在計算無處不在的時代,雙因子認證方式(2FA)可能不再安全!

2022-01-18 Linux中國

雙因子認證Two-Factor Authentication（2FA）是一種生物識別技術，是保護用戶在線數據的最強大的方法之一。兩位阿姆斯特丹大學的研究人員最新發現了一種新的攻擊方式，可以利用這種認證方式的設計缺陷讓用戶暴露在攻擊風險之中。

兩位研究人員 Radhesh Krishnan Konoth 和 Victor van der Even 說他們在 2014 年就發現了這個缺陷，已經警告了 Google 和其它的在線服務商，甚至還將他們的發現展示給了一些銀行，但是沒有人在意。

這兩位研究人員解釋說，因為到現在為止他們還沒有公開具體細節，所以許多人認為這個漏洞並不危險，不值得注意。但是他們有不同的看法。

設備間的應用同步是 2FA 的阿喀琉斯之踵

如他們所解釋，攻擊並不是由於軟體開發缺陷導致，而是由於 2FA  的設計缺陷導致的。現在有個概念叫做「計算無處不在」，讓應用和內容在設備之間可以同步，而如果攻擊者可以訪問受害者的 PC 就會讓 2FA 的保護失效。

由此，各種在線服務中的 2FA 認證機制的設計缺陷會讓攻擊者可以使用諸如 iTunes 或 Google Play 商店來將惡意應用推送到用戶的手機上，而不會觸發 2FA 認證系統，甚至可以在用戶手機的首屏上展示圖標。

當然，攻擊者首先得能將他的惡意應用通過 Google 和 Apple 的審查放到他們的應用商店，不過最近看起來這種情況已經比較常見了。

此外，這也需要攻擊者能夠完全訪問你的 PC，無論是可以直接接觸訪問，還是通過惡意軟體控制你的設備，以及偷竊了你的帳戶。

跨設備的應用同步本身並不是問題，問題是實現方式不對

無論如何，風險依然是存在的。研究人員稱，使用 2FA 的服務應該要非常注意在不同設備間的應用同步的實現方式。

在問及如何在 2FA 服務中修復這個問題，特別是對於使用這種服務的 Google 而言，研究人員說，最好的辦法是「將應用安裝過程（即提示用戶該應用的所需權限的地方）放到手機上去，而不是將它們放到瀏覽器中」。

更多的細節，可以看看下述視頻：

此處應有視頻，地址： https://dn-linuxcn.qbox.me/static%2Fvideo%2FHow%20Google%20killed%20two-factor%20authentication%20(by%20Victor%20van%20der%20Veen)-7WiE0cpsxv4.mp4

