Пресс-релизы // » Добавить пресс-релиз

Varonis предупреждает о возможности обхода многофакторной аутентификации в BOX

Исследовательская группа компании Varonis, одного из новаторов мирового рынка безопасности и аналитики данных, обнаружила способ обхода многофакторной аутентификации для учетных записей Box, использующих приложения-аутентификаторы, такие как Google Authenticator. В ходе исследования было выявлено, что злоумышленник может использовать украденные учетные данные для взлома учетной записи Box и извлекать конфиденциальных данные без предоставления одноразового пароля.

В январе 2021 года компания Box запустила возможность для учетных записей использовать приложения аутентификации на основе TOTP, такие как Google Authenticator, Okta Verify, Authy, Duo. Box рекомендует TOTP вместо аутентификации на основе SMS по очевидным причинам — SMS-сообщения могут быть перехвачены с помощью подмены SIM-карт, мошенничества при выходе из системы и других методов.

Обычно приложения аутентификаторов, которые соответствуют алгоритму TOTP (одноразовый пароль), не только проще в использовании для конечного пользователя, но и намного безопаснее, чем SMS. Когда пользователь добавляет приложение-аутентификатор в свою учетную запись Box, приложению присваивается ID. Каждый раз, когда пользователь пытается войти в систему, Box запрашивает его электронную почту и пароль, а затем одноразовый пароль от приложения-аутентификатора. Если пользователь не предоставит второй фактор, он не сможет получить доступ к файлам и папкам в своей учетной записи Box. Это обеспечивает вторую линию защиты на случай, если у пользователя слабый пароль (или его утечка).

Но как отмечают аналитики Varonis, конечная точка /mfa/unenrollment не требовала полной аутентификации пользователя, чтобы удалить устройство TOTP из учетной записи пользователя. В результате эксперимента получилось исключить пользователя из MFA после предоставления имени пользователя и пароля, но до предоставления второго фактора. После выполнения этого действия исследователи смогли войти в систему без каких-либо требований MFA и получить полный доступ к учетной записи Box пользователя, включая все его файлы и папки. До исправления этой уязвимости со стороны Box злоумышленники могли компрометировать учетные записи пользователей с помощью подстановки учетных данных, методом перебора паролей.

Чтобы минимизировать вероятность появления ошибки аутентификации, Varonis рекомендует делегировать реализацию MFA провайдеру (например, Okta), который специализируется на аутентификации. В дополнение к требованию MFA, Varonis рекомендует использовать SSO, где это возможно; применять политики надежных паролей, отслеживать сайты, такие как HaveIBeenPwnd, на предмет взломанных учетных записей, связанных с вашим доменом. Кроме того, стоит избегать использования проверочных вопросов, предполагающих простые ответы (например, «Укажите девичью фамилию вашей матери»).

О компании Varonis (https://www.varonis.com/ru/)
Varonis Systems – разработчик программных решений для защиты от комплексных кибератак, основанных на поведенческом анализе пользователей и защите данных компании. Компания была основана в 2005 году, став пионером в области управления и контроля неструктурированных данных. По разным источникам, Varonis занимает более 70% мирового рынка в этой области. Среди разработок Varonis решение по аудиту периметра сети и поведенческому анализу, которое помогает заказчикам вовремя выявлять продвинутые кибератаки и защищаться от них. Сегодня у компании более 7000 заказчиков во всем мире.

Контактное лицо: Татьяна Алексеева
Компания: Varonis
Добавлен: 17:50, 15.12.2021 Количество просмотров: 436
Страна: Россия


Готовим кадры будущего для сельского хозяйства: Всероссийский конкурс для педагогов, Свердловский РФ Россельхозбанк, 19:27, 30.03.2025, Россия413
Готовим кадры будущего для сельского хозяйства: Всероссийский конкурс для педагогов


«Аэродиск» обеспечил совместимость своих СХД с OpenStack, Аэродиск, 19:27, 30.03.2025, Россия427
Российская компания «Аэродиск», разработчик и производитель решений в области хранения данных (СХД) и виртуализации, объявила о выпуске драйвера, обеспечивающего полную совместимость своих СХД с платформой OpenStack, что значительно упрощает управление ресурсами и повышает гибкость использования СХД в различных средах.


«Аэродиск» обеспечил совместимость своих СХД с OpenStack, Аэродиск, 19:27, 30.03.2025, Россия416
Российская компания «Аэродиск», разработчик и производитель решений в области хранения данных (СХД) и виртуализации, объявила о выпуске драйвера, обеспечивающего полную совместимость своих СХД с платформой OpenStack, что значительно упрощает управление ресурсами и повышает гибкость использования СХД в различных средах.


