چگونه هکرها از سد مکانیزم احراز هویت دو عاملی عبور می‌کنند؟
امروزه فناوری‌های امنیتی متنوعی مورد استفاده قرار می‌گیرند. همه این فناوری‌ها در نظر دارند به بهترین شکل ممکن از حریم خصوصی کاربران محافظت به عمل آورند. از جمله این فناوری‌ها می‌توان به مکانیزم احراز هویت دو عاملی two-factor authentication اشاره کرد. فناوری قدرتمندی که برای پیش‌گیری از دسترسی هکرها به حساب‌های کاربری مورد استفاده قرار می‌گیرد. اما سوال اصلی این است. آیا این فناوری شکننده است؟
اگر به شما بگوییم تنها یک پیام کوتاه ممکن است این قابلیت را داشته باشد تا دسترسی شما به حساب کاربری‌تان (در گوگل) را در معرض تهدید قرار داده و بدتر از آن دسترسی شما به حساب کاربری‌تان را مسدود سازد، با خود چه خواهید گفت؟ هک‌های اخیر سایت‌هایی همچون لینکدین، توییتر و مای‌‌اسپیس بسیار تکان دهنده بودند. این هک‌ها به اندازه‌ای جدی و قابل تعمل بوده‌اند که کارشناسان امنیتی به کاربران هشدار داده‌اند از به اشتراک‌گذاری اعتبارنامه‌های لاگین خود روی سایت‌های مختلف خودداری کرده و اگر سایتی از مکانیزم احراز هویت دو عاملی پشتیبانی می‌کند، آن‌را فعال سازند. حال کارشناسان امنیتی پرسش دیگری را مطرح کرده‌اند.
آیا مکانیزم احراز هویت دو عاملی راه‌حلی جامع برای هر نوع حمله هکری ارائه می‌کند؟ بدون تردید، این‌گونه نیست. لازم است به این نکته توجه داشته باشید، بهترین مکانیزم امنیتی برای مقابله با حملات هکری هوشیاری است. کاربران لازم است به این نکته توجه داشته باشند که مکانیزم احراز هویت دو عاملی با استفاده از روش‌های متنوعی قابل دور زدن است. به‌کارگیری بدافزارها یا حملات مهندسی اجتماعی از جمله این روش‌ها به شمار می‌رود. امروزه مکانیزم احراز هویت دو عاملی به شدت محبوب شده و باعث افزایش امنیت کاربران شده است. حتا زمانی که هکرها اقدام به سرقت گذرواژه کاربران می‌کنند، باز هم برای تکمیل فرآیند حمله خود و به دست آوردن احراز هویت کاربر باید از سد مکانیزم احراز هویت عبور کنند.
در حالی که این فناوری به لحاظ طبیعی قدرتمند و نفوذناپذیر است، اما به تازگی گزارش‌های متعددی منتشر شده است که نشان می‌دهد، هکرها با فریب کاربران آن‌ها را اغفال می‌کنند که عامل دوم را در اختیار آن‌ها قرار دهد. الکس مک کاو، کارشناس امنیتی و بنیان‌گذار شرکت Clearbit در مورد این حملات گفته است: «من این چنین حملاتی را در دنیای واقعی مشاهده کرده‌ام. شگردهای خاصی که باعث اغفال کاربران شده و آن‌ها را مجبور ساخته است که احراز هویت دو عاملی مرتبط با حساب کاربری گوگلی خود را منتشر سازند. » تصویر زیر نمونه‌ای از این مدل حملات که توسط الکس منتشر شده است را نشان می‌دهد:
تکنیک به کار رفته در این ترفند به این شرح است که ابتدا هکر پیام کوتاهی را برای کاربر ارسال کرده و وانمود می‌کند که این پیام از سوی گوگل ارسال شده است. این شگرد محدودیتی نداشته و در ارتباط با دیگر سرویس‌دهندگان خدمات ایمیلی یا شبکه‌های اجتماعی نیز می‌تواند مورد استفاده قرار گیرد. پیام به کاربر اعلام می‌دارد که گوگل این پیام را ارسال کرده و فعالیت‌های مشکوکی در ارتباط با حساب کاربری را شناسایی کرده است. اکنون گوگل از کاربر انتظار دارد تا کد احراز هویت دو عاملی خود را برای آن‌که حساب کاربری او قفل نشود برای این شرکت ارسال کند. کاربر با دیدن این پیام مضطرب شده و برای پیش‌گیری از بروز این چنین اتفاقی اقدام به ارسال کد می‌کند. در این مرحله هکر هر آن چیزی که برای هک حساب کاربری به آن نیاز داشته است را در اختیار دارد. هکرها از مشخصات احراز هویت کاربر و همچنین کدی که در این مرحله به دست آورده‌اند به راحتی برای دسترسی به حساب کاربر استفاده می‌کنند.
شاید با خود این‌گونه تصور کنید که هکرها به اعتبارنامه‌های کاربران نیاز دارند، اما واقعیت این است که آن‌ها همه این موارد را از مدت‌ها قبل به دست آورده‌اند. با توجه به هک‌ها و نفوذهایی که انجام شده است، دنیای تاریک وب مملو از این‌گونه اطلاعات شده است. ( گزارشی که در ارتباط با TeamViewer منتشر شده است را مطالعه کنید.) حتا در بعضی موارد انتشار غیر هوشمندانه شماره تلفن کاربران، به آسانی آن‌ها را تبدیل به قربانی هکرها می‌کند. در حالی که این روش حمله قدمتی طولانی دارد و بازیگران تهدید بارها از آن استفاده کرده‌اند، اما واقعیت این است که در موارد جدی‌تر هکرها ممکن است اقدام به جعل هویت کرده تا ارسال پیام‌ها برای قربانیان خود را واقعی‌تر نشان دهند.
امروز ما یک درس را آموختیم. هرگز کد احراز هویت دو عاملی خود را برای هیچ‌کس ارسال نکنید. حتا اگر پیام‌ها به ظاهر از سوی یک سرویس قانونی ارسال شده باشند.
منبع : آتینه گر
اگر قبلا در بیان ثبت نام کرده اید لطفا ابتدا وارد شوید، در غیر این صورت می توانید ثبت نام کنید.