Архив новостей

Системы восстановления пароля ― удобство или брешь?

Используя методы социальной инженерии, исследователи из Positive Technologies получили доступ к трем из пяти популярных веб-сервисов через процедуру восстановления пароля.

Проверка этого звена в системе безопасности проводилась на основе выборки из реальных почтовых аккаунтов Gmail, Mail.ru, Яндекс, а также профилей ВКонтакте и Facebook. Их владельцы были заранее проинформированы об эксперименте и дали согласие на свое участие. Работая с разными механизмами восстановления пароля, эксперты вели поиск информации о владельце аккаунта на общедоступных сайтах, вступали в переписку со службой техподдержки целевого сервиса. В отдельных случаях им приходилось провоцировать «жертву» на раскрытие нужных данных, устанавливая с ней контакт в социальной сети. Каждый из рассмотренных сервисов получил оценку по двум параметрам: уровень защищенности и удобство для пользователя, и был впоследствии ознакомлен с результатами.

Как оказалось, для взлома учетных записей ВКонтакте и Gmail (а также прочих служб Google, привязанных к почтовым ящикам) через процедуру восстановления пароля вполне достаточно информации об их владельцах, выложенной в общий доступ в Сети. При этом специалисты службы поддержки обоих сервисов не обращают внимания на то, что запрос на восстановление пароля приходит с чужого IP-адреса. В случае с Mail.Ru исследователям пришлось добывать дополнительные данные, анонимно общаясь с владельцами аккаунтов через ВКонтакте.

Надежные механизмы защиты данных продемонстрировали Facebook и Яндекс. Последний тоже требует подробную информацию о почтовом ящике при восстановлении пароля, которую, впрочем, весьма легкомысленно предоставляют незнакомцам сами владельцы. Однако для завершения процедуры служба поддержки Яндекс требует, чтобы забывчивый пользователь явился в офис в определенные сроки ― и с паспортом. На Facebook, помимо привязки к email и номеру телефона, используется такая опция, как помощь друзей. Однако задействовать ее экспертам не удалось: доверенным другом в этой социальной сети считается пользователь с солидным стажем, активно поддерживающий отношения с доверителем. В целом возможности восстановления пароля на Facebook весьма ограничены. Если владелец профиля потерял доступ к почте и забыл ответ на секретный вопрос, ему рекомендуют зарегистрироваться заново.

Системы восстановления пароля ― удобство или брешь?

Ваш e-mail не будет опубликован. Обязательные поля помечены *

 

Отчеты

MosaicRegressor: угроза в недрах UEFI

Мы обнаружили скомпрометированный образ прошивки UEFI, содержащий вредоносный имплант для установки дополнительного вредоносного ПО на компьютеры жертв. Насколько мы знаем, это второй общеизвестный случай обнаружения активного заражения в прошивке UEFI.

Microcin снова в деле

В феврале 2020 года мы обнаружили троянца на ПК дипломатической организации. Мы с высокой степенью уверенности приписываем эту кампанию группе SixLittleMonkeys (также известной как Microcin).

Эксплойты нулевого дня в операции WizardOpium

Еще в октябре 2019 года мы обнаружили классическую атаку типа watering hole на сайт, публикующий новости Северной Кореи. Злоумышленники использовали цепочку уязвимостей нулевого дня в Google Chrome и Microsoft Windows.

Подпишитесь на еженедельную рассылку

Самая актуальная аналитика – в вашем почтовом ящике