Možno si myslíte, že aktivácia dvojfaktorovej autentifikácie na vašom účte ho robí 100% bezpečným. Dvojfaktorová autentifikácia^{(Two-factor authentication)} patrí medzi najlepšie spôsoby ochrany vášho účtu. Možno vás však prekvapí, že váš účet môže byť unesený aj napriek povolenej dvojfaktorovej autentifikácii. V tomto článku vám povieme, akými rôznymi spôsobmi môžu útočníci obísť dvojfaktorovú autentifikáciu.

Čo je to dvojfaktorová autentifikácia^{(Authentication)} (2FA)?

Skôr ako začneme, pozrime sa, čo je 2FA. Viete, že na prihlásenie do účtu musíte zadať heslo. Bez správneho hesla sa nemôžete prihlásiť. 2FA je proces pridávania ďalšej bezpečnostnej vrstvy do vášho účtu. Po jeho povolení sa nemôžete prihlásiť do svojho účtu iba zadaním hesla. Musíte vykonať ešte jeden bezpečnostný krok. To znamená, že v 2FA web overí používateľa v dvoch krokoch.

Prečítajte si^(Read) : Ako povoliť verifikáciu v dvoch krokoch v účte Microsoft^{(How to Enable 2-step Verification in Microsoft Account)} .

Ako funguje 2FA?

Poďme pochopiť princíp fungovania dvojfaktorovej autentifikácie. 2FA vyžaduje, aby ste sa overili dvakrát. Keď zadáte svoje používateľské meno a heslo, budete presmerovaní na inú stránku, kde musíte poskytnúť druhý dôkaz, že ste skutočná osoba, ktorá sa pokúša prihlásiť. Webová stránka môže použiť ktorúkoľvek z nasledujúcich metód overenia:

OTP (jednorazové heslo)

Po zadaní hesla vám webová stránka povie, aby ste sa overili zadaním OTP zaslaného na vaše registrované mobilné číslo. Po zadaní správneho OTP sa môžete prihlásiť do svojho účtu.

Prompt Notification

Ak je váš smartfón pripojený k internetu, zobrazí sa výzva na upozornenie. Musíte sa overiť klepnutím na tlačidlo „ Áno^(Yes) “. Potom budete prihlásení do svojho účtu v počítači.

Záložné kódy

Záložné^(Backup) kódy sú užitočné, keď vyššie uvedené dva spôsoby overenia nefungujú. Do svojho účtu sa môžete prihlásiť zadaním ktoréhokoľvek zo záložných kódov, ktoré ste si stiahli zo svojho účtu.

Aplikácia Authenticator

Pri tejto metóde musíte svoj účet prepojiť s aplikáciou na overovanie totožnosti. Kedykoľvek sa budete chcieť prihlásiť do svojho účtu, musíte zadať kód zobrazený v autentifikačnej aplikácii nainštalovanej vo vašom smartfóne.

Existuje niekoľko ďalších spôsobov overenia, ktoré môže webová lokalita použiť.

Prečítajte si^(Read) : Ako pridať dvojstupňové overenie do účtu Google^{(How To Add Two-step Verification To Your Google Account)} .

Ako môžu hackeri obísť dvojfaktorovú autentifikáciu^{(Two-factor Authentication)}

Nepochybne, 2FA robí váš účet bezpečnejším. Stále však existuje veľa spôsobov, ako môžu hackeri obísť túto bezpečnostnú vrstvu.

1] Krádež súborov cookie^{(Cookie Stealing)} alebo únos relácie^{(Session Hijacking)}

Krádež súborov cookie alebo únos relácie^{(Cookie stealing or session hijacking)} je spôsob odcudzenia súboru cookie relácie používateľa. Keď sa hackerovi podarí ukradnúť súbor cookie relácie, môže jednoducho obísť dvojfaktorovú autentifikáciu. Útočníci poznajú mnoho metód únosu, ako je fixácia relácie, sniffovanie relácie, skriptovanie medzi stránkami, útok škodlivého softvéru atď. Evilginx patrí medzi obľúbené rámce, ktoré hackeri používajú na vykonanie útoku typu man-in-the-middle. Pri tejto metóde hacker odošle používateľovi phishingový odkaz, ktorý ho prenesie na prihlasovaciu stránku proxy. Keď sa používateľ prihlási do svojho účtu pomocou 2FA, Evilginx zachytí jeho prihlasovacie údaje spolu s overovacím kódom. Od OTPvyprší po jeho použití a je tiež platný na určitý časový úsek, nemá zmysel získavať autentifikačný kód. Hacker má však súbory cookie relácie používateľa, ktoré môže použiť na prihlásenie do svojho účtu a obísť dvojfaktorovú autentifikáciu.

