Китайские хакеры смогли обойти 2FA
Та самая двухфакторная аутентификация, которую крупные компании предлагают вам подключить для защиты множества ваших личных аккаунтов в приложения, играх, сдалась под натиском хакеров из группы APT20.
11 показ
9K9K открытий
Ух бля, учёный изнасиловал журналиста.
И так во-первых гуглим эту новость на английском, находим хотя бы вот это: https://www.zdnet.com/article/chinese-hacker-group-caught-bypassing-2fa/
Не взломали, а обошли.
Разъяснения того что написано во внятной статье по ссылке:
Напоминаю что такое в общем 2FA о котором речь. На основании токена + времени генерируется временный код.
Что было по мнению группы которая разбирала инцидент:
1. Токены хранились на компьютерах, к которым хакеры получили доступ. Хакеры эти токены получили.
2. Программа по идее должна генерировать коды только если есть токен + вставлена уникальная железка.
3. Однако проверка на железку в программе есть только при импорте токена, а не при генерации.
4. Хакеры пропатчили уязвимую часть и смогли генерировать временные коды имея токен.
Выводы:
1. 2FA как работало, так и работает. Просто токены слили.
2. Очень странная реализация 2FA - если уж используется железка, то почему бы не хранить и генерировать токен на ней, вообще без подключения к ПК. Так кроме как физически было бы ничего не украсть.
3. Журналистам-насильникам 10 лет тюрьмы.
Комментарий недоступен
Всё как обычно. Журналистика под девизом "то ли он шубу украл, то ли у него спёрли".
Комментарий недоступен
Комментарий недоступен