Вы можете подумать, что включение двухфакторной аутентификации в вашей учетной записи делает ее на 100% безопасной. Двухфакторная аутентификация^{(Two-factor authentication)} является одним из лучших способов защиты вашей учетной записи. Но вы можете быть удивлены, узнав, что ваша учетная запись может быть взломана, несмотря на то, что включена двухфакторная аутентификация. В этой статье мы расскажем вам о различных способах, с помощью которых злоумышленники могут обойти двухфакторную аутентификацию.

Что такое двухфакторная аутентификация^{(Authentication)} (2FA)?

Прежде чем мы начнем, давайте посмотрим, что такое 2FA. Вы знаете, что вам нужно ввести пароль, чтобы войти в свою учетную запись. Без правильного пароля вы не сможете войти в систему. 2FA — это процесс добавления дополнительного уровня безопасности к вашей учетной записи. После его включения вы не сможете войти в свою учетную запись, введя только пароль. Вы должны выполнить еще один шаг безопасности. Это означает, что в 2FA веб-сайт проверяет пользователя в два этапа.

Читайте^(Read) . Как включить двухэтапную аутентификацию в учетной записи Microsoft^{(How to Enable 2-step Verification in Microsoft Account)} .

Как работает 2ФА?

Давайте разберемся с принципом работы двухфакторной аутентификации. 2FA требует, чтобы вы подтвердили себя дважды. Когда вы введете свое имя пользователя и пароль, вы будете перенаправлены на другую страницу, где вам нужно будет предоставить второе подтверждение того, что вы являетесь реальным человеком, пытающимся войти в систему. Веб-сайт может использовать любой из следующих методов проверки:

OTP (одноразовый пароль)

После ввода пароля веб-сайт предлагает вам подтвердить свою личность, введя OTP , отправленный на ваш зарегистрированный номер мобильного телефона. После ввода правильного OTP вы можете войти в свою учетную запись.

Быстрое уведомление

Оперативное уведомление отображается на вашем смартфоне, если он подключен к Интернету. Вы должны подтвердить себя, нажав на кнопку « Да^(Yes) ». После этого вы войдете в свою учетную запись на своем ПК.

Резервные коды

Резервные^(Backup) коды полезны, когда два вышеуказанных метода проверки не работают. Вы можете войти в свою учетную запись, введя любой из резервных кодов, загруженных из вашей учетной записи.

Приложение для аутентификации

В этом методе вы должны подключить свою учетную запись к приложению-аутентификатору. Всякий раз, когда вы хотите войти в свою учетную запись, вы должны ввести код, отображаемый в приложении для проверки подлинности, установленном на вашем смартфоне.

Есть еще несколько методов проверки, которые может использовать веб-сайт.

Читайте^(Read) : Как добавить двухэтапную аутентификацию в свою учетную запись Google^{(How To Add Two-step Verification To Your Google Account)} .

Как хакеры могут обойти двухфакторную аутентификацию^{(Two-factor Authentication)}

Несомненно, 2FA делает вашу учетную запись более безопасной. Но есть еще много способов, которыми хакеры могут обойти этот уровень безопасности.

1] Кража файлов cookie^{(Cookie Stealing)} или перехват сеанса^{(Session Hijacking)}

Кража файлов cookie или захват сеанса^{(Cookie stealing or session hijacking)} — это метод кражи файлов cookie сеанса пользователя. Как только хакеру удастся украсть файл cookie сеанса, он может легко обойти двухфакторную аутентификацию. Злоумышленникам известно множество методов захвата, таких как фиксация сеанса, перехват сеанса, межсайтовый скриптинг, атака вредоносного ПО и т. д. Evilginx входит в число популярных фреймворков, которые хакеры используют для проведения атаки «человек посередине». В этом методе хакер отправляет пользователю фишинговую ссылку, которая ведет его на страницу входа через прокси. Когда пользователь входит в свою учетную запись с помощью 2FA, Evilginx фиксирует его учетные данные для входа вместе с кодом аутентификации. Так как OTPистекает после его использования, а также действителен в течение определенного периода времени, нет смысла перехватывать код аутентификации. Но у хакера есть файлы cookie сеанса пользователя, которые он может использовать для входа в свою учетную запись и обхода двухфакторной аутентификации.

