CCC: sms-provider lekte berichten met 2FA-codes en one-click loginlinks
De Britse sms-provider IdentifyMobile heeft bijna tweehonderd miljoen sms-berichten gelekt, waaronder honderdduizenden met tweefactorauthenticatie (2FA) codes en one-click loginlinks, zo stelt de Duitse hackerclub CCC. Meer dan tweehonderd bedrijven maken gebruik van de diensten van IdentifyMobile, waaronder Google, Amazon, Facebook, Microsoft, Telegram, Airbnb, FedEx en DHL.
Bijna tweehonderd miljoen sms-berichten die IdentifyMobile voor deze bedrijven sinds augustus vorig jaar verwerkte waren via een onbeveiligde Amazon S3-server voor iedereen op internet toegankelijk, aldus ZEIT Online dat de aangetroffen data mocht bekijken. De enige vereiste was het raden van het juiste subdomein. Het ging om meer dan zes terabyte aan data, waaronder de inhoud van sms-berichten. Onderzoekers van de CCC konden de berichten in real-time zien. Zo was het bijvoorbeeld mogelijk om WhatsApp-nummers te kapen.
Om misbruik van de verstuurde 2FA-codes te maken zou een aanvaller ook over het wachtwoord van een slachtoffer moeten beschikken, maar in de berichten werden ook grote hoeveelheden one-click loginlinks aangetroffen. Zoals de naam al doet vermoeden is het mogelijk om hiermee op een account in te loggen. De CCC merkt op dat het de gegevens niet heeft bewaard, maar stelt dat het niet kan garanderen dat de data niet door anderen is gevonden. De hackerclub adviseert dan ook het gebruik van een authenticator-app of hardware token, die los van een mobiel netwerk werken.
Het kul argument: SMS en TOTP zijn beide niveau "midden", dus even veilig en dus hoeven we niets te doen om de veiligheid op niveau midden te verbeteren. Prutsers.
Het kul argument: SMS en TOTP zijn beide niveau "midden", dus even veilig en dus hoeven we niets te doen om de veiligheid op niveau midden te verbeteren. Prutsers.
Het kul argument: SMS en TOTP zijn beide niveau "midden", dus even veilig en dus hoeven we niets te doen om de veiligheid op niveau midden te verbeteren. Prutsers.
Het kul argument: SMS en TOTP zijn beide niveau "midden", dus even veilig en dus hoeven we niets te doen om de veiligheid op niveau midden te verbeteren. Prutsers.
TOTP is juist heel veilig aangezien men het offline kan gebruiken of via een Yubikey.
Het kul argument: SMS en TOTP zijn beide niveau "midden", dus even veilig en dus hoeven we niets te doen om de veiligheid op niveau midden te verbeteren. Prutsers.
TOTP is juist heel veilig aangezien men het offline kan gebruiken of via een Yubikey.
Ja SMS is niet meer echt veilig, maar de gegevens die nu gelekt zijn, zijn maar een momentopname & die 2FA codes zijn allang niet meer geldig. TOTP is inderdaad een goede beveiligings laag, maar YubiKeys zijn naar mijn mening uit den boze; niet gebruikersvriendelijk & kunnen gemakkelijk vergeten worden/kwijtraken, om nog maar te zwijgen over de administratieve last, die het veroorzaakt bij het beheer-personeel.
Het kul argument: SMS en TOTP zijn beide niveau "midden", dus even veilig en dus hoeven we niets te doen om de veiligheid op niveau midden te verbeteren. Prutsers.
Je kunt op Digid ook inloggen met je ID chip als 2FA
Het kul argument: SMS en TOTP zijn beide niveau "midden", dus even veilig en dus hoeven we niets te doen om de veiligheid op niveau midden te verbeteren. Prutsers.
Er bestaat al een betere oplossing:
https://www.digid.nl/en/login-methods/identity-document
Het kul argument: SMS en TOTP zijn beide niveau "midden", dus even veilig en dus hoeven we niets te doen om de veiligheid op niveau midden te verbeteren. Prutsers.
TOTP is juist heel veilig aangezien men het offline kan gebruiken of via een Yubikey.
Ja SMS is niet meer echt veilig, maar de gegevens die nu gelekt zijn, zijn maar een momentopname & die 2FA codes zijn allang niet meer geldig. TOTP is inderdaad een goede beveiligings laag, maar YubiKeys zijn naar mijn mening uit den boze; niet gebruikersvriendelijk & kunnen gemakkelijk vergeten worden/kwijtraken, om nog maar te zwijgen over de administratieve last, die het veroorzaakt bij het beheer-personeel.
Gewoon deze gebruiken voor digid
https://www.bol.com/nl/nl/p/nfc-kaartlezer-voor-digid-veilig-inloggen-op-digid-met-uw-identeitskaart/9300000035836093/
Ik denk dat het tijd wordt dat instanties als de overheid en banken met hun tijd meegaan en applicaties gaan leveren die op meerdere platformen werken en niet alleen op iOS en Android...
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