2] Generovanie duplicitného kódu

Ak ste použili aplikáciu Google Authenticator , viete, že po určitom čase generuje nové kódy. Google Authenticator a ďalšie aplikácie na overovanie fungujú na konkrétnom algoritme. Generátory náhodného^(Random) kódu zvyčajne začínajú počiatočnou hodnotou, aby sa vygenerovalo prvé číslo. Algoritmus potom použije túto prvú hodnotu na vygenerovanie zostávajúcich hodnôt kódu. Ak je hacker schopný pochopiť tento algoritmus, môže ľahko vytvoriť duplicitný kód a prihlásiť sa do používateľského účtu.

3] Hrubá sila

Brute Force je technika na generovanie všetkých možných kombinácií hesiel. Čas prelomenia hesla hrubou silou závisí od jeho dĺžky. Čím dlhšie je heslo, tým dlhšie trvá jeho prelomenie. Vo všeobecnosti majú autentifikačné kódy 4 až 6 číslic, hackeri sa môžu pokúsiť o obídenie 2FA hrubou silou. Ale dnes je úspešnosť útokov hrubou silou menšia. Je to preto, že overovací kód zostáva platný len na krátky čas.

4] Sociálne inžinierstvo

Sociálne inžinierstvo je technika, pri ktorej sa útočník pokúša oklamať myseľ používateľa a núti ho zadať svoje prihlasovacie údaje na falošnú prihlasovaciu stránku. Bez ohľadu na to, či útočník pozná vaše používateľské meno a heslo alebo nie, môže obísť dvojfaktorovú autentifikáciu. ako? Pozrime sa:

Zoberme si prvý prípad, keď útočník pozná vaše používateľské meno a heslo. Nemôže sa prihlásiť do vášho účtu, pretože ste povolili 2FA. Ak chcete získať kód, môže vám poslať e-mail so škodlivým odkazom, čo vo vás vyvolá strach, že váš účet môže byť napadnutý, ak okamžite nezasiahnete. Keď kliknete na tento odkaz, budete presmerovaní na stránku hackera, ktorá napodobňuje autentickosť pôvodnej webovej stránky. Po zadaní prístupového kódu bude váš účet napadnutý.

Teraz si vezmime ďalší prípad, v ktorom hacker nepozná vaše používateľské meno a heslo. V tomto prípade vám opäť^(Again) pošle phishingový odkaz a ukradne vaše používateľské meno a heslo spolu s kódom 2FA.

5] OAuth

Integrácia OAuth^(OAuth) poskytuje používateľom možnosť prihlásiť sa do svojho účtu pomocou účtu tretej strany. Ide o renomovanú webovú aplikáciu, ktorá používa autorizačné tokeny na preukázanie identity medzi používateľmi a poskytovateľmi služieb. OAuth môžete považovať za alternatívny spôsob prihlásenia sa do svojich účtov.

Mechanizmus OAuth funguje nasledujúcim spôsobom:

1. Stránka A požaduje pre stránku B^{(Site B)} (napr . Facebook ) autentifikačný token.
2. Stránka B^{(Site B)} sa domnieva, že žiadosť je generovaná používateľom a overuje účet používateľa.
3. Stránka B^{(Site B)} potom odošle kód spätného volania a umožní útočníkovi prihlásiť sa.

Vo vyššie uvedených procesoch sme videli, že útočník nevyžaduje overenie prostredníctvom 2FA. Aby však tento mechanizmus obchádzania fungoval, hacker by mal mať používateľské meno a heslo používateľského účtu.

Hackeri tak môžu obísť dvojfaktorovú autentifikáciu používateľského účtu.

Ako zabrániť obchádzaniu 2FA?

