Двухфакторная аутентификация уязвима для новой атаки

Двухфакторная аутентификация уязвима для новой атаки

Исследователи из Амстердамского свободного университета обнаружили, что двухфакторную аутентификацию можно обойти, если у жертвы есть смартфон с Android или iOS. Проблема кроется в автоматической синхронизации устройств, которую обеспечивают сервисы Google и Apple.

Двухфакторная аутентификация требует подтверждать права доступа по двум независимым каналам. Чаще всего она выглядит так: сначала пользователь вводит пароль, а затем сообщает одноразовый код, полученный по SMS. Такой метод заметно надёжнее, чем обычная проверка пароля.

Чтобы обойти двухфакторную аутентификацию, злоумышленнику нужно не только узнать пароль, но и оперативно перехватить одноразовый код доступа. Исследователи из Нидерландов обнаружили, что удобства, которые современные мобильные платформы предоставляют своим пользователям, делают перехват SMS вполне реалистичной задачей.

Атаки на пользователей iOS и Android, которые они предложили, существенно различаются, но и в том, и в другом случае компьютер жертвы должен быть заражён специальным трояном, пишет xakep.ru.

Троян, который атакует пользователей Android, от имени жертвы обращается к Google Play и просит установить на её смартфоны шпионское приложение. Google Play молча повинуется, даже не спрашивая у пользователя разрешения. После установки приложение тихонько ждёт SMS с кодом доступа. Получив SMS, оно тут же переправляет его на сервер злоумышленника.

 

Screen-Shot-2016-04-11-at-2.11

 

Самое сложное тут — протащить шпиона в Google Play. Для этого исследователи разработали приложение, способное исполнять код из интернета. Все вредоносные функции были реализованы на Javascript, загружаемом с их сервера. Запросы с адресов, принадлежащих Google, сервер игнорировал. Такого трюка хватило для того, чтобы обмануть гугловских цензоров.

Победить iOS оказалось ещё проще. В последние версии OS X и iOS встроена функция под названием Continuity. Она, среди прочего, позволяет читать SMS с айфона при помощи компьютера. Чтобы перехватить код доступа, трояну достаточно мониторить содержимое файла ~/Library/Messages/chat.db, куда попадают пришедшие SMS.

Эта уязвимость была найдена ещё в 2014 году. Исследователи немедленно сообщили о ней Google и другим онлайновым сервисам, использующим двухфакторную аутентификацию, а также провели серию презентаций для банков. Ни одна компания не отреагировала на предупреждение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Ростелеком запустит сервис киберзащиты для обычных пользователей

До конца 2025 года «Ростелеком», через свою дочернюю группу компаний «Солар», планирует впервые выйти на рынок кибербезопасности для обычных пользователей. Об этом рассказал директор по продуктовому развитию компании Владимир Бенгин на форуме ЦИПР в Нижнем Новгороде.

Речь идёт, по данным «Известий», о запуске нового сервиса, который будет решать сразу несколько задач — от защиты от мобильного мошенничества до родительского контроля.

В числе функций — возможность ограничивать доступ к отдельным сайтам (например, заблокировать детям нежелательные ресурсы), фильтрация сайтов, которые специалисты считают мошенническими, а также антиспам, блокировка рекламы и другие опции.

По словам Бенгина, интерес к подключению уже проявили некоторые компании, но конкретику он не раскрыл.

Сейчас подобные функции предлагают и операторы, и банки, но каждый делает это по-своему: у кого-то есть защита от подозрительных звонков, у кого-то — нет. По мнению экспертов, появление единой платформы от госоператора может навести порядок в этом вопросе.

Выход такого крупного игрока на рынок может усилить конкуренцию и подтолкнуть другие компании активнее развивать свои защитные сервисы. В итоге это должно повысить уровень безопасности для рядовых пользователей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru