Hackere brøt gjennom Reddits forsterkede innloggings­sikkerhet

[AfterGlow]

Erfaringen er at SMS-basert autentisering ikke er sikkert.

Hackere brøt gjennom Reddits forsterkede innloggings­sikkerhet

[Mixy]

 

 

På bakgrunn av dette oppfordrer Reddit nå brukere å benytte den maskinvarebaserte formen for 2FA. Slike omfatter blant annet fysiske sikkerhetsnøkler og kodebrikker.

 

Hva med software-løsninger som Google Authenticator?

[morten7]

(...)

Hva med software-løsninger som Google Authenticator?

 

Google Authenticator, Facebook 2auth og BankID (kryptert SMS) er eksempel på trygge(re) løsninger.

Et av de største problemene er svakhet i SS7 standarden og muligheten til å lytte inn på trafikk fra basestasjoner. Diskuteres og vises til andre eksempler på det samme i tråden hos HN (HackerNews):

https://news.ycombinator.com/item?id=17664301

Endret 2. august 2018 av morten7

[Lostfields]

 

(...)

Hva med software-løsninger som Google Authenticator?

 

Google Authenticator, Facebook 2auth og BankID (kryptert SMS) er eksempel på trygge(re) løsninger.

Et av de største problemene er svakhet i SS7 standarden og muligheten til å lytte inn på trafikk fra basestasjoner. Diskuteres og vises til andre eksempler på det samme i tråden hos HN (HackerNews):

https://news.ycombinator.com/item?id=17664301

Ville det egentlig hjulpet i dette tilfellet? Hackere fikk tilgang til brukernavn, saltede og hashede passord, e-postadresser og alt innhold, inkludert private meldinger. Det vil si at den private nøkkelen for MOTP (Google Authenticator) ville hackere også hatt tilgang på.

 

Nøkkelen for MOTP må være lagret serverside (den kan selvsagt krypteres, men ikke hashes) for at engangskoden skal kunne valideres.

[Gavekort]

Sikkerhet hjelper ikke om de som sitter med tilgangen ikke har tilstrekkelig kunnskap.

[si-m1]

Ville det egentlig hjulpet i dette tilfellet? Hackere fikk tilgang til brukernavn, saltede og hashede passord, e-postadresser og alt innhold, inkludert private meldinger. Det vil si at den private nøkkelen for MOTP (Google Authenticator) ville hackere også hatt tilgang på.

 

Nøkkelen for MOTP må være lagret serverside (den kan selvsagt krypteres, men ikke hashes) for at engangskoden skal kunne valideres.

 

Det var vel akkurat disse dataene de fikk tilgang til pga. de kom seg rundt 2fa via SMS og fikk logget inn som noen av de ansatte. Så med en annen 2fa enn SMS så hadde de aldri fått tak i disse i utgangspunktet.