אָנדרעי האָלצמאַן כאָטש די נייַע פֿעיִקייטן ינטראָודוסט אין OS X Yosemite און iOS 8 ברענגען אַ פּלאַץ פון נוציק פֿעיִקייטן צו יוזערז וואָס פאַרפּאָשעטערן די נוצן פון קייפל דעוויסעס, זיי קענען אויך זיין אַ זיכערהייט סאַקאָנע. פֿאַר בייַשפּיל, פאָרווערדינג טעקסט אַרטיקלען פון אַ iPhone צו אַ מעק איז זייער לייכט בייפּאַסיז צוויי-שריט וועראַפאַקיישאַן ווען סיינינג אין פאַרשידן באַדינונגס.
דער גאַנג פון קאָנטינויטי פאַנגקשאַנז, אין וואָס עפּל קאַנעקץ קאָמפּיוטערס מיט רירעוודיק דעוויסעס אין די לעצטע אָפּערייטינג סיסטעמען, איז זייער טשיקאַווע, ספּעציעל אין טערמינען פון די נעטוואָרקס און טעקניקס זיי נוצן צו פאַרבינדן יפאָנעס און יפּאַדס צו מאַקס. קאָנטינויטי כולל די פיייקייט צו רופן פון אַ מעק, שיקן טעקעס דורך AirDrop אָדער געשווינד שאַפֿן אַ האָצפּאָט, אָבער איצט מיר וועלן פאָקוס אויף פאָרווערדינג רעגולער SMS צו קאָמפּיוטערס.
די לעפיערעך ינגקאַנספּיקוואַס, אָבער זייער נוציק פֿונקציע קענען, אין די ערגסט פאַל, ווענדן אין אַ זיכערהייט לאָך וואָס אַלאַוז אַ אַטאַקער צו באַקומען דאַטן פֿאַר די רגע וועראַפאַקיישאַן פאַסע ווען לאָגינג אין אויסגעקליבן באַדינונגס. מיר רעדן דאָ וועגן די אַזוי גערופענע צוויי-פאַסע לאָגין, וואָס, אין אַדישאַן צו באַנקס, איז שוין באַקענענ דורך פילע אינטערנעט באַדינונגס און איז פיל מער זיכער ווי אויב איר האָבן אַ חשבון פּראָטעקטעד בלויז דורך אַ קלאַסיש און איין פּאַראָל.
צוויי-פאַסע וועראַפאַקיישאַן קענען פּאַסירן אין פאַרשידענע וועגן, אָבער ווען מיר רעדן וועגן אָנליין באַנקינג און אנדערע אינטערנעץ באַדינונגס, מיר רובֿ אָפט טרעפן אַ וועראַפאַקיישאַן קאָד צו דיין טעלעפאָן נומער, וואָס איר מוזן אַרייַן ווייַטער צו אַרייַן דיין רעגולער פּאַראָל. דעריבער, אויב עמעצער באַקומען דיין פּאַראָל (אָדער קאָמפּיוטער אַרייַנגערעכנט פּאַראָל אָדער באַווייַזן), זיי וועלן יוזשאַוואַלי דאַרפֿן דיין רירעוודיק טעלעפאָן, פֿאַר בייַשפּיל, צו קלאָץ אין צו אינטערנעט באַנקינג, ווו אַ SMS מיט די פּאַראָל פֿאַר די רגע פייז פון וועראַפאַקיישאַן וועט אָנקומען .
אָבער דער מאָמענט ווען איר האָבן אַלע דיין טעקסט אַרטיקלען פאָרווערדיד פון דיין iPhone צו דיין מעק און אַ אַטאַקער נעמט איבער דיין מעק, זיי ניט מער דאַרפֿן דיין iPhone. אין סדר צו פאָרויס קלאַסיש SMS אַרטיקלען, קיין דירעקט פֿאַרבינדונג איז דארף צווישן iPhone און מעק - זיי טאָן ניט האָבן צו זיין אויף דער זעלביקער Wi-Fi נעץ, Wi-Fi טוט נישט אפילו האָבן צו זיין אויסגעדרייט אויף, פּונקט ווי בלועטאָאָטה, און אַלע וואָס איז דארף איז צו פאַרבינדן ביידע דעוויסעס צו אינטערנעט. די SMS ריליי דינסט, ווי די פאָרווערדינג פון אַרטיקלען איז אַפישאַלי גערופן, קאַמיונאַקייץ דורך די iMessage פּראָטאָקאָל.
