Ίσως πιστεύετε ότι η ενεργοποίηση του ελέγχου ταυτότητας δύο παραγόντων στον λογαριασμό σας τον καθιστά 100% ασφαλή. Ο έλεγχος ταυτότητας δύο παραγόντων^{(Two-factor authentication)} είναι μια από τις καλύτερες μεθόδους για την προστασία του λογαριασμού σας. Αλλά μπορεί να εκπλαγείτε όταν ακούσετε ότι ο λογαριασμός σας μπορεί να παραβιαστεί παρά την ενεργοποίηση του ελέγχου ταυτότητας δύο παραγόντων. Σε αυτό το άρθρο, θα σας πούμε τους διαφορετικούς τρόπους με τους οποίους οι εισβολείς μπορούν να παρακάμψουν τον έλεγχο ταυτότητας δύο παραγόντων.

Τι είναι ο έλεγχος ταυτότητας^{(Authentication)} δύο παραγόντων (2FA);

Πριν ξεκινήσουμε, ας δούμε τι είναι το 2FA. Γνωρίζετε ότι πρέπει να εισαγάγετε έναν κωδικό πρόσβασης για να συνδεθείτε στον λογαριασμό σας. Χωρίς τον σωστό κωδικό πρόσβασης, δεν μπορείτε να συνδεθείτε. Το 2FA είναι η διαδικασία προσθήκης ενός επιπλέον επιπέδου ασφαλείας στον λογαριασμό σας. Αφού την ενεργοποιήσετε, δεν μπορείτε να συνδεθείτε στον λογαριασμό σας εισάγοντας μόνο τον κωδικό πρόσβασης. Πρέπει να ολοκληρώσετε ένα ακόμη βήμα ασφαλείας. Αυτό σημαίνει ότι στο 2FA, ο ιστότοπος επαληθεύει τον χρήστη σε δύο βήματα.

Διαβάστε^(Read) : Πώς να ενεργοποιήσετε την επαλήθευση σε 2 βήματα στον λογαριασμό Microsoft^{(How to Enable 2-step Verification in Microsoft Account)} .

Πώς λειτουργεί το 2FA;

Ας κατανοήσουμε την αρχή λειτουργίας του ελέγχου ταυτότητας δύο παραγόντων. Το 2FA απαιτεί να επαληθεύσετε τον εαυτό σας δύο φορές. Όταν εισάγετε το όνομα χρήστη και τον κωδικό πρόσβασής σας, θα ανακατευθυνθείτε σε άλλη σελίδα, όπου πρέπει να προσκομίσετε μια δεύτερη απόδειξη ότι είστε το πραγματικό πρόσωπο που προσπαθεί να συνδεθείτε. Ένας ιστότοπος μπορεί να χρησιμοποιήσει οποιαδήποτε από τις ακόλουθες μεθόδους επαλήθευσης:

OTP (Κωδικός μίας χρήσης)

Αφού εισαγάγετε τον κωδικό πρόσβασης, ο ιστότοπος σάς λέει να επαληθεύσετε τον εαυτό σας εισάγοντας το OTP που αποστέλλεται στον εγγεγραμμένο αριθμό κινητού σας τηλεφώνου. Αφού εισαγάγετε το σωστό OTP , μπορείτε να συνδεθείτε στο λογαριασμό σας.

Άμεση ειδοποίηση

Η άμεση ειδοποίηση εμφανίζεται στο smartphone σας εάν είναι συνδεδεμένο στο διαδίκτυο. Πρέπει να επαληθεύσετε τον εαυτό σας πατώντας στο κουμπί « Ναι ». ^(Yes)Μετά από αυτό, θα συνδεθείτε στον λογαριασμό σας στον υπολογιστή σας.

Εφεδρικοί κωδικοί

Οι εφεδρικοί^(Backup) κωδικοί είναι χρήσιμοι όταν οι δύο παραπάνω μέθοδοι επαλήθευσης δεν λειτουργούν. Μπορείτε να συνδεθείτε στον λογαριασμό σας εισάγοντας οποιονδήποτε από τους εφεδρικούς κωδικούς που έχετε κατεβάσει από τον λογαριασμό σας.

