Sikkerhetsforskere: – Kraftig økning i verktøy som brukes til å omgå totrinnsverifikasjon

[AfterGlow]

Sikkerhetsforskere: – Kraftig økning i verktøy som brukes til å omgå totrinnsverifikasjon

[Simon W. Hall]

Evilginx 2 (Evil Nginx) har hatt støtte for 2FA phishing siden 2018.

Vil som vanlig anbefale en hardware 2FA løsning som støtter U2F (Universal 2 Factor).
Den er det ingen som kommer seg rundt, ennå.
Jeg bruker Yubikey, men det finnes også andre :)

[Burgomatic]

Hva om Onkel Blå får tak i Yubikey'en?

[0laf]

Burgomatic skrev (41 minutter siden):

Hva om Onkel Blå får tak i Yubikey'en?

De trenger fremdeles passordet, alt åpner seg ikke magisk bare man setter inn en Yubikey.

Når det er sagt, så løser den typen dingser et veldig spesifikt problem.

I og med at slike "keys" er hardware som ikke vanligvis er koblet til en maskin, så kan den heller ikke hackes direkte, og ettersom man må trykke på en knapp for å autentisere, så kan man ikke umiddelbart hente ut koder/passord heller.

Når det er sagt, så er den jo sårbar i det man setter den inn i en maskin, å trykker på knappen.
Dersom maskinen har malware som retter seg mot den typen dingser, noe vi nok vil se mer av etter hvert, så er Yubikey sårbar i det øyeblikket.

Passordet til dingsen tastes også inn på PC'en den brukes på, slik at det er gode muligheter for å fange opp dette med selv enkle keyloggere.

Autentiseringen fra slike "keys" går også over nett på samme måte som alt annet, og er sårbar for en rekke angrepsmodeller, alt fra phising til man-in-the-middle.

Enkelte protokoller og løsninger som støttes av blant Yubikey forsøker dog å minimere disse risikoene.

En del av disse problemene kunne man enkelt unngå ved å bruke en dings som var helt fysisk adskilt, litt som Bank-ID brikker, hvor man må taste inn passordet på selve brikken, for så å få en kode, altså mer tradisjonell Diffie-Hellman.

Så er det vel som det alltid er, mye brukerfeil. En del brukere vil nok ha slike "keys" plugget inn i PC'en til en hver tid, fordi det er lettere enn å ta den inn og ut hver gang den skal brukes, og kanskje også ha passordet lagret lokalt i en eller annen autofyll-greie eller i en tekstfil. Da er man akkurat like langt.

Endret 12. januar 2022 av 0laf

[Simon W. Hall]

6 hours ago, Burgomatic said:

Hva om Onkel Blå får tak i Yubikey'en?

Som Olaf sier så må jeg fortsatt skrive inn passordet mitt.
Passordet er den første faktoren og sikkerhetsnøkkelen er den andre faktoren.

Det finnes også MFA (Multi Factor Authentication). Den krever 3 eller flere faktorer.
Men det er det ikke mange som bruker.