– Bare et spørsmål om tid før brukernavn og passord er på avveie

[Redaksjonen.]

– Bare et spørsmål om tid før brukernavn og passord er på avveie

[Gus Erland]

Fy, så meget idiotisk sprøyt det var i denne artikkelen og ikke et ord om den essensielle beskyttelse i mot phishing.

1) Trykk på låsen foran domenenavn i adresselinjen.

2) Kontroller at domenet er korrekt. Dvs, er domenenavnet på serifikatsiden identisk med det domenenavn du vet tilhører den aktuelle organisasjon. For dropbox skal domenenavnet på serifikatsiden være dropbox.com. Det er greit at det finnes en prefix med *.dropbox.com, men heller intet annet.

Har du verifisert dette så kan du ikke bli offer for phishing.

Det er dessuten noe forbasket sludder å logge inn med feil passord. Dette gir absolutt ingen forsikring om at du befinner deg på organisasjonens offisielle sider. Det er den smaleste sak av verden for kriminelle å addere "feil passord" på første forsøk.

[The Avatar]

Gus Erland skrev (58 minutter siden):

Det er dessuten noe forbasket sludder å logge inn med feil passord. Dette gir absolutt ingen forsikring om at du befinner deg på organisasjonens offisielle sider. Det er den smaleste sak av verden for kriminelle å addere "feil passord" på første forsøk.

Enig, men det vil sjølvsagt være vanskelig for dei kriminelle å forutsjå om offera starter med å skrive inn feil passord eller om dei skriv rett passord fyrste gongen.

Om phisingforsøket er smart så vil eit kvart forsøk på innlogging gi melding om feil brukarnamn eller passord. Phishingforsøket vil då få ein del urelle passord men i mange tilfeller vil nok mange av passorda som blir oppgitt være passord som offeret har på andre tenester og dermed være relle passord berre for andre tenester.
Dersom alle forsøk på innlogging gir feilmedling om feil passord så vil det uansett ikkje hjelpe å skrive inn eit tullepassord, då vil innloggingssida fungere akkurat slik som du forventer med feil passord.
For dei som går kraftig på limpinnen så vil det også være vanskeleg å oppfatte at ein har blitt lurt. Dei fleste vil etter nokre påloggingsforsøk gi opp og tenke at det er noko feil med tenesta. Legg svindlarane inn ei sperre slik at du blir "låst ute" i ein time etter 5 forsøk så kan dei hauste inn passord frå eit intetanende offer kvar einaste time.
Det vil heller ikkje hjelpe om offeret trykker på "glemt passord" ettersom ein vanligvis skriver inn ei gyldig epostadresse, så då er det enkelt for phisingsida og sende ein falsk epost med link tilbake til phisingsida for "resetting av passord".

[Gus Erland]

6 minutes ago, The Avatar said:

Quote

Enig, men det vil sjølvsagt være vanskelig for dei kriminelle å forutsjå om offera starter med å skrive inn feil passord eller om dei skriv rett passord fyrste gongen.

Kriminelle har intet behov for å forutse feiltasting av passord. Brukeren kan ikke se hva han taster.