2] Генерация дублирующегося кода

Если вы использовали приложение Google Authenticator , вы знаете, что оно генерирует новые коды через определенное время. Google Authenticator и другие приложения для аутентификации работают по определенному алгоритму. Генераторы случайных^(Random) кодов обычно начинают с начального значения для генерации первого числа. Затем алгоритм использует это первое значение для генерации остальных кодовых значений. Если хакер сможет понять этот алгоритм, он сможет легко создать дубликат кода и войти в учетную запись пользователя.

3] Грубая сила

Brute Force — это метод генерации всех возможных комбинаций паролей. Время взлома пароля методом полного перебора зависит от его длины. Чем длиннее пароль, тем больше времени потребуется для его взлома. Как правило, коды аутентификации имеют длину от 4 до 6 цифр, хакеры могут попытаться обманным путем обойти 2FA. Но сегодня вероятность успеха атак грубой силы меньше. Это связано с тем, что код аутентификации остается действительным только в течение короткого периода времени.

4] Социальная инженерия

Социальная инженерия — это метод, с помощью которого злоумышленник пытается обмануть разум пользователя и заставляет его вводить свои учетные данные для входа на поддельной странице входа. Независимо от того, знает злоумышленник ваш логин и пароль или нет, он может обойти двухфакторную аутентификацию. Как? Давайте посмотрим:

Рассмотрим первый случай, когда злоумышленник знает ваш логин и пароль. Он не может войти в вашу учетную запись, потому что вы включили 2FA. Чтобы получить код, он может отправить вам электронное письмо с вредоносной ссылкой, вызывая у вас страх, что ваш аккаунт может быть взломан, если вы не предпримете немедленных действий. Когда вы нажмете на эту ссылку, вы будете перенаправлены на страницу хакера, которая имитирует подлинность исходной веб-страницы. Как только вы введете пароль, ваша учетная запись будет взломана.

Теперь давайте возьмем другой случай, когда хакер не знает вашего имени пользователя и пароля. Опять же^(Again) , в этом случае он отправляет вам фишинговую ссылку и крадет ваше имя пользователя и пароль вместе с кодом 2FA.

5] ОАут

Интеграция OAuth^(OAuth) предоставляет пользователям возможность войти в свою учетную запись, используя стороннюю учетную запись. Это известное веб-приложение, которое использует токены авторизации для подтверждения личности между пользователями и поставщиками услуг. Вы можете рассматривать OAuth как альтернативный способ входа в свои учетные записи.

Механизм OAuth работает следующим образом:

1. Сайт A запрашивает у сайта B^{(Site B)} (например , Facebook ) токен аутентификации.
2. Сайт B^{(Site B)} считает, что запрос сгенерирован пользователем, и проверяет учетную запись пользователя.
3. Затем сайт B^{(Site B)} отправляет код обратного вызова и позволяет злоумышленнику войти в систему.

В приведенных выше процессах мы видели, что злоумышленнику не требуется подтверждать себя через 2FA. Но для того, чтобы этот механизм обхода работал, хакер должен иметь имя пользователя и пароль учетной записи пользователя.

Так хакеры могут обойти двухфакторную аутентификацию учетной записи пользователя.

Как предотвратить обход 2FA?

Хакеры действительно могут обойти двухфакторную аутентификацию, но в каждом методе им требуется согласие пользователей, которое они получают, обманывая их. Без обмана пользователей обход 2FA невозможен. Поэтому^(Hence) следует позаботиться о следующих моментах:

• Прежде чем переходить по любой ссылке, пожалуйста, проверьте ее подлинность. Вы можете сделать это, проверив адрес электронной почты отправителя.
• Создайте надежный пароль^{(Create a strong password)} , содержащий комбинацию букв, цифр и специальных символов.
• Используйте^(Use) только подлинные приложения для аутентификации, такие как аутентификатор Google , аутентификатор Microsoft и т. д.
• Загрузите^(Download) и сохраните резервные коды в надежном месте.
• Никогда не доверяйте фишинговым письмам, которые хакеры используют для обмана пользователей.
• Никому не сообщайте коды безопасности.
• Установите^(Setup) ключ безопасности в своей учетной записи, альтернатива 2FA.
• Продолжайте регулярно менять пароль.

