Włamanie na serwery Reddita – 2FA nie pomogło – przechwycili SMS-y

01 sierpnia 2018, 23:52 | W biegu | komentarzy 12
: zin o bezpieczeństwie - pobierz w pdf/epub/mobi.

Zerknijcie na rozgrzany do czerwoności wątek na Reddicie o włamaniu na Reddita.

Atakujący otrzymali dostęp read-only do bazy danych (choć mocno ograniczony – wspomniana jest informacja o niektórych mailach), kodu źródłowego, logów oraz „pewnych plików” należących do pracowników Reddita. Potwierdzono też dostęp do starego, pełnego backupu bazy danych (z 2007 roku). Zacytujmy dłuższy fragment:

On June 19, we learned that between June 14 and June 18, an attacker compromised a few of our employees’ accounts with our cloud and source code hosting providers. Already having our primary access points for code and infrastructure behind strong authentication requiring two factor authentication (2FA), we learned that SMS-based authentication is not nearly as secure as we would hope, and the main attack was via SMS intercept. We point this out to encourage everyone here to move to token-based 2FA.

Powtórzmy:

we learned that SMS-based authentication is not nearly as secure as we would hope, and the main attack was via SMS intercept.

Czyżby należało w przyspieszonym trybie rezygnować SMS-ów jako drugiego czynnika uwierzytelniającego?

–ms

 

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. John Sharkrat

    Czyżby należało w przyspieszonym trybie rezygnować SMS-ów jako drugiego czynnika uwierzytelniającego?” – Po co skoro wystarczy stara nokia i dodatkowy numer służące tylko do przyjmowania SMS-ów autoryzacyjnych.

    Odpowiedz
    • Toadie

      A choćby po to, że i stara Nokia nie pomoże jeśli ktoś wyrobi sobie duplikat Twojej karty SIM.

      Odpowiedz
      • John Sharkrat

        Naprawdę? Wyrobi sobie numer? A skąd go ma niby mieć? Poza tym wyrabiałeś kiedyś sobie duplikat karty czy tylko gdzieś o tym czytałeś? Czytałeś, to wyrób sobie kartę i w praktyce sprawdź czy jest to takie łatwe, ignorancie.

        Odpowiedz
        • markac

          Jest to łatwe, ominęło Cię parę artykułów na ten temat…?

          Odpowiedz
        • Toadie
          Odpowiedz
          • John Sharkrat

            A to niby czegoś dowodzi? U jednego operatora wystąpił problem i według ciebie występuje u wszystkich operatorów. Powtarzam idź i wyrób sobie duplikat, a nie linkujesz mi do jakiś artykułów.

        • Paweł
          Odpowiedz
          • John Sharkrat

            Zatrudnij tłumacza z angielskiego albo kogoś, kto ci to kredkami rozrysuje.

          • Todadie

            Poddaje sie – dla tych co chcac sie czegos dodwiedziec – powyzszy link prowadzi do artykulu, gdzie wektor ataku jest rozny od zainfekowania smarfon malware i przejecia przychodzych SMS. Dowodzi, ze istnieja inne wektory ataku niz zainfekowanie smartfona, celem przechwycenia przychodzaych SMS.
            Stara nokia przenaczona tylko do odbierania SMS-ow autoryzujacych przelew, nie bedzie rozwiazaniem problemu.

          • rrrrrrrrrrrrrrrrrrrrr

            Stara nokia działa w 2G, co ją od startu dyskwalifikuje.

          • AntyJanBochomo

            Zostawcie Pana @John Sharkrat, to że jest ignorantem nie znaczy że trzeba mu na siłę podawać linki.
            Jeżeli nie chce wiedzieć, bo tak łatwiej się żyje, zostawmy go, dzięki takim osobom bezpieczniki mają prace, agresor ma wektor ataku (profity). Ekosystem musi pracować wydajnie :)

    • JohnDoe

      Nie wystarczy. Jak u operatora ktoś przejmie kartę SIM nic nie zrobisz. A to się zdarza – patrz inne wpisy na ten temat na portalu. U Samcika też to pisali – tzn w Polsce zdarzają się wrogie przejęcia

      Odpowiedz

Odpowiedz