قد تعتقد أن تمكين المصادقة الثنائية على حسابك يجعلها آمنة بنسبة 100٪. تعد المصادقة ذات العاملين^{(Two-factor authentication)} من بين أفضل الطرق لحماية حسابك. ولكن قد تندهش من معرفة أنه يمكن اختراق حسابك على الرغم من تمكين المصادقة الثنائية. في هذه المقالة ، سنخبرك بالطرق المختلفة التي يمكن للمهاجمين من خلالها تجاوز المصادقة الثنائية.

ما هي المصادقة^{(Authentication)} الثنائية (2FA)؟

قبل أن نبدأ ، دعونا نرى ما هو 2FA. أنت تعلم أنه يجب عليك إدخال كلمة مرور لتسجيل الدخول إلى حسابك. بدون كلمة المرور الصحيحة ، لا يمكنك تسجيل الدخول. 2FA هي عملية إضافة طبقة أمان إضافية إلى حسابك. بعد تمكينه ، لا يمكنك تسجيل الدخول إلى حسابك عن طريق إدخال كلمة المرور فقط. يجب عليك إكمال خطوة أمنية أخرى. هذا يعني أنه في المصادقة الثنائية (2FA) ، يتحقق موقع الويب من المستخدم في خطوتين.

قراءة^(Read) : كيفية تمكين التحقق بخطوتين في حساب Microsoft^{(How to Enable 2-step Verification in Microsoft Account)} .

كيف يعمل 2FA؟

دعونا نفهم مبدأ عمل المصادقة الثنائية. يتطلب منك المصدق الثاني التحقق من نفسك مرتين. عند إدخال اسم المستخدم وكلمة المرور الخاصين بك ، ستتم إعادة توجيهك إلى صفحة أخرى ، حيث يتعين عليك تقديم دليل ثان على أنك الشخص الحقيقي الذي يحاول تسجيل الدخول. يمكن لأي موقع ويب استخدام أي من طرق التحقق التالية:

OTP (كلمة المرور لمرة واحدة)

بعد إدخال كلمة المرور ، يخبرك موقع الويب بالتحقق من هويتك عن طريق إدخال كلمة المرور لمرة واحدة^(OTP) المرسلة على رقم هاتفك المحمول المسجل. بعد إدخال كلمة المرور لمرة واحدة الصحيحة ،^(OTP) يمكنك تسجيل الدخول إلى حسابك.

إعلام سريع

يتم عرض الإخطار الفوري على هاتفك الذكي إذا كان متصلاً بالإنترنت. يجب عليك التحقق من نفسك عن طريق النقر على زر " نعم ". ^(Yes)بعد ذلك ، سيتم تسجيل دخولك إلى حسابك على جهاز الكمبيوتر الخاص بك.

رموز النسخ الاحتياطي

تكون الرموز الاحتياطية^(Backup) مفيدة عندما لا تعمل طريقتا التحقق المذكورتان أعلاه. يمكنك تسجيل الدخول إلى حسابك عن طريق إدخال أي من الرموز الاحتياطية التي قمت بتنزيلها من حسابك.

تطبيق المصادقة

في هذه الطريقة ، يجب عليك ربط حسابك بتطبيق المصادقة. متى أردت تسجيل الدخول إلى حسابك ، يجب عليك إدخال الرمز المعروض في تطبيق المصادقة المثبت على هاتفك الذكي.

هناك العديد من طرق التحقق التي يمكن أن يستخدمها موقع الويب.

قراءة^(Read) : كيفية إضافة التحقق من خطوتين إلى حساب Google الخاص بك^{(How To Add Two-step Verification To Your Google Account)} .

كيف يمكن للقراصنة الالتفاف حول المصادقة الثنائية^{(Two-factor Authentication)}

مما لا شك فيه أن المصادقة الثنائية (2FA) تجعل حسابك أكثر أمانًا. ولكن لا يزال هناك العديد من الطرق التي يمكن للمتسللين من خلالها تجاوز طبقة الأمان هذه.