Hybrid разработал инструмент Smart List для эффективного таргетинга через автоматический подбор площадок для показа, Hybrid, 19:26, 30.03.2025, Россия419
AdTech-экосистема Hybrid, которая специализируется на высокотехнологичных разработках в области интернет-рекламы, разработала инструмент для анализа интересов пользователей на основе посещаемых ими сайтов и приложений с использованием алгоритмов машинного обучения — Smart List.


Navicon запустил новое направление AI-консалтинга, Navicon, 19:26, 30.03.2025, Россия427
Системный интегратор и разработчик Navicon объявляет о запуске нового направления – AI-консалтинга. Теперь российские компании из различных отраслей смогут эффективно решать бизнес-задачи при помощи технологий искусственного интеллекта и развивать культуру работы с умными алгоритмами.


Главный плюс — скидка к ставкам. «Выберу.ру» составил рейтинг лучших ипотек на «вторичку» в марте 2025 года, Финансовый маркетплейс «Выберу.ру», 19:15, 30.03.2025, Россия444
«Выберу.ру» подготовил рейтинг банков с наиболее выгодными ипотечными программами для приобретения квартир на вторичном рынке недвижимости за счёт скидок к ставкам.


Delko: увеличение числа доставок коммерческой техники на 3% в 2024 году, Delko, 18:12, 28.03.2025, Россия588
В 2024 году количество доставок коммерческой техники компанией Delko увеличилось на 3% по сравнению с 2023 годом. Лидирующими марками среди перегоняемых машин остаются магистральные тягачи известных китайских брендов — Sitrak, HOWO, Foton. Также в пятерке лидеров находятся марки SHACMAN и Scania.


Оптимизация затрат на ТО: новая программа «Сервисный сертификат» для владельцев грузовиков FORLAND, FORLAND, 18:06, 28.03.2025, Россия617
В феврале АО «МБ РУС», эксклюзивный дистрибьютор коммерческих автомобилей FORLAND в России, запустило новую услугу — программу сервисных сертификатов «Комфорт», которая поможет владельцам техники FORLAND более эффективно управлять расходами на техническое обслуживание грузовиков


Сотрудники Росгвардии задержали дебошира в магазине, Управление Росгвардии по Орловской области, 18:00, 28.03.2025, Россия384
​Сотрудники Росгвардии задержали гражданина, устроившего дебош в сетевом магазине Заводского района областного центра.


В 2024 году в Тамбовской области досрочно вышли на пенсию 334 многодетные мамы, ОСФР по Тамбовской области, 18:02, 28.03.2025, Россия69
Многодетные мамы имеют право досрочно выйти на пенсию. Для этого у них должен быть страховой стаж не менее 15 лет, а размер индивидуального пенсионного коэффициента (ИПК) составлять не менее 30.


«1С-Рарус» и АО «Агентство сельхозкорма» за 1,5 месяца внедрили 1С:ERP, 1С-Рарус, 17:14, 28.03.2025, Россия99
«1С-Рарус» завершил перевод в «1С:ERP» оперативного учета АО «Агентство сельхозкорма». На сельхозпредприятии автоматизированы закупки и продажи, усовершенствованы складские и логистические процессы. Внедрение выполнено за 1,5 месяца, при этом удалось сэкономить бюджет проекта на 23%.


HRlink стал самым популярным сервисом КЭДО в Росси, HRlink, 17:13, 28.03.2025, Россия89
Команда «РБК Исследования рынков» подвела итоги исследования российского рынка кадрового ЭДО в 2025 году и опубликовала рейтинг поставщиков. Сервис HRlink второй раз подряд занял лидирующую позицию в списке.


«DатаРу Технологии» добавила в линейку беспроводного оборудования решения с поддержкой технологий ИИ, ДатаРу, 17:12, 28.03.2025, Россия93
Компания «DатаРу Технологии» обновила линейку беспроводного оборудования, добавив в нее решения с использованием искусственного интеллекта (ИИ).


Конструкторское бюро цифровых технологий обеспечило поставку программного продукта АИС «Цифра» консалтинговому агентству Московской области, ооо "КБЦТ", 17:12, 28.03.2025, Россия84
Конструкторское бюро цифровых технологий (КБЦТ) успешно завершило поставку лицензий на собственный программный продукт АИС «Цифра» региональной консалтинговой компании. Внедрение данной системы направлено на оптимизацию и автоматизацию бизнес-процессов в сфере цифровых технологий, обработки больших данных и искусственного интеллекта.


Автоматизация контроля качества и больше удобства в обновленной Речевой аналитике от BSS, BSS, 17:10, 28.03.2025, Россия88
В обновленной версии Речевой аналитики BSS появился автоматический расчёт планов и прогнозов нагрузки на контролёров качества. Также автоматизирован новый тип задач «Аудит контролёров», добавлены расширенные отчеты, показывающие выполнение плана работ и количество переработок в детализации по контролёрам отдела качества контакт-центра.


  © 2003-2025 inthepress.ru