Игрок обнаружил уязвимость в системе двухфакторной аутентификации EGS
Уникальный токен не меняется в течение 30 минут.
Пользователь Reddit под ником Naouak рассказал о бреши, которую обнаружил в системе защиты Epic Games Store. При авторизации двухфакторным методом на почту пользователя приходит один и тот же уникальный ключ.
Токен, который приходит на почту должен быть одноразовым. Он предназначен для того, чтобы злоумышленники не могли получить доступ к профилю геймера в EGS. Naouak обнаружил, что ключ меняется только каждые полчаса. Он даже попытался использовать разные браузеры, но в течение нескольких минут получал одинаковые токены.
Каждый ключ, присылаемый пользователю для второго этапа авторизации должен быть уникальным. В противном случае злоумышленник, имеющий доступ к почте геймера, может авторизоваться по тому же токену. В случае с EGS это можно сделать в течение получаса после получения первого ключа на почту.
Epic Games Store пока не прокомментировал найденную уязвимость.
Комментарий недоступен
Казалось бы да, но у меня недавно угнали акк стима через фейковую форму авторизации. И у меня за секунду отвязали двухфакторку через приложение, номер телефона, и сменили почту. Потом аккаунт вернул, но до сих пор ни сам не понял, не саппорт стима не объяснил как так.
Потому что когда сам хочешь поменять почту то просит подтверждение на старой, а в случае угона ничего такого не было. Почту не взламывали 100%.
Если не меняется в течение 30 минут и нет ограничения на количество траев (или если оно реализовано хреново), то можно ж перебором попробовать подобрать.
Ну теоретически можно придумать сценарий, когда злоумышленник уже откуда-то знает пароль и физически где-то рядом с жертвой ходит. Когда жертва введёт пароль от "двухфакторной" аутентификации у себя на устройстве, злоумышленник, просто физически увидев код, введёт его у себя тоже и всё. И доступа к почте у него как бы и нет получается.
Высосано из пальца, но всё же непонятно, почему эпики просто не сделали сразу нормально.
Не будьте так строги, 30 минут это конечно да... многовато, но назвать это уязвимостью конечно нельзя, а вот то что он не меняется с каждым новым письмом это уже действительно поломка, вы новость дочитывайте.
Звучит нелепо, ещё бы телефон отдал и удивлялся, что бабки с карты улетели куда то
Один из самых надежных способов защиты - через телефонУдачи
https://networkguru.ru/ataka-na-protokol-ss7/