1] سرقة ملفات تعريف الارتباط^{(Cookie Stealing)} أو اختطاف الجلسة^{(Session Hijacking)}

سرقة ملفات تعريف الارتباط أو اختطاف الجلسة^{(Cookie stealing or session hijacking)} هي طريقة لسرقة ملف تعريف ارتباط جلسة المستخدم. بمجرد أن ينجح المخترق في سرقة ملف تعريف ارتباط الجلسة ، يمكنه بسهولة تجاوز المصادقة الثنائية. يعرف المهاجمون العديد من طرق الاختطاف ، مثل تثبيت الجلسة ، واستنشاق الجلسة ، والبرمجة النصية عبر المواقع ، وهجمات البرامج الضارة ، وما إلى ذلك. Evilginx هو أحد الأطر الشائعة التي يستخدمها المتسللون لتنفيذ هجوم man-in-the-middle. في هذه الطريقة ، يرسل المخترق رابط تصيد إلى المستخدم الذي ينقله إلى صفحة تسجيل دخول الوكيل. عندما يقوم المستخدم بتسجيل الدخول إلى حسابه باستخدام 2FA ، يلتقط Evilginx بيانات اعتماد تسجيل الدخول الخاصة به إلى جانب رمز المصادقة. منذ OTPتنتهي صلاحيته بعد استخدامه وهو صالح أيضًا لإطار زمني معين ، فلا فائدة من التقاط رمز المصادقة. لكن المخترق لديه ملفات تعريف الارتباط الخاصة بجلسة المستخدم ، والتي يمكنه استخدامها لتسجيل الدخول إلى حسابه وتجاوز المصادقة الثنائية.

2] إنشاء رمز مكرر

إذا كنت قد استخدمت تطبيق Google Authenticator ، فأنت تعلم أنه ينشئ رموزًا جديدة بعد وقت معين. يعمل Google Authenticator^{(Google Authenticator)} وتطبيقات المصادقة الأخرى على خوارزمية معينة. تبدأ مولدات الأكواد العشوائية^(Random) عمومًا بقيمة أولية لتوليد الرقم الأول. ثم تستخدم الخوارزمية هذه القيمة الأولى لتوليد قيم الكود المتبقية. إذا كان المخترق قادرًا على فهم هذه الخوارزمية ، فيمكنه بسهولة إنشاء رمز مكرر وتسجيل الدخول إلى حساب المستخدم.

3] القوة الغاشمة

القوة الغاشمة^{(Brute Force)} هي تقنية لإنشاء كل مجموعات كلمات المرور الممكنة. يعتمد وقت اختراق كلمة المرور باستخدام القوة الغاشمة على طولها. كلما طالت كلمة المرور ، زاد الوقت الذي تستغرقه في كسرها. بشكل عام ، تتكون رموز المصادقة من 4 إلى 6 أرقام ، يمكن للقراصنة محاولة محاولة القوة الغاشمة لتجاوز 2FA. لكن اليوم ، معدل نجاح هجمات القوة الغاشمة أقل. وذلك لأن رمز المصادقة يظل صالحًا لفترة قصيرة فقط.

4] الهندسة الاجتماعية

الهندسة الاجتماعية هي التقنية التي يحاول المهاجم من خلالها خداع عقل المستخدم وإجباره على إدخال بيانات اعتماد تسجيل الدخول الخاصة به في صفحة تسجيل دخول مزيفة. بغض النظر عما إذا كان المهاجم يعرف اسم المستخدم وكلمة المرور الخاصين بك أم لا ، يمكنه تجاوز المصادقة الثنائية. كيف؟ دعونا نرى:

