39 روش جدید برای دور زدن احراز هویت رمز عبور را کشف کنید

در حال حاضر، حداقل 39 روش مستند شده عمومی برای دور زدن احراز هویت رمز عبور، مسیرهای حمله، تکنیک های تحقیق و سناریوهای بهره برداری وجود دارد.

بر اساس این گزارش خدمات امنیت سایبری یک مرحله ایاز آنجایی که در ابتدا با وعده امنیت بالا معرفی شد. جایگزینی رمزهای عبور با رمزنگاری کلید عمومی، اتصال اعتبار به یک سرویس قانونی، نگه داشتن کلید خصوصی از سرور، و در نتیجه به طور قابل توجهی دشوارتر است، طیف گسترده ای از حملات فیشینگ و سرقت اعتبار که برای چندین دهه امنیت سازمان را تهدید کرده است. همه این اظهارات هنوز درست هستند، اما مدل محاوره ای امنیت postkey به سرعت در حال تغییر است.

بسیاری از روش‌ها برای دور زدن احراز هویت رمز عبور دارای ابزارهای اثبات مفهوم عملیاتی یا تحقیقات منتشر شده‌ای هستند که نحوه پیاده‌سازی دقیق آنها را نشان می‌دهد و برخی نیز در الگوهای حمله در دنیای واقعی مشاهده شده‌اند.

این موضوع به این معنا نیست که تمام 39 روش توسط مجرمان عملیاتی شده است، اما نشان می دهد که چارچوب حملات به طور کلی در حال توسعه است و مهاجمان دیگر نیازی به توسعه این تکنیک ها از ابتدا ندارند. مهم‌تر از آن، این تحقیق یک تمایز اساسی را برای سازمان‌ها نشان می‌دهد: حتی اگر رمزنگاری داخلی FIDO2 کاملاً دست نخورده باقی بماند، امنیت حساب کاربری که رمز عبور از آن محافظت می‌کند همچنان می‌تواند به خطر بیفتد.

بیشتر بخوانید: کدام شرکت‌ها از احراز هویت مبتنی بر پین پشتیبانی نمی‌کنند؟

هدف دیگر فقط خودت نیست

مسیر احراز هویت مدرن پس از مدتی از تعداد قابل توجهی از مرزهای اعتماد عبور می کند. این زنجیره می تواند شامل برنامه وب، مرورگر، سیستم عامل، مدیر رمز عبور، سرویس همگام سازی ابری، دستگاه تلفن همراه، لایه انتقال بلوتوث، سیستم بازیابی حساب، فرآیند ثبت نام، واحد پشتیبانی و در نهایت کاربری که احراز هویت می کند، باشد. SpecterOps در تحقیقات Passkey را پاس کنید اهمیت این مشکل را نشان داده است. یکی از مهمترین مشاهدات این تحقیق این است که بدافزار نیازی به استخراج کلید خصوصی ندارد. یک برنامه مخرب ویندوز می تواند از زیرساخت قانونی WebAuthn برای ایجاد یک ادعای امضا شده درخواست کند. کاربر با اینترفیسی روبرو می شود که همان فرآیند تایید رسمی ویندوز است، مراحل احراز هویت را انجام می دهد و در نهایت مهاجم ادعای تولید شده را دریافت می کند. کلید خصوصی هرگز از محل امن خود خارج نشده است. هیچ کس رمزگذاری را کرک نکرده است، اما فرآیند احراز هویت با موفقیت دستکاری شده است. درک این تمایز برای درک مدل تهدید و پسامنیتی حیاتی است.