Εφαρμογή Authenticator

Σε αυτήν τη μέθοδο, πρέπει να συνδέσετε τον λογαριασμό σας με μια εφαρμογή ελέγχου ταυτότητας. Κάθε φορά που θέλετε να συνδεθείτε στον λογαριασμό σας, πρέπει να εισάγετε τον κωδικό που εμφανίζεται στην εφαρμογή ελέγχου ταυτότητας που είναι εγκατεστημένη στο smartphone σας.

Υπάρχουν πολλές ακόμη μέθοδοι επαλήθευσης που μπορεί να χρησιμοποιήσει ένας ιστότοπος.

Διαβάστε^(Read) : Πώς να προσθέσετε επαλήθευση σε δύο βήματα στον Λογαριασμό σας Google^{(How To Add Two-step Verification To Your Google Account)} .

Πώς οι χάκερ μπορούν να ξεπεράσουν τον έλεγχο ταυτότητας δύο παραγόντων^{(Two-factor Authentication)}

Αναμφίβολα, το 2FA κάνει τον λογαριασμό σας πιο ασφαλή. Ωστόσο, υπάρχουν ακόμη πολλοί τρόποι με τους οποίους οι χάκερ μπορούν να παρακάμψουν αυτό το επίπεδο ασφαλείας.

1] Κλοπή cookie^{(Cookie Stealing)} ή πειρατεία συνεδρίας^{(Session Hijacking)}

Η κλοπή cookie ή η πειρατεία συνεδρίας^{(Cookie stealing or session hijacking)} είναι η μέθοδος κλοπής του cookie περιόδου λειτουργίας του χρήστη. Μόλις ο χάκερ επιτύχει στην κλοπή του cookie περιόδου λειτουργίας, μπορεί εύκολα να παρακάμψει τον έλεγχο ταυτότητας δύο παραγόντων. Οι εισβολείς γνωρίζουν πολλές μεθόδους αεροπειρατείας, όπως καθήλωση συνεδρίας, sniffing συνεδρίας, δέσμες ενεργειών μεταξύ τοποθεσιών, επίθεση κακόβουλου λογισμικού κ.λπ. Το Evilginx^(Evilginx) είναι ένα από τα δημοφιλή πλαίσια που χρησιμοποιούν οι χάκερ για να εκτελέσουν μια επίθεση man-in-the-middle. Σε αυτή τη μέθοδο, ο χάκερ στέλνει έναν σύνδεσμο phishing στον χρήστη που τον οδηγεί σε μια σελίδα σύνδεσης διακομιστή μεσολάβησης. Όταν ο χρήστης συνδέεται στο λογαριασμό του χρησιμοποιώντας το 2FA, το Evilginx καταγράφει τα διαπιστευτήρια σύνδεσής του μαζί με τον κωδικό ελέγχου ταυτότητας. Από το OTPλήγει μετά τη χρήση του και ισχύει επίσης για ένα συγκεκριμένο χρονικό πλαίσιο, δεν υπάρχει καμία χρήση στη λήψη του κωδικού ελέγχου ταυτότητας. Όμως ο χάκερ έχει τα cookies περιόδου λειτουργίας του χρήστη, τα οποία μπορεί να χρησιμοποιήσει για να συνδεθεί στον λογαριασμό του και να παρακάμψει τον έλεγχο ταυτότητας δύο παραγόντων.

2] Δημιουργία διπλού κώδικα

Εάν έχετε χρησιμοποιήσει την εφαρμογή Google Authenticator , γνωρίζετε ότι δημιουργεί νέους κωδικούς μετά από συγκεκριμένο χρονικό διάστημα. Το Google Authenticator^{(Google Authenticator)} και άλλες εφαρμογές ελέγχου ταυτότητας λειτουργούν σε έναν συγκεκριμένο αλγόριθμο. Οι γεννήτριες τυχαίων^(Random) κωδικών γενικά ξεκινούν με μια τιμή σποράς για να δημιουργήσουν τον πρώτο αριθμό. Στη συνέχεια, ο αλγόριθμος χρησιμοποιεί αυτήν την πρώτη τιμή για να δημιουργήσει τις υπόλοιπες τιμές κώδικα. Εάν ο χάκερ είναι σε θέση να κατανοήσει αυτόν τον αλγόριθμο, μπορεί εύκολα να δημιουργήσει έναν διπλότυπο κώδικα και να συνδεθεί στον λογαριασμό του χρήστη.