אין פיר, די וועג עס אַרבעט איז אַז כאָטש דער אָנזאָג קומט צו איר ווי אַ רעגולער SMS, עפּל פּראַסעסאַז עס ווי אַ iMessage און טראַנספערס עס איבער די אינטערנעט צו די מעק (דאָס איז ווי עס געארבעט מיט iMessage איידער די אַדווענט פון SMS ריליי) , ווו עס דיספּלייז עס ווי אַ SMS, וואָס איז אנגעוויזן דורך אַ גרין בלאָז. iPhone און Mac קענען זיין אין אַ אַנדערש שטאָט, נאָר ביידע דעוויסעס דאַרפֿן אַן אינטערנעט פֿאַרבינדונג.
איר קענט אויך באַקומען דערווייַז אַז SMS רעלע קען נישט אַרבעטן איבער Wi-Fi אָדער בלועטאָאָטה אויף די פאלגענדע וועג: אַקטאַווייט אַעראָפּלאַן מאָדע אויף דיין iPhone און שרייַבן און שיקן אַ SMS אויף אַ מעק קאָננעקטעד צו די אינטערנעט. דערנאָך דיסקאַנעקט די מעק פון דער אינטערנעץ און, קאַנווערסלי, פאַרבינדן די iPhone צו אים (מאָביל אינטערנעט איז גענוג). די SMS איז געשיקט אפילו כאָטש די צוויי דעוויסעס האָבן קיינמאָל גלייך קאַמיונאַקייטיד מיט יעדער אנדערע - אַלץ איז ינשורד דורך די iMessage פּראָטאָקאָל.
אזוי, ווען איר נוצן אָנזאָג פאָרווערדינג, עס איז נייטיק צו האַלטן אין זינען אַז די זיכערהייט פון צוויי-פאַקטאָר אָטענטאַקיישאַן איז קאַמפּראַמייזד. אויב דיין קאָמפּיוטער איז סטאָלען, גלייך דיסייבאַל מעסידזשינג איז די פאַסטאַסט און יזיאַסט וועג צו פאַרמייַדן פּאָטענציעל כאַקינג פון דיין אַקאַונץ.
אַרייַן אינטערנעט באַנקינג איז מער באַקוועם ווען איר טאָן ניט האָבן צו רירייט די וועראַפאַקיישאַן קאָד פון די טעלעפאָן ס אַרויסווייַזן, אָבער נאָר נאָכמאַכן עס פֿון אַרטיקלען אויף די מעק, אָבער זיכערהייט איז פיל מער וויכטיק אין דעם פאַל, וואָס איז זייער פעלנדיק רעכט צו SMS ריליי. . א לייזונג צו דעם פּראָבלעם קען זיין, למשל, די מעגלעכקייט צו ויסשליסן ספּעציפיש נומערן פון פאָרווערדינג אויף מעק, ווייַל די SMS קאָודז יוזשאַוואַלי קומען פון די זעלבע נומערן.
ווי דערמאנט אין די לעצטע פּאַראַגראַף - די פיייקייט צו נאָכמאַכן די קאָד איז פיל מער באַקוועם און בעסער.
אין אַדישאַן - אויב עמעצער סטילז מיין מאַקבאָאָק, דער ערשטער זאַך איך טאָן איז פאַרשפּאַרן עס און קער אַוועק אַלע "פאָרווערדינג" און קאַנטיניואַטי אויף די iPhone - אַז ס וואָס עס איז אויך די אָפּציע אין סעטטינגס / אַרטיקלען. :)
און אויב עמעצער כאַק עס צו איר, טאָן איר אויך האַלטן עס?
און וואָס האָבן צוויי-שריט דערלויבעניש ווען איר קענען פאַרשפּאַרן די סטאָלען מיטל גלייך, הא?
צוויי-שריט וועראַפאַקיישאַן איז אַ דריט-פּאַרטיי דינסט, אַזוי איך קען קוים נישט נוצן עס אָדער איגנאָרירן עס, אין מינדסטער אין די פאַל פון באַנקס. און איך פאַרשפּאַרן אָדער ויסמעקן מיין מעק דורך געפֿינען מיין מעק. די בענעפיץ פון SMS פאָרווערדינג אַוטוויי אויב איך טאָן ניט זען דעם שטן הינטער אַלץ.