حتی اعلان های فشار نیز هدف قرار می گیرند

چندین مورد از 39 تکنیک مستند شده، رابط کاربری حول فرآیند احراز هویت پین را هدف قرار می دهند. تاکنون، محققان تکنیک‌هایی از جمله بمب‌گذاری اعلان‌های پس از کلید، جعل رابط کاربری اعتبار، جعل ابرداده برنامه، جعل دسته پنجره، فیشینگ پست کلید از راه دور دسکتاپ و حملات همپوشانی به رابط FIDO را نشان داده‌اند. این وضعیت یادآور مشکلی است که صنعت امنیت پیش از این با احراز هویت چند عاملی مبتنی بر فشار مواجه بود. کاربران به اعلان‌های احراز هویت عادت می‌کنند و هنگامی که احراز هویت به یک تعامل بصری و روزمره تبدیل شد، مهاجمان می‌توانند این تعاملات را فعال، تکرار، پنهان یا زمان‌بندی کنند.

SpecterOps ابزاری را نشان داده است که قادر به فراخوانی مکرر دستورات قانونی برای احراز هویت پس از کلید در ویندوز است. محققان همچنین تکنیک‌هایی را نشان داده‌اند که باعث می‌شود فعالیت احراز هویت مخرب به‌گونه‌ای به نظر برسد که گویی از برنامه‌ای نشات گرفته است که کارمند قبلاً به آن اعتماد دارد. نکته کلیدی این است که مقاومت فیشینگ در سطح پروتکل رمزنگاری به تنهایی تضمین نمی کند که کل زنجیره اطراف آن پروتکل، از جمله سیستم عامل، مرورگر، برنامه کاربردی و رابط کاربری، در برابر فریب مصون باشد.

رمز عبور قابل اشتراک گذاری سطح حمله را گسترش می دهد

توانایی به اشتراک گذاری، همگام سازی، صادرات، بازیابی یا انتقال داده ها بین دستگاه ها سطح حمله را به طور چشمگیری افزایش می دهد. فهرست حملات مستند در حال حاضر شامل مواردی است که از Vaults همگام‌سازی شده، ربوده شدن حساب‌های اپل یا گوگل، ربودن مکانیسم‌های بازیابی ابری، سرقت یا به خطر افتادن تلفن، بدافزارهای موبایل، دستگاه‌های روت شده، دستکاری احراز هویت ترکیبی، سرقت صادرات KeePassXC و Bitwarden، سرقت در حین تبادل اعتبار مرورگرها و حملات مخرب مرتبط با بلوتوث، و حملات مخرب مرتبط با مرورگر AP، دزدی یا به خطر افتادن تلفن همراه است. این در درجه اول یک مشکل رمزنگاری نیست، بلکه یک مشکل معماری است.

هنگامی که یک اعتبارنامه می تواند بین دستگاه ها جابجا شود، از طریق یک حساب ابری همگام سازی شود، طاق گذاری شود، با استفاده از هویت دیگری بازیابی شود، یا از طریق مکانیزم دیگری بازیابی شود، مرز امنیتی آن بسیار فراتر از Authenticator اصلی گسترش می یابد. در این شرایط، مهاجم دیگر نیازی به شکستن FIDO2 ندارد. برای به خطر انداختن یک جزء به اندازه کافی قابل اعتماد در اکوسیستم اطراف کافی است. بنابراین، یک رمز عبور همگام شده می تواند از رمزگذاری بسیار قوی بهره مند شود، اما همچنان نقاط ضعف گوشی، سیستم عامل، مدیر رمز عبور، حساب ابری، مرورگر، فرآیند بازیابی و زیرساخت همگام سازی مسئول مدیریت آن را به ارث می برد.

ثبت و بازیابی امنیت postkey را به خطر می اندازد

برخی از مهم ترین حملات حتی برای سرقت کیف پول های موجود طراحی نشده اند. مهاجم یک postkey جدید ایجاد می کند. تکنیک های منتشر شده عبارتند از Shadow Passkey، Vishing در فرآیند ثبت نام، ثبت دستگاه مهاجم، ثبت رمز عبور کنترل شده مهاجم، تصاحب میز راهنمایی، سوء استفاده موقت از اعتبار، بازیابی مبتنی بر سیم کارت، Reverse Vishing و حملات مبتنی بر بهانه در فرآیند مهاجرت.