3] Brute Force

Το Brute Force^{(Brute Force)} είναι μια τεχνική για τη δημιουργία όλων των πιθανών συνδυασμών κωδικών πρόσβασης. Ο χρόνος διάσπασης ενός κωδικού πρόσβασης με ωμή βία εξαρτάται από τη διάρκειά του. Όσο μεγαλύτερος είναι ο κωδικός πρόσβασης, τόσο περισσότερος χρόνος χρειάζεται για να σπάσει. Γενικά, οι κωδικοί ελέγχου ταυτότητας είναι από 4 έως 6 ψηφία, οι χάκερ μπορούν να δοκιμάσουν μια προσπάθεια ωμής βίας να παρακάμψουν το 2FA. Αλλά σήμερα, το ποσοστό επιτυχίας των επιθέσεων ωμής βίας είναι μικρότερο. Αυτό συμβαίνει επειδή ο κωδικός ελέγχου ταυτότητας παραμένει έγκυρος μόνο για σύντομο χρονικό διάστημα.

4] Κοινωνική Μηχανική

Το Social Engineering είναι η τεχνική κατά την οποία ένας εισβολέας προσπαθεί να ξεγελάσει το μυαλό του χρήστη και τον αναγκάζει να εισαγάγει τα διαπιστευτήρια σύνδεσής του σε μια ψεύτικη σελίδα σύνδεσης. Ανεξάρτητα από το αν ο εισβολέας γνωρίζει το όνομα χρήστη και τον κωδικό πρόσβασής σας ή όχι, μπορεί να παρακάμψει τον έλεγχο ταυτότητας δύο παραγόντων. Πως? Ας δούμε:

Ας εξετάσουμε την πρώτη περίπτωση κατά την οποία ο εισβολέας γνωρίζει το όνομα χρήστη και τον κωδικό πρόσβασής σας. Δεν μπορεί να συνδεθεί στον λογαριασμό σας επειδή έχετε ενεργοποιήσει το 2FA. Για να λάβετε τον κωδικό, μπορεί να σας στείλει ένα email με κακόβουλο σύνδεσμο, δημιουργώντας σας φόβο ότι ο λογαριασμός σας μπορεί να χακαριστεί εάν δεν λάβετε άμεσα μέτρα. Όταν κάνετε κλικ σε αυτόν τον σύνδεσμο, θα ανακατευθυνθείτε στη σελίδα του χάκερ που μιμείται την αυθεντικότητα της αρχικής ιστοσελίδας. Μόλις εισαγάγετε τον κωδικό πρόσβασης, ο λογαριασμός σας θα παραβιαστεί.

Τώρα, ας πάρουμε μια άλλη περίπτωση στην οποία ο χάκερ δεν γνωρίζει το όνομα χρήστη και τον κωδικό πρόσβασής σας. Και πάλι^(Again) , σε αυτήν την περίπτωση, σας στέλνει έναν σύνδεσμο phishing και κλέβει το όνομα χρήστη και τον κωδικό πρόσβασής σας μαζί με τον κωδικό 2FA.

5] ΟΑυθ

Η ενοποίηση του OAuth^(OAuth) παρέχει στους χρήστες τη δυνατότητα να συνδεθούν στο λογαριασμό τους χρησιμοποιώντας έναν λογαριασμό τρίτου μέρους. Είναι μια φημισμένη διαδικτυακή εφαρμογή που χρησιμοποιεί διακριτικά εξουσιοδότησης για να αποδείξει την ταυτότητα μεταξύ των χρηστών και των παρόχων υπηρεσιών. Μπορείτε να θεωρήσετε το OAuth έναν εναλλακτικό τρόπο σύνδεσης στους λογαριασμούς σας.