Прочтите^(Read) : Советы по предотвращению доступа хакеров к вашему компьютеру с Windows^{(Tips to Keep Hackers out of your Windows computer)} .

Вывод

Двухфакторная аутентификация — это эффективный уровень безопасности, защищающий вашу учетную запись от взлома. Хакеры всегда хотят получить возможность обойти 2FA. Если вы знаете о различных механизмах взлома и регулярно меняете свой пароль, вы можете лучше защитить свою учетную запись.

How Hackers can get around Two-factor Authentication

You may thіnk that enabling two-factor authentication on yoυr acсount makеs it 100% ѕecure. Two-factor authentication is among the best methods to protect your account. But you may be surprised to hear that your account can be hijacked despite enabling two-factor authentication. In this article, we will tell you the different ways by which attackers can bypass two-factor authentication.

What is Two-factor Authentication (2FA)?

Before we begin, let’s see what 2FA is. You know that you have to enter a password to log into your account. Without the correct password, you cannot log in. 2FA is the process of adding an extra security layer to your account. After enabling it, you cannot log into your account by entering the password only. You have to complete one more security step. This means in 2FA, the website verifies the user in two steps.

Read: How to Enable 2-step Verification in Microsoft Account.

How Does 2FA Work?

Let’s understand the working principle of two-factor authentication. The 2FA requires you to verify yourself two times. When you enter your username and password, you will be redirected to another page, where you have to provide a second proof that you are the real person trying to log in. A website can use any of the following verification methods:

OTP (One Time Password)

After entering the password, the website tells you to verify yourself by entering the OTP sent on your registered mobile number. After entering the correct OTP, you can log into your account.

Prompt Notification

Prompt notification is displayed on your smartphone if it is connected to the internet. You have to verify yourself by tapping on the “Yes” button. After that, you will be logged into your account on your PC.

Backup Codes

Backup codes are useful when the above two methods of verification won’t work. You can log into your account by entering any one of the backup codes you have downloaded from your account.

Authenticator App

In this method, you have to connect your account with an authenticator app. Whenever you want to log into your account, you have to enter the code displayed on the authenticator app installed on your smartphone.

There are several more methods of verification that a website can use.

Read: How To Add Two-step Verification To Your Google Account.

How Hackers can get around Two-factor Authentication

Undoubtedly, 2FA makes your account more secure. But there are still many ways by which hackers can bypass this security layer.

1] Cookie Stealing or Session Hijacking

Cookie stealing or session hijacking is the method of stealing the session cookie of the user. Once the hacker gets success in stealing the session cookie, he can easily bypass the two-factor authentication. Attackers know many methods of hijacking, like session fixation, session sniffing, cross-site scripting, malware attack, etc. Evilginx is among the popular frameworks that hackers use to perform a man-in-the-middle attack. In this method, the hacker sends a phishing link to the user that takes him to a proxy login page. When the user logs into his account using 2FA, Evilginx captures his login credentials along with the authentication code. Since the OTP expires after using it and also valid for a particular time frame, there is no use in capturing the authentication code. But the hacker has the user’s session cookies, which he can use to log into his account and bypass the two-factor authentication.

2] Duplicate Code Generation

If you have used the Google Authenticator app, you know that it generates new codes after a particular time. Google Authenticator and other authenticator apps work on a particular algorithm. Random code generators generally start with a seed value to generate the first number. The algorithm then uses this first value to generate the remaining code values. If the hacker is able to understand this algorithm, he can easily create a duplicate code and log into the user’s account.

