لا تصدق كل ما تقرأه – خاصةً عندما يكون جزءًا من ملعب تسويق مصمم لبيع خدمات الأمن.
أحدث مثال على الضجيج الهارب الذي يمكن أن يأتي من مثل هذه الملاعب هو الأبحاث التي نشرتها اليوم من قبل Squarex ، وهي خدمات بيع بدء التشغيل لتأمين المتصفحات والتطبيقات الأخرى من جانب العميل. وهي تدعي ، دون أساس ، أنها وجدت “ثغرة أهم مفاتيح” التي تقوض الوعود الأمنية النبيلة التي قطعتها Apple و Google و Microsoft وآلاف الشركات الأخرى التي تبنت بمفاتيح المرور بحماس.
أهوي ، وجه الوجه
“تم عرض مفاتيح الممرات” ، الهجوم الموصوف في البحث ، تم توضيحه في وقت سابق من هذا الشهر في عرض تقديمي DEFCON. يعتمد على امتداد المتصفح الضار ، الذي تم تثبيته في هجوم في الهندسة الاجتماعية السابقة ، والذي يختطف عملية إنشاء مفتاح تمريرة للاستخدام على Gmail أو Microsoft 365 أو أي من الآلاف الأخرى من المواقع التي تستخدم الآن الشكل البديل للمصادقة.
خلف الكواليس ، يسمح التمديد بإنشاء Keypair وربطه بمجال Gmail.com الشرعي ، ولكن يتم إنشاء Keypair بواسطة البرامج الضارة ويتم التحكم فيها بواسطة المهاجم. مع ذلك ، يمكن للخصم إمكانية الوصول إلى تطبيقات السحابة التي تستخدمها المؤسسات لعملياتها الأكثر حساسية.
“هذا الاكتشاف يكسر الأسطورة التي لا يمكن سرقة مفاتيح الممرات ، مما يدل على أن” سرقة مفاتيح “ليست ممكنة فحسب ، بل تافهة مثل سرقة الاعتماد التقليدية”. “هذا بمثابة دعوة للاستيقاظ أنه على الرغم من أن مفاتيح الممرات تبدو أكثر أمانًا ، فإن الكثير من هذا التصور ينبع من تقنية جديدة لم تتجاوز عقودًا من الأبحاث الأمنية والمحاكمة بالنار.”
