Продолжаем публиковать кейсы наших экспертов-участников конкурса Pentest Awards. Поздравляем Виктора Зварыкина, который с рассказом "4911" стал фаворитом года по версии жюри (да-да, есть и такая награда, вне номинаций)!
Уникальная история обхода средств защиты, написанная Виктором в жанре киберпанк и предназначенная для чтения за большой кружкой лавандового рафа, опубликована на нашем Гитхабе в авторской редакции.
А здесь мы предлагаем краткую версию этого кейса в повседневном изложении, буквально на шот эспрессо:
– Работы по пентесту проходили в большой финансовой компании. Одна из задач – проверка получения доступа в личный кабинет клиента финансовой организации и доступа к чувствительной информации.
На этапе OSINT-разведки был обнаружен веб-интерфейс для входа в личный кабинет посредством ввода логина и пароля. Поискали в открытых источниках и нашли валидную учетную запись.
В приложении использовался второй фактор для аутентификации, и его требовалось обойти. Отправили на удачу цифровое значение "4911". Да, это звучит как фантастика, но обход получился с первой попытки: значение было принято приложением как валидное. Таким образом и был получен доступ в личный кабинет клиента.
Как избежать подобных атак:
– Мониторьте утечки данных из публичных источников и регулярно меняйте пароли пользователей.
– Считается, что двухфакторная аутентификация значительно повышает безопасность, но данный кейс показывает, что невозможное возможно. Поэтому логичным решением будет увеличение количества необходимых числовых значений во втором факторе с 4-х до 6-ти, что понизит вероятность обхода.
– А ещё лучше внедрить MFA вместо 2FA, ведь злоумышленники уже давно научились обходить двухфакторку самыми разными способами.
Уникальная история обхода средств защиты, написанная Виктором в жанре киберпанк и предназначенная для чтения за большой кружкой лавандового рафа, опубликована на нашем Гитхабе в авторской редакции.
А здесь мы предлагаем краткую версию этого кейса в повседневном изложении, буквально на шот эспрессо:
– Работы по пентесту проходили в большой финансовой компании. Одна из задач – проверка получения доступа в личный кабинет клиента финансовой организации и доступа к чувствительной информации.
На этапе OSINT-разведки был обнаружен веб-интерфейс для входа в личный кабинет посредством ввода логина и пароля. Поискали в открытых источниках и нашли валидную учетную запись.
В приложении использовался второй фактор для аутентификации, и его требовалось обойти. Отправили на удачу цифровое значение "4911". Да, это звучит как фантастика, но обход получился с первой попытки: значение было принято приложением как валидное. Таким образом и был получен доступ в личный кабинет клиента.
Как избежать подобных атак:
– Мониторьте утечки данных из публичных источников и регулярно меняйте пароли пользователей.
– Считается, что двухфакторная аутентификация значительно повышает безопасность, но данный кейс показывает, что невозможное возможно. Поэтому логичным решением будет увеличение количества необходимых числовых значений во втором факторе с 4-х до 6-ти, что понизит вероятность обхода.
– А ещё лучше внедрить MFA вместо 2FA, ведь злоумышленники уже давно научились обходить двухфакторку самыми разными способами.