3] Brute Force

Brute Force is a technique to generate all the possible password combinations. The time for cracking a password using brute force depends on its length. The longer the password is, the more time it takes to crack it. Generally, the authentication codes are from 4 to 6 digits long, hackers can try a brute force attempt to bypass the 2FA. But today, the success rate of brute force attacks is less. This is because the authentication code remains valid only for a short period.

4] Social Engineering

Social Engineering is the technique in which an attacker tries to trick the user’s mind and forces him to enter his login credentials on a fake login page. No matter whether the attacker knows your username and password or not, he can bypass the two-factor authentication. How? Let’s see:

Let’s consider the first case in which the attacker knows your username and password. He cannot log into your account because you have enabled 2FA. To get the code, he can send you an email with a malicious link, creating a fear in you that your account can be hacked if you do not take immediate action. When you click on that link, you will be redirected to the hacker’s page that mimics the authenticity of the original webpage. Once you enter the passcode, your account will be hacked.

Now, let’s take another case in which the hacker does not know your username and password. Again, in this case, he sends you a phishing link and steals your username and password along with the 2FA code.

5] OAuth

OAuth integration provides users with a facility to log into their account using a third-party account. It is a reputed web application that uses authorization tokens to prove identity between the users and service providers. You can consider OAuth an alternate way to log into your accounts.

An OAuth mechanism works in the following way:

1. Site A requests Site B (e.g. Facebook) for an authentication token.
2. Site B considers that the request is generated by the user and verifies the user’s account.
3. Site B then sends a callback code and lets the attacker sign in.

In the above processes, we have seen that the attacker does not require to verify himself via 2FA. But for this bypass mechanism to work, the hacker should have the user’s account username and password.

This is how hackers can bypass the two-factor authentication of a user’s account.

How to prevent 2FA bypassing?

Hackers can indeed bypass the two-factor authentication, but in each method, they need the users’ consent which they get by tricking them. Without tricking the users, bypassing 2FA is not possible. Hence, you should take care of the following points:

• Before clicking on any link, please check its authenticity. You can do this by checking the sender’s email address.
• Create a strong password that contains a combination of alphabets, numbers, and special characters.
• Use only genuine authenticator apps, like Google authenticator, Microsoft authenticator, etc.
• Download and save the backup codes at a safe place.
• Never trust phishing emails that hackers use to trick the users’ minds.
• Do not share security codes with anyone.
• Setup security key on your account, an alternative to 2FA.
• Keep changing your password regularly.

Read: Tips to Keep Hackers out of your Windows computer.

Conclusion

Two-factor authentication is an effective security layer that protects your account from hijacking. Hackers always want to get a chance to bypass 2FA. If you are aware of different hacking mechanisms and change your password regularly, you can protect your account better.

Related posts

• Как включить Two-Factor Authentication в Discord

• Как правильно настроить параметры восстановления и резервного копирования для двухфакторной аутентификации

• Как установить Drupal с помощью WAMP на Windows

• Best Software & Hardware Bitcoin Wallets для Windows, iOS, Android

• Setup Internet Radio Station бесплатно на Windows PC

• Automate.io - бесплатная альтернатива automation tool and IFTTT

• Приложение Session Messaging предлагает сильную безопасность; Требуется номер No phone!

• Как Encrypt и добавьте пароли до документов LibreOffice

• Как создать Самозаверяющие SSL Certificates в Windows 10

• Лучшие возможности в LibreOffice Calc

• Best Laptop Tables купить онлайн

• Online Reputation Management Tips, Tools & Services

• Что такое Virtual Credit Cards и как и где вы их получаете?

• Лучшие инструменты для отправки SMS бесплатно с вашего компьютера

• Microsoft Identity Manager: Особенности, Download

• Cyber Monday & Black Friday Sale Советы по магазинам Вы хотите следовать

• Что такое Magnet link и как открыть Magnet link S в браузере

• Disqus comment коробка не загружается или показ на веб-сайт

• Zip file слишком большая ошибка при загрузке файлов из DropBox

• Best Laptop Backpacks для Men and Women