[ad_1]
این نوع حملات دشمن در میانی به طور فزاینده ای رواج یافته است. به عنوان مثال ، در سال 2022 ، یک گروه واحد از آن در یک سری حملات استفاده کردند که بیش از 10،000 اعتبار از 137 سازمان به سرقت برد و منجر به سازش شبکه ارائه دهنده تأیید اعتبار Twilio شد.
یکی از شرکتی که در کمپین حمله مورد هدف قرار گرفت اما نقض نشده بود ، شبکه تحویل محتوا CloudFlare بود. دلیل عدم موفقیت این حمله به این دلیل است که از MFA بر اساس WebAuthn استفاده می کند ، استانداردی که باعث می شود PassKeys کار کند. خدماتی که از WebAuthn استفاده می کنند ، در صورت عدم مصونیت کاملاً در برابر حملات در میانی ، بسیار مقاوم هستند. دو دلیل برای این وجود دارد.
اول ، اعتبارنامه های Webauthn به صورت رمزنگاری به URL که آنها تأیید می شوند محدود می شوند. در مثال بالا ، اعتبارنامه کار می کند تنها در https://accounts.google.com. اگر یک قربانی سعی در استفاده از اعتبار برای ورود به https: //accounts.google.com.evilproxy[.]com ، هر بار ورود به سیستم شکست می خورد.
علاوه بر این ، احراز هویت مبتنی بر WebAuthn باید در مجاورت دستگاهی که قربانی برای ورود به حساب از آن استفاده می کند ، اتفاق بیفتد. این امر به این دلیل اتفاق می افتد که اعتبار نیز به صورت رمزنگاری به یک دستگاه قربانی محدود می شود. از آنجا که احراز هویت فقط در دستگاه قربانی اتفاق می افتد ، برای یک دشمن در وسط غیرممکن است که در واقع از آن در حمله فیشینگ به دستگاه خود استفاده کند.
فیشینگ به عنوان یکی از مهمترین مشکلات امنیتی با سازمان ها ، کارمندان و کاربران آنها ظاهر شده است. MFA در قالب یک رمز عبور یک بار یا اعلان های فشار سنتی ، قطعاً اصطکاک را به فرآیند فیشینگ اضافه می کند ، اما با حملات پراکسی در میانی آسان تر و شایع تر می شود ، اثربخشی این اشکال MFA به طور فزاینده ای در حال شکست است.
MFA مبتنی بر Webauthn به اشکال مختلفی ارائه می شود. یک کلید ، که به عنوان یک پاس کلید شناخته می شود ، در تلفن ، رایانه ، yubikey یا دانگل مشابه ذخیره می شود ، رایج ترین نمونه است. هزاران سایت اکنون از WebAuthn پشتیبانی می کنند و ثبت نام برای بیشتر کاربران نهایی آسان است. به عنوان یک نکته جانبی ، MFA مبتنی بر U2F ، استاندارد سلف Webauthn ، همچنین مانع از موفقیت در حمله دشمن در میانی می شود ، اگرچه دومی انعطاف پذیری و امنیت اضافی را فراهم می کند.
ارسال به روز شده برای افزودن جزئیات در مورد PassKeys.
[ad_2]
منبع:arstechnica