以及可以參考兩位研究人員的論文：「計算無處不在如何幹掉了你的基於手機的雙因子認證[1]」。

[1]: http://fc16.ifca.ai/preproceedings/24_Konoth.pdf

推薦文章

將文章分享給朋友是對我們最好的讚賞！

相關焦點

  • [教程] Laravel 下實現 Google 2fa 兩步認證(雙因子驗證)
    我最近在我工作的其中一個項目中實現了 雙因子認證.
  • FIDO 2.0時代: 無處不在的認證體驗
    擺在我們面前的有兩條路可選，要麼停止使用方便且天然具備唯一性的指紋、虹膜等生物特徵，要麼使用另一種認證方式，個人的生物特徵在本地安全存儲且任何應用無法獲取這些數據。顯然，前者並不可取，至少不適應目前技術發展的大趨勢。 FIDO聯盟是全球性的行業協作，致力於不依賴「共享秘密」解決傳統口令（password）給身份認證所帶來的弊端。
  • 雙因子身份認證機制的安全分析
    雙因子身份認證的推廣之所以受阻，主要是由於其需要使用額外的工具，而這一條件為IT和技術支持人員帶來了不小的負擔。其批評者還指出，這種安全保障措施仍然很容易遭受攻擊，即在非常小的時間周期內，這種技術很容易受到中間人（man-in-the-middle）攻擊（這也是採用嚴格SSL處理的主要原因）。
  • 等保2.0高風險判定系列 | 雙因子認證
    雙因子（或稱雙因素）認證一直是安全圈比較關注的一個話題，從等保1.0時期的關鍵評價指標項，到現在網絡安全等級保護、關鍵信息基礎設施、高風險判定指引，要求在各個層面的身份鑑別上均實現雙因子身份鑑別，可見對雙因子認證在日常應用的重視程度。 現代雙因子認證的起源，可追溯到一戰時期的英國情報局軍情6處M16，用於針對處理安全、防務、外事、經濟方面的事物情報、密碼情報。
  • 關於聯機插件雙因子認證
    最近很多小夥伴問我雙因子認證的事情，也就是登錄聯機插件後官方的提示信息,這個提示是警告您的帳戶沒有開啟雙因子認證不安全。
  • 雙因子認證也不可靠 警惕社會工程學攻擊
    您還可以搜索公眾號「D1net」選擇關注D1net旗下的各領域（雲計算，數據中心，大數據，CIO，企業協作，網絡數通，信息安全，企業移動應用，系統集成，伺服器，存儲，呼叫中心，視頻會議，視頻監控等）的子公眾號。=======當前，隨著網絡安全威脅的日益加深，關於用戶的安全認證機制也逐步完善中。
  • 下一代雙因子身份認證什麼樣?
    暴力破解攻擊可被各種形式的雙因子身份認證緩解，比如基於時間的令牌、簡訊和使用手機的身份認證。如今，新的競爭者出現了：通用雙因子身份認證(U2F)。U2F是線上快速身份認證(FIDO)聯盟支持的一個身份認證標準。FIDO聯盟成員涵蓋了技術產業頂級公司和廠商。U2F協議通過一鍵激活的USB令牌設備實現。U2F結合了質詢-響應身份認證和公鑰加密。
  • Docker Hub最強驗證方式,支持TOTP雙因子驗證
    ，TOTP）身分驗證，使用者可以在帳戶設定的安全選項中啟用，而在啟用雙因子驗證後，Docker CLI將要求使用個人存取令牌而非密碼登入。由於Docker Hub在現代應用程式開發中扮演關鍵的核心角色，因此他們正逐步加強系統的安全性，其中一項便是加入雙因子驗證，用來保護帳號的合法使用者，使用者登入帳戶不只要提供帳號密碼，還要額外提供能證明帳戶擁有權的信息，官方提到，由於Docker Hub有數百萬開發者以及企業在使用，因此他們選用較安全的雙因子模型TOTP，而另一種常用的SMS身分驗證，已經被證明存在許多被攻擊漏洞。
  • 谷歌即將默認開啟雙因子登錄認證
    現在大量黑客通過盜取google帳號密碼來控制帳號，為此Google即將採取一個重要的安全性提升步驟，進一步保護用戶們的帳戶安全。近期Google表示，如果用戶帳戶 "配置正確"，很快未來登錄帳號將默認啟用2FA（雙因子認證）。2FA（雙因子認證）是指結合密碼以及實物（信用卡、SMS手機、令牌或指紋等生物標誌）兩種條件對用戶進行認證的方法。一旦啟用2FA後，用戶登錄Google帳戶時除了常規的密碼輸入外，會在智能機上收到一個提示，來驗證登錄身份的合法性。
  • 2FA雙因子認證之OTP算法
