मोडलिस्का – नया फ़िशिंग टूल जो लक्ष्य 2FA है

पोलिश सुरक्षा शोधकर्ता पिओटर डस्ज़िनस्की ने हाल ही में एक प्रवेश परीक्षण उपकरण जारी किया जिसे मोदिल्स्का कहा जाता है। यह टूल अपने उपयोगकर्ताओं को टू फैक्टर ऑथेंटिकेशन को खराब करने की क्षमता प्रदान करता है। पूर्व में सुरक्षा राजा के रूप में उल्लिखित, हाल के महीनों ने दिखाया है कि 2FA आपके लिए उतनी सुरक्षित नहीं होगी जितनी आप उम्मीद कर रहे हैं। यह समझने के लिए पढ़ें कि मोदिलस्का क्या है / करता है और आपको अपनी खाता सुरक्षा के साथ कैसे आगे बढ़ना चाहिए.


मोडलिस्का - नया फ़िशिंग टूल जो लक्ष्य 2FA है

मोडलिस्का – नया फ़िशिंग टूल जो लक्ष्य 2FA है

क्या है मोडलिशका??

Modlishka एक रिवर्स-प्रॉक्सी टूल है जो एक हमलावर को अपना पासवर्ड और उनका 2FA कोड देने के लिए एक टारगेट को रौंदने की अनुमति देता है.

मुझे समझाने दो.

दूसरे शब्दों में, यह एक प्रॉक्सी है जो एक उपयोगकर्ता और उनकी इच्छित साइट के बीच में है। लक्ष्य को पूरी तरह से खराब हो चुकी वेबसाइट दिखाने के बजाय, प्रॉक्सी उपयोगकर्ता को वास्तविक वेबसाइट से वास्तविक सामग्री दिखाता है। इससे किसी के लिए यह पता लगाना बहुत मुश्किल हो जाता है कि उनके साथ कोई घोटाला किया जा रहा है.

Modlishka उपयोगकर्ता से वेबसाइट पर आगे और पीछे जाने वाले सभी ट्रैफ़िक को स्वीकार करता है। दूसरे शब्दों में, एक हमलावर उस पासवर्ड और प्रमाणीकरण कोड को देख सकता है जिसे उपयोगकर्ता डालता है और वास्तविक समय में पीड़ित के वास्तविक खाते तक पहुंच प्राप्त करता है।.

यह उपकरण खुला-खस्ता है और इसे गिथब से डाउनलोड किया जा सकता है, और जब इसे व्हाइट हैट सुरक्षा शोधकर्ताओं को लक्षित किया जाता है, तो एक हैकर को टूल का उपयोग करने से कुछ भी नहीं रोकता है।.

क्या मुझे 2FA का उपयोग बंद कर देना चाहिए?

बिलकुल नहीं.
हां, 2FA से समझौता किया जा सकता है, लेकिन इसका मतलब यह नहीं है कि एक बेहतर विकल्प केवल अतिरिक्त सुरक्षा सुविधा नहीं है। इसके बारे में सोचें, अगर मैं आपको बताऊं कि एक चोर आपके घर के सामने के ताले को वेल्डिंग उपकरण से काट सकता है, तो क्या इसका मतलब है कि आपके सामने वाले दरवाजे का ताला महत्वपूर्ण नहीं है? नहीं, जैसा कि 2FA अभी भी एक उद्योग मानक है, और ऐसी चीजें हैं जो आप अपने प्रमाणीकरण को ठोस बनाने के लिए कर सकते हैं.

सुरक्षा शोधकर्ता अभी भी 2FA का उपयोग करने की अत्यधिक सलाह देते हैं। वे इस बात से सहमत हैं कि यह सुविधा भविष्य की सभी सुरक्षा के लिए अंतिम नहीं है, लेकिन यह सही दिशा में एक कदम है.

सामान्य तौर पर, सभी ऑनलाइन सुरक्षा उपाय सुरक्षा विशेषज्ञों और बुरे अभिनेताओं के बीच एक शातिर बिल्ली और चूहे के खेल से गुजरते हैं। यह हमेशा फिक्स या दुरुपयोग के लिए भेद्यता खोजने की दौड़ है। विशेषज्ञों द्वारा बताई गई सुरक्षा सुविधाओं का उपयोग करने से आपको यह हतोत्साहित नहीं करना चाहिए.

हालांकि, यह बहुत स्पष्ट होना चाहिए कि इंटरनेट उपयोगकर्ताओं का दायित्व है कि वे अपनी ऑनलाइन सुरक्षा के बारे में यथासंभव जानकारी रखें। वे दिन आ गए हैं जब हम बिना किसी शोध के केवल एक सेवा का उपयोग कर सकते हैं, और इस बात की जानकारी दी जा सकती है कि ई-दुनिया में क्या चल रहा है, यह आपकी सुरक्षा की रक्षा के लिए सबसे महत्वपूर्ण कदम है।.

मेरे खातों को कैसे सुरक्षित रखें

अभी भी कुछ चीजें हैं जो आप यह सुनिश्चित करने के लिए कर सकते हैं कि आप खुद को मोडलिस्का जैसे टूल से बचा रहे हैं। इस उपकरण के खतरे के मॉडल के आधार पर, यहां दो चीजें हैं जिनका उपयोग आप अपने खातों की सुरक्षा में मदद कर सकते हैं:

2FA के बजाय UFA का उपयोग करें

जैसा कि मैंने ऊपर उल्लेख किया है, मोडलिशका 2FA को खराब करता है.

अधिक विशेष रूप से, यह 2FA कोड को बिगाड़ता है जिसे एक उपयोगकर्ता को इनपुट करना पड़ता है। आप एसएमएस द्वारा कोड प्राप्त करते हैं (अत्यधिक अविश्वसनीय) या कोड जनरेटर के माध्यम से, इस तथ्य को कि आपको इसे वापस टाइप करने की आवश्यकता है, जो 2FA को कमजोर बनाता है.

यदि आप एक उच्च प्रोफ़ाइल इंटरनेट उपयोगकर्ता हैं या कोई ऐसा व्यक्ति है जिसके पास अपने खातों को सुरक्षित नहीं रखने के लिए बहुत कुछ है, तो मैं सुझाव देता हूं कि अंतिम 2FA: 2FA टोकन.

2FA टोकन कोड जनरेटर की तुलना में बहुत अधिक विश्वसनीय हैं क्योंकि वे हार्डवेयर-आधारित हैं। आपको कुछ भी लिखने की आवश्यकता नहीं है, आपको बस टोकन को प्लग इन करने की आवश्यकता है। वे U2F प्रोटोकॉल (यूनिवर्सल 2 फैक्टर ऑथेंटिकेशन) नामक कुछ पर काम करते हैं, जो उपयोगकर्ता को उनके सभी खातों को सत्यापित करने के लिए एक सार्वभौमिक कुंजी प्रदान करता है।.

अब तक, इन U2F टोकन बनाने वाली केवल 2 कंपनियां हैं: Google और Yubico.

आपको वास्तव में इन कुंजियों को खरीदने की आवश्यकता है, हालांकि, और वे बिल्कुल सस्ते नहीं हैं। यही कारण है कि मेरा सुझाव है कि यदि आप हैक होने के लिए उच्च जोखिम में हैं तो आप इस कदम से गुजरें। हालांकि, ये सबसे सुरक्षित उत्पाद हैं जो आप आज प्राप्त कर सकते हैं। इस तरह के प्रमाणीकरण से मोदीस्कूल म्यूट का भी प्रतिपादन होता है, क्योंकि ऐसा कुछ भी नहीं है जिसे हैकर खराब कर सकता है.

टोकन अपने आप काम करते हैं। आपको बस USB या ब्लूटूथ प्रमाणीकरण का उपयोग करना है (Google अकेले यह सुविधा प्रदान करता है) और आप सेट हैं.

