Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Ott 05, 2022 Marina Londei Approfondimenti, Minacce, Social engineering, Vulnerabilità 0
Ormai l’autenticazione a due fattori (2FA – two-factor authentication) viene usata da ogni servizio online. Anche se è un ottimo metodo per preservare la sicurezza degli account, se non viene usata nel modo corretto non è sufficiente a proteggerci.
La 2FA è diventata di uso comune, sostituendosi all’autenticazione “classica” in cui si usa solo la combinazione di nome utente/password. L’autenticazione a due fattori prevede l’uso combinato di due tipi di credenziali scelte tra tre categorie:
Di base la two-factor authentication è un metodo piuttosto sicuro, in quando un attaccante dovrebbe possedere entrambi i fattori dell’equazione per accedere all’account. La vera debolezza della 2FA è il fattore umano.
Nel momento in cui un attaccante riesce a inserirsi nella catena di eventi dell’autenticazione può recuperare tutti i dati che gli servono per prendere possesso dell’account. Le tecniche più usate dagli attaccanti sono quelle della social engineering.
Il metodo più comune consiste nell’invitare l’utente a visitare un sito che sembra quello autentico ma che in realtà è stato creato ad hoc dall’attaccante. Se si controlla bene l’URL si può notare qualcosa di diverso rispetto a quello reale (ad esempio un typo), ma gli attaccanti giocano sull’urgenza della richiesta per prendere in contropiede l’utente. Un esempio classico è la richiesta di inserire le proprie credenziali in seguito a un tentativo di login sospetto.
Quando l’utente inserisce le credenziali il sito malevolo le invia a quello reale e ottiene in cambio un token 2FA, il quale genera un cookie di sessione che permette di accedere al sito vero. L’utente, in questo modo, non si accorge di nulla: il sito ha risposto correttamente, quindi non sospetta di un attacco. L’hacker, nel frattempo, ha ottenuto il cookie che gli permetterà di accedere fingendosi la vittima.
L’implementazione più usata della 2Fa consiste nella combinazione di password ed sms, che al giorno d’oggi è il metodo meno sicuro per l’autenticazione. Intercettare i messaggi è molto semplice per un attaccante, e una delle tecniche più usate è la SIM swapping.
Questo attacco consiste nell’attivare la SIM della vittima su un altro telefono (quello dell’attaccante). Per farlo l’hacker ha bisogno del numero di telefono, del nome dell’operatore, del nome utente e del PIN per sbloccare il dispositivo, che trattandosi di un codice a 4 cifre può essere facilmente ricavato con tecniche brute force.
A questo punto l’attaccante si rivolge al supporto per chiedere che il numero di telefono venga collegato a un nuovo dispositivo e di attivarvi l’account. L’hacker ha così accesso a ogni messaggio testuale diretto verso la SIM dell’utente. Anche in questo caso l’attacco si basa sull’interazione umana, impersonando qualcuno e sfruttando l’ingegneria sociale.
È importante capire che la 2FA non può proteggerci sempre da tutto. Le tecniche di attacco evolvono continuamente, puntando sempre più sugli errori umani. Se siamo noi i primi ad abbassare la guardia, neanche l’autenticazione a due fattori è sicura.
Lug 23, 2024 0
Lug 16, 2024 0
Giu 28, 2024 0
Giu 27, 2024 0
Lug 26, 2024 0
Lug 24, 2024 0
Lug 24, 2024 0
Lug 23, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...