传奇黑客找到绕过两重验证办法,当心垂纶网站

时间: 2018-05-13 14:51:04 作者: 管理员

两重验证(2FA)险些是当下最靠谱的账户平安掩护步伐了,但传奇黑客 凯文·米特尼克 却发明了一个新的平安漏洞,经由进程向用户发送垂纶登录页面,而后窃取用户名、暗码和会话 cookie,就能够绕过两重验证。

这位 15 岁就胜利入侵北美防空指挥体系的 KnowBe4 首席黑客长(CHO)在一段地下的视频中演示了若何停止入侵。他经由进程引诱受害者拜访类似于“LunkedIn.com”如许容易与知名网站混杂的域名,记任命户名、暗码和两重验证码,便能够获得相干信息和 cookie 文件。一旦实现这个步调,黑客就能够间接登录受害者的帐号,让两重验证形同虚设。

“凯文的一名白帽黑客同伙开辟了一种对象,能够借助社工伎俩绕过两重认证——而且这类伎俩能够用在任何网站上,”KnowBe4 首席执行官斯图·斯约维曼(Stu Sjouwerman)说。“两重验证确切比用户名+暗码更平安一些,但在这类环境下,咱们清楚地看到,你无奈仅仅寄托两重身份验证来掩护你的帐号。”

白帽黑客库巴·格雷茨基(Kuba Gretzky)创立了一个名为 evilginx 的体系,并在网站上的 一篇文章 中具体描写了全部侵入进程。

斯约维曼指出,反垂纶教导异常紧张,假如受害者对收集平安和点击电子邮箱中某个歹意链接的危险性洞若观火的话,诸如此类的黑客进击是不可能实现的。为了验证这一点,斯约维曼给我发了一封电子邮件,看上去好像是我的共事发来的,内容是评论辩论某篇文章中的错别字。但其实发件人其实不是我共事本身,是用 Sendgrid(一个群发邮件服务)仿制的假收件人地点。而且这个衔接看似是 TechCrunch,实际上是 Sendgrid 的链接。演示里他们好心肠给我跳转到了正牌网站,但是在收集黑产那边就没如许的功德了,任何加倍顽劣的环境都有可能发生。


斯约维曼说:“收集垂纶的模仿证明了展开收集平安认识教导的紧张性,由于平安的末了一道防地说到底都是人本身。”他估量黑客会在将来几周内开端测验考试这类新伎俩,是以催促用户和 IT 部分强化平安协定。