Năm cách tin tặc có thể chiếm đoạt tài khoản trực tuyến của bạn trước khi bạn thậm chí tạo ra chúng

Ngoài việc đưa ra một điểm thất bại duy nhất, nghiên cứu mới cho thấy SSO còn có những điểm yếu tiềm ẩn hơn nữa. Nghiên cứu được hỗ trợ bởi Trung tâm phản hồi bảo mật của Microsoft (MSRC) đã tiết lộ 5 kỹ thuật khác nhau mà những kẻ tấn công có thể sử dụng để chiếm đoạt trước tài khoản người dùng bằng cách tận dụng SSO. 

Không giống như các cuộc tấn công truyền thống khác, trong đó tác nhân đe dọa cố gắng giành quyền truy cập vào tài khoản người dùng đã có sẵn, các cuộc tấn công chiếm đoạt trước yêu cầu tác nhân đe dọa thực hiện một hành động trước khi tạo tài khoản để cho phép tác nhân đe dọa có quyền truy cập vào tài khoản người dùng một lần người dùng tạo tài khoản. Sau đây là năm phương pháp tấn công chiếm đoạt trước tài khoản.

1 - Tấn công hợp nhất liên kết cổ điển

Kẻ tấn công tạo một tài khoản cổ điển với một dịch vụ bằng địa chỉ email của nạn nhân. Nạn nhân sau đó tạo một tài khoản có cùng dịch vụ đó bằng SSO. Địa chỉ email của nạn nhân được liên kết với IdP được sử dụng cho SSO, do đó, dịch vụ tự động hợp nhất tài khoản do kẻ tấn công và nạn nhân tạo, cấp cho kẻ tấn công quyền truy cập vào tài khoản của nạn nhân.

2 - Tấn công mã nhận dạng phiên chưa hết hạn

Kẻ tấn công tạo tài khoản với một dịch vụ bằng địa chỉ email của nạn nhân, sau đó duy trì một phiên hoạt động được đăng nhập vào tài khoản. Nạn nhân sau đó đã tạo một tài khoản với dịch vụ này, nhưng phát hiện ra một tài khoản đã tồn tại, vì vậy nạn nhân đã đặt lại mật khẩu để có quyền truy cập. Tuy nhiên, phiên hoạt động của kẻ tấn công vẫn hợp lệ sau khi đặt lại mật khẩu, cấp cho kẻ tấn công quyền truy cập vào tài khoản của nạn nhân.

3 - Tấn công mã định danh Trojan

Kẻ tấn công tạo tài khoản cổ điển với dịch vụ sử dụng địa chỉ email của nạn nhân, sau đó thêm số nhận dạng bổ sung vào tài khoản, chẳng hạn như địa chỉ email hoặc số điện thoại do kẻ tấn công kiểm soát. Nạn nhân sau đó đã tạo một tài khoản với dịch vụ này, nhưng phát hiện ra một tài khoản đã tồn tại, vì vậy nạn nhân đã đặt lại mật khẩu để có quyền truy cập. Tuy nhiên, kẻ tấn công có thể sử dụng số nhận dạng bổ sung được liên kết với tài khoản của nạn nhân để có quyền truy cập bằng cách yêu cầu liên kết đăng nhập một lần.

4 - Tấn công thay đổi email chưa hết hạn

Kẻ tấn công tạo tài khoản với dịch vụ bằng địa chỉ email của nạn nhân, sau đó thay đổi địa chỉ email được liên kết với tài khoản thành địa chỉ email do kẻ tấn công kiểm soát, nhưng không xác nhận thay đổi. Nạn nhân sau đó đã tạo một tài khoản với dịch vụ này, nhưng phát hiện ra một tài khoản đã tồn tại, vì vậy nạn nhân đã đặt lại mật khẩu để có quyền truy cập. Sau đó, kẻ tấn công xác nhận việc thay đổi địa chỉ email và giành quyền truy cập vào tài khoản của nạn nhân bằng cách yêu cầu liên kết đăng nhập một lần.

5 - Tấn công IdP không xác minh



Kẻ tấn công tạo tài khoản với dịch vụ bằng SSO. Kẻ tấn công tạo tài khoản có IdP được liên kết với địa chỉ email của nạn nhân. Nạn nhân sau đó tạo một tài khoản truyền thống với dịch vụ, nhưng vì địa chỉ email của nạn nhân đã được liên kết với tài khoản do kẻ tấn công tạo, nên dịch vụ sẽ hợp nhất tài khoản của kẻ tấn công và nạn nhân, cấp cho kẻ tấn công quyền truy cập vào tài khoản của nạn nhân.

Các nhà nghiên cứu an ninh mạng đã phân tích 75 trang web và dịch vụ trực tuyến phổ biến nhất và phát hiện ra rằng 35 trong số 75 trang này dễ bị tấn công bởi ít nhất một trong các phương thức tấn công chiếm đoạt quyền điều khiển trước. Các dịch vụ dễ bị tấn công bao gồm Dropbox, Instagram, LinkedIn, Wordpress và Zoom. Các nhà nghiên cứu đã tiết lộ những lỗ hổng này cho các trang web và dịch vụ bị ảnh hưởng vài tháng trước khi xuất bản nghiên cứu, vì vậy các công ty và dịch vụ này có thể vá các lỗ hổng. Tuy nhiên, các nhà nghiên cứu cảnh báo rằng nhiều trang web và dịch vụ khác vẫn có thể dễ bị tấn công trước các cuộc tấn công chiếm quyền điều khiển này.

Một bài đăng trên blog MSRC về nghiên cứu nói rằng tất cả các phương pháp tấn công này “có thể được giảm thiểu nếu dịch vụ gửi email xác minh đến địa chỉ email do người dùng cung cấp và yêu cầu hoàn thành xác minh trước khi cho phép bất kỳ hành động nào khác đối với tài khoản.”