2FA பைபாஸ் அச்சுறுத்தலுக்கு பயனர் தொடர்பு தேவையில்லை என்பதை ஆராய்ச்சியாளர்கள் வெளிப்படுத்துகின்றனர்
புதுப்பிப்பு, டிச. 14, 2024: முதலில் டிசம்பர் 13 அன்று வெளியிடப்பட்ட இந்தக் கதையில் இப்போது 2FA பைபாஸ் பாதிப்பு மற்றும் பயனர்கள் மீது அவதானித்த தாக்கம் பற்றிய மைக்ரோசாப்ட் அறிக்கை உள்ளது.
ஹேக்கர் தாக்குதல்களுக்கு எதிராக பயனர்களைப் பாதுகாப்பதற்காக இரண்டு காரணி அங்கீகார பாதுகாப்பில் ஒரு முக்கியமான மைக்ரோசாஃப்ட் பாதிப்பை எவ்வாறு கண்டுபிடித்தார்கள் என்பதை பாதுகாப்பு ஆராய்ச்சியாளர்கள் வெளிப்படுத்தியுள்ளனர். மைக்ரோசாப்ட் இப்போது சரிசெய்துள்ள பாதிப்பு, Office 365 இன் 400 மில்லியன் பயனர்களை 2FA பைபாஸ் தாக்குதலின் ஆபத்தில் ஆழ்த்தியுள்ளது, பயனர் தொடர்பு தேவைப்படாது, விழிப்பூட்டல்களைத் தூண்டாது மற்றும் முடிக்க ஒரு மணிநேரம் மட்டுமே ஆகும். நீங்கள் தெரிந்து கொள்ள வேண்டியது இங்கே.
மைக்ரோசாப்ட் 2FA பைபாஸ் பாதிப்பு விளக்கப்பட்டது
ஒயாசிஸ் செக்யூரிட்டியின் புதிய அறிக்கை, அவுட்லுக் மின்னஞ்சல்கள், OneDrive கோப்புகள், குழு அரட்டைகள் மற்றும் Azure கிளவுட் ஆகியவற்றிற்கான அணுகலை வழங்கும் மைக்ரோசாஃப்ட் கணக்குகளை பாதிக்கக்கூடிய ஒரு முக்கியமான இரண்டு காரணி அங்கீகார பைபாஸ் பாதிப்பை ஆராய்ச்சியாளர்கள் எவ்வாறு ஈடுபடுத்த முடிந்தது என்பது பற்றிய தொழில்நுட்ப விவரம் சென்றுள்ளது. “மைக்ரோசாஃப்ட் 400 மில்லியனுக்கும் அதிகமான பணம் செலுத்திய Office 365 இடங்களைக் கொண்டுள்ளது,” என்று ஆராய்ச்சியாளர்கள் எச்சரித்தனர், “இந்த பாதிப்பின் விளைவுகளை வெகுதூரம் ஆக்குகிறது.”
உண்மையில் தொலைநோக்குடையது, ஆனால் உண்மையான சுரண்டல் அதிர்ச்சியூட்டும் வகையில் எளிமையானது: இது 10-முயற்சி குறியீடு தோல்வி விகித வரம்பைப் பெற்றது, இது தாக்குபவர் ஒரே நேரத்தில் பல முயற்சிகளை செயல்படுத்துவதற்கு உதவுகிறது, இது ஆராய்ச்சியாளர்கள் மொத்த விருப்பங்களின் எண்ணிக்கையை விரைவாக முடிக்க அனுமதிக்கிறது. 6 இலக்க இரு காரணி அங்கீகாரக் குறியீடு.
“10 தோல்விகளின் வரம்பு தற்காலிக அமர்வு பொருளுக்கு மட்டுமே பயன்படுத்தப்பட்டது,” என்று ஆராய்ச்சியாளர்கள் விளக்கினர், “விகித வரம்பு போதுமானதாக இல்லாமல், விவரிக்கப்பட்ட செயல்முறையை மீண்டும் செய்வதன் மூலம் மீண்டும் உருவாக்க முடியும்.” விஷயங்களை மோசமாக்கியது, உண்மையில் மிகவும் மோசமானது, இந்தத் தாக்குதல் செயல்பாட்டின் போது கணக்கு வைத்திருப்பவர் மின்னஞ்சல் அல்லது பிற எச்சரிக்கை பொறிமுறையின் மூலம் தோல்வியுற்ற முயற்சிகள் பற்றி அறிந்திருக்கவில்லை.
