Szerző: Hlács Ferenc

2018. augusztus 2. 12:38

A kétlépcsős védelem nyitott kaput a Reddit-adatlopás előtt

A támadók az SMS-es azonosítást használták ki, forráskódot, felhasználói adatokat vittek.

Adatlopás áldozata lett a Reddit, amelyhez a támadók épp az oldal védelmét erősíteni hivatott SMS-alapú kétfaktoros beléptetést használták ki. Az akció során az oldal belső adatai mellett felhasználónevek, email címek és titkosított jelszavak is kiszivárogtak.

A Reddit kapcsolódó blogposztja szerint a támadást június 14. és 18. között hajtották végre, méghozzá néhány alkalmazott a cég által használt egyik felhőszolgáltatónál kezelt fiókjának feltörésével. Noha a vállalat minden érintett helyen kétfaktoros beléptetést használt, ennek SMS-re építő variánsa sebezhető, a támadást épp az azonosító kódot tartalmazó SMS-ek elcsípésével hajtották végre ismeretlenek. Hogy ezeket az üzeneteket a támadók pontosan hogy tudták megszerezni, azt a vállalat egyelőre nem részletezte, a Krebs on Security értesülései szerint mindenesetre a támadók nem közvetlenül az alkalmazottak telefonjait vették ostrom alá.

Főleg régi adatokat vittek a támadók

A támadók az akció során az oldal egy korábbi biztonsági másolatának megszerzésével a Reddit minden 2007 előtti adatához hozzáfértek, beleértve a fiókazonosítókat, a hozzájuk tartozó, hashelt jelszavakat, email címeket és nyilvános, valamint privát üzeneteket is. Mindezek mellett a Reddit forráskódja, belső napló- és konfigurációs fájlok és az alkalmazottakra vonatkozó adatok is kiszivárogtak. A vállalat minden érintett felhasználót értesített az ügyről, továbbá jelszavaik megváltoztatására is kötelezi őket.

redditill

De a 2007 után regisztrált felhasználók sincsenek teljes biztonságban, az adatszivárgásban ugyanis a 2018 június 3. és 17. között kiküldött emailes összefoglalók is a támadók birtokába kerültek. A szolgáltatásra feliratkozott felhasználók számára kiküldött összefoglalók az adott hét legnépszerűbb releváns posztjait és tartalmait gyűjtik csokorba - a levelek alapján pedig összeköthető az egyes felhasználók Redditen használt neve és valós email címe. Aki nem iratkozott fel a hírlevélre nincs veszélyben, az érintett felhasználók esetében viszont aggodalomra adhat okot az email és a felhasználónév potenciális összekötése. Ha például egy felhasználó anonim módon szándékozott AMA-t (Ask Me Anything - kérdezz bármit) tartani az oldalon az adott téma érzékenysége miatt, most a támadók felhasználónevét összeköthetik email címével is, ami nagyban megkönnyítheti a felhasználó személyazonosságának meghatározását.

Miért a Go a legjobban vágyott programozási nyelv? (x)

A HackerRank 2020-as kutatása szerint a legtöbb fejlesztő a Go-t tanulja majd meg legújabb nyelvének - nézzük miért!

Miért a Go a legjobban vágyott programozási nyelv? (x) A HackerRank 2020-as kutatása szerint a legtöbb fejlesztő a Go-t tanulja majd meg legújabb nyelvének - nézzük miért!

A keserű tapasztalatok után a Reddit mindenkit arra biztat, kerülje az SMS-re építő kétlépcsős azonosítást, és váltson valamilyen tokenalapú megoldásra. Az SMS-ben egyszer használatos beléptetőkódot küldő szolgáltatások hiányosságai már jó ideje ismertek, azok többek között phising támadásokkal is kijátszhatók.

A SIM-csere és a számhordozás is népszerű a támadók körében

Népszerűnek számít például az "SIM-csere", mikor a támadók az adott felhasználó által használt mobilszolgáltató ügyfélszolgálatán magukat az áldozatnak kiadva szereznek új SIM-et az eredeti telefonszámmal. Ehhez hasonló eljárás, mikor ugyancsak a szám tulajdonosa nevében a telefonszám átvitelét kérvényezik egy másik szolgáltatóhoz - a mobilszolgáltatás mindkét módszer sikeres kivitelezése esetén megszűnik az áldozat készülékén, a beléptető SMS-ek pedig a támadókhoz érkeznek.

Ennek megfelelően bár az online szolgáltatások zöme felajánlja az SMS-es kétlépcsős beléptetést mint lehetőséget, jellemzően valamilyen más módszert javasolnak a bejelentkeztetés második részének, például fizikai azonosítótokent vagy épp dedikált autentikációs alkalmazást, mint a Google Authenticator. Ezek közül is inkább az első, vagyis a tokenre építő megoldás jelent nagyobb védelmet, hiszen az appok által generált kódokat egy-egy kártékony szoftverrel fertőzött készülékről az eltökéltebb támadók elhalászhatják. A tokeneket egyelőre viszonylag kevés online szolgáltatás támogatja, szerencsére azonban a nagyok már felvették azt opcióik közé, beleértve a Facebookot, a Google-t, a Dropboxot és a GitHubot is.

A vállalat a történteket már jelezte az illetékes hatóságok felé, akikkel a nyomozásban is együttműködik, továbbá már megköveteli a vállalaton belül a fizikai azonosító tokenek használatát. A Reddit felhasználóinak érdemes ellenőrizni privát üzeneteiket, hogy kaptak-e értesítést az oldaltól a támadás kapcsán, a cég továbbá azokat is a jelszavaik megváltoztatására bátorít, akik nem érintettek az ügyben.

Regisztrálj az ingyenes Cloud-native és DevOps tippek nagyvállatoknak konferenciára, ahol a Red Hat és az Alerant szakértői bemutatják a Kubernetes, OpenShift, microservice architektúrák gyakorlati alkalmazását!

a címlapról

privátháló

2

VPN-nel bővül a Google One

2020. október 30. 11:52

A vaskosabb előfizetésekhez a Google új, ajándék VPN szolgáltatást is hozzácsap.