7/04/2017

パスワード・リセット・システムに対する中間者攻撃

シュナイアーのブログより

これは素晴らしい仕事だ: Nethanel Gelerntor、Senia Kalma、Bar Magnezi、Hen Porcilanらによる "The Password Reset MitM Attack"

概要: パスワード・リセットMitM (PRMitM)攻撃を述べ、どのようにユーザ・アカウントを奪うために利用できるかを示す。PRMitM攻撃はアプリケーション・レベルで中間者(MitM)攻撃を始めるために登録とパスワード・リセットのプロセスと類似性を悪用する。攻撃者はウェブサイトでパスワード・リセット・プロセスを開始し、攻撃サイトに登録したい、あるいはそこで特定のリソースにアクセスしたい犠牲者に全てのやり取り(challenge)を転送する。

攻撃には、被害者の携帯電話に依存するパスワード・リセット・プロセスを活用したり、SMSあるいは電話をかけたりするなどいくつかの亜種がある。我々はいくつかの実験で、GoogleとFacebookユーザに対するPRMitM攻撃を評価し、パスワード・リセット・プロセスがPRMitM攻撃に対して脆弱であることを発見した。他のウェブサイトや人気のあるモバイル・アプリケーションも同様に脆弱である。

いくつかのケースでは解決策が自明なものに見えるが、我々の実験では簡単な解決策は期待したほどの効果はないことを示している。我々は2つの安全なパスワード・リセット・プロセスを設計し、GoogleとFacebookのユーザに対してそれらを評価した。結果は、セキュリティの大幅な改善を示している。現在、何百万ものアカウントがPRMitM攻撃に対して脆弱であるため、パスワード・リセット・プロセスの実装と監査の推奨リストを提示する。

パスワード・リセットは長い間、弱いセキュリティリンクだった。

BoingBoingが投稿