Hakeri su velika prijetnja i tvrtkama i pojedincima. Autentifikacija bi ih trebala držati podalje od sigurnih područja, ali ne funkcionira uvijek.
Cyberkriminalci imaju niz trikova koji se mogu koristiti za lažno predstavljanje legitimnih korisnika. To im omogućuje pristup privatnim podacima koje ne bi smjeli. To se zatim može koristiti ili prodati.
Hakeri često mogu pristupiti sigurnim područjima zbog neispravnih ranjivosti autentifikacije. Dakle, koje su to ranjivosti i kako ih možete spriječiti?
Što su ranjivosti neispravne provjere autentičnosti?
Ranjivost neispravne provjere autentičnosti je svaka ranjivost koja napadaču omogućuje lažno predstavljanje kao legitimni korisnik.
Legitimni korisnik obično se prijavljuje pomoću lozinke ili ID-a sesije. ID sesije je nešto na korisnikovom računalu što označava da su se prethodno prijavili. Kad god pretražujete internet i ne tražite da se prijavite na jedan od svojih računa, to je zato što je davatelj računa pronašao vaš ID sesije.
Većina ranjivosti neispravne provjere autentičnosti su problemi s načinom na koji se rukuje ID-ovima sesije ili lozinkama. Kako biste spriječili napade, trebate pogledati kako bi haker mogao iskoristiti jednu od ovih stavki, a zatim modificirati sustav kako bi to učinio što je moguće težim.
Kako se dobivaju ID-ovi sesije?
Ovisno o tome kako je sustav dizajniran, ID-ovi sesija mogu se dobiti na niz različitih načina. Nakon što je ID sesije prihvaćen, haker može pristupiti bilo kojem dijelu sustava koji može legitimni korisnik.
Otmica sesije
Otmica sesije je čin krađe ID-a sesije. To je često uzrokovano time što korisnik pogriješi i uzrokuje da njegov ID sesije bude lako dostupan nekom drugom.
Ako korisnik koristi nezaštićeni Wi-Fi, podaci koji idu na njegovo računalo i s njega neće biti šifrirani. Haker bi tada mogao presresti ID sesije dok se šalje iz sustava korisniku.
Puno lakša opcija je ako korisnik koristi javno računalo i zaboravi se odjaviti. U ovom scenariju, ID sesije ostaje na računalu i svatko mu može pristupiti.
Prepisivanje URL-a ID-a sesije
Neki su sustavi dizajnirani na takav način da se ID-ovi sesija pohranjuju u URL-u. Nakon prijave u takav sustav, korisnik se usmjerava na jedinstveni URL. Korisnik nakon toga može ponovno pristupiti sustavu posjetom istoj stranici.
To je problematično jer svatko tko dobije pristup određenom URL-u korisnika može lažno predstavljati tog korisnika. To se može dogoditi ako korisnik koristi nezaštićeni Wi-Fi ili ako dijeli svoj jedinstveni URL s nekim drugim. URL-ovi se često dijele na mreži i nije neuobičajeno da korisnici nesvjesno dijele ID-ove sesije.
Kako se dobivaju lozinke?
Lozinke se mogu ukrasti ili pogoditi na niz različitih načina, sa i bez pomoći korisnika. Mnoge od ovih tehnika mogu se automatizirati, omogućujući hakerima da pokušaju probiti tisuće lozinki u jednoj akciji.
Prskanje lozinki
Raspršivanje lozinki uključuje masovno isprobavanje slabih lozinki. Mnogi sustavi dizajnirani su za zaključavanje korisnika nakon više netočnih pokušaja.
Raspršivanje lozinki zaobilazi ovaj problem pokušajem postavljanja slabih lozinki na stotine računa umjesto pokušaja ciljanja pojedinačnog računa. To napadaču omogućuje grupni pokušaj unošenja lozinki bez upozorenja sustava.
Punjenje vjerodajnica
Punjenje vjerodajnica je čin korištenja ukradenih lozinki za pokušaj masovnog pristupa privatnim računima. Ukradene lozinke su široko dostupne na internetu. Kad god je web mjesto hakirano, podaci o korisniku mogu biti ukradeni, a haker ih često preproda.
Punjenje vjerodajnicama uključuje kupnju ovih korisničkih podataka i njihovo masovno isprobavanje na web stranicama. Budući da se lozinke često ponovno koriste, jedno korisničko ime i lozinka često se mogu koristiti za prijavu na više računa.
Krađa identiteta
Krađa e-pošte je e-pošta koja se čini legitimnom, ali je zapravo dizajnirana za krađu zaporki i drugih privatnih podataka. U phishing e-poruci od korisnika se traži da posjeti web stranicu i prijavi se na račun koji posjeduje. Međutim, navedena web stranica je zlonamjerna i sve unesene informacije odmah se kradu.
Kako poboljšati upravljanje sesijom
Sposobnost hakera da oponaša korisnika koristeći ID sesije ovisi o tome kako je sustav dizajniran.
Ne spremajte ID-ove sesija u URL-ove
ID-ovi sesija nikada ne bi trebali biti pohranjeni u URL-ovima. Kolačići su idealni za ID sesije i napadačima im je mnogo teže pristupiti.
Implementirajte automatske odjave
Korisnici bi trebali biti odjavljeni sa svojih računa nakon određene količine neaktivnosti. Jednom implementiran, ukradeni ID sesije više se ne može koristiti.
Rotirajte ID-ove sesije
ID-ove sesije treba redovito mijenjati čak i bez potrebe da se korisnik odjavi. Ovo djeluje kao alternativa automatskim odjavama i sprječava scenarij u kojem napadač može koristiti ukradeni ID sesije onoliko dugo koliko i korisnik.
Kako poboljšati pravila za lozinke
Sva privatna područja trebala bi zahtijevaju jake lozinke a od korisnika treba tražiti dodatnu provjeru autentičnosti.
Implementirajte pravila za lozinke
Svaki sustav koji prihvaća lozinke trebao bi sadržavati pravila o tome koje su lozinke prihvaćene. Od korisnika bi se trebalo tražiti da daju lozinku minimalne duljine i mješavine znakova.
Obavezna provjera autentičnosti u dva faktora
Lozinke se lako kradu i najbolji način da spriječite hakere da ih koriste je implementacija dvofaktorske autentifikacije. Ovo od korisnika zahtijeva ne samo da unese svoju zaporku, već i da pruži još jedan podatak, obično pohranjen samo na njegovom uređaju.
Nakon implementacije, haker neće moći pristupiti računu, čak i ako zna lozinku.
Ranjivosti neispravne provjere autentičnosti značajna su prijetnja
Ranjivost neispravne provjere autentičnosti značajan je problem na svakom sustavu koji pohranjuje privatne informacije. Omogućuju hakerima lažno predstavljanje legitimnih korisnika i pristup bilo kojem području koje im je dostupno.
Neispravna autentifikacija obično se odnosi na probleme s načinom na koji se upravlja sesijama ili kako se koriste lozinke. Razumijevanjem načina na koji hakeri mogu pokušati pristupiti sustavu, moguće je to učiniti što je moguće težim.
Sustavi bi trebali biti dizajnirani tako da ID-ovi sesija nisu lako dostupni i da ne rade dulje nego što je potrebno. Također se ne treba oslanjati na lozinke kao na jedino sredstvo provjere autentičnosti korisnika.