Ένας μηχανισμός OAuth λειτουργεί με τον ακόλουθο τρόπο:

1. Ο ιστότοπος Α ζητά από τον ιστότοπο Β^{(Site B)} (π.χ. Facebook ) ένα διακριτικό ελέγχου ταυτότητας.
2. Ο ιστότοπος Β^{(Site B)} θεωρεί ότι το αίτημα δημιουργείται από τον χρήστη και επαληθεύει τον λογαριασμό του χρήστη.
3. Στη συνέχεια, ο ιστότοπος Β^{(Site B)} στέλνει έναν κωδικό επανάκλησης και αφήνει τον εισβολέα να συνδεθεί.

Στις παραπάνω διαδικασίες, είδαμε ότι ο εισβολέας δεν χρειάζεται να επαληθεύσει τον εαυτό του μέσω 2FA. Αλλά για να λειτουργήσει αυτός ο μηχανισμός παράκαμψης, ο χάκερ θα πρέπει να έχει το όνομα χρήστη και τον κωδικό πρόσβασης του λογαριασμού του χρήστη.

Αυτός είναι ο τρόπος με τον οποίο οι χάκερ μπορούν να παρακάμψουν τον έλεγχο ταυτότητας δύο παραγόντων του λογαριασμού ενός χρήστη.

Πώς να αποτρέψετε την παράκαμψη 2FA;

Οι χάκερ μπορούν πράγματι να παρακάμψουν τον έλεγχο ταυτότητας δύο παραγόντων, αλλά σε κάθε μέθοδο, χρειάζονται τη συγκατάθεση των χρηστών την οποία λαμβάνουν εξαπατώντας τους. Χωρίς να εξαπατηθούν οι χρήστες, η παράκαμψη του 2FA δεν είναι δυνατή. Ως εκ τούτου^(Hence) , θα πρέπει να προσέξετε τα ακόλουθα σημεία:

• Πριν κάνετε κλικ σε οποιονδήποτε σύνδεσμο, ελέγξτε την αυθεντικότητά του. Μπορείτε να το κάνετε ελέγχοντας τη διεύθυνση email του αποστολέα.
• Δημιουργήστε έναν ισχυρό κωδικό πρόσβασης^{(Create a strong password)} που περιέχει έναν συνδυασμό αλφαβήτων, αριθμών και ειδικών χαρακτήρων.
• Χρησιμοποιήστε^(Use) μόνο αυθεντικές εφαρμογές ελέγχου ταυτότητας, όπως το Google^(Google) authenticator, το Microsoft^(Microsoft) authenticator κ.λπ.
• Κατεβάστε^(Download) και αποθηκεύστε τους εφεδρικούς κωδικούς σε ασφαλές μέρος.
• Ποτέ μην εμπιστεύεστε τα μηνύματα ηλεκτρονικού ψαρέματος που χρησιμοποιούν οι χάκερ για να ξεγελάσουν το μυαλό των χρηστών.
• Μην μοιράζεστε κωδικούς ασφαλείας με κανέναν.
• Ρυθμίστε^(Setup) το κλειδί ασφαλείας στον λογαριασμό σας, μια εναλλακτική λύση στο 2FA.
• Συνεχίστε να αλλάζετε τον κωδικό πρόσβασής σας τακτικά.

Διαβάστε^(Read) : Συμβουλές για να αποφύγετε τους χάκερ από τον υπολογιστή σας με Windows^{(Tips to Keep Hackers out of your Windows computer)} .

συμπέρασμα

Ο έλεγχος ταυτότητας δύο παραγόντων είναι ένα αποτελεσματικό επίπεδο ασφαλείας που προστατεύει τον λογαριασμό σας από πειρατεία. Οι χάκερ θέλουν πάντα να έχουν την ευκαιρία να παρακάμψουν το 2FA. Εάν γνωρίζετε διαφορετικούς μηχανισμούς εισβολής και αλλάζετε τον κωδικό πρόσβασής σας τακτικά, μπορείτε να προστατεύσετε καλύτερα τον λογαριασμό σας.