Hackeri môžu skutočne obísť dvojfaktorovú autentifikáciu, ale pri každej metóde potrebujú súhlas používateľov, ktorý získajú oklamaním. Bez oklamania používateľov nie je možné obísť 2FA. Preto^(Hence) by ste mali venovať pozornosť nasledujúcim bodom:

• Pred kliknutím na akýkoľvek odkaz skontrolujte jeho pravosť. Môžete to urobiť tak, že skontrolujete e-mailovú adresu odosielateľa.
• Vytvorte silné heslo^{(Create a strong password)} , ktoré obsahuje kombináciu abecedy, číslic a špeciálnych znakov.
• Používajte^(Use) iba originálne overovacie aplikácie, ako je Google authenticator, Microsoft authenticator atď.
• Stiahnite si^(Download) a uložte záložné kódy na bezpečnom mieste.
• Nikdy neverte phishingovým e-mailom, ktoré hackeri používajú na oklamanie mysle používateľov.
• S nikým nezdieľajte bezpečnostné kódy.
• Nastavte^(Setup) bezpečnostný kľúč vo svojom účte, alternatívu k 2FA.
• Pokračujte v pravidelnej zmene hesla.

Prečítajte si^(Read) : Tipy, ako zabrániť hackerom vo vašom počítači so systémom Windows^{(Tips to Keep Hackers out of your Windows computer)} .

Záver

Dvojfaktorová autentifikácia je efektívna bezpečnostná vrstva, ktorá chráni váš účet pred krádežou. Hackeri vždy chcú dostať šancu obísť 2FA. Ak poznáte rôzne hackerské mechanizmy a pravidelne si meníte heslo, môžete svoj účet lepšie chrániť.

How Hackers can get around Two-factor Authentication

You mаy think that enabling two-factor authentication on yоur account makes it 100% secure. Two-factor authentication is among the best methods to protect your account. But you may be surprised to hear that your account can be hijacked despite enabling two-factor authentication. In this article, we will tell you the different ways by which attackers can bypass two-factor authentication.

What is Two-factor Authentication (2FA)?

Before we begin, let’s see what 2FA is. You know that you have to enter a password to log into your account. Without the correct password, you cannot log in. 2FA is the process of adding an extra security layer to your account. After enabling it, you cannot log into your account by entering the password only. You have to complete one more security step. This means in 2FA, the website verifies the user in two steps.

Read: How to Enable 2-step Verification in Microsoft Account.

How Does 2FA Work?

Let’s understand the working principle of two-factor authentication. The 2FA requires you to verify yourself two times. When you enter your username and password, you will be redirected to another page, where you have to provide a second proof that you are the real person trying to log in. A website can use any of the following verification methods:

OTP (One Time Password)

After entering the password, the website tells you to verify yourself by entering the OTP sent on your registered mobile number. After entering the correct OTP, you can log into your account.

Prompt Notification

Prompt notification is displayed on your smartphone if it is connected to the internet. You have to verify yourself by tapping on the “Yes” button. After that, you will be logged into your account on your PC.

Backup Codes

Backup codes are useful when the above two methods of verification won’t work. You can log into your account by entering any one of the backup codes you have downloaded from your account.

Authenticator App

In this method, you have to connect your account with an authenticator app. Whenever you want to log into your account, you have to enter the code displayed on the authenticator app installed on your smartphone.

There are several more methods of verification that a website can use.

Read: How To Add Two-step Verification To Your Google Account.

How Hackers can get around Two-factor Authentication

Undoubtedly, 2FA makes your account more secure. But there are still many ways by which hackers can bypass this security layer.

1] Cookie Stealing or Session Hijacking

Cookie stealing or session hijacking is the method of stealing the session cookie of the user. Once the hacker gets success in stealing the session cookie, he can easily bypass the two-factor authentication. Attackers know many methods of hijacking, like session fixation, session sniffing, cross-site scripting, malware attack, etc. Evilginx is among the popular frameworks that hackers use to perform a man-in-the-middle attack. In this method, the hacker sends a phishing link to the user that takes him to a proxy login page. When the user logs into his account using 2FA, Evilginx captures his login credentials along with the authentication code. Since the OTP expires after using it and also valid for a particular time frame, there is no use in capturing the authentication code. But the hacker has the user’s session cookies, which he can use to log into his account and bypass the two-factor authentication.

2] Duplicate Code Generation

If you have used the Google Authenticator app, you know that it generates new codes after a particular time. Google Authenticator and other authenticator apps work on a particular algorithm. Random code generators generally start with a seed value to generate the first number. The algorithm then uses this first value to generate the remaining code values. If the hacker is able to understand this algorithm, he can easily create a duplicate code and log into the user’s account.