لننظر في الحالة الأولى التي يعرف فيها المهاجم اسم المستخدم وكلمة المرور الخاصين بك. لا يمكنه تسجيل الدخول إلى حسابك لأنك قمت بتمكين المصادقة الثنائية (2FA). للحصول على الرمز ، يمكنه إرسال بريد إلكتروني إليك يحتوي على رابط ضار ، مما يخلق مخاوف فيك من إمكانية اختراق حسابك إذا لم تتخذ إجراءً فوريًا. عند النقر فوق هذا الارتباط ، ستتم إعادة توجيهك إلى صفحة المخترق التي تحاكي أصالة صفحة الويب الأصلية. بمجرد إدخال رمز المرور ، سيتم اختراق حسابك.

الآن ، لنأخذ حالة أخرى حيث لا يعرف المتسلل اسم المستخدم وكلمة المرور الخاصين بك. مرة أخرى^(Again) ، في هذه الحالة ، يرسل لك رابط تصيد ويسرق اسم المستخدم وكلمة المرور الخاصين بك مع رمز 2FA.

5] OAuth

يوفر تكامل OAuth^(OAuth) للمستخدمين إمكانية تسجيل الدخول إلى حساباتهم باستخدام حساب جهة خارجية. إنه تطبيق ويب مشهور يستخدم رموز التفويض لإثبات الهوية بين المستخدمين ومقدمي الخدمة. يمكنك اعتبار OAuth طريقة بديلة لتسجيل الدخول إلى حساباتك.

تعمل آلية OAuth بالطريقة التالية:

1. يطلب الموقع "أ" الموقع "ب^{(Site B)} " (مثل Facebook ) للحصول على رمز مصادقة.
2. يعتبر الموقع "ب^{(Site B)} " أن الطلب تم إنشاؤه بواسطة المستخدم ويتحقق من حساب المستخدم.
3. يرسل الموقع B^{(Site B)} بعد ذلك رمز رد اتصال ويسمح للمهاجم بتسجيل الدخول.

في العمليات المذكورة أعلاه ، رأينا أن المهاجم لا يطلب التحقق من نفسه عبر المصادقة الثنائية (2FA). ولكن لكي تعمل آلية الالتفاف هذه ، يجب أن يمتلك المخترق اسم المستخدم وكلمة المرور لحساب المستخدم.

هذه هي الطريقة التي يمكن للقراصنة من خلالها تجاوز المصادقة الثنائية لحساب المستخدم.

كيفية منع تجاوز 2FA؟

يمكن للقراصنة بالفعل تجاوز المصادقة ذات العاملين ، ولكن في كل طريقة ، يحتاجون إلى موافقة المستخدمين التي يحصلون عليها عن طريق خداعهم. بدون خداع المستخدمين ، لا يمكن تجاوز المصادقة الثنائية. ومن ثم^(Hence) يجب الاهتمام بالنقاط التالية:

• قبل النقر على أي رابط ، يرجى التحقق من صحته. يمكنك القيام بذلك عن طريق التحقق من عنوان البريد الإلكتروني للمرسل.
• قم بإنشاء كلمة مرور قوية^{(Create a strong password)} تحتوي على مجموعة من الأحرف الأبجدية والأرقام والأحرف الخاصة.
• استخدم^(Use) فقط تطبيقات المصادقة الأصلية ، مثل Google Authenticator و Microsoft Authentator وما إلى ذلك.
• قم بتنزيل^(Download) وحفظ الرموز الاحتياطية في مكان آمن.
• لا تثق أبدًا في رسائل البريد الإلكتروني المخادعة التي يستخدمها المتسللون لخداع عقول المستخدمين.
• لا تشارك رموز الأمان مع أي شخص.
• ^(Setup)قم بإعداد مفتاح الأمان على حسابك ، وهو بديل للمصادقة الثنائية (2FA) .
• استمر في تغيير كلمة مرورك بانتظام.

