 |
Компания Varonis обнаружила новую уязвимость системы многофакторной аутентификации облачного сервиса Box
Компания Varonis Systems выявила новую уязвимость в системе многофакторной аутентификации (MFA) облачного хранилища Box, использующей дополнительную проверку пользователя при помощи sms-сообщений. Это уже второй способ обхода MFA в Box, обнаруженный за последнее время. Он может быть использован злоумышленниками для кражи и компрометации корпоративных данных. При этом даже не требуется доступ к телефону атакуемого сотрудника.
Большое количество организаций сегодня выбирают именно облачные хранилища. Так, по данным компании Box, ее сервис используют 97 тысяч предприятий, 68% из них входят в список Fortune 500. Для организации доступа к данным они могут воспользоваться MFA, реализуемой при помощи специальных приложений, таких как Okta Verify и Google Authenticator, или sms-сообщений.
Многофакторную аутентификацию, как дополнительный способ защиты пользовательских аккаунтов, используют многие поставщики облачных сервисов. Box, после ввода логина и пароля, предлагает выбрать один из способов прохождения второго этапа аутентификации: при помощи приложения с использованием технологии ТОТР, либо sms-сообщения. При этом сам код отправляется в sms-сообщении только тогда, когда пользователь переходит к форме проверки. В противном случае сообщение не отправляется, однако система аутентификации Box все равно формирует файл cookie, который может быть перехвачен злоумышленником, обладающим украденными адресом электронной почты и паролем.
Получив cookie, злоумышленник может перенаправить процесс MFA на форму, предусматривающую использование ТОТР. При этом система безопасности Box не проверяет, какой именно способ был выбран пользователем при регистрации и не отслеживает, принадлежит ли ему копия приложения, используемого для получения одноразового пароля. Это дает хакерам возможность получить доступ к учетной записи без использования телефона жертвы.
Алгоритм такой атаки можно представить следующим образом:
злоумышленник выбирает вход с помощью MFA через приложение-аутентификатор и сохраняет фактор аутентификации;
на странице account.box.com/login он вводит логин и пароль;
если комбинация окажется правильной, браузер отправляет новый файл cookie для аутентификации и перенаправляет сеанс на страницу /2fa/verification;
злоумышленник вместо перехода на форму проверки sms-кода передает свой собственный фактор аутентификатор и код из приложения, и получает доступ к данным аккаунта. Причем жертве sms-сообщение даже не отправляется.
«Многофакторная аутентификация пользователей сегодня рассматривается многими компаниями как панацея, предотвращающая угрозы безопасности данных. Достаточно вспомнить об обязательном использовании MFA в сервисах Salesforce и MicrosoftВ России, к примеру, перейти на использование MFA активно рекомендуют пользователям портала госуслуг. Однако, надежность такой системы во многом зависит от ее реализации. Многофакторная аутентификация может сформировать ложное ощущение безопасности, но ее использование вовсе не гарантирует, что данные надежно защищены», – говорит Даниэль Гутман, глава Varonis в России.
Специалисты Varonis считают, что использование MFA не исключает необходимости использования подхода, ориентированного на данные, в вопросах обеспечения безопасности информационных систем. В любом случае организации нужно контролировать как использование многофакторной аутентификации в своих сервисах, так и работу с самими данными.
Помимо этого, сотрудники, ответственные за информационную безопасность, должны знать:
к какому объему данных могут получить доступ злоумышленники при компрометации учетной записи;
не раскрываются ли данные компании чрезмерно широкому кругу пользователей и оповестит ли система безопасности администратора, если обнаружит аномальный доступ к ним.
Исследовательская группа компании Varonis ранее обнаружила способ обхода многофакторной аутентификации для учетных записей сервиса Box, использующих приложения-аутентификаторы, такие как Google Authenticator.
О компании Varonis (https://www.varonis.com/ru/)
Varonis Systems – разработчик программных решений для защиты от комплексных кибератак, основанных на поведенческом анализе пользователей и защите данных компании. Компания была основана в 2005 году, став пионером в области управления и контроля неструктурированных данных. По разным источникам, Varonis занимает более 70% мирового рынка в этой области. Среди разработок Varonis решение по аудиту периметра сети и поведенческому анализу, которое помогает заказчикам вовремя выявлять продвинутые кибератаки и защищаться от них. Сегодня у компании более 7000 заказчиков во всем мире.
Контактное лицо: Татьяна Алексеева
Компания: Varonis
Добавлен: 01:02, 20.01.2022
Количество просмотров: 380
Страна: Россия
| HRlink внедрил кадровый ЭДО в HR-процессы «Юниливер Русь», HRlink, 04:20, 17.11.2024, Россия79 |  |
| HRlink, разработчик сервиса кадрового ЭДО, автоматизировал кадровые процессы одного из лидеров российского FMCG-рынка компании «Юниливер Русь». Внедрение платформы позволило повысить эффективность работы HR-департамента – доля подписанных документов в среднем теперь составляет 97%. |
| «Газинформсервис» на AQ PRO: укрепление лидерства в сфере кибербезопасности, Газинформсервис, 04:15, 17.11.2024, Россия44 |
| «Газинформсервис» принял участие в ежегодной конференции компании «Аквариус» «AQ PRO Время решений». В рамках мероприятия, где эксперты и представители ИТ-индустрии обсуждали актуальные технологические вызовы в сфере отечественной электроники и программного обеспечения, «Газинформсервис» представил ряд докладов, посвящённых решениям для повышения информационной безопасности. |
| Как заказчику подготовиться к внедрению 1С:ERP на производственном предприятии, ООО "Цифровизация производства", 04:13, 17.11.2024, Россия61 |  |
| Планируете внедрение ERP, но не знаете с чего начать?
Начали настраивать 1С:ERP самостоятельно, но что-то пошло не так?
Не удовлетворены результатом внедрения другого интегратора?
Тогда регистрируйтесь на наш вебинар
«Как заказчику подготовиться к внедрению 1С:ERP на производственном предприятии»
21 ноября в 11:00
ЗАРЕГИСТРИРОВАТЬСЯ – (ССЫЛКА) |
| IT-компания PMP Tech признана «Лучшим предприятием отрасли» 2023 года, PMP Tech, 04:09, 17.11.2024, Россия62 |  |
| ООО «ПМП ТЕХ» объявляет о своей номинации и признании «Лучшим предприятием отрасли 2023» в ежегодной премии, организованной Центром аналитических исследований. Эта награда стала итогом всесторонней аналитики и оценки компании, проведенной на основании данных, полученных от федеральных статистических органов и налоговой службы РФ. |
| VolgaBlob — новый стратегический партнер Nubes, Nubes, 04:08, 17.11.2024, Россия40 |
| Облачный провайдер Nubes и компания VolgaBlob подписали соглашение о стратегическом сотрудничестве. Тем самым они обеспечили возможность развернуть платформу Smart Monitor для своих клиентов. |
| «Рейтинг Рунета» запустил телеграм-бот подбора digital-подрядчиков, Рейтинг Рунета, 03:58, 17.11.2024, Россия47 |  |
| «Рейтинг Рунета» разработал бот, упрощающий поиск подрядчика. Теперь заказчики могут найти разработчика сайта или PR-агентство за пару минут, ответив на несколько простых вопросов. С момента возникновения идеи до реализации прошло 10 месяцев. Стоимость разработки составила 1,3 млн рублей. |
|
|
