Защиту Passkey Microsoft- и GitHub-аккаунтов можно снять AitM-атакой

Защиту Passkey Microsoft- и GitHub-аккаунтов можно снять AitM-атакой

Защиту Passkey Microsoft- и GitHub-аккаунтов можно снять AitM-атакой

Эксперт eSentire доказал возможность взлома аккаунтов, защищенных Passkey. Многие сайты и сервисы предлагают этот способ аутентификации как опцию, и ее можно удалить со страницы входа через атаку «противник посередине» (Adversary-in-the-Middle , AitM).

Изменения HTML, CSS, изображений, JavaScript при этом вносятся на лету, в ходе проксирования трафика конечному пользователю. Вклинившийся в процесс аутентификации злоумышленник уничтожает все визуальные следы наличия Passkey-опции на сайте.

В итоге посетителю волей-неволей приходится воспользоваться менее надежной альтернативой, и авторы атаки смогут заполучить его логин, пароль и OTP-код аутентификации с помощью AitM-фишинга.

 

В качестве PoC исследователь провел «редакционную» атаку, как он ее называет, на логин-страницы GitHub и Microsoft (персональный аккаунт), используя AitM-софт Evilginx с открытым исходным кодом.

Проверка новой опции Microsoft, которая позиционируется как беспарольная, показала, что она не решает проблему, так как предполагает использование проприетарного приложения Authenticator, которое тоже уязвимо к AitM-атакам.

Технологию Passkey внедрили многие банки, интернет-магазины, соцсети, платформы разработки софта, но все они в основном предлагают такой способ аутентификации наряду с другими, чтобы обеспечить пользователям резервный механизм доступа к аккаунту на случаи проблем с беспарольным входом и утери или сброса устройства.

Ключи Passkey можно хранить и в менеджере паролей, однако такой сейф может оказаться ненадежным. Поскольку в данном случае ущербна не технология, а ее реализации, автор Redaction Attack предлагает в качестве альтернативного способа сохранения доступа к аакаунту использовать одноразовые ссылки, автоматически генерируемые и отправляемые пользователю по имейл или в виде СМС.

Переход по такой magic link откроет новое окно входа (и новую сессию вместо подконтрольной автору атаки). Защиту в этом случае можно даже усилить: ввести тайминг на ссылки, отслеживать IP-адреса пользователей, использовать контрольные вопросы или OTP-коды.

Подобный способ аутентификации поможет уберечь идентификаторы от AitM-перехвата, но в большой степени зависит от безопасности почтового ящика и СМС-каналов.

Корпоративные клиенты Microsoft, по словам исследователя, лучше защищены от AitM-атак. Ее облачная служба Entra ID (ранее Azure AD) и продукты семейства Intune позволяют админам задать политики условного доступа для предотвращения входов через прокси (проверяются домен и наличие разрешений).

Возможности определения процессов регистрации и восстановления аккаунта предоставляют также многие системы управления доступом (IAM), притом на разных уровнях: организации, групп, отдельных пользователей. Что касается Passkey, лучше, чтобы пользователи имели не один, а несколько таких ключей, чтобы не попасть под блок в случае утери.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Эксперимент по корпусированию процессоров Baikal M завершён из-за дефицита

Трёхлетний эксперимент по корпусированию процессоров Baikal M на предприятии GS Nanotech в Калининградской области был признан успешным, однако прекращён из-за дефицита компонентов, прежде всего процессорных кристаллов. Несмотря на достигнутые позитивные результаты, продолжить проект не удалось по причине нехватки ключевых элементов.

Об итогах эксперимента рассказал «Коммерсанту» генеральный директор компании «Байкал Электроникс» Андрей Евдокимов.

«Кристаллов сейчас нет или их недостаточно, чтобы собрать чипы и передать их партнёрам. Поэтому мы не стали развивать эксперимент дальше — просто не было такой возможности. В целом я оцениваю результаты позитивно и считаю, что это был шаг вперёд», — прокомментировал Андрей Евдокимов.

По словам генерального директора GS Nanotech Сергея Пластинина, на завершающем этапе удалось добиться выхода годной продукции на уровне 74–85%. Он отметил, что такой показатель можно считать высоким с учётом сложности изделий и небольших объёмов эксперимента — всего несколько десятков чипов. Для сравнения, чтобы достичь выхода в 98%, необходимо выпускать тысячи изделий.

Глава Ассоциации российских производителей электроники Иван Покровский в комментарии «Коммерсанту» отметил, что для полного раскрытия потенциала отечественных предприятий по корпусированию микросхем необходимо возобновить процесс внедрения российской электроники в гражданский оборот.

По его словам, до 2022 года в этом направлении предпринимались определённые шаги, но их реализация была приостановлена из-за санкций и изменений в регулировании.

При этом, подчеркнул Покровский, реализация крупных проектов исключительно силами российских предприятий невозможна. Ситуацию усугубляет раздробленность рынка услуг по корпусированию: каждый участник стремится развивать собственные мощности, что приводит к фрагментации отрасли и снижению её экономической эффективности.

Лидер практики технологического консультирования и партнёр аудиторской компании ДРТ Тимофей Хорошев добавил, что рыночные механизмы в этом сегменте вряд ли смогут работать эффективно, поскольку речь идёт о специфичных и нишевых продуктах, востребованных ограниченным кругом заказчиков.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru