Modlishka – כלי הדיוג החדש שממקד ל- 2FA

חוקר האבטחה הפולני פיוטר דושינסקי שיחרר לאחרונה כלי לבדיקת חדירה בשם Modlishka. כלי זה מציע למשתמשים שלו אפשרות לזייף אימות דו גורמי. בעבר נשמר כמלך האבטחה, החודשים האחרונים הראו כי 2FA עשוי להיות לא בטוח כמו שאתה מקווה. המשך לקרוא כדי להבין מה היא / עושה Modlishka וכיצד עליך להמשיך באבטחת חשבונך.


Modlishka - כלי הדיוג החדש שממקד ל- 2FA

Modlishka – כלי הדיוג החדש שממקד ל- 2FA

מה זה מודלישקה?

Modlishka הוא כלי פרוקסי הפוך שמאפשר לתוקף להערים על מטרה להעניק להם את הסיסמה ואת קוד ה- 2FA שלהם..

הרשה לי להסביר.

במילים אחרות, זהו פרוקסי שעומד בין משתמש לאתר המיועד לו. במקום להציג את היעד אתר מזויף לחלוטין, ה- Proxy מציג למשתמשים תוכן בפועל מהאתר האמיתי. זה מקשה מאוד על מישהו להבין שהוא הונאה.

מודלישקה מיירט את כל התעבורה העוברת הלוך ושוב מהמשתמש לאתר. במילים אחרות, תוקף יכול לראות את הסיסמה ואת קוד האימות שמשתמש מכניס, ולגשת בזמן אמת לחשבון האמיתי של הקורבן..

הכלי הוא ממקור פתוח וניתן להוריד אותו מגיתוב, ולמרות שהוא מכוון לחוקרי האבטחה White Hat אין שום דבר שמונע מהאקר להשתמש גם בכלי..

האם עלי להפסיק להשתמש ב- 2FA?

בהחלט לא.
כן, ניתן להתפשר על 2FA, אבל זה לא אומר שאופציה טובה יותר היא פשוט לא להיות בעלת שום מאפיין אבטחה נוסף. חשבו על זה, אם אני אומר לכם שגנב יכול לחתוך את המנעול הקדמי של ביתכם בעזרת כלי ריתוך, האם זה אומר שמנעול דלת הכניסה שלכם לא חשוב? לא. כמו שהוא, 2FA הוא עדיין תקן בענף, ויש דברים שאתה יכול לעשות כדי לחזק את האימות שלך.

חוקרי אבטחה עדיין ממליצים מאוד להשתמש ב- 2FA. הם כן מסכימים שהתכונה אינה הסוף לכל האבטחה העתידית, אך זהו צעד בכיוון הנכון.

באופן כללי, כל אמצעי האבטחה המקוונים עוברים משחק חתול ועכבר אכזרי בין מומחי אבטחה לשחקנים רעים. זה תמיד מירוץ למצוא פגיעות לתיקון או לרעה. זה לא אמור להרתיע אתכם משימוש בתכונות האבטחה שהמומחים מציעים.

עם זאת, זה צריך להבהיר מאוד שמשתמשי האינטרנט מחויבים להישאר מעודכנים ככל האפשר על האבטחה המקוונת שלהם. חלפו הימים שבהם אנו יכולים פשוט להשתמש בשירות מבלי לבצע מחקר משלנו, והודיע ​​לנו על המתרחש בעולם האלקטרוני זה הצעד החשוב ביותר שתוכלו לנקוט בכדי להגן על ביטחונכם..

כיצד לשמור על חשבונותיי מאובטחים

ישנם עדיין דברים שאתה יכול לעשות כדי לוודא שאתה מגן על עצמך מפני כלים כמו מודלישקה. על סמך מודל האיום של כלי זה, הנה שני דברים שאתה יכול להשתמש בהם כדי לעזור לך להגן על חשבונותיך:

השתמש ב- UFA במקום ב- 2FA

כפי שציינתי לעיל, Modlishka מזייף את 2FA.

ליתר דיוק, זה מזויף את קודי ה- 2FA שיש למשתמש להזין. בין אם אתה מקבל את הקוד באמצעות SMS (לא אמין מאוד) או באמצעות מחולל קוד, העובדה שאתה צריך להקליד אותו שוב היא שהופכת את 2FA לפגיע.

