнаружили, что двухфакторную аутентификацию можно обойти, если у жертвы есть смартфон с Android или iOS. Проблема кроется в автоматической синхронизации устройств, которую обеспечивают сервисы Google и Apple.

Двухфакторная аутентификация требует подтверждать права доступа по двум независимым каналам. Чаще всего она выглядит так: сначала пользователь вводит пароль, а затем сообщает одноразовый код, полученный по SMS. Такой метод заметно надёжнее, чем обычная проверка пароля.

Чтобы обойти двухфакторную аутентификацию, злоумышленнику нужно не только узнать пароль, но и оперативно перехватить одноразовый код доступа. Исследователи из Нидерландов обнаружили, что удобства, которые современные мобильные платформы предоставляют своим пользователям, делают перехват SMS вполне реалистичной задачей.

Атаки на пользователей iOS и Android, которые они предложили, существенно различаются, но и в том, и в другом случае компьютер жертвы должен быть заражён специальным трояном, пишет xakep.ru.

Троян, который атакует пользователей Android, от имени жертвы обращается к Google Play и просит установить на её смартфоны шпионское приложение. Google Play молча повинуется, даже не спрашивая у пользователя разрешения. После установки приложение тихонько ждёт SMS с кодом доступа. Получив SMS, оно тут же переправляет его на сервер злоумышленника.

 

Screen-Shot-2016-04-11-at-2.11

 

Самое сложное тут — протащить шпиона в Google Play. Для этого исследователи разработали приложение, способное исполнять код из интернета. Все вредоносные функции были реализованы на Javascript, загружаемом с их сервера. Запросы с адресов, принадлежащих Google, сервер игнорировал. Такого трюка хватило для того, чтобы обмануть гугловских цензоров.

Победить iOS оказалось ещё проще. В последние версии OS X и iOS встроена функция под названием Continuity. Она, среди прочего, позволяет читать SMS с айфона при помощи компьютера. Чтобы перехватить код доступа, трояну достаточно мониторить содержимое файла ~/Library/Messages/chat.db, куда попадают пришедшие SMS.

Эта уязвимость была найдена ещё в 2014 году. Исследователи немедленно сообщили о ней Google и другим онлайновым сервисам, использующим двухфакторную аутентификацию, а также провели серию презентаций для банков. Ни одна компания не отреагировала на предупреждение.

Карты и Навигатор Яндекса научились искать заправки без очередей

Яндекс обновил сервисы для водителей: теперь Карты и Навигатор показывают, есть ли на конкретной АЗС топливо и насколько велика очередь. Всё это видно прямо в карточке заправки, там же можно сразу построить маршрут.

Данные об очередях появились и в «Яндекс Go» с «Заправками». Функция уже работает в Москве, Санкт-Петербурге и ещё 14 крупных городах, включая Казань, Екатеринбург, Краснодар, Новосибирск, Самару и Челябинск.

Информацию собирают сразу из нескольких источников. Яндекс анализирует обезличенные данные о заказах топлива, сведения от таксистов в «Яндекс Про» и дорожную ситуацию рядом с АЗС. Плюс подключили самих водителей: тем, кто заправился или просто проехал мимо станции, могут предложить короткий опрос.

 

Ещё одно нововведение — экономичные маршруты. Карты и Навигатор теперь могут предложить путь, на котором машина потратит меньше топлива. Он не обязательно будет самым быстрым, зато может оказаться выгоднее за счёт более плавной скорости и меньшего числа светофоров.

Получается, маршрут теперь можно выбирать не только по принципу «где быстрее», но и «где не сжечь полбака и не провести вечер в очереди».

Пока функция доступна только там, где Яндекс получает достаточно регулярных и достоверных данных. В остальных городах её обещают включать по мере накопления информации.

RSS: Новости на портале Anti-Malware.ru