قراءة^(Read) : نصائح لإبعاد المتسللين عن جهاز الكمبيوتر الذي يعمل بنظام Windows^{(Tips to Keep Hackers out of your Windows computer)} .

خاتمة

المصادقة ذات العاملين هي طبقة أمان فعالة تحمي حسابك من الاختراق. يريد المتسللون دائمًا الحصول على فرصة لتجاوز المصادقة الثنائية. إذا كنت على دراية بآليات القرصنة المختلفة وقمت بتغيير كلمة المرور الخاصة بك بانتظام ، يمكنك حماية حسابك بشكل أفضل.

How Hackers can get around Two-factor Authentication

You may think that enabling two-factor аuthentication оn your account makeѕ it 100% secure. Two-factor authentication is among the best methods to protect your account. But you may be surprised to hear that your account can be hijacked despite enabling two-factor authentication. In this article, we will tell you the different ways by which attackers can bypass two-factor authentication.

What is Two-factor Authentication (2FA)?

Before we begin, let’s see what 2FA is. You know that you have to enter a password to log into your account. Without the correct password, you cannot log in. 2FA is the process of adding an extra security layer to your account. After enabling it, you cannot log into your account by entering the password only. You have to complete one more security step. This means in 2FA, the website verifies the user in two steps.

Read: How to Enable 2-step Verification in Microsoft Account.

How Does 2FA Work?

Let’s understand the working principle of two-factor authentication. The 2FA requires you to verify yourself two times. When you enter your username and password, you will be redirected to another page, where you have to provide a second proof that you are the real person trying to log in. A website can use any of the following verification methods:

OTP (One Time Password)

After entering the password, the website tells you to verify yourself by entering the OTP sent on your registered mobile number. After entering the correct OTP, you can log into your account.

Prompt Notification

Prompt notification is displayed on your smartphone if it is connected to the internet. You have to verify yourself by tapping on the “Yes” button. After that, you will be logged into your account on your PC.

Backup Codes

Backup codes are useful when the above two methods of verification won’t work. You can log into your account by entering any one of the backup codes you have downloaded from your account.

Authenticator App

In this method, you have to connect your account with an authenticator app. Whenever you want to log into your account, you have to enter the code displayed on the authenticator app installed on your smartphone.

There are several more methods of verification that a website can use.

Read: How To Add Two-step Verification To Your Google Account.

How Hackers can get around Two-factor Authentication

Undoubtedly, 2FA makes your account more secure. But there are still many ways by which hackers can bypass this security layer.

1] Cookie Stealing or Session Hijacking

Cookie stealing or session hijacking is the method of stealing the session cookie of the user. Once the hacker gets success in stealing the session cookie, he can easily bypass the two-factor authentication. Attackers know many methods of hijacking, like session fixation, session sniffing, cross-site scripting, malware attack, etc. Evilginx is among the popular frameworks that hackers use to perform a man-in-the-middle attack. In this method, the hacker sends a phishing link to the user that takes him to a proxy login page. When the user logs into his account using 2FA, Evilginx captures his login credentials along with the authentication code. Since the OTP expires after using it and also valid for a particular time frame, there is no use in capturing the authentication code. But the hacker has the user’s session cookies, which he can use to log into his account and bypass the two-factor authentication.

2] Duplicate Code Generation

If you have used the Google Authenticator app, you know that it generates new codes after a particular time. Google Authenticator and other authenticator apps work on a particular algorithm. Random code generators generally start with a seed value to generate the first number. The algorithm then uses this first value to generate the remaining code values. If the hacker is able to understand this algorithm, he can easily create a duplicate code and log into the user’s account.

3] Brute Force

Brute Force is a technique to generate all the possible password combinations. The time for cracking a password using brute force depends on its length. The longer the password is, the more time it takes to crack it. Generally, the authentication codes are from 4 to 6 digits long, hackers can try a brute force attempt to bypass the 2FA. But today, the success rate of brute force attacks is less. This is because the authentication code remains valid only for a short period.

