Du kanske tror att aktivering av tvåfaktorsautentisering på ditt konto gör det 100 % säkert. Tvåfaktorsautentisering^{(Two-factor authentication)} är bland de bästa metoderna för att skydda ditt konto. Men du kan bli förvånad över att höra att ditt konto kan kapas trots att du aktiverar tvåfaktorsautentisering. I den här artikeln kommer vi att berätta för dig på olika sätt som angripare kan kringgå tvåfaktorsautentisering.

Vad är tvåfaktorsautentisering ( 2FA^{(Authentication)} )?

Innan vi börjar, låt oss se vad 2FA är. Du vet att du måste ange ett lösenord för att logga in på ditt konto. Utan rätt lösenord kan du inte logga in. 2FA är processen att lägga till ett extra säkerhetslager till ditt konto. Efter att ha aktiverat det kan du inte logga in på ditt konto genom att endast ange lösenordet. Du måste slutföra ytterligare ett säkerhetssteg. Detta innebär i 2FA att webbplatsen verifierar användaren i två steg.

Läs^(Read) : Hur du aktiverar 2-stegsverifiering i Microsoft-konto^{(How to Enable 2-step Verification in Microsoft Account)} .

Hur fungerar 2FA?

Låt oss förstå arbetsprincipen för tvåfaktorsautentisering. 2FA kräver att du verifierar dig själv två gånger. När du anger ditt användarnamn och lösenord omdirigeras du till en annan sida, där du måste tillhandahålla ett andra bevis på att du är den riktiga personen som försöker logga in. En webbplats kan använda någon av följande verifieringsmetoder:

OTP (Engångslösenord)

Efter att ha angett lösenordet ber webbplatsen dig att verifiera dig genom att ange OTP som skickas på ditt registrerade mobilnummer. Efter att ha angett rätt OTP kan du logga in på ditt konto.

Snabbt meddelande

Snabbavisering visas på din smartphone om den är ansluten till internet. Du måste verifiera dig själv genom att trycka på knappen " Ja ". ^(Yes)Efter det kommer du att loggas in på ditt konto på din PC.

Säkerhetskopieringskoder

Säkerhetskopieringskoder^(Backup) är användbara när de två verifieringsmetoderna ovan inte fungerar. Du kan logga in på ditt konto genom att ange någon av reservkoderna som du har laddat ner från ditt konto.

Authenticator App

I den här metoden måste du koppla ditt konto till en autentiseringsapp. När du vill logga in på ditt konto måste du ange koden som visas på autentiseringsappen som är installerad på din smartphone.

Det finns flera fler verifieringsmetoder som en webbplats kan använda.

Läs^(Read) : Så här lägger du till tvåstegsverifiering till ditt Google-konto^{(How To Add Two-step Verification To Your Google Account)} .

Hur hackare kan komma runt tvåfaktorsautentisering^{(Two-factor Authentication)}

Utan tvekan gör 2FA ditt konto säkrare. Men det finns fortfarande många sätt på vilka hackare kan kringgå detta säkerhetslager.

1] Cookie-stöld^{(Cookie Stealing)} eller sessionskapning^{(Session Hijacking)}

Cookie stjäla eller session kapning^{(Cookie stealing or session hijacking)} är metoden för att stjäla session cookie av användaren. När hackaren väl har lyckats stjäla sessionskakan kan han enkelt kringgå tvåfaktorsautentiseringen. Angripare känner till många metoder för kapning, som sessionsfixering, sessionssniffning, cross-site scripting, malware attack, etc. Evilginx är bland de populära ramverken som hackare använder för att utföra en man-in-the-middle-attack. I den här metoden skickar hackaren en nätfiske-länk till användaren som tar honom till en proxy-inloggningssida. När användaren loggar in på sitt konto med 2FA, fångar Evilginx hans inloggningsuppgifter tillsammans med autentiseringskoden. Sedan OTPupphör efter att ha använts och även giltigt för en viss tidsram, finns det ingen användning för att fånga autentiseringskoden. Men hackaren har användarens sessionscookies, som han kan använda för att logga in på sitt konto och kringgå tvåfaktorsautentiseringen.