    2FA雙因子認證之OTP算法
  • 身份認證之雙因素認證 2FA
    因此，如何保證操作者的物理身份和數字身份相對應，就成了一個至關重要的議題了，身份認證也因此在網際網路世界中起著舉足輕重的作用了。本文將會介紹目前很多網站常用的一種方式——雙因素認證（也叫兩步驗證，英語：Two-factor authentication，縮寫為 2FA）。
  • 如何為登錄和 sudo 設置雙因子認證
    因此，你必須想盡辦法保證你桌面系統和伺服器中數據的安全。結果，管理員和用戶就會創建極其複雜的密碼、使用密碼管理器甚至其它更複雜的東西。但是，如果我告訴你你可以只需要一步，至多兩步就能登錄到你的 Linux 伺服器或桌面系統中呢？多虧了 Google 身份驗證器[1]，現在你可以做到了。並且，配置也極其簡單。我會給你簡要介紹為登錄和 sudo 設置雙因子認證的步驟。
  • 前沿技術|移動互聯時代下的多因子身份認證技術解讀
    身份認證的演變經歷了按手印、支票籤名，再到現在的安全密碼認證、數字籤名、生物識別……身份認證技術的發展從來就沒有停止過。在移動網際網路時代，確保用戶身份安全是移動網際網路業務開展的安全基石，傳統身份認證方式顯然已無法滿足用戶身份認證過程中對安全性、準確性、靈活性等方面的更高要求，個人身份認證技術亟需革新升級。
  • 使用Google Authenticator開啟伺服器的多因子認證登錄
    多因子其實就是在用戶名密碼的基礎上再增加一層驗證，就好比銀行APP，除了用戶名密碼之外還可能需要手機驗證碼或者人臉識別才能最終登錄成功。今天分享的多因子認證登錄伺服器是在ssh登錄伺服器時不僅需要用戶名密碼，還需要一個手機上的動態碼，同時驗證通過後才能成功登錄，以此來增加伺服器的安全性。
  • 雙因素認證2FA--想說愛你不容易
    雙因素身份驗證(2FA)是推特針對帳戶洩露的最強保護措施之一。啟用2FA可以確保即使帳戶口令被洩露(可能是由於在其他不太安全的網站上重複使用了您的Twitter口令)，攻擊者仍將被阻止登錄用戶的帳戶。網絡安全專家可能是一群脾氣暴躁的人。這些爭論和爭議持續了幾十年(有人提出負責任的信息披露嗎?)，而且很難從所有利益相關者中找到關於最佳風險緩解決策的共識。
  • 深夜有料 | 多因子身份認證技術在企業中有哪些應用場景?
    深夜有料提起身份認證，我們會想到生活中的籤名、指紋等識別措施。在網際網路數字世界中，傳統單一的身份認證方式已經無法滿足用戶對安全性、靈活性、準確性等更高的要求。大數據、人工智慧等技術的催生，多因子身份認證成為用戶安全的重要保障。
  • 攻擊雙因素認證(2FA)的11種方式
    雖然許多緩解措施中都包含「啟用雙因素認證」這樣一條建議，但是千萬別就此以為雙因素認證（2FA）是完全安全的。所謂認證（authentication）就是確認用戶的身份，是網站登錄必不可少的步驟。其中，密碼是最常見的認證方法，但是不安全，容易洩露和冒充。不可否認，與普通密碼相比，2FA具有其獨到優勢，並且正在加大部署於各種網絡和服務中。
  • 黑客可以克隆Google Titan 2FA安全密鑰,涉及我國飛天系列產品
    硬體安全密鑰被認為是保護帳戶免受網絡釣魚和網絡接管攻擊的最安全手段之一，屬於雙因素認證中用戶擁有認證硬體。在我國網絡安全等級保護相關標準中，雙因素認證已成為關鍵設備的必要要求，若缺少雙因素認證則直接影響測評報告結論。對等級保護工作開展有疑問需要諮詢的朋友，可以關注我以及私信聯繫我。
  • 安全認證|「我的帳號被盜了?!」
    2021年2月15日，阿里旗下 Ant Design https://ant.design 404，之後官方推特向GitHub反饋發布聲明，稱相關工作人員帳號失竊，項目進行了轉移。今天就借這個事件，來跟小夥伴們聊聊安全認證以及2FA在國內的現狀。想必小夥伴們對認證(authentication)這一說法都不陌生。
  • 【觀察】華為:打造多樣性算力,開創計算新時代
    對此，華為智能計算全球Marketing部長師斌認為，當計算進入到智能時代將具備三個特徵：支撐AI高速發展的暴力計算、小到智能耳機大到智慧城市無處不在的計算，以及端邊雲高效協同的計算將成為新的發展趨勢，具體而言：