Door Anoniem: Door Erik van Straten: Met persoonsgegevens op willekeurige websites authenticeren is SMEKEN om phishing + AitM-aanvallen en identiteitsfraude.
Sorry. Kun je dit iets concreter maken.
Dit is m.i. te abstract. Wat probeer je te zeggen.
Session-Cookie
Als je nu naar
pornhub.tld gaat, krijg je de vraag of je 18+ bent. Als je dat bevestigt stuurt de server een
session-cookie (of een vergelijkbaar
token) terug naar jouw browser (zo'n session-cookie bevat een lang, niet te raden, willekeurig getal - een soort tijdelijk wachtwoord; de server onthoudt dit ook - in een tabel van "aangemelde" bezoekers).
Bij elke klik van jou in jouw browser stuurt die browser een verzoek naar de server (ook Javascript afkomstig van de server kan met de server communiceren zonder dat je daar wat van hoeft te merken). De browser stuurt daarbij, elke keer, het
session-cookie mee. Als het getal in dat cookie terug te vinden is in de tabel, "weet" de server dat jij al was aangemeld. Daardoor word je niet niet na elke klik opnieuw gevraagd of je wel 18+ bent.
Merk op dat een session-cookie 1FA is.
Wel of geen vrijkaartje voor een ander?
Ook
security.nl stuurt zo'n
session-cookie naar jouw browser direct na succesvol inloggen (als je dat zou doen). En mijn browser stuurt dat altijd mee naar security.nl - zodat ik niet bij elke letter die ik nu intik opnieuw hoef in te loggen.
Bijzonder: security.nl is de
énige site die ik ken die niet alleen het "tijdelijke wachtwoord" (in het cookie en in de tabel op de server) maar
tevens mijn IP-adres onthoudt (in dezelfde tabel op de server). Gevolg: als mijn WiFi even wegvalt en mijn mobiel overstapt op 5G, en ik dan "iets doe" op security.nl, logt security.nl mij uit (mijn cookie klopt nog, maar mijn IP-adres is gewijzigd). Als je weet hoe lang sommige van mijn postings zijn, kun je je misschien voorstellen wat ik roep als mijn tekst weer eens weg is. Elk securityvoordeel hep z'n nadeel.
Ik heb dit zojuist getest met
pornhub.tld: daar gebeurt dat niet; nadat mijn IP-adres gewijzigd is wordt mij
niet gevraagd of ik 18+ ben (d.w.z. nog dezelfde ben die eerder aangaf 18+ te zijn). Als ik "mijn" session-cookie voor
pornhub.tld aan
iemand anders zou geven, die dat cookie op de juiste manier in diens browser importeert en
pornhub.tld opent, word de vraag "ben je 18+"
niet gesteld. Een gratis vrijkaartje dus.
Yivi, EDIW, whatever
Stel
pornhub.tld gaat Yivi verplichten.
Dan registreer ik bijv.
pornhub-private-age-check.tld en publiceer leugens in Google ads en op social media:
Porno fans! Pornhub verplicht Yivi maar wat zij u niet vertellen is dat zij alle IP-adressen, van mensen die m.b.v. Yivi hun leeftijd aantonen, met speurneuzen van Ursula von der Leyen moeten delen. Dit ter verificatie of Yivi voldoende goed vookómt dat jongeren vieze plaatjes kijken. Ook UW privacy is foetsie!
Ga daarom gratis naar pornhub-private-age-check.tld - dan checken wij uw leeftijd - zonder dat wij uw IP-adres met Ursula delen!
Minstens de helft van pornominnend NL trapt hier in.
Bi-directioneel doorgeefluik
Als je met jouw browser verbinding maakt met
pornhub-private-age-check.tld, de AitM, maakt die laatste verbinding met echte
pornhub.tld. Daarna werkt de AitM als een stuk stomme kabel en geeft alles door (beide kanten op). Het lijkt dus of je direct met
pornhub.tld communiceert.
Nadat je met Yivi hebt aangetoond 18+ te zijn, stuurt
pornhub-private-age-check.tld een session-cookie
retour. De AitM
kopieert dit cookie voor zichzelf en stuurt het ook door naar jouw browser, samen met de instructie (aan jouw browser) om verder te browsen op
pornhub.tld. Dat werkt prima voor jou.
Handel!
Het gekopieerde cookie is echter geld waard! Natuurlijk via een site met een geheel andere naam verkoop ik die cookies. Dat kan zowel aan privacy-aware 18+ mensen die ik wijsmaak dat Yivi een uniek nummer deelt en dat je daardoor traceerbaar bent, als aan 17-. Betaling in harde valuta hoeft niet persé, je mag ook veel identificerende gegevens van jezelf invullen en/of een paar advertenties kijken.
Daarnaast kan ik de cookies langer "in leven" proberen te houden door (evt. via een botnet) ze regelmatig naar de server te blijven sturen.
Theoretisch addertje
Yivi stuurt "
<18+ = true>", voorzien van een digitale handtekening, naar de server om te bewijzen dat "jij" 18+ bent.
Wat Yivi zou kunnen doen (en wellicht al doet) is de domeinnaam van de website (of het certificaat), waar jouw browser verbinding mee heeft,
toevoegen:
<18+ = true><dn = "pornhub-private-age-check.tld">en
over dat geheel de digitale handtekening zetten.
Zodra
pornhub.tld dat setje ontvangt
zou deze kunnen constateren dat de domeinnaam van een AitM moet zijn, en het verzoek afwijzen. Maar
dát kost bezoekers.
Bovendien, als elk land een eigen soort Yivi of andere eID gebruikt, kost al die checks implementeren een hoop tijd met als risico minder bezoekers. Oftewel, waarom zou elke site zoals
pornhub.tld (maar ook
https://gall.nl) het slecht begrepen en vooral
niet door hen veroorzaakte probleem van AitM's moeten oplossen?
(Gelukkig viel mijn WiFi vanavond niet weg :-)