فرض کنید یک مهاجم کنترل کافی بر حساب یک کارمند به دست آورد تا فرآیند قانونی ثبت حساب جدید را آغاز کند. در این سناریو، مهاجم به جای استخراج اعتبار موجود کارمند، یک اعتبار کاملا جدید را در دستگاه تحت کنترل خود ثبت می کند. هیچ چیزی از Authenticator موجود خراب نشده و چیزی به سرقت نرفت. سرویس قانونی خود یک اعتبار کاملا معتبر برای مهاجم ایجاد می کند. این منجر به یک اصل مهم فزاینده در زمینه هویت می شود: زمانی که ثبت نام، جایگزینی، بازیابی و ثبت دستگاه توسط استاندارد امنیتی یکسان محافظت نمی شود، احراز هویت مقاوم در برابر فیشینگ کافی نیست.

برای مطالعه بیشتر: Postkey جایگزین رمز عبور و احراز هویت SMS در ویندوز 11 می شود

سخت افزار بیومتریک اختصاصی برای احراز هویت پین

راه‌حل‌های مبتنی بر سخت‌افزار بیومتریک اختصاصی رویکردی کاملاً متفاوت با کلید عبور ذخیره‌شده در دستگاه‌های همه منظوره دارند. یک Authenticator بیومتریک اختصاصی می‌تواند اعتبار خصوصی را در سخت‌افزار امن خود بدون همگام‌سازی ابری، بدون مکانیزم صادرات و بدون وابستگی به مدیر رمز عبور برای انتقال اعتبار بین دستگاه‌ها ذخیره کند. احراز هویت می‌تواند علاوه بر حضور فیزیکی Authenticator در نزدیکی نقطه پایانی درخواست‌کننده، به اثر انگشت زنده روی خود Authenticator نیز نیاز داشته باشد. مهمتر از آن، یک احراز هویت اختصاصی به یک سیستم عامل همه منظوره سنتی، فروشگاه برنامه، مرورگر یا نمایشگر نیاز ندارد. این تمایز بخش بسیار زیادی از سطح حمله را حذف می کند.

هیچ برنامه شخص ثالثی وجود ندارد که مهاجم بتواند آن را با نسخه مخرب جایگزین کند. هیچ اکوسیستمی از برنامه‌های افزودنی مرورگر برای نفوذ وجود ندارد و هیچ نمایشگری وجود ندارد که بدافزار بتواند یک رابط احراز هویت فریبنده را روی آن نمایش دهد. همچنین خبری از سیستم عامل مصرف کننده پر از برنامه های غیر مرتبط، مجوزها، خدمات پس زمینه و وابستگی های مختلف به آپدیت نیست. Authenticator تنها مجموعه بسیار محدودی از عملکردهای امنیتی مشخص شده را انجام می دهد و هیچ کار دیگری را انجام نمی دهد.

این معماری اساساً اقتصاد حمله به دستگاه را تغییر می دهد. مهاجم به جای تلاش برای نفوذ به یک محیط محاسباتی با هدف کلی و گسترده، با یک دستگاه سخت افزاری کاملاً کنترل شده روبرو می شود که برای محافظت از اعتبارنامه های رمزگذاری شده و احراز هویت بیومتریک طراحی شده است. همچنین، این معماری فرآیند احراز هویت با پین را در برابر دستکاری کارکنان مقاوم‌تر می‌کند. ممکن است یک کارمند توسط مهندسی اجتماعی متقاعد شود که از یک وب سایت بازدید کند، به یک تماس تلفنی پاسخ دهد یا دستورالعمل های فردی را که به عنوان پشتیبانی فنی معرفی می شود، دنبال کند. اما مهندسی اجتماعی نمی تواند یک برنامه سرکش را روی سخت افزار نصب کند که برنامه های معمولی را اجرا نمی کند. همچنین نمی تواند نمایشگری را که وجود ندارد دستکاری کند یا از طریق سرویس ابری Synchronize که Authenticator از آن استفاده نمی کند، اعتبارنامه را دستکاری کند. از این منظر، سخت افزار بیومتریک اختصاصی با طراحی مناسب، امنیت کیف پول را افزایش می دهد.

