آيا احراز هويت دو عامله يك راهحل صحيح براي جلوگيري هر نوع نفوذگري است؟ يك پيام كوتاه ميتواند براي به دست گرفتن حساب كاربري شما در گوگل به كار گرفته شود.
بعد از نفوذهاي اخير به دادهها كه عليه غولهاي فناوري (براي مثال MySpace، لينكدين، توئيتر) صورت گرفت، كارشناسان امنيتي كاربران را دعوت ميكنند تا از به اشتراكگذاري اعتبارنامههاي ورود خود روي وبگاههاي متعدد جلوگيري كنند و اگر قابليت احراز هويت دوعامله (۲FA) وجود دارد، آن را فعال كنند.
آيا احراز هويت دو عامله، راهحل صحيحي براي هر نوع از نفوذ است؟
البته كه نه، بسيار مهم است كه فرض كنيم وضعيت امنيتي مناسب، هوشياري از وقوع تهديدات است، فرايند احراز هويت دو عامله ميتواند توسط راههاي متعدد دور زده شود، براي مثال با استفاده از بدافزار يا از طريق حملات مهندسي اجتماعي.
احراز هويت دو عامله به شدت امنيت شما را بهبود ميبخشد، حتي هنگامي كه نفوذگران موفق به سرقت گذرواژه شما شوند، باز هم نياز دارند تا عامل دوم را براي كامل كردن فرايند احراز هويت در اختيار داشته باشند. متأسفانه، آنها ميتوانند اين عامل دوم را با فريب كاربران براي افشاي آن در اختيار بگيرند.
كارشناسان در مورد تكنيكهاي حملهاي هشدار دادهاند كه آنها در حملات واقعي ديدهاند. اين ترفندها كمك ميكند تا كاربران فريفته شوند و كد احراز هويت دو عامله خود را براي حساب گوگل افشا كنند. مثلاً يك مهاجم يك پيام كوتاه براي كاربر ارسال و تظاهر ميكند كه از طرف شركت ارسال شده است. همچنين اين ترفند در صورتي كه كاربر از ساير ارائهدهندگان خدمات استفاده كند، در آنها نيز كار ميكند.
اين پيام به كاربر ميگويد كه ارائهدهنده خدمات كه در اينجا شركت گوگل است، فعاليتهاي مشكوكي را در حساب كاربر مشاهده كرده است و اكنون شركت از قرباني ميخواهد تا كد احراز هويت دو مرحلهاي را براي اجتناب از قفل شدن حساب براي او پيامك كند.
قرباني براي جلوگيري از بروز مشكل، اين كد را پس ميفرستد و تصور ميكند كه در حال تلاش براي خنثي كردن حمله است.
در اين لحظه، همه آنچه را كه لازم دارد براي كنترل حساب قرباني در دست دارد.
نفوذگر از مشخصات احراز هويت و كد دو مرحلهاي استفاده كرده و از طريق فرايند گفته شده ميتواند به حساب كاربر دسترسي پيدا كند.
شما تصور ميكنيد كه مهاجمان نياز به داشتن اعتبارنامههايي دارند، اما آنها در اين مورد مشكلي ندارند چراكه باندهاي زيرزميني بعد از نفوذهاي متعددي كه صورت گرفته است، پر از اين گونه اطلاعات افشا شده هستند. در بسياري از موارد، دادههاي افشا شده شامل شماره تلفن نيز ميباشد، در اين گونه موارد حمله كردن نفوذگران به شما در حد يك تفريح است.
پس هرگز كدهاي احراز هويت عامل دوم خود را براي كسي پيامك نكنيم، حتي اگر به نظر برسد كه آن را براي يكي از خدمات قانوني و مطمئن ارسال ميكنيم.
منبع: سراج