पासवर्ड मैनेजर का उपयोग करें

तो, यह Modlishka एक फ़िशिंग-आधारित उपकरण है। दूसरे शब्दों में, किसी उपयोगकर्ता को अपने पासवर्ड में टाइप करने और एक वैध वेबसाइट पर 2FA टोकन / कोड के बारे में सोचना एक उपयोगकर्ता को धोखा देना है। दूसरे शब्दों में, यदि आप यह पता लगाने में कामयाब रहे कि जिस साइट को आप देख रहे हैं वह नकली है तो आप घोटाले के लिए गिर नहीं सकते.

एक हमलावर के लिए Modlishka का उपयोग करने के लिए, उन्हें उस साइट के लिए एक कस्टम डोमेन नाम पंजीकृत करने की आवश्यकता है जिसे आप देख रहे हैं। यदि आप Gmail में लॉग इन करने का प्रयास कर रहे हैं, लेकिन आप किसी ऐसी साइट पर निर्देशित हैं, जो Gmail से भिन्न डोमेन नाम का उपयोग करती है, तो शायद एक फ़िशिंग वेबसाइट है, सही?

सही। बात यह है कि, लोग आमतौर पर डोमेन नामों की जांच नहीं करते हैं। मनुष्य आदत का प्राणी है। मुझे उम्मीद है कि डोमेन नाम सटीक है या नहीं, यह देखने के लिए आप हर साइट की अचानक जाँच शुरू कर देंगे.

हालाँकि, मैं इस विचार पर कायम हूं कि आप या तो एक पासवर्ड मैनेजर का उपयोग करते हैं जो आपके लिए आपके पासवर्ड को सहेजता है, या आप उस डिफ़ॉल्ट ब्राउज़र में “पासवर्ड को याद रखने” के लिए सहमत हैं जिसका आप उपयोग करते हैं.

यदि आप जीमेल खोलने और अपना पासवर्ड पहले से टाइप करने की कोशिश कर रहे हैं, तो आपको थोड़ा सा फेकना होगा अगर ऐसा नहीं होता है, ठीक है? ठीक है, मोडलिस्का की खराब हो चुकी साइटों पर आपके सहेजे गए पासवर्ड नहीं हैं … जिसका अर्थ है कि आप यह बता पाएंगे कि कुछ गलत है और हमलावर को किसी भी जानकारी को सौंपने से रोक सकते हैं।.

यदि आप किसी ब्राउज़र पर पासवर्ड सहेजने के बारे में चिंतित हैं, तो इसके बजाय एक पासवर्ड प्रबंधक का उपयोग करें। यह मूल रूप से एक ही काम करता है और लॉग इन करने की प्रक्रिया को तेज करता है। यह सरल, सस्ती और आपको यह देखने में मदद करता है कि कोई साइट आपकी जानकारी के लिए फ़िशिंग कर रही है या नहीं।.

मोडलिस्का और थ्रेट टू 2 एफए – अंतिम विचार

सुनो, इंटरनेट सुरक्षा हमेशा एक हैकर से पहले कमजोरियों को पकड़ने की कोशिश कर रहा है। यह एक सतत प्रक्रिया है, लेकिन यह एक “खोई हुई लड़ाई” नहीं है। सबसे अच्छी बात यह है कि हम यह सुनिश्चित कर सकते हैं कि हम किसी भी नए फ़िशिंग अभियान के साथ लगातार अपडेट रहें। एक सूचित उपयोगकर्ता होने के नाते आपको मानवीय त्रुटि की मात्रा को सीमित करने में मदद मिलती है, जिससे आपको फ़िशिंग स्कैम के लिए एक कठिन लक्ष्य बना दिया जाता है.
आप इस नए टूल के बारे में क्या सोचते हैं? क्या आपको लगता है कि जिस विशेषज्ञ ने इसे बनाया है, उसे खुले-खट्टे होना चाहिए? मुझे नीचे टिप्पणी में बताये.

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me