एक-कारक दो-कारक प्रमाणीकरण

क्या आप इंटरनेट बैंकिंग में एसएमएस के माध्यम से दो-कारक प्रमाणीकरण का उपयोग करने वाले बैंक के ग्राहक हैं? क्या आपके पास Android फ़ोन है? क्या आप Google सेवाओं तक पहुंचने और इंटरनेट बैंकिंग तक पहुंचने के लिए उसी कंप्यूटर का उपयोग कर रहे हैं?

यदि तीनों उत्तर "हां" हैं, तो आपके धन की पहुंच पहली नज़र में लगने से कम संरक्षित है।

प्रमाणीकरण योजना

हम बैंकिंग तक पहुंच योजना के बारे में तुरंत आरक्षण कर देंगे। लेख में बैंकों द्वारा दी गई निम्नलिखित सुरक्षा पर चर्चा की गई है:

• बैंकिंग साइट तक पहुंच के लिए लॉगिन / पासवर्ड जोड़ी
• प्रत्येक ऑपरेशन की पुष्टि करने के लिए क्लाइंट के फोन पर एसएमएस के माध्यम से वन-टाइम पासवर्ड (अक्सर डिजिटल एक) भेजा जाता है

मैं जिन चार बैंकों में आया, उनमें से तीन ने इस प्रमाणीकरण योजना का इस्तेमाल किया।

हमले के दृश्य

धन चुराने के लिए, एक हमलावर को एक उपयोगकर्ता नाम / पासवर्ड जानना होगा और उस फोन तक पहुंच होनी चाहिए जिस पर एसएमएस आता है।
वह इसे हासिल कर सकता है:

1. उपयोगकर्ता नाम / पासवर्ड जोड़ी की चोरी (उदाहरण के लिए, एक लैपटॉप के साथ) और फोन
2. ट्रोजन के माध्यम से कंप्यूटर और फोन तक पहुंच प्राप्त करना
3. फ़िशिंग विधियों का उपयोग करना (अपनी साइट को बैंकिंग साइट के रूप में मास्क करना)

अब पहला और तीसरा तरीका सबसे ज्यादा चिंताजनक है। हालांकि, दूसरी विधि को छूट नहीं दी जानी चाहिए।

इस परिदृश्य की जटिलता यह है कि कंप्यूटर और फोन को अलग-अलग संक्रमित किया जाना चाहिए, और एक के संक्रमण से दूसरे का संक्रमण नहीं होता है। एक से दो उपकरणों को संक्रमित करना अधिक कठिन है - यह अतिरिक्त सुरक्षा प्रदान करता है।

लेकिन वास्तव में, एक कंप्यूटर संक्रमण से एंड्रॉइड फोन संक्रमण हो सकता है । संक्रमण के लिए, फोन को कंप्यूटर से जोड़ना वैकल्पिक है। अधिक विस्तार से हमले की योजना पर विचार करें।

हमला पैटर्न

Google Play डिवाइस पर एप्लिकेशन की दूरस्थ स्थापना के लिए एक सुविधाजनक तंत्र प्रदान करता है। Play.google.com/store से, आप फ़ोन पर भौतिक पहुँच के बिना अपने फ़ोन पर किसी भी प्रोग्राम को दूरस्थ रूप से स्थापित कर सकते हैं। यह एसएमएस प्राधिकरण के माध्यम से सुरक्षा के स्तर को काफी कम कर देता है। वास्तव में, यह एक हमलावर के लिए केवल एक कंप्यूटर को संक्रमित करने के लिए पर्याप्त है, जबकि फोन स्वयं दुर्भावनापूर्ण एप्लिकेशन को डाउनलोड और इंस्टॉल करेगा।

सर्किट खुद इस तरह दिखता है:

1. एक हमलावर Google Play पर एक एप्लिकेशन प्रकाशित करता है जिसमें एक विशेष ईमेल पर एसएमएस संदेश भेजने के लिए एक कोड होता है
2. एक हमलावर एक ट्रोजन के साथ एक उपयोगकर्ता की मशीन को संक्रमित करता है
3. ट्रोजन play.google.com/store पर जाता है और सभी उपयोगकर्ता के फ़ोन पर Android एप्लिकेशन इंस्टॉल करता है
4. ट्रोजन उपयोगकर्ता नाम और पासवर्ड भेजता है जो हमलावर के ईमेल पते पर कीगलर का उपयोग करके पढ़ा गया था

वह सब है! अब चोर के पास इंटरनेट बैंकिंग में प्रवेश करने के लिए एक लॉगिन और पासवर्ड है और एसएमएस से एक बार का पासवर्ड उसे फोन पर इंस्टॉल किए गए मालवेयर द्वारा भेजा जाएगा। इस मामले में, उन्हें उपयोगकर्ता के एसएमएस पत्राचार को पढ़ने के लिए किसी भी कमजोरियों की तलाश करने की आवश्यकता नहीं होगी (आप एंड्रॉइड अनुमतियों के तंत्र का उपयोग कर सकते हैं, जो ट्रोजन कंप्यूटर से ही पुष्टि करेगा) और उपयोगकर्ता को संदिग्ध प्रोग्राम मैन्युअल रूप से स्थापित करने के लिए मनाएगा (ट्रोजन साइट के माध्यम से सब कुछ करेगा)।

सुरक्षा

दुर्भाग्य से, मुझे फोन पर Google Play एप्लिकेशन को सेवा के WEB संस्करण के माध्यम से प्रोग्राम इंस्टॉल करने पर प्रतिबंध नहीं मिला। इसलिए, दो-कारक प्रमाणीकरण के दोनों कारकों को एक दूसरे से स्वतंत्र बनाने के लिए सुरक्षा अन्य तरीकों से नीचे आती है:

• बैंक एसएमएस प्राप्त करने वाले के एंड्रॉइड फोन पर और उस कंप्यूटर पर उसी Google खाते का उपयोग न करें जिसके माध्यम से आप इंटरनेट बैंकिंग में लॉग इन करते हैं
• फोन पर Google Play का उपयोग न करें (कुछ कस्टम फर्मवेयर में यह नहीं है)
• एक-बार एसएमएस पासवर्ड प्राप्त करने के लिए एक अलग फोन (एंड्रॉइड नहीं) का उपयोग करें

निष्कर्ष

दो-कारक एसएमएस प्रमाणीकरण लगता है की तुलना में कम सुरक्षित है।