2] Generering av dubbletter av kod

Om du har använt Google Authenticator- appen vet du att den genererar nya koder efter en viss tid. Google Authenticator och andra autentiseringsappar fungerar på en viss algoritm. Generatorer av slumpmässiga^(Random) kod börjar vanligtvis med ett startvärde för att generera det första numret. Algoritmen använder sedan detta första värde för att generera de återstående kodvärdena. Om hackaren kan förstå denna algoritm kan han enkelt skapa en dubblettkod och logga in på användarens konto.

3] Brute Force

Brute Force är en teknik för att generera alla möjliga lösenordskombinationer. Tiden för att knäcka ett lösenord med brute force beror på dess längd. Ju längre lösenordet är, desto mer tid tar det att knäcka det. I allmänhet är autentiseringskoderna från 4 till 6 siffror långa, hackare kan prova ett brute force-försök att kringgå 2FA. Men idag är framgångsfrekvensen för brute force-attacker mindre. Detta beror på att autentiseringskoden förblir giltig endast under en kort period.

4] Social ingenjörskonst

Social Engineering är tekniken där en angripare försöker lura användarens sinne och tvingar honom att ange sina inloggningsuppgifter på en falsk inloggningssida. Oavsett om angriparen känner till ditt användarnamn och lösenord eller inte, kan han kringgå tvåfaktorsautentiseringen. På vilket sätt? Låt oss se:

Låt oss överväga det första fallet där angriparen känner till ditt användarnamn och lösenord. Han kan inte logga in på ditt konto eftersom du har aktiverat 2FA. För att få koden kan han skicka ett mail till dig med en skadlig länk, vilket skapar en rädsla hos dig att ditt konto kan hackas om du inte vidtar omedelbara åtgärder. När du klickar på den länken omdirigeras du till hackarens sida som efterliknar den ursprungliga webbsidans äkthet. När du anger lösenordet kommer ditt konto att hackas.

Låt oss nu ta ett annat fall där hackaren inte känner till ditt användarnamn och lösenord. Återigen^(Again) , i det här fallet skickar han dig en nätfiske-länk och stjäl ditt användarnamn och lösenord tillsammans med 2FA-koden.

5] OAuth

OAuth- integration ger användare möjlighet att logga in på sitt konto med ett tredjepartskonto. Det är en välrenommerad webbapplikation som använder auktoriseringstokens för att bevisa identitet mellan användare och tjänsteleverantörer. Du kan överväga OAuth som ett alternativt sätt att logga in på dina konton.

En OAuth- mekanism fungerar på följande sätt:

1. Webbplats A begär Webbplats B^{(Site B)} (t.ex. Facebook ) om en autentiseringstoken.
2. Webbplats B^{(Site B)} anser att begäran genereras av användaren och verifierar användarens konto.
3. Webbplats B^{(Site B)} skickar sedan en återuppringningskod och låter angriparen logga in.

I ovanstående processer har vi sett att angriparen inte behöver verifiera sig själv via 2FA. Men för att denna förbikopplingsmekanism ska fungera måste hackaren ha användarnamnet och lösenordet för användarkontot.

Så här kan hackare kringgå tvåfaktorsautentiseringen av en användares konto.

Hur förhindrar man 2FA-bypass?

Hackare kan verkligen kringgå tvåfaktorsautentiseringen, men i varje metod behöver de användarnas samtycke som de får genom att lura dem. Utan att lura användarna är det inte möjligt att kringgå 2FA. Därför^(Hence) bör du ta hand om följande punkter:

• Innan du klickar på någon länk, kontrollera dess äkthet. Du kan göra detta genom att kontrollera avsändarens e-postadress.
• Skapa ett starkt lösenord^{(Create a strong password)} som innehåller en kombination av alfabet, siffror och specialtecken.
• Använd^(Use) endast äkta autentiseringsappar, som Google Authenticator, Microsoft Authenticator, etc.
• Ladda ner^(Download) och spara reservkoderna på en säker plats.
• Lita aldrig på nätfiske-e-postmeddelanden som hackare använder för att lura användarnas sinnen.
• Dela inte säkerhetskoder med någon.
• Ställ^(Setup) in säkerhetsnyckel på ditt konto, ett alternativ till 2FA.
• Fortsätt att byta lösenord regelbundet.