3] Brute Force

Brute Force is a technique to generate all the possible password combinations. The time for cracking a password using brute force depends on its length. The longer the password is, the more time it takes to crack it. Generally, the authentication codes are from 4 to 6 digits long, hackers can try a brute force attempt to bypass the 2FA. But today, the success rate of brute force attacks is less. This is because the authentication code remains valid only for a short period.

4] Social Engineering

Social Engineering is the technique in which an attacker tries to trick the user’s mind and forces him to enter his login credentials on a fake login page. No matter whether the attacker knows your username and password or not, he can bypass the two-factor authentication. How? Let’s see:

Let’s consider the first case in which the attacker knows your username and password. He cannot log into your account because you have enabled 2FA. To get the code, he can send you an email with a malicious link, creating a fear in you that your account can be hacked if you do not take immediate action. When you click on that link, you will be redirected to the hacker’s page that mimics the authenticity of the original webpage. Once you enter the passcode, your account will be hacked.

Now, let’s take another case in which the hacker does not know your username and password. Again, in this case, he sends you a phishing link and steals your username and password along with the 2FA code.

5] OAuth

OAuth integration provides users with a facility to log into their account using a third-party account. It is a reputed web application that uses authorization tokens to prove identity between the users and service providers. You can consider OAuth an alternate way to log into your accounts.

An OAuth mechanism works in the following way:

1. Site A requests Site B (e.g. Facebook) for an authentication token.
2. Site B considers that the request is generated by the user and verifies the user’s account.
3. Site B then sends a callback code and lets the attacker sign in.

In the above processes, we have seen that the attacker does not require to verify himself via 2FA. But for this bypass mechanism to work, the hacker should have the user’s account username and password.

This is how hackers can bypass the two-factor authentication of a user’s account.

How to prevent 2FA bypassing?

Hackers can indeed bypass the two-factor authentication, but in each method, they need the users’ consent which they get by tricking them. Without tricking the users, bypassing 2FA is not possible. Hence, you should take care of the following points:

• Before clicking on any link, please check its authenticity. You can do this by checking the sender’s email address.
• Create a strong password that contains a combination of alphabets, numbers, and special characters.
• Use only genuine authenticator apps, like Google authenticator, Microsoft authenticator, etc.
• Download and save the backup codes at a safe place.
• Never trust phishing emails that hackers use to trick the users’ minds.
• Do not share security codes with anyone.
• Setup security key on your account, an alternative to 2FA.
• Keep changing your password regularly.

Read: Tips to Keep Hackers out of your Windows computer.

Conclusion

Two-factor authentication is an effective security layer that protects your account from hijacking. Hackers always want to get a chance to bypass 2FA. If you are aware of different hacking mechanisms and change your password regularly, you can protect your account better.

Related posts

• Ako povoliť dvojfaktorové overenie v Discord

• Ako správne nastaviť možnosti obnovenia a zálohovania pre dvojfaktorové overenie

• Ako nainštalovať Drupal pomocou WAMP na Windows

• Najlepšie softvérové ​​a hardvérové ​​bitcoinové peňaženky pre Windows, iOS, Android

• Nainštalujte si internetovú rozhlasovú stanicu zadarmo na počítači so systémom Windows

• Fix Partner sa nepripojil k chybe smerovača v TeamViewer v systéme Windows 10

• Čo je syndróm hlúpeho okna - vysvetlenie a prevencia

• Bezplatný softvér na správu úloh na správu tímovej práce

• Najlepšie funkcie v LibreOffice Calc

• Pri kontrole aktualizácií vo VLC sa vyskytla chyba

• Ako nainštalovať Windows 95 na Windows 10

• Najlepšie stoly pod notebooky na nákup online

• Aplikácia na odosielanie správ relácie ponúka silné zabezpečenie; Nevyžaduje sa žiadne telefónne číslo!

• Preveďte magnetické odkazy na odkazy na priame stiahnutie pomocou programu Seedr

• Ako zatvoriť svoj Payoneer účet?

• 10 najlepších USB LED lámp pre notebooky

• Etiketa pri videokonferenciách, tipy a pravidlá, ktoré musíte dodržiavať

• Tento účet nie je prepojený so žiadnym účtom Mixer

• Najlepší bezplatný softvér pre zabezpečený digitálny notebook a online služby

• Aplikácie OpenGL nefungujú na bezdrôtovom displeji Miracast v systéme Windows 11/10