קיין איינער דאגות וועגן גנייווע, פול דיסק ענקריפּשאַן סאַלווז דאָס. אָבער וואָס זאָל איר טאָן מיט אַ כאַקט קאָמפּיוטער? מיסטאָמע גאָרנישט, איר וועט נישט וויסן וועגן אים.
נו, פון קורס, די אַדוואַנטידזשיז פּריווייל, קיינער זעט דעם שטן און דער באַניצער שטענדיק טריידז זיכערהייט פֿאַר אַ טאַנצן חזיר.
דורך דעם וועג, טאָן איר האָבן דעם רושם אַז די באַנקס פאָרסינג איר צו שיקן SMS נאָר פֿאַר שפּאַס?
אויב ווער עס יז איז באַזאָרגט, טאָן ניט נוצן עס. איך בין גאָר צופֿרידן מיט אים
און די וואס טאָן ניט האָבן קאַנסערנז אין קאָמבינאַציע מיט 2FA טאָן ניט אפילו נוצן עס, ווייַל זיי דאָך טאָן ניט וויסן וואָס זיי טאָן.
און ווי טאָן איך ויסשליסן אַ ספּעציפיש נומער אויף די מאַקבאָאָק און לאָזן עס אויף די iPhone? דאַנקען פֿאַר די ענטפער
AFAIK דער בעסטער אָפּציע איז "באַשטימען אַוועק טעקסט אַרטיקלען פאָרווערדינג אונטער אַרטיקלען אין סעטטינגס (פֿון דיין iPhone)."
אויב איך בין נישט טעות, עס איז ניט מעגלעך צו ווייטליסט וואָס זאָל זיין פאָרווערדיד, אדער בלאַקליסט וואָס ניט.
נו, איז ניט גרינגער צו גאַנווענען אַ מאָביל טעלעפאָן ווי אַ מעק? יאָ, איר קענען האָבן אַ פּאַראָל פֿאַר רירעוודיק, אָבער אויך פֿאַר MAC. איך בין נישט קיין מומחה, אבער ס'איז מסתמא נישט גרינג צו קומען צו די מאק אויב איך קען נישט דעם שפּריכוואָרט (איך מיין נישט צו לייענען די דאַטן, נאָר צו קלאָץ אין אַזוי אַז די SMS רעלע הייבט זיך אן).
אויך, טאָן ניט פאַרגעסן אַז מיר זענען גערעדט וועגן טאָפּל זיכערהייט, ווו דער ערשטער פאַסע איז דער הויפּט - אַרייַן די פּאַראָל צו כּבֿוד און אויב איר טאָן ניט האָבן עס געשריבן אויף די MAC אָדער אין עטלעכע טעקסט דאָקומענט ין. קיין אַקסעס צו די באַנק (און איר טאָן ניט נוצן 1111 ווי אַ פּאַראָל :-))
אַזוי, סטילינג אַ מעק וועט מיסטאָמע פאַרשאַפן איר די גרעסטע שעדיקן רעכט צו דער אמת פּרייַז פון די מעק.
2FA סאָלווע נישט ערשטיק מעק אָדער IP גנייווע. די לייזונג איז אַז דער אַטאַקער האט צו באַקומען קאָנטראָל פון די מעק און עפּעס אַנדערש. די מעק איז גענוג פאר אים איצט. קאָז ניגט אַלע די בענעפיץ פון 2FA.
(די עצה איז צו באַשיצן קעגן די "אַטאַקער אויף מעק בלויז קאָנטראָלס דעם בלעטערער" וואַריאַנט, וואָס איז מיסטאָמע נישט אַ גאָר קאַנטראָולד סיטואַציע.)
עס איז נאָר אַז אויב איר באַטראַכטן מעק צו זיין גאַנץ זיכער (האַהאַ), איר טאָן ניט האָבן צו האַנדלען מיט 2FA. און אויב נישט, 2FA פארשטאפט ברענגען איר די געוואקסן זיכערהייט, ווי דרייוו.