Läs^(Read) : Tips för att hålla hackare borta från din Windows-dator^{(Tips to Keep Hackers out of your Windows computer)} .

Slutsats

Tvåfaktorsautentisering är ett effektivt säkerhetslager som skyddar ditt konto från kapning. Hackare vill alltid få en chans att kringgå 2FA. Om du är medveten om olika hackningsmekanismer och ändrar ditt lösenord regelbundet kan du skydda ditt konto bättre.

How Hackers can get around Two-factor Authentication

You may think that enabling two-factor authentiсation on уour account makes it 100% secure. Two-factor authentication is among the best methods to protect your account. But you may be surprised to hear that your account can be hijacked despite enabling two-factor authentication. In this article, we will tell you the different ways by which attackers can bypass two-factor authentication.

What is Two-factor Authentication (2FA)?

Before we begin, let’s see what 2FA is. You know that you have to enter a password to log into your account. Without the correct password, you cannot log in. 2FA is the process of adding an extra security layer to your account. After enabling it, you cannot log into your account by entering the password only. You have to complete one more security step. This means in 2FA, the website verifies the user in two steps.

Read: How to Enable 2-step Verification in Microsoft Account.

How Does 2FA Work?

Let’s understand the working principle of two-factor authentication. The 2FA requires you to verify yourself two times. When you enter your username and password, you will be redirected to another page, where you have to provide a second proof that you are the real person trying to log in. A website can use any of the following verification methods:

OTP (One Time Password)

After entering the password, the website tells you to verify yourself by entering the OTP sent on your registered mobile number. After entering the correct OTP, you can log into your account.

Prompt Notification

Prompt notification is displayed on your smartphone if it is connected to the internet. You have to verify yourself by tapping on the “Yes” button. After that, you will be logged into your account on your PC.

Backup Codes

Backup codes are useful when the above two methods of verification won’t work. You can log into your account by entering any one of the backup codes you have downloaded from your account.

Authenticator App

In this method, you have to connect your account with an authenticator app. Whenever you want to log into your account, you have to enter the code displayed on the authenticator app installed on your smartphone.

There are several more methods of verification that a website can use.

Read: How To Add Two-step Verification To Your Google Account.

How Hackers can get around Two-factor Authentication

Undoubtedly, 2FA makes your account more secure. But there are still many ways by which hackers can bypass this security layer.

1] Cookie Stealing or Session Hijacking

Cookie stealing or session hijacking is the method of stealing the session cookie of the user. Once the hacker gets success in stealing the session cookie, he can easily bypass the two-factor authentication. Attackers know many methods of hijacking, like session fixation, session sniffing, cross-site scripting, malware attack, etc. Evilginx is among the popular frameworks that hackers use to perform a man-in-the-middle attack. In this method, the hacker sends a phishing link to the user that takes him to a proxy login page. When the user logs into his account using 2FA, Evilginx captures his login credentials along with the authentication code. Since the OTP expires after using it and also valid for a particular time frame, there is no use in capturing the authentication code. But the hacker has the user’s session cookies, which he can use to log into his account and bypass the two-factor authentication.

2] Duplicate Code Generation

If you have used the Google Authenticator app, you know that it generates new codes after a particular time. Google Authenticator and other authenticator apps work on a particular algorithm. Random code generators generally start with a seed value to generate the first number. The algorithm then uses this first value to generate the remaining code values. If the hacker is able to understand this algorithm, he can easily create a duplicate code and log into the user’s account.

