Уязвимость позволяет хакерам обходить механизм 2FA в LastPass

Уязвимость позволяет хакерам обходить механизм 2FA в LastPass

Уязвимость в реализации двухфакторной аутентификации (2FA) в LastPass могла быть использованы хакерами для обхода механизма защиты и получения доступа к учетным записям пользователей.

Мартин Виго (Martin Vigo), один из исследователей Salesforce, который в ноябре 2015 года сообщил о наличии нескольких уязвимостей в LastPass, в очередной раз проанализировал популярный менеджер паролей, уделив особое внимание механизму 2FA.

Временные коды 2FA генерируются на основе нескольких переменных, включая секретное число, обычно закодированное в QR-коде, который пользователь сканирует с помощью 2FA-приложения, например, Google Authenticator.

Тесты Виго показали, что запрос, сделанный при отображении пользователю QR-кода, содержал хеш логина, используемого LastPass для аутентификации. Фактически, секретный ключ 2FA был получен из пароля пользователя, что ставит под сомнение всю цель защиты 2FA, поскольку атакующий предположительно уже знает пароль.

Для того чтобы атака сработала, хакер должен быть авторизован, эта проблема решается эксплуатацией уязвимости межсайтового запроса (CSRF). Заставив зарегистрированного пользователя пройти по ссылке, эксплуатирующей уязвимость CSRF, злоумышленник может получить изображение QR-кода.

По словам Виго, злоумышленник мог также использовать уязвимости на разных популярных сайтах, чтобы осуществить атаку межсайтового скриптинга (XSS). Это позволит хакеру использоваться сторонние сайты для перенаправления пользователя.

Исследователь также нашел простой способ отключить 2FA, используя уязвимость CSRF. Как и во всех атаках подобного рода, хакеру нужно заставить жертву посетить вредоносный веб-сайт.

Эксперт проинформировал LastPass 7 февраля и компания сразу же приступила к работе над исправлениями. В конце концов, LastPass добавила механизм безопасности для проверки происхождения запроса QR-кода и исключила использование хэша паролей для секретного ключа.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Kaspersky подтвердила зрелый уровень кибербезопасности SystemeLogic Х

Специалисты Kaspersky ICS CERT проверили уровень кибербезопасности электронного блока управления SystemeLogic Х, разработанного российской компанией «Систэм Электрик» (Systeme Electric).

«Лаборатория Касперского» провела оценку защищённости SystemeLogic Х (наличие уязвимостей, устойчивость к кибератакам), а также проанализировала процессы вендора по обеспечению кибербезопасности на всех стадиях жизненного цикла продукта.

По итогам тестирований эксперты пришли к выводу, что SystemeLogic Х соответствует целевому уровню зрелости кибербезопасности. Другими словами, электронный блок от «Систэм Электрик» способен обеспечить защищённость распределительной сети на протяжении всего срока службы оборудования.

 

Экспертиза стала следствием сотрудничества в области промышленной кибербезопасности, соглашение о котором Kaspersky и «Систэм Электрик» подписали на Инновационном Саммите в 2023 году.

В будущем обе копании планируют создавать киберзащищённые устройства на основе операционной системы KasperskyOS для промышленных и энергетических предприятий.

В частности, KasperskyOS будет оптимизироваться под задачи и функции различного подстанционного оборудования.

Что касается электронного блока управления SystemeLogic X, это ключевой компонент воздушных автоматических выключателей SystemePact ACB, у которого нет аналогов в России.

SystemeLogic X может не только защищать сеть, измерять параметры электрической сети и передавать данные, но и обладает уникальной функциональностью: запись осциллограмм, диагностика и помощь в эксплуатации.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru