Сегодня 02 сентября 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Хакеры научились обходить многофакторную авторизацию FIDO

Киберпреступники нашли способ кражи учётных данных для авторизации на сайтах даже в тех случаях, когда такая авторизация первоначально предусматривает работу с физическими ключами. Для этого они подключают резервный механизм входа через QR-коды — он срабатывает лишь в определённых сценариях.

 Источник изображения: charlesdeluvio / unsplash.com

Источник изображения: charlesdeluvio / unsplash.com

Ключи FIDO представляют собой аппаратные или программные средства аутентификации, которые при помощи криптографических решений обеспечивают безопасный вход на сайты и в приложения. Они выступают в качестве инструментов многофакторной авторизации, не позволяющих хакерам получать доступ к целевым аккаунтам, даже если они завладели учётными данными. Чтобы использовать аутентификатор, в большинстве случаев его необходимо физически подключить; но в некоторых случаях предусмотрен механизм сканирования QR-кода — он подвержен взлому при помощи атаки типа «посредник-злоумышленник» (AitM).

Начальный этап атаки — фишинговое письмо, рассказали эксперты по кибербезопасности из компании Expel. Переход по ссылке из этого письма ведёт на целевую страницу, имитирующую внешний вид и функции стандартной процедуры авторизации. Обычно после ввода учётных данных требуется подключить физический ключ FIDO, но в сценарии хакеров потенциальной жертве выводится QR-код. Аварийное срабатывание резервного способа входа провоцируется искусственно — в фоновом режиме злоумышленники запрашивают «вход с нескольких устройств». Когда жертва сканирует QR-код, производится вход, и киберпреступники успешно входят в систему.

Лучший способ защититься от такой атаки — включить функцию проверки непосредственной близости через Bluetooth, чтобы QR-коды срабатывали только на смартфоне, который находится рядом с компьютером пользователя. Можно также обучить работников компании выявлять подозрительные страницы входа, например, по URL-адресу. Наконец, ещё одним индикатором взлома могут служить подозрительные авторизации с помощью QR-кодов и новые регистрации FIDO — их можно отследить силами профильного отдела в компании.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
MWS Cloud в 1,5 раза увеличила мощности GPU-облака для искусственного интеллекта 23 мин.
«Даже не мог представить, что такое возможно»: моддер взялся переносить The Elder Scrolls III: Morrowind в Elden Ring 55 мин.
Кодзима приоткроет завесу тайны над будущими играми в честь 10-летия Kojima Productions 3 ч.
Календарь релизов — 1 – 7 сентября: Hollow Knight: Silksong, Cronos: The New Dawn и Metal Eden 4 ч.
Выбор часов и минут в будильнике iPhone оказался не циклом, а длинным списком с неожиданным концом 5 ч.
Чем ближе Silksong, тем выше пиковый онлайн Hollow Knight — метроидвания достигла 71 тысячи одновременных игроков в Steam 6 ч.
Королевская битва Battlefield 6 засветилась в новой геймплейной утечке с закрытого тестирования 7 ч.
Джеймс Бонд выходит из тени: Sony скоро покажет 30 минут геймплея шпионского боевика 007 First Light от создателей Hitman 8 ч.
Windows 11 растеряла популярность в августе, но не уступила лидерство Windows 10 8 ч.
Россиянам больше нельзя искать экстремизм в интернете, рекламировать VPN и размещать рекламу в Instagram 9 ч.