און נאָך איין מאָל, זייער לעבעדיק - איר גיין צו די וועבזייטל "nicnebezpecneho.cz", וואָס איז געפערלעך ווייַל פון אַ נעבעך גאַנג פון צושטאנדן. דאָס קען פּאַסירן מיט איר גאַנץ לייכט - איר טאָן ניט האָבן צו גיין צו פּאָרן זייטלעך גלייך, עס איז גענוג פֿאַר עמעצער צו נישט באַוואָרענען דעם בלאָג וואָס איר באַזוכן און לאָזן אַנסאַנאַטייזד דזשאַוואַסקריפּט זיין ינסערטאַד אין די באַמערקונגען. עס איז אַ ווייַט עקספּלויטיישאַן פֿאַר דיין בלעטערער אויף דעם בלאַט (דאָס קען נאָך פּאַסירן צו איר, גאָרנישט זייער ומגעוויינטלעך). אָדער באַקומען געכאפט אין געזעלשאַפטלעך ינזשעניעריע ...
... נאָך אַ ביסל שעה איר גיין צו שיקן געלט פון די באַנק (איר קלאָץ אין צו Gmail, גיטהוב...). אין טאן אַזוי, איר אַרייַן די לאָגין דאַטן אין די שוין קאַמפּראַמייזד קאָמפּיוטער (אָדער איר טאָן ניט אפילו האָבן צו טאָן דאָס אויב איר האָבן די פּאַסווערדז געראטעוועט) און נאָכמאַכן און פּאַפּ די קאָד פון די SMS איין מאָל.
..און בייַ נאַכט, דיין קאָמפּיוטער לאָגס אין די באַנק (גמאַיל...) דורך זיך, די פּאַראָל איז שוין געראטעוועט דורך עמעצער מיט מאַלוואַרע. איר וועט נישט באַקומען אַ באַשטעטיקונג SMS אויף דיין רירעוודיק טעלעפאָן, אָבער ... אין דעם קאַמפּראַמייזד קאָמפּיוטער.
2FA סאַלווד פּונקט די סינעריאָוז. ביז עפל האט עס צעבראכן.
איך געדאַנק אַז 2FA מיטל אַז איך האָבן צו באַווייַזן זיך דורך 2 טינגז, למשל:
– פּאַראָל
- מיט אַ טעלעפאָן וואָס אַקסעפּץ SMS
נו, פאָרווערדינג SMS צו מעק צו די טעלעפאָן אויך מוסיף די מעק (אָדער מער מעק און יפּאַד וואָס איך האָבן פּערד) ווי אַן אָלטערנאַטיוו, אָבער עס איז נאָך 2FA. אדער נישט?
אַמאָל ווידער - אונטער נאָרמאַל צושטאנדן, 2FA סאַלווז סיטואַטיאָנס ווי "מיין מעק איז כאַקט און איך טאָן ניט וויסן וועגן אים". ווייַל דעמאָלט איר קענען יבערנעמען אַז די מעק ווייסט דיין פּאַראָל פֿאַר די דינסט (אַז איר שוין האָבן עס געראטעוועט אָדער וועט הערן צו עס די ווייַטער מאָל איר קלאָץ אין צו די דינסט). און איצט איר קענען דערוואַרטן אַז ער וועט אויך וויסן SMS (אָדער ער קענען פרעגן פֿאַר עס אין קיין צייַט און ער וועט באַקומען עס).
רובֿ באַדינונגס וואָס פאָרשלאָגן צוויי-פאַקטאָר אָטענטאַקיישאַן (פאַסעבאָאָק, דראָפּבאָקס, Google, מייקראָסאָפֿט, ...) לאָזן איין מאָל פּאַסווערדז צו זיין דזשענערייטאַד מיט אַן אַפּ (איך נוצן Google אַוטהענטיקאַטאָר). די אַפּלאַקיישאַן דזשענערייץ קעסיידער צייט-לימיטעד קאָודז פֿאַר רעגיסטרירט באַדינונגס. דער קאָד קענען זיין קאַפּיד מיד און געוויינט צו קלאָץ אין. איר טאָן ניט האָבן צו וואַרטן ביז די SMS קומט און, אויב זיי זענען פאָרווערדיד צו די מעק, סאָלווע די פּראָבלעם דיסקרייבד אין דעם אַרטיקל.
קאַמפּראַמייזד מאַקס האָבן SMS אַרטיקלען ווען לאָגינג אין ...
פילן פריי צו פרעגן פֿאַר דעם. אויב איך האָבן אויסגעדרייט אויף צוויי-פאַסע וועראַפאַקיישאַן מיט די דזשענעריישאַן פון אַ איין-צייַט קאָד ניצן די אַפּלאַקיישאַן, די געגעבן דינסט טוט נישט שיקן קיין SMS.
