Modlishka обход — двухфакторной аутентификации с помощью фишинга

Хотя большинство пользователей считают двухфакторную аутентификацию мерой безопасности для защиты учетных записей, было доказано обратное. Исследователь разработал инструмент для тестирования на проникновение под названием «Modlishka». Этот инструмент может обойти двухфакторную аутентификацию и автоматизировать фишинговые атаки.

Обход двухфакторной аутентификации с помощью Modlishka

Исследователь Петр Душинский разработал инструмент для пентестинга под названием «Modlishka». Инструмент может легко обрабатывать автоматизированные фишинговые атаки. Но что делает его более интересным, так это тот факт, что он может обойти двухфакторную аутентификацию, необходимую для входа в учетную запись. Инструмент доступен на Github.

Как показал польский исследователь, инструмент Modlishka использует обратный прокси с небольшими изменениями, чтобы облегчить фишинговые атаки. Также была указана причина создания инструмента

«Modlishka была написана с целью сделать подход к фишингу максимально эффективным. Этот инструмент должен быть очень полезным для всех пентестеров, которые хотят провести эффективную фишинговую атаку».

Modlishka не только обходит двухфактурную аутентификацию, но также сохраняет учетные данные пользователя у себя в панели, для быстрого доступа к последнему подключению. Петр Душинский также поделился видео, в котором продемонстрировано действие инструмента в реальном времени.

U2F все еще устойчив к Modlishka — но как насчет двухфакторной аутентификации?

[su_note note_color=”#6bff66″]U2F — открытый, бездрайверный протокол для двухфакторной аутентификации, основанный на вызов-ответной аутентификации, позволяющий интернет-пользователям использовать U2F устройство как второй фактор для аутентификации на большом количестве онлайн-сервисов. [/su_note]

Как объяснил Душинский, инструменты для пентестинга, такие как Modlishka, заставляют терять позиции в надежности двухфакторной аутентификации в глазах людей.

«… С правильным обратным прокси-сервером, нацеленным на ваш домен по зашифрованному каналу связи, которому доверяет браузер, вы можете столкнуться с серьезными трудностями, заметив, что что-то не так».

Кроме того, другие угрозы, такие как подмена URL-адреса, а также недостаточная осведомленность делают двухфакторную аутентификацию почти неудачей. На данный момент исследователь считает U2F(Universal 2nd Factor) единственным жизнеспособным методом, выдерживающим эту атаку.

«В настоящее время единственный способ решить эту проблему с технической точки зрения – полностью полагаться на аппаратные токены двухфакторной аутентификации, основанные на протоколе U2F».

Зачем открывать доступ к такому опасному инструменту?

После прочтения можно подумать, почему пентестер выложил такой опасный инструмент на Github! Ну, исследователь назвал интересную причину в качестве ответа на этот запрос.

«Я считаю, что без рабочего доказательства концепции, которая действительно доказывает работоспособность, риск рассматривается как теоретический, и никакие реальные меры для его решения не принимаются».

Modlishka не является первый инструментом, который использует метод обратного прокси для обхода двухфакторной аутентификаии, что доказывает и показывает ненадежность данной защити. Следовательно, следует быть бдительный и защищать свои персональные данные.