Olta saldırılarını (Phishing) şifrematiklerde durduramıyor

Güvenlik uzmanları iki-faktör kimlik doğrulamayı etkisiz kılan yeni olta saldırıları tespit etti.

İki-faktör güvenlik sistemleri genelde bir şifre ve akıllı kart veya bazı token'lar (şifrematik) gibi geçici şifreler üreten bir güvenlik cihazı kullanır.

Akıllı kartlar genelde firmalar içerisinde kullanılır fakat bankalar ve online para transferi işlemi yapan yerler token'ları tercih ederler.

Security Fix Blog'un raporuna göre Citibank'ın Citibusiness servisi web sitesini hedefleyen bir olta saldırısı sitesine rastlanmış. Site hem kullanıcı adı / şifre bilgilerini hemde şifrematik tarafından yaratılan geçici şifreyi çalacak şekilde tasarlanmış. Site bu bilgileri Citibank sunucusuna kimlik doğrulama işlemine gönderiyor ve kullanıcılara girdikleri bilginin doğru olup olmadığı soruluyor.

İki-faktör kimlik doğrulama sistemleri sadece kullanıcı adı ve şifreye dayalı servislerden daha güvenli fakat geçici şifrenin zaman aşımına uğramadan gerçek zamanlı kullanıldığı bu tip siteler kullanıcılar için risk yaratıyor.

Symantec firmasından Zulfikar Ramzan iki-faktör kimlik doğrulamada kullanılan şifrematiklerin sadece kullanıcı ismi ve şifre toplayan siteleri etkisiz kıldığını söylüyor fakat saldırganların üretilen geçici şifreyi gerçek zamanlı olarak kullanabildiği olta saldırısı siteler için pek korunma şansı olmadığını belirtiyor:
"Yeni nesil olta saldırıları yayıldıkça iki-faktör kimlik doğrulama güvenliği değerini yitirecek".

Kaynak: http://www.vnunet.com/vnunet/news/2160250/phishers-crack-two-factor