4] Social Engineering

Social Engineering is the technique in which an attacker tries to trick the user’s mind and forces him to enter his login credentials on a fake login page. No matter whether the attacker knows your username and password or not, he can bypass the two-factor authentication. How? Let’s see:

Let’s consider the first case in which the attacker knows your username and password. He cannot log into your account because you have enabled 2FA. To get the code, he can send you an email with a malicious link, creating a fear in you that your account can be hacked if you do not take immediate action. When you click on that link, you will be redirected to the hacker’s page that mimics the authenticity of the original webpage. Once you enter the passcode, your account will be hacked.

Now, let’s take another case in which the hacker does not know your username and password. Again, in this case, he sends you a phishing link and steals your username and password along with the 2FA code.

5] OAuth

OAuth integration provides users with a facility to log into their account using a third-party account. It is a reputed web application that uses authorization tokens to prove identity between the users and service providers. You can consider OAuth an alternate way to log into your accounts.

An OAuth mechanism works in the following way:

1. Site A requests Site B (e.g. Facebook) for an authentication token.
2. Site B considers that the request is generated by the user and verifies the user’s account.
3. Site B then sends a callback code and lets the attacker sign in.

In the above processes, we have seen that the attacker does not require to verify himself via 2FA. But for this bypass mechanism to work, the hacker should have the user’s account username and password.

This is how hackers can bypass the two-factor authentication of a user’s account.

How to prevent 2FA bypassing?

Hackers can indeed bypass the two-factor authentication, but in each method, they need the users’ consent which they get by tricking them. Without tricking the users, bypassing 2FA is not possible. Hence, you should take care of the following points:

• Before clicking on any link, please check its authenticity. You can do this by checking the sender’s email address.
• Create a strong password that contains a combination of alphabets, numbers, and special characters.
• Use only genuine authenticator apps, like Google authenticator, Microsoft authenticator, etc.
• Download and save the backup codes at a safe place.
• Never trust phishing emails that hackers use to trick the users’ minds.
• Do not share security codes with anyone.
• Setup security key on your account, an alternative to 2FA.
• Keep changing your password regularly.

Read: Tips to Keep Hackers out of your Windows computer.

Conclusion

Two-factor authentication is an effective security layer that protects your account from hijacking. Hackers always want to get a chance to bypass 2FA. If you are aware of different hacking mechanisms and change your password regularly, you can protect your account better.

Related posts

• كيفية تمكين Two-Factor Authentication في Discord

• كيفية الإعداد الصحيح لخيارات الاسترداد والنسخ الاحتياطي للمصادقة الثنائية

• كيفية تثبيت Drupal باستخدام WAMP على Windows

• Best Software & Hardware Bitcoin Wallets ل Windows، IOS، Android

• Setup Internet Radio Station مجانا على Windows PC

• Microsoft Identity Manager: ميزات، Download

• مغلق من Plex Server and Server Settings؟ هنا هو الإصلاح!

• ما هو Blue Whale Challenge Dare Game

• كيفية تثبيت Windows 95 على ويندوز 10

• أفضل الأدوات لإرسال SMS مجانا من جهاز الكمبيوتر الخاص بك

• أفضل الميزات في LibreOffice Calc

• NASA's Eyes يساعدك على استكشاف Universe مثل Astronauts

• SMS Organizer: SMS Application مدعوم من Machine Learning

• جلب الخاص بك Device (BYOD) Advantages، Best Practices، إلخ

• ما هو Magnet link وكيفية فتح Magnet link S في متصفح

• Best مجانا Secure Digital Notebook Software & Online Services

• ما هي بطاقات "رقاقة و PIN" أو EMV Credit

• حدث خطأ أثناء التحقق من التحديثات في VLC

• كيفية استخدام Template لإنشاء مستند مع LibreOffice

• Best Laptop Tables لشراء عبر الإنترنت