אם אתה משתמש באינטרנט בעל פרופיל גבוה או מישהו שיש לו הרבה מה להפסיד בכך שהוא לא מאבטח את חשבונותיהם, אני מציע ללכת על אסימוני 2FA: 2FA האולטימטיבי.

אסימוני 2FA הם הרבה יותר אמינים מאשר מחוללי קוד מכיוון שהם מבוססי חומרה. אינך צריך להקליד שום דבר, אתה רק צריך לחבר את האסימון. הם עובדים על משהו שנקרא פרוטוקול U2F (אימות Universal 2nd Factor), שמציע למשתמש מפתח אוניברסלי אחד לאימות כל החשבונות שלו..

עד כה, יש רק שתי חברות שמייצרות אסימוני U2F אלה: גוגל ויוביקו.

עם זאת, אתה צריך לרכוש את המפתחות האלה בפועל והם לא בדיוק זולים. לכן אני מציע לך לעבור את הצעד הזה אם אתה נמצא בסיכון גבוה לפריצה. עם זאת, מדובר במוצרים המאובטחים ביותר שתוכלו להשיג היום. אימות מסוג זה גם הופך את Modlishka לאילם, מכיוון שאין שום דבר שההאקר יכול לזייף.

האסימונים עובדים לבד. כל שעליך לעשות הוא להשתמש באימות USB או Bluetooth (Google לבדה מציעה את התכונה הזו) ואתה מוגדר.

השתמש במנהל סיסמאות

אז, Modlishka זה הוא כלי מבוסס פישינג. במילים אחרות, כל המטרה היא להערים על המשתמש לחשוב שהוא מקליד את הסיסמה ואת קוד ה- 2FA האסימון שלו באתר אינטרנט לגיטימי. במילים אחרות, אם הצלחת להבין שהאתר שאתה מסתכל עליו הוא מזויף לא תיפול לתרמית.

כדי שתוקף ישתמש במ Modlishka, הוא צריך לרשום שם דומיין מותאם אישית לאתר שאתה בסופו של דבר רואה. באופן מציאותי, אם אתה מנסה להיכנס ל- Gmail אבל אתה מופנה לאתר המשתמש בשם דומיין שונה משל Gmail, זה כנראה אתר דיוג, נכון?

ימין. העניין הוא שאנשים בדרך כלל לא בודקים שמות מתחם. בני אדם הם יצורים של הרגל. אני לא מצפה מכולכם להתחיל פתאום לבדוק מחדש כל אתר בו אתם משתמשים כדי לראות אם שם הדומיין הוא מדויק.

עם זאת, אני סוג של בנקאות על הרעיון שאתה משתמש במנהל סיסמאות ששומר עבורך את הסיסמאות שלך, או שהסכמת “לזכור את הסיסמה” בדפדפן ברירת המחדל שאתה משתמש בו..

אם היית רגיל לפתוח את ג’ימייל ולמצוא את הסיסמה שלך שהוקלדת כבר, אתה תיפטר קצת אם זה לא יקרה, נכון? ובכן, האתרים המזוייפים של מודלישקה לא מכילים את הסיסמאות השמורות שלך … מה שאומר שתוכל להגיד שמשהו לא בסדר ולעצור בעצמך למסור לתוקף את כל המידע שהם רוצים.

אם אתה חושש לשמור סיסמא בדפדפן, השתמש במקום זאת במנהל סיסמאות. בעיקרון זה עושה את אותו הדבר ומזרז את תהליך הכניסה אליו. זה פשוט, במחיר סביר ועוזר לך לראות מתי אתר מתחפש למידע שלך..

מודלישקה והאיום ל -2FA – מחשבות אחרונות

שמע, אבטחת האינטרנט תמיד עסקה בניסיון לתפוס פגיעויות לפני שהאקר יכול. זה תהליך מתמשך, אבל זה בכלל לא “קרב אבוד”. הדבר הטוב ביותר שאנחנו יכולים לעשות הוא לוודא שאנחנו מתעדכנים בעקביות בכל קמפיין דיוג חדש. היותו של משתמש מושכל עוזר לך להגביל את כמות הטעות האנושית, מה שהופך אותך למטרה קשה לביצוע הונאות דיוג.
מה אתה חושב על הכלי החדש הזה? אתה חושב שהמומחה שהפך אותו צריך היה לקבל אותו במיקור פתוח? הודע לי בתגובות למטה.

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me