3] Brute Force

Brute Force is a technique to generate all the possible password combinations. The time for cracking a password using brute force depends on its length. The longer the password is, the more time it takes to crack it. Generally, the authentication codes are from 4 to 6 digits long, hackers can try a brute force attempt to bypass the 2FA. But today, the success rate of brute force attacks is less. This is because the authentication code remains valid only for a short period.

4] Social Engineering

Social Engineering is the technique in which an attacker tries to trick the user’s mind and forces him to enter his login credentials on a fake login page. No matter whether the attacker knows your username and password or not, he can bypass the two-factor authentication. How? Let’s see:

Let’s consider the first case in which the attacker knows your username and password. He cannot log into your account because you have enabled 2FA. To get the code, he can send you an email with a malicious link, creating a fear in you that your account can be hacked if you do not take immediate action. When you click on that link, you will be redirected to the hacker’s page that mimics the authenticity of the original webpage. Once you enter the passcode, your account will be hacked.

Now, let’s take another case in which the hacker does not know your username and password. Again, in this case, he sends you a phishing link and steals your username and password along with the 2FA code.

5] OAuth

OAuth integration provides users with a facility to log into their account using a third-party account. It is a reputed web application that uses authorization tokens to prove identity between the users and service providers. You can consider OAuth an alternate way to log into your accounts.

An OAuth mechanism works in the following way:

1. Site A requests Site B (e.g. Facebook) for an authentication token.
2. Site B considers that the request is generated by the user and verifies the user’s account.
3. Site B then sends a callback code and lets the attacker sign in.

In the above processes, we have seen that the attacker does not require to verify himself via 2FA. But for this bypass mechanism to work, the hacker should have the user’s account username and password.

This is how hackers can bypass the two-factor authentication of a user’s account.

How to prevent 2FA bypassing?

Hackers can indeed bypass the two-factor authentication, but in each method, they need the users’ consent which they get by tricking them. Without tricking the users, bypassing 2FA is not possible. Hence, you should take care of the following points:

• Before clicking on any link, please check its authenticity. You can do this by checking the sender’s email address.
• Create a strong password that contains a combination of alphabets, numbers, and special characters.
• Use only genuine authenticator apps, like Google authenticator, Microsoft authenticator, etc.
• Download and save the backup codes at a safe place.
• Never trust phishing emails that hackers use to trick the users’ minds.
• Do not share security codes with anyone.
• Setup security key on your account, an alternative to 2FA.
• Keep changing your password regularly.

Read: Tips to Keep Hackers out of your Windows computer.

Conclusion

Two-factor authentication is an effective security layer that protects your account from hijacking. Hackers always want to get a chance to bypass 2FA. If you are aware of different hacking mechanisms and change your password regularly, you can protect your account better.

Related posts

• Hur man aktiverar tvåfaktorsautentisering i Discord

• Hur man korrekt ställer in återställnings- och säkerhetskopieringsalternativ för tvåfaktorsautentisering

• Hur man installerar Drupal med WAMP på Windows

• Bästa mjukvara och hårdvara Bitcoin-plånböcker för Windows, iOS, Android

• Ställ in Internet Radio Station gratis på Windows PC

• Vad är en magnetlänk och hur man öppnar magnetlänkar i en webbläsare

• Hur man använder en mall för att skapa ett dokument med LibreOffice

• Vad är virtuella kreditkort och hur och var får man dem?

• Hur man konverterar binär till text med denna text till binär konverterare

• Disqus kommentarsfält laddas inte eller visas inte för en webbplats

• SMS Organizer: SMS-applikation som drivs av Machine Learning

• Hur man gör inbjudningskort i Windows PC

• Etikett för videokonferenser, tips och regler du måste följa

• Vad är Blue Whale Challenge Dare Game

• Hur man tar bort ditt LastPass-konto

• Hur man lösenordsskyddar och säkrar PDF-dokument med LibreOffice

• Bästa bärbara ryggsäckar för män och kvinnor

• Hur stänger jag ditt Payoneer-konto?

• Hur man installerar Windows 95 på Windows 10

• NASAs ögon hjälper dig att utforska universum som astronauter