پیکربندی صحیح برای امنیت احراز هویت با کلید عبور

سخت افزار اختصاصی به تنهایی کافی نیست. سرویس Relying Party نیز باید برای حفظ مدل امنیتی مورد نظر پیکربندی شود. در محیط‌های حساس سازمانی، Authentication و Enrollment باید به کلاس‌های Authenticator محدود شود. طرف متکی باید هویت Authenticator را تأیید کند، تأیید کاربر را اجرا کند، چالش‌ها و جلسات را به درستی تأیید کند، از مکانیسم‌های مناسب برای محافظت از شمارنده امضا استفاده کند و از تبدیل شدن روش‌های ضعیف‌تر به مسیرهای بازگشتی برای احراز هویت جلوگیری کند. ثبت نام و بازیابی نیاز به توجه ویژه دارد. افزودن یک احراز هویت جدید به جای اثبات کنترل حساب از طریق کانال بازیابی ضعیف‌تر، باید به اثبات مالکیت از طریق یک احراز هویت از پیش مجاز نیاز داشته باشد.

اگر به درستی پیکربندی شود، این معماری مانع از به خطر انداختن امنیت کلید با استفاده از لپ‌تاپ، تلفن، نرم‌افزار Vault یا سایر کلیدهای امنیتی می‌شود. تصاحب حساب ابری نیز اعتباری را در اختیار مهاجم قرار نمی دهد. به خطر انداختن Password Manager نیز آن را فاش نمی کند و بدافزارهای تلفن همراه نمی توانند Authenticator را آلوده کنند. یک برنامه مخرب را نمی توان بر روی آن نصب کرد و همچنین یک مهاجم راه دور نمی تواند ترکیب مورد نیاز سخت افزار اختصاصی، تأیید بیومتریک، حضور فیزیکی و تعامل قانونی با سرویس را برای احراز هویت جعل کند.

حتما بخوانید: گوگل امکان تعویض پسورد بین اپلیکیشن ها را به اندروید می آورد

39 روش به ما چه می گویند؟

وجود 39 روش حمله منتشر شده برای احراز هویت رمز عبور به این معنی نیست که رمزگذاری FIDO2 شکست خورده است. این موضوع از بسیاری جهات حتی خلاف آن را نیز نشان می دهد. محققان اغلب نرم‌افزار، سیستم‌های همگام‌سازی، فرآیندهای ثبت‌نام، سیستم‌های عامل، مرورگرها، مکانیسم‌های بازیابی و انسان‌های اطراف اعتبار را مورد هدف قرار می‌دهند، زیرا سخت‌افزار رمزنگاری که به درستی پیاده‌سازی شده‌اند بسیار دشوارتر است که مستقیماً شکست بخورد. این باید به مدیران امنیتی نشان دهد که مرز بعدی امنیت postkey باید کجا باشد.

برای هویت‌های سازمانی با ارزش، اعتبارنامه‌ها نباید آزادانه بین دستگاه‌های مصرف‌کننده و اکوسیستم‌های ابری قابل اشتراک‌گذاری باشند. این اعتبارنامه ها باید به سخت افزار بیومتریک اختصاصی، شخص احراز هویت شده، خدمات حقوقی، و فرآیند ثبت نام و بازیابی تحت کنترل سازمان باشد. Postkey بخش بزرگی از مشکل امنیت رمز عبور را حل می کند، اما 39 حمله منتشر شده نشان می دهد که مهاجمان اکنون کجا را هدف قرار می دهند. سخت‌افزار بیومتریک اختصاصی که به‌درستی پیاده‌سازی شده باشد، از ثبت‌نام تا احراز هویت و بازیابی، تقریباً کل سطح حمله محیطی را قبل از اینکه مهاجم فرصتی برای سوء استفاده از آن داشته باشد، حذف می‌کند.