Аппаратные токены считаются одним из наиболее надежных вариантов для защиты двухфакторной аутентификации, в отличие от ненадежных SMS-сообщений с одноразовыми кодами, которые можно перехватить самыми разными способами. Даже компания Google уже начала отказываться от использования SMS и ратует за использование токенов. Но, к сожалению, даже такие устройства тоже нельзя считать абсолютно защищенными, что и продемонстрировали исследователи на конференции DEF CON, прошедшей в Лас-Вегасе на прошлой неделе.

«Аппаратные токены – это шаг вперед. Это здорово. Они предоставляют уровень защиты, с которым не может соперничать ничто. Но нужно помнить о железе. Если нам говорят, что этот волшебный токен безопасен, это не значит, что нужно безоговорочно этому верить», — рассказывает ИБ-специалист Джо Фицпатрик (Joe FitzPatrick), который вместе со своим коллегой Майклом Лейбовицем (Michael Leibowitz) представил доклад на конференции.

На GitHub можно свободно найти исходный код для эмуляции устройства YubiKey посредством Arduino, однако исследователи не ограничились только лишь этим. Вместо «голой» платы с эмуляцией, они постарались воссоздать физический аппаратный ключ YubiKey, назвав получившийся результат DoobieKey. В ходе презентации специалисты показали, что серверы YubiKey распознают эту подделку как легитимный токен YubiKey.

И хотя DoobieKey выполнен достаточно грубо (см. фото выше), и вряд ли такая подделка сможет кого-либо обмануть, на презентации Лейбовиц продемонстрировал и более убедительный 3D-макет для печати.

Что именно предлагают исследователи? Атаку на цепочку поставок. «Вы модифицируете устройства до того как их получат пользователи», — объясняет Фицпатрик. На практике это означает, что атакующие могут изготовить партию поддельных токенов DoobieKey и, к примеру, распространить их среди посетителей какой-нибудь ИБ-конференции, или даже продать под видом настоящих. После того как пользователи привяжут к DoobieKey, например, свои аккаунты Gmail, атакующие будут иметь копию их токенов.

В ответ на предостережения исследователей представители компании Yubico сообщили, что подобные атаки действительно могут представлять угрозу и напомнили о том, что поэтому приобретать железо и софт следует только у проверенных поставщиков. Представители компании заверили, что Yubico контролирует свою цепочку поставок и гарантирует безопасность продаваемых устройств.

Также Фицпатрик и Лейбовиц продемонстрировали атаку на RSA-токены (устройства, которые отображают на встроенном экране специальный одноразовый код, который пользователь должен сообщить сайту или сервису для завершения аутентификации). Подделать такие гаджеты тоже не составило труда: фальшивые RSA-токены могут сообщать одноразовые коды злоумышленникам посредством Bluetooth. Конечно, в данном случае атакующему придется находиться где-то неподалеку от жертвы.

Исходные коды этой разработчики, а также спецификации плат для поддельных RSA-токенов исследователи обещают опубликовать на GitHub в ближайшем будущем. То есть в данном случае злоумышленнику понадобится изготовить кастомную плату и дополнительно приобрести bluetooth-модуль. «Но самым сложным этапом будет приведение кода в работоспособное состояние», — отмечает Фицпатрик.

Фото: Joseph Cox



14 комментария

  1. int01h

    01.08.2017 at 16:46

    А еще токен можно отобрать в темном переулке, предварительно отбрутфорсив владельца битой. Исследование — это хорошо, но и применимость хотелось бы адекватную реальности. Такие сложности для перехвата токенов аутентификации — это бред. Массовости никакой, а при таргетированной атаке подмена оборудования/документов/пр. не такое уж ноухау еще со времен Римской Империи, как минимум.

  2. john_

    02.08.2017 at 11:02

    Самое оно использовать китайский дешманский смартфон отключённый от сети, с выключенным вай-фаем, где стоит приложение, например, Google Authenticator куда ты предварительно ввёл все свои нужные аккаунты. Ах да, телефон ты хранишь в хлложильнике, микроволновке или специальном сейфе, куда не попадают никакие радиосигналы. Профит.

  3. Il

    03.08.2017 at 22:43

    Это конечно уязвимость но не идёт ни в какое сравнение с перехватом смс всем кому не лень. Пока аппаратные токены — самый топ

    • mk-ultra

      09.08.2017 at 13:11

      Перехватить смс, не так то просто, если у тебя старый дэбильный телефон, а не навороченный смартфон.

      • int01h

        09.08.2017 at 13:29

        Проще, чем кажется. Помимо app-процессора уязвимых элементов в телефоне достаточно, вплоть до симки. Не у всех провайдеров работает как надо, зависит от политики OTA-обновлений прошивки и модели симки, но тем не менее. Не очень дорого и сложно купить tdes пароли оператора, которыми накрывают обновления. Это, конечно, в массе своей недоступно пока что ребяткам с кардерских форумов, но для толковых людей, коих также не мало в мире, это дает почти безграничные возможности. Смски при любых вариантах защищают лишь до тех пор, пока неуловимый джо интересен только самому себе, а иначе начинается магия.

        • mk-ultra

          09.08.2017 at 14:02

          А если этим ребяткам, мой номер не известен? (как и мой оператор, который к стати может быть неизвестно из какой страны) И в радиусе действия их аппаратов я не нахожусь. Тогда как?

          • int01h

            09.08.2017 at 14:35

            Security through obscurity. Не буду вдаваться в детали, ибо их тьма, как и вариантов, в зависимости от ценности субъекта, т.к. терминалить вас могут не только специальные службы. Те же пароли операторов, по идее, секретны и не должны быть доступны кому-либо на стороне, но логика безопасности через неизвестность дает сбой. Иными словами, проектировать защиту лучше по другим принципам, не «никто не знает, я в домике», а «что делать, если знают всё или почти всё».

            • mk-ultra

              13.08.2017 at 22:22

              Предлагаю вам доказать это, и перехватить мою смс.

              • int01h

                15.08.2017 at 10:04

                :)))) я думаю с таким подходом к делу вам лучше продолжать жить в лсд мире. На случай же, если разум победит, могу дать dash кошелек и за $1k предоплаты докажу)) Только не смс от банка/тому подобное, с федерального на федеральный, кодовое слово или фразу

                • mk-ultra

                  16.08.2017 at 13:58

                  Ну вот, видите, значит — не можете. Слабо. Я так и думал. Значит нечего спорить.

                  • int01h

                    16.08.2017 at 14:05

                    Ловко вы себя из нищеброда в д’артаньяны записали, но нет) Продолжайте верить в розовых пони на самокатах, спорить никто с вами не собирался, а для клиента вы.. сами понимаете 🙂

                    • mk-ultra

                      16.08.2017 at 15:04

                      Не понятно при чём здесь Дартаньян и нищеброды. Но, почему то мне смешно :]

  4. mk-ultra

    09.08.2017 at 13:13

    Самая лучшая защита, это не иметь ни где никаких аккаунтов.

Оставить мнение