Хакери су огромна претња и за предузећа и за појединце. Аутентификација би требало да их држи ван безбедних области, али не функционише увек.
Сајбер криминалци имају низ трикова који се могу користити за лажно представљање легитимних корисника. Ово им омогућава приступ приватним информацијама које не би требало да имају. Ово се онда може користити или продати.
Хакери су често у могућности да приступе сигурним областима због рањивости покварене аутентификације. Дакле, које су то рањивости и како их можете спречити?
Шта су рањивости покварене аутентификације?
Рањивост покварене аутентификације је свака рањивост која омогућава нападачу да се лажно представља као легитимни корисник.
Легитимни корисник се обично пријављује користећи или лозинку или ИД сесије. ИД сесије је нешто на рачунару корисника што указује на то да су се претходно пријавили. Кад год претражујете интернет и од вас се не тражи да се пријавите на један од ваших налога, то је зато што је добављач налога пронашао ваш ИД сесије.
Већина рањивости покварене аутентификације су проблеми са начином на који се рукује ИД-овима сесије или лозинкама. Да бисте спречили нападе, морате да погледате како хакер може да искористи једну од ових ставки, а затим да модификујете систем да то учините што је могуће теже.
Како се добијају ИД-ови сесија?
У зависности од тога како је систем дизајниран, ИД-ови сесије се могу добити на различите начине. Када се ИД сесије прихвати, хакер може приступити било ком делу система који може легитимни корисник.
Отмица сесије
Отмица сесије је чин крађе ИД-а сесије. Ово је често узроковано тиме што корисник направи грешку и проузрокује да њихов ИД сесије буде лако доступан неком другом.
Ако корисник користи небезбедни Ви-Фи, подаци који иду до и са његовог рачунара неће бити шифровани. Хакер тада може бити у могућности да пресретне ИД сесије док се шаље из система кориснику.
Много лакша опција је ако корисник користи јавни рачунар и заборави да се одјави. У овом сценарију, ИД сесије остаје на рачунару и свако може да му приступи.
Преписивање УРЛ-а ИД-а сесије
Неки системи су дизајнирани на такав начин да се ИД-ови сесије чувају у УРЛ-у. Након пријављивања на такав систем, корисник се усмерава на јединствени УРЛ. Корисник тада може поново приступити систему тако што ће посетити исту страницу.
Ово је проблематично јер свако ко добије приступ одређеном УРЛ-у корисника може да се лажно представља за тог корисника. Ово се може десити ако корисник користи небезбедни Ви-Фи или ако дели своју јединствену УРЛ адресу са неким другим. УРЛ-ови се често деле на мрежи и није неуобичајено да корисници несвесно деле ИД-ове сесија.
Како се добијају лозинке?
Лозинке се могу украсти или погодити на различите начине и са и без помоћи корисника. Многе од ових техника могу се аутоматизовати, омогућавајући хакерима да покушају да разбију хиљаде лозинки у једној акцији.
Пассворд Спраиинг
Распршивање лозинки укључује масовно испробавање слабих лозинки. Многи системи су дизајнирани да закључају кориснике након вишеструких нетачних покушаја.
Распршивање лозинки заобилази овај проблем покушајем слабих лозинки на стотинама налога уместо покушаја да циљате појединачни налог. Ово омогућава нападачу да масовно покушава да унесе лозинке без упозорења система.
Цредентиал Стуффинг
Пуњење акредитива је чин коришћења украдених лозинки за покушај масовног приступа приватним налозима. Украдене лозинке су широко доступне на мрежи. Кад год је веб локација хакована, подаци о кориснику могу бити украдени, а хакер их често препродаје.
Пуњење акредитива укључује куповину ових корисничких детаља, а затим их масовно испробавање на веб локацијама. Пошто се лозинке често поново користе, један пар корисничког имена и лозинке се често може користити за пријаву на више налога.
Пецање
Пецајући имејл је е-пошта која изгледа као легитимна, али је заправо дизајнирана да краде лозинке и друге приватне детаље. У е-поруци за крађу идентитета, од корисника се тражи да посети веб страницу и пријави се на налог који поседује. Достављена веб страница је, међутим, злонамерна и све унете информације се одмах краду.
Како побољшати управљање сесијама
Могућност хакера да се лажно представља као корисник користећи ИД-ове сесије зависи од тога како је систем дизајниран.
Не чувајте ИД-ове сесија у УРЛ-овима
ИД-ови сесије никада не би требало да се чувају у УРЛ-овима. Колачићи су идеални за ИД-ове сесија и нападачу им је много теже приступити.
Имплементирајте аутоматске одјаве
Корисници би требало да буду одјављени са својих налога након одређене количине неактивности. Једном имплементиран, украдени ИД сесије се више не може користити.
Ротирајте ИД-ове сесија
ИД-ове сесије треба редовно мењати чак и без потребе да се корисник одјави. Ово делује као алтернатива аутоматском одјављивању и спречава сценарио у коме нападач може да користи украдени ИД сесије све док корисник то чини.
Како побољшати политику лозинки
Све приватне области треба да захтевају јаке лозинке а од корисника треба тражити да обезбеде додатну аутентификацију.
Примените правила за лозинку
Сваки систем који прихвата лозинке треба да садржи правила о томе које лозинке се прихватају. Од корисника треба захтевати да наведу лозинку минималне дужине и мешавину знакова.
Учините двофакторску аутентификацију обавезном
Лозинке се лако краду и најбољи начин да спречите хакере да их користе је имплементација двофакторске аутентификације. Ово захтева од корисника да не само унесе своју лозинку, већ и да пружи још једну информацију, која се обично чува само на његовом уређају.
Када се једном примени, хакер неће моћи да приступи налогу, чак и ако зна лозинку.
Рањивости покварене аутентификације представљају значајну претњу
Рањивости покварене аутентификације представљају значајан проблем на сваком систему који чува приватне информације. Они дозвољавају хакерима да се лажно представљају као легитимни корисници и приступе било којој области која им је доступна.
Неисправна аутентификација се обично односи на проблеме са начином на који се управља сесијама или како се користе лозинке. Разумевањем како хакери могу да покушају да приступе систему, могуће је то учинити што је могуће тежим.
Системи треба да буду дизајнирани тако да ИД-ови сесије нису лако доступни и да не раде дуже него што је потребно. Такође се не треба ослањати на лозинке као на једино средство за аутентификацију корисника.