אויב עפּעס האט נישט פארענדערט, פילע סערוויסעס געוואלט די טעלעפאָן און לינקס SMS ווי די פעליקייַט אָפּציע. אַזוי דיין כאַקט קאָמפּיוטער איז צוריק.
מיט אַ גרויס נומער פון באַנקס, עס איז קיין ברירה, נאָר אַ SMS און אַז ס עס.
איך פארשטיי דאס נישט זייער קלאר. אויב עמעצער סטילז מיין מעק, איך קער אַוועק SMS, רימאָוטלי ווישן די מעק און טוישן די פּאַראָל אין די באַנק. אדער וואס איז די כאפ?
וואָלט איר טאָן דאָס איידער לייענען דעם אַרטיקל?
אַבסאָלוט, לעגאַמרע אויטאָמאַטיש.
אָבער צוויי-פאַסע אָטענטאַקיישאַן איז וועגן די פאַקט אַז די אַטאַקער דאַרף צוויי באַשטעטיקונג: פּאַראָל און SMS. דאָס מיינט אַז אויב איך בין דערשראָקן אַז עמעצער וועט נעמען מיין פּערד מעק, איך קראָם נישט די פּאַראָל דאָרט, און אויב עמעצער כאַקס מיין בלעטערער, זיי וועלן נישט באַקומען אין iMessage.
ווו איר באַקומען די פארזיכערונג אַז עס וועט נישט ברעכן אויס פון דיין בלעטערער? לויט די קראַנט רעזולטאַטן פון Pwn4Fun און Pwn2Own, עס קוקט ווי עס זענען לפּחות צוויי נול טעג פֿאַר Safari:
"ביי Pwn4Fun, Google איבערגעגעבן אַ זייער ימפּרעסיוו גווורע קעגן עפּל סאַפאַרי לאָנטשינג קאַלקולאַטאָר ווי וואָרצל אויף מעק אַס רענטגענ."
"דורך Liang Chen פון Keen Team:
קעגן עפּל סאַפאַרי, אַ קופּע לויפן צוזאמען מיט אַ זאַמדקאַסטן בייפּאַס, ריזאַלטינג אין קאָד דורכפירונג.
דין ווייַס אותיות אויף אַ גרין הינטערגרונט - אפילו אַ תלמיד פון אַ ספּעציעל שולע קען האָבן סאַגדזשעסטיד עס בעסער ...
איינער פון די וועגן צו האַלטן דעם איז צו פאַרבייַטן קאָד דור דורך אַ דאָנגלע (למשל דעם: http://www.czc.cz/battlenet-authenticator/110449/produkt?gclid=Cj0KEQiAs6GjBRCy2My09an6uNIBEiQANfY4zKhlCIiwD9za5e_QYUAp_YEpqdA9frjVqnS9i8sgIgsaAh558P8HAQ ) עס איז זיכער און עס ינייבאַלז העכער זיכערהייט, KB אויך דאַרף צו טאָן עפּעס ענלעך - אַ סערטיפיקאַט ופּלאָאַדעד צו אַ וסב דיסק, אָן וואָס אַ מענטש קען נישט פאַרבינדן צו אינטערנעט באַנקינג, פּלוס מאל אַ איין מאָל פּאַראָל איז געשיקט צו די טעלעפאָן, עטק. ... עס זענען פילע פּאַסאַבילאַטיז, אָבער יעדער האט זייער אייגן זי האט צו באַשליסן אויב זיכערהייט איז וויכטיק צו איר (אויב זי האט אַ פּאַראָל אָדער נישט? אאז"ו ו)
Unicredit האט אַ גרויס זאַך. דער קלוג שליסל איז קיינמאָל אַ קלאַסיש SMS, אָבער איך דזשענערייט אַ איין-צייַט פּאַראָל אין די רירעוודיק אַפּלאַקיישאַן.
איך דארף עצה פארוואס איך קען פּלוצלינג נישט שיקן אַ מם קורץ ווידעא, וואָס איז געווען מעגלעך ביז איצט? עס איז קיין אָפּציע צו פשוט אַרייַנלייגן אַ ווידעא, עס טוט נישט ריספּאַנד, עס טוט נישט אַרייַנלייגן עס אין די אָנזאָג
דěקודזשי