மைக்ரோசாப்ட் 2FA பைபாஸ் பாதிப்பு அறிக்கைக்கு பதிலளிக்கிறது
நான் மைக்ரோசாப்ட் நிறுவனத்தை ஒரு அறிக்கைக்காக அணுகினேன், மேலும் ஒரு செய்தித் தொடர்பாளர் என்னிடம் கூறினார்: “இந்தச் சிக்கலைப் பொறுப்புடன் வெளிப்படுத்தியதில் ஒயாசிஸ் பாதுகாப்புடனான கூட்டாண்மையை நாங்கள் பாராட்டுகிறோம். நாங்கள் ஏற்கனவே ஒரு புதுப்பிப்பை வெளியிட்டுள்ளோம், மேலும் வாடிக்கையாளர் நடவடிக்கை எதுவும் தேவையில்லை.”
ஒயாசிஸ் மைக்ரோசாப்ட் நிறுவனத்திடம் குறைபாட்டைப் புகாரளித்தது, இது ஜூன் 24 அன்று பாதிப்பை உறுதிசெய்து, அக்டோபர் 9 அன்று நிரந்தரத் தீர்வைப் பயன்படுத்தியது. ஒயாசிஸ் ஆராய்ச்சியாளர்கள், பிழைத்திருத்தத்தின் முழு விவரங்களும் ரகசியமாக இருப்பதாகக் கூறினர், ஆனால் கடுமையான 2FA தோல்வி விகிதம் வரம்பு அறிமுகப்படுத்தப்பட்டது.
மைக்ரோசாப்ட் உடனான மேலும் உரையாடலில், புகாரளிக்கப்பட்ட பாதிப்பு மற்றும் சுரண்டல் முறைக்கு சூழலைச் சேர்க்க, மைக்ரோசாப்ட் இந்த வகையான 2FA பைபாஸ் முறைகேட்டைக் கண்டறிய பாதுகாப்பு கண்காணிப்பு உள்ளது என்று எனக்குத் தெரிவிக்கப்பட்டது. மைக்ரோசாப்ட் செய்தித் தொடர்பாளர் கூறுகையில், “எங்கள் வாடிக்கையாளர்களுக்கு எதிராக இந்த நுட்பம் பயன்படுத்தப்பட்டதற்கான எந்த ஆதாரத்தையும் நிறுவனம் காணவில்லை.”
2FA பைபாஸ் தாக்குதல் தணிப்பு முறைகள்
இந்த வகையான சுரண்டல் மைக்ரோசாப்ட் மட்டும் அல்ல, 2FA பைபாஸ் தாக்குதல்கள் மிகவும் பிரபலமான தளங்களில் அசாதாரணமானது அல்ல. அவற்றைப் பற்றி இங்கே, இங்கே மற்றும் இங்கே மேலும் படிக்கலாம். இருப்பினும், பெரும்பாலான 2FA பைபாஸ் தாக்குதல்கள் தோல்வி விகித வரம்புகளைத் தவிர்க்க முயற்சிக்கும் இந்த நேரடி அணுகுமுறையைப் பயன்படுத்துவதில்லை, இது நடக்க, ஒரு குறிப்பிட்ட பாதிப்பை அடையாளம் காண வேண்டும். மாறாக, செயல்பாட்டில் உள்ள ராக்ஸ்டார் 2FA போன்ற சுரண்டல் கருவிகளை நாம் பார்க்க முனைகிறோம். மைக்ரோசாப்ட் மற்றும் கூகுள் பயனர்களை இலக்காகக் கொண்டு காணப்படும் இந்த ஃபிஷிங்-ஆஸ்-எ-சர்வீஸ் கிட், வாரத்திற்கு இரண்டு நூறு டாலர்கள் வரை வாடகைக்குக் கிடைக்கிறது.
பெரும்பாலான தாக்குதல்களின் பொதுவான காரணி, ஃபிஷிங் தந்திரங்களைப் பயன்படுத்தி இலக்கை திசைதிருப்புவது, அவர்கள் உள்நுழையுமாறு கேட்கப்படும் முறையான தோற்றமுடைய தளத்தில் தரையிறங்குவதாகும். பயனர் அவர்களின் 2FA குறியீட்டை உள்ளிடும்போது, தாக்குபவர் அமர்வு குக்கீயை இடைமறித்து சேமிப்பார். இது பயனர் அமர்வை முழுவதுமாக அங்கீகரிக்கப்பட்டதாகக் கொடியிடுகிறது மற்றும் ஒருமுறை தாக்குபவர் வசம் இருந்தால், அந்த அமர்வை அங்கீகரிக்கப்பட்ட பயனராக மீண்டும் இயக்க அவர்களை அனுமதிக்கிறது. அத்தகைய ஃபிஷிங் தாக்குதல்களைத் தணிக்கும் முறைகளை ஆராயும் ஒரு சுவாரஸ்யமான கட்டுரையை நீங்கள் இங்கே படிக்கலாம்.