How Hackers can get around Two-factor Authentication

You may think that enabling two-factor authentication on your acсount makes it 100% secure. Two-factor authentication is among the best methods to protect your account. But you may be surprised to hear that your account can be hijacked despite enabling two-factor authentication. In this article, we will tell you the different ways by which attackers can bypass two-factor authentication.

What is Two-factor Authentication (2FA)?

Before we begin, let’s see what 2FA is. You know that you have to enter a password to log into your account. Without the correct password, you cannot log in. 2FA is the process of adding an extra security layer to your account. After enabling it, you cannot log into your account by entering the password only. You have to complete one more security step. This means in 2FA, the website verifies the user in two steps.

Read: How to Enable 2-step Verification in Microsoft Account.

How Does 2FA Work?

Let’s understand the working principle of two-factor authentication. The 2FA requires you to verify yourself two times. When you enter your username and password, you will be redirected to another page, where you have to provide a second proof that you are the real person trying to log in. A website can use any of the following verification methods:

OTP (One Time Password)

After entering the password, the website tells you to verify yourself by entering the OTP sent on your registered mobile number. After entering the correct OTP, you can log into your account.

Prompt Notification

Prompt notification is displayed on your smartphone if it is connected to the internet. You have to verify yourself by tapping on the “Yes” button. After that, you will be logged into your account on your PC.

Backup Codes

Backup codes are useful when the above two methods of verification won’t work. You can log into your account by entering any one of the backup codes you have downloaded from your account.

Authenticator App

In this method, you have to connect your account with an authenticator app. Whenever you want to log into your account, you have to enter the code displayed on the authenticator app installed on your smartphone.

There are several more methods of verification that a website can use.

Read: How To Add Two-step Verification To Your Google Account.

How Hackers can get around Two-factor Authentication

Undoubtedly, 2FA makes your account more secure. But there are still many ways by which hackers can bypass this security layer.

1] Cookie Stealing or Session Hijacking

Cookie stealing or session hijacking is the method of stealing the session cookie of the user. Once the hacker gets success in stealing the session cookie, he can easily bypass the two-factor authentication. Attackers know many methods of hijacking, like session fixation, session sniffing, cross-site scripting, malware attack, etc. Evilginx is among the popular frameworks that hackers use to perform a man-in-the-middle attack. In this method, the hacker sends a phishing link to the user that takes him to a proxy login page. When the user logs into his account using 2FA, Evilginx captures his login credentials along with the authentication code. Since the OTP expires after using it and also valid for a particular time frame, there is no use in capturing the authentication code. But the hacker has the user’s session cookies, which he can use to log into his account and bypass the two-factor authentication.

2] Duplicate Code Generation

If you have used the Google Authenticator app, you know that it generates new codes after a particular time. Google Authenticator and other authenticator apps work on a particular algorithm. Random code generators generally start with a seed value to generate the first number. The algorithm then uses this first value to generate the remaining code values. If the hacker is able to understand this algorithm, he can easily create a duplicate code and log into the user’s account.

3] Brute Force

Brute Force is a technique to generate all the possible password combinations. The time for cracking a password using brute force depends on its length. The longer the password is, the more time it takes to crack it. Generally, the authentication codes are from 4 to 6 digits long, hackers can try a brute force attempt to bypass the 2FA. But today, the success rate of brute force attacks is less. This is because the authentication code remains valid only for a short period.

4] Social Engineering

Social Engineering is the technique in which an attacker tries to trick the user’s mind and forces him to enter his login credentials on a fake login page. No matter whether the attacker knows your username and password or not, he can bypass the two-factor authentication. How? Let’s see:

Let’s consider the first case in which the attacker knows your username and password. He cannot log into your account because you have enabled 2FA. To get the code, he can send you an email with a malicious link, creating a fear in you that your account can be hacked if you do not take immediate action. When you click on that link, you will be redirected to the hacker’s page that mimics the authenticity of the original webpage. Once you enter the passcode, your account will be hacked.

Now, let’s take another case in which the hacker does not know your username and password. Again, in this case, he sends you a phishing link and steals your username and password along with the 2FA code.

