搜索

[601] 2018-01-19_PRMitM：重置密码的中间人攻击

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2018-01-19_PRMitM：重置密码的中间人攻击 P R M i t M ： 重 置 密 码 的 中 间 人 攻 击 A r k T e a m   2 0 1 8 - 0 1 - 1 9 作 者 ： { R e a l W o r l d s } @ A r k T e a m 原 文 作 者 ： N e t h a n e l   G e l e r n t e r 、 S e n i a   K a l m a 、 B a r   M a g n e z i 、 H e n   P o r c i l a n 原 文 标 题 ： T h e   P a s s w o r d   R e s e t   M i t M   A t t a c k 原 文 会 议 ： 2 0 1 7   I E E E   S y m p o s i u m   o n   S e c u r i t y   a n d   P r i v a c y 原 文 链 接 ： h t t p : / / i e e e x p l o r e . i e e e . o r g / d o c u m e n t / 7 9 5 8 5 8 1 / 通 常 ， 保 护 账 号 安 全 的 方 法 是 为 账 号 设 置 一 个 密 码 。 然 而 ， 用 户 有 时 会 忘 记 自 己 的 密 码 ， 这 时 需 要 服 务 提 供 商 有 密 码 重 置 机 制 。 一 般 的 密 码 重 置 过 程 中 需 要 用 户 输 入 验 证 码 、 回 答 安 全 问 题 等 ， 而 这 个 过 程 的 一 些 不 安 全 设 计 会 被 第 三 方 平 台 恶 意 利 用 ， 导 致 用 户 的 密 码 被 第 三 方 重 置 。 日 前 ， 来 自 以 色 列 的 研 究 人 员 针 对 此 类 攻 击 进 行 了 实 验 ， 发 现 会 在 大 部 分 用 户 不 知 情 的 情 况 下 篡 改 他 们 的 账 户 密 码 ， 而 受 影 响 的 不 乏 G o o g l e 、 F a c e b o o k 等 互 联 网 巨 头 。 注 意 ， 这 里 的 中 间 人 不 在 修 改 密 码 的 页 面 与 账 号 服 务 器 之 间 ， 而 是 在 用 户 和 账 号 服 务 器 之 间 。 图 1 是 攻 击 示 例 。 攻 击 者 有 一 个 能 提 供 服 务 的 网 站 ， 例 如 软 件 免 费 下 载 等 ， 当 用 户 下 载 软 件 时 需 要 使 用 邮 箱 、 手 机 等 验 证 身 份 （ 证 明 不 是 机 器 人 ） 。 受 害 者 输 入 邮 箱 后 ， 攻 击 者 根 据 邮 箱 地 址 ， 向 邮 件 服 务 器 请 求 密 码 重 置 。 邮 件 服 务 器 会 采 用 验 证 码 等 方 式 验 证 用 户 身 份 ， 而 攻 击 者 只 需 要 把 邮 件 服 务 器 发 来 的 验 证 码 、 问 题 等 转 发 给 受 害 者 ， 就 能 获 得 答 案 ， 进 而 设 置 新 密 码 。 可 以 看 出 ， 图 片 验 证 码 和 安 全 问 题 的 方 式 十 分 不 安 全 。 图 1   密 码 重 置 中 间 人 攻 击 示 例 一 些 服 务 提 供 商 会 采 用 短 信 验 证 码 或 语 音 验 证 码 等 ， 但 是 却 没 有 告 诉 用 户 验 证 码 的 来 源 、 用 途 以 及 泄 露 的 风 险 等 信 息 。 短 信 验 证 码 中 （ 图 2 ） ， 由 于 用 户 可 以 来 自 各 个 国 家 ， 一 些 网 站 对 多 语 种 的 支 持 也 不 完 善 ， 使 一 些 用 户 只 能 看 得 懂 验 证 码 ， 却 看 不 懂 其 他 文 字 信 息 ； 而 且 一 些 用 户 的 手 机 会 直 接 提 取 验 证 码 ， 用 户 不 用 打 开 短 信 也 能 正 确 输 入 验 证 码 。 语 音 验 证 码 相 对 来 说 少 一 项 安 全 问 题 ， 即 在 语 言 支 持 上 ， 用 户 能 听 懂 验 证 码 的 话 ， 应 该 能 听 懂 一 些 验 证 码 的 来 源 、 用 途 、 泄 露 的 风 险 等 信 息 。 然 而 一 些 服 务 提 供 商 在 多 语 言 支 持 上 仍 然 存 在 问 题 ， 如 G o o g l e 在 一 些 国 家 的 语 音 中 会 提 及 上 述 信 息 ， 而 在 另 一 语 种 的 国 家 中 却 没 有 上 述 任 何 信 息 。 由 于 邮 件 服 务 提 供 商 很 少 有 采 用 邮 件 验 证 ， 故 邮 件 验 证 没 有 进 行 实 验 。 此 外 ， 一 些 手 机 软 件 也 存 在 此 类 问 题 。
图 2   短 信 验 证 码 分 析 对 此 ， 该 研 究 团 队 提 出 了 几 点 改 进 措 施 。 例 如 ， 在 安 全 问 题 中 询 问 用 户 最 近 的 联 系 人 、 使 用 的 服 务 等 （ 存 在 被 熟 人 攻 击 的 风 险 ） 、 在 短 信 验 证 中 ， 把 验 证 码 替 换 成 超 链 接 、 在 语 音 验 证 中 ， 需 要 用 户 按 键 进 行 交 互 （ 如 " 这 里 是 G o o g l e 账 号 密 码 重 置 服 务 ， 确 认 重 置 请 按 1 " ） 等 。 一 些 服 务 商 也 已 根 据 此 项 研 究 改 进 了 他 们 的 密 码 重 置 方 案 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理