El hombre en el medio ataca por Autenticación fuera de banda

6

Estaba investigando sobre métodos para evitar al hombre en los ataques medios. Pensé en usar la autenticación fuera de banda, pero leí el artículo de wikipedia sobre el mismo tema, que dice lo siguiente:

"En la autenticación, fuera de banda se refiere a la utilización de dos redes o canales separados, uno de los cuales es diferente al de la red o canal primario, que se usa simultáneamente para comunicarse entre dos partes o dispositivos para identificar a un usuario. Una red celular comúnmente se usa para la autenticación fuera de banda. Un ejemplo de autenticación fuera de banda es cuando un usuario de banca en línea accede a su cuenta bancaria en línea con un inicio de sesión y se envía una contraseña única a su teléfono móvil por SMS para identificar El canal principal sería la pantalla de inicio de sesión en línea donde el usuario ingresa su información de inicio de sesión y el segundo canal separado sería la red celular. Esta capa adicional de seguridad evita la posibilidad de que piratas informáticos y programas maliciosos comprometan el acceso al proceso de autenticación completo. sin embargo, se sabe que este método de autenticación de un usuario es vulnerable a los ataques de intermediarios (MITM). "

¿Alguien puede explicar por qué la línea en negrita es cierta? Para decirlo de otra manera, ¿cómo es una autenticación fuera de banda como SMS vulnerable al hombre en los ataques medios?

    
pregunta Karan 02.04.2013 - 13:43
fuente

3 respuestas

6

La amenaza es cuando el MITM posee la pantalla de inicio de sesión.

Si, por ejemplo, hace clic en un enlace en un correo electrónico que pretende ser un enlace para enlace pero en realidad es un enlace a enlace , e ingrese el nombre de usuario y la contraseña que usa para el sitio web de su banco, Evil Bob simplemente necesita reenviarlos.

Luego, enlace que no sabe que es el sitio web de EvilBob que envía sus credenciales y no usted, envía debidamente un código de autenticación a su teléfono y espera tu respuesta Sin embargo, todavía estás en enlace , que ha aceptado tu nombre de usuario y contraseña y te ha presentado un campo de entrada para escribir el código de autenticación que Lo vas a recibir en tu celular.

Entonces, escribe el código de autenticación en enlace , que gira y lo envía a enlace , y el sitio web de Evil Bob ahora está conectado a su interfaz de banca en línea.

Ese es el hombre en medio de la amenaza para autenticación fuera de banda de dos factores.

    
respondido por el Xander 06.05.2013 - 22:58
fuente
2

La autenticación fuera de banda se basa en la dificultad añadida a la que se enfrenta un atacante cuando intenta escuchar simultáneamente dos comunicaciones. Esta dificultad surge debido a que los dos canales están completamente separados.

Un atacante que puede unir los dos canales derrota a esta defensa. En el caso del malware Zeus , una PC infectada intenta infectar dispositivos móviles a través de USB o bluetooth. Una vez que esto ha ocurrido, el atacante controla cada uno de los terminales de cliente utilizados en la autenticación de dos bandas, ha reunido los canales de manera efectiva.

Zeus, en particular, intentará iniciar sesión a través de la PC, esperará a que los SMS lleguen al dispositivo móvil y comunicará los SMS a la PC (malware a malware). Todo esto sucede sin ninguna indicación para el usuario de cualquiera de los dispositivos.

El problema aquí es que estamos usando dos dispositivos inteligentes como terminales de clientes. Los dispositivos inteligentes tienen pilas de protocolos y vulnerabilidades de software. Los tokens de hardware 'tontos' como HOTP no tienen estos problemas y no se pueden subvertir, que es uno razón para preferir su uso.

    
respondido por el lynks 07.05.2013 - 15:31
fuente
2

Escribí el artículo original de wikipedia citado anteriormente. Algunos de los comentarios que se ofrecen arriba son correctos, mientras que otros no lo son. En resumen, TODOS los métodos fuera de banda son vulnerables a los ataques de intermediarios porque la entidad autenticadora no puede verificar la autenticidad de la entidad que proporciona las credenciales de autenticación. Ya sea que se trate de un token de hardware, un token "tonto" o un código enviado a un teléfono, el proceso sigue siendo vulnerable. Si bien los fobs conectados son más seguros, sin embargo, dependen de la información que se transmite desde el fob al sitio web en espera (que puede ser un sitio web falso creado únicamente para obtener esa información). El único proceso que actualmente mitiga todos los ataques de intermediarios es el proceso de token virtual, que es una oferta comercial basada en el estándar de "identificación de dispositivos complejos" recomendado por el FFIEC.

    
respondido por el Eric 23.02.2016 - 16:34
fuente

Lea otras preguntas en las etiquetas