研究人員成功繞過IG雙重認證 可以入侵任何帳號

一名獨立研究人員在發現 Instagram 流動版復原步驟的弱點後,在 Facebook 的臭蟲獎金計劃中獲得 3 萬美元獎金。根據他的發現,通過大規模的暴力破解,可以奪取任何人的帳號,同時也帶出雙重認證的安全性疑慮。

暴力破解 6 位數字認證碼
獨立研究員 Laxman Muthiyah 在查看 Instagram 流動版的復原流程,當中涉及用戶在他們的手機接收一條 6 個位的密碼作為雙重認證,而 6 個位的密碼即是 100 萬個組合。所以只要在核實的裝置上試驗 100 萬條密碼,就能更改任何帳號的密碼。

在 10 分鐘限時內嘗試 100 萬次一次性的密碼看似甚具挑戰性,但是這類型的暴力破解只要有自動腳本和雲端服務帳號,即使是一個人也能夠辦到。在實際環境中,攻擊者需要 5000 個 IP 地址去入侵一個帳號,聽起來很多,事實上只要使用 Amazon 或 Google 等雲端服務商就能輕易獲得,完成 100 萬條密碼攻擊的成本只需要大約 150 美元。

Instagram 的復原機制有次數限制的保護,例如一段時間內一個 IP 地址可以登入的次數受到限制,研究人員首次發出 1000 個密碼,但只有 250 個通過,然而他亦發現 Instagram 並沒有把相當時段內超過容許數量的 IP 地址放入黑名單,所以他能夠重複轉換 IP 地址來持續攻擊。而且也能夠利用同時發送來擾亂次數限制的機制,因此通過競爭危害 (Race hazard) 和 IP 輪轉的方式,能夠達到發生大量密碼而不被限制,不過由於每條密碼只有 10 分鐘限時,所以需要數千個 IP 地址去滿足時間條件。

150 元成本賺 30000 獎金
只花了 150 美元的成本,研究人員成功展示了整過程,他把概念和影片遞交給 Facebook 保安團隊,經過核實後已確守會向他發送 3 萬美元獎金,而團隊也訊速找出問題所在和正進行修復。

雙重認證已經失效?
大部份雙重證認都使用類似的方法,6 位數字的一次性密碼在數分鐘內到期,帶出了多少服務同樣面對相同的風險。除了以上的方法,繞過 SMS 的雙重認證其實還有其他方法,例如在一月時曝光的滲透測試工具 Modlishka 和去年的 APT 攻擊「Return of Charming Kitten」。最近則有活動利用釣魚網站讓用戶掉入陷阱,用戶在假網站輸入的資料,黑客即時在真網站入輸入,即使受雙重認證保護,黑客也有假的確定畫面等候用戶輸入一次性密碼,然後再在真網站內依照輸入就能存取受害者的帳號。

在去年的12月,一款 Android 木馬程式被發現從受雙重認證保護的 PayPal 帳號內盜取金錢,它偽裝成電池優化工具,取得裝置的存取權限,令它可以監視其他應用程式上的活動,之後就等待裝置的主人打開 PayPal 登入,由於它不盜取登入資料而是等待用戶自行到官方應用程式登入,所以能夠繞過雙重認證。

資料來源:Threat Post