5] OAuth

OAuth integration provides users with a facility to log into their account using a third-party account. It is a reputed web application that uses authorization tokens to prove identity between the users and service providers. You can consider OAuth an alternate way to log into your accounts.

An OAuth mechanism works in the following way:

1. Site A requests Site B (e.g. Facebook) for an authentication token.
2. Site B considers that the request is generated by the user and verifies the user’s account.
3. Site B then sends a callback code and lets the attacker sign in.

In the above processes, we have seen that the attacker does not require to verify himself via 2FA. But for this bypass mechanism to work, the hacker should have the user’s account username and password.

This is how hackers can bypass the two-factor authentication of a user’s account.

How to prevent 2FA bypassing?

Hackers can indeed bypass the two-factor authentication, but in each method, they need the users’ consent which they get by tricking them. Without tricking the users, bypassing 2FA is not possible. Hence, you should take care of the following points:

• Before clicking on any link, please check its authenticity. You can do this by checking the sender’s email address.
• Create a strong password that contains a combination of alphabets, numbers, and special characters.
• Use only genuine authenticator apps, like Google authenticator, Microsoft authenticator, etc.
• Download and save the backup codes at a safe place.
• Never trust phishing emails that hackers use to trick the users’ minds.
• Do not share security codes with anyone.
• Setup security key on your account, an alternative to 2FA.
• Keep changing your password regularly.

Read: Tips to Keep Hackers out of your Windows computer.

Conclusion

Two-factor authentication is an effective security layer that protects your account from hijacking. Hackers always want to get a chance to bypass 2FA. If you are aware of different hacking mechanisms and change your password regularly, you can protect your account better.

Related posts

• Πώς να ενεργοποιήσετε τον έλεγχο ταυτότητας δύο παραγόντων στο Discord

• Πώς να ρυθμίσετε σωστά τις επιλογές ανάκτησης και δημιουργίας αντιγράφων ασφαλείας για έλεγχο ταυτότητας δύο παραγόντων

• Πώς να εγκαταστήσετε το Drupal χρησιμοποιώντας WAMP στα Windows

• Καλύτερο λογισμικό και υλικό Bitcoin Wallets για Windows, iOS, Android

• Ρύθμιση ραδιοφωνικού σταθμού Internet δωρεάν σε υπολογιστή με Windows

• Τα καλύτερα εργαλεία για να στείλετε SMS δωρεάν από τον υπολογιστή σας

• Τα καλύτερα τραπέζια φορητών υπολογιστών για αγορά μέσω Διαδικτύου

• Τι είναι το σύνδρομο Silly Window - Εξήγηση και Πρόληψη

• Τι σημαίνει NFT και Πώς να δημιουργήσετε NFT Digital Art;

• Αυτός ο λογαριασμός δεν είναι συνδεδεμένος με κανέναν λογαριασμό Mixer

• Τι είναι τα μεγάλα δεδομένα - Μια απλή εξήγηση με παράδειγμα

• Πώς να φτιάξετε προσκλητήριο σε υπολογιστή με Windows

• Πώς να μετατρέψετε δυαδικό σε κείμενο χρησιμοποιώντας αυτόν τον μετατροπέα κειμένου σε δυαδικό

• Πώς να δημιουργήσετε αυτο-υπογεγραμμένα πιστοποιητικά SSL στα Windows 11/10

• Φέρτε τη δική σας συσκευή (BYOD) πλεονεκτήματα, βέλτιστες πρακτικές κ.λπ.

• Πώς να εγκαταστήσετε τα Windows 95 στα Windows 10

• Πώς να προστατεύσετε με κωδικό πρόσβασης και να ασφαλίσετε έγγραφα PDf με το LibreOffice

• Το πλαίσιο σχολίων του Disqus δεν φορτώνεται ή δεν εμφανίζεται για έναν ιστότοπο

• Συμβουλές αγορών Cyber ​​Monday & Black Friday για εκπτώσεις που θέλετε να ακολουθήσετε

• Πώς να διαγράψετε τον λογαριασμό σας στο LastPass