U denkt misschien dat het inschakelen van tweefactorauthenticatie op uw account 100% veilig is. Twee-factor-authenticatie^{(Two-factor authentication)} is een van de beste methoden om uw account te beschermen. Maar het zal je misschien verbazen te horen dat je account kan worden gekaapt ondanks het inschakelen van tweefactorauthenticatie. In dit artikel vertellen we je op welke verschillende manieren aanvallers two-factor authenticatie kunnen omzeilen.

Wat is tweefactorauthenticatie^{(Authentication)} (2FA)?

Voordat we beginnen, laten we eens kijken wat 2FA is. U weet dat u een wachtwoord moet invoeren om in te loggen op uw account. Zonder het juiste wachtwoord kunt u niet inloggen. 2FA is het proces van het toevoegen van een extra beveiligingslaag aan uw account. Nadat u het hebt ingeschakeld, kunt u niet inloggen op uw account door alleen het wachtwoord in te voeren. U moet nog een beveiligingsstap voltooien. Dit betekent in 2FA dat de website de gebruiker in twee stappen verifieert.

Lezen^(Read) : 2-stapsverificatie inschakelen in Microsoft-account^{(How to Enable 2-step Verification in Microsoft Account)} .

Hoe werkt 2FA?

Laten we het werkingsprincipe van tweefactorauthenticatie begrijpen. De 2FA vereist dat je jezelf twee keer verifieert. Wanneer u uw gebruikersnaam en wachtwoord invoert, wordt u doorgestuurd naar een andere pagina, waar u een tweede bewijs moet overleggen dat u de echte persoon bent die probeert in te loggen. Een website kan een van de volgende verificatiemethoden gebruiken:

OTP (eenmalig wachtwoord)

Na het invoeren van het wachtwoord, vertelt de website u om uzelf te verifiëren door de OTP in te voeren die op uw geregistreerde mobiele nummer is verzonden. Na het invoeren van de juiste OTP kunt u inloggen op uw account.

Snelle melding

Er wordt een prompte melding weergegeven op uw smartphone als deze is verbonden met internet. U moet uzelf verifiëren door op de knop " Ja^(Yes) " te tikken. Daarna bent u ingelogd op uw account op uw pc.

Back-upcodes

Back-^(Backup) upcodes zijn handig wanneer de bovenstaande twee verificatiemethoden niet werken. U kunt inloggen op uw account door een van de back-upcodes in te voeren die u van uw account hebt gedownload.

Authenticator-app

Bij deze methode moet u uw account verbinden met een authenticator-app. Wanneer u zich wilt aanmelden bij uw account, moet u de code invoeren die wordt weergegeven op de authenticator-app die op uw smartphone is geïnstalleerd.

Er zijn nog meer verificatiemethoden die een website kan gebruiken.

Lezen^(Read) : Tweestapsverificatie toevoegen aan uw Google-account^{(How To Add Two-step Verification To Your Google Account)} .

Hoe hackers twee-factor-authenticatie^{(Two-factor Authentication)} kunnen omzeilen

Ongetwijfeld maakt 2FA uw account veiliger. Maar er zijn nog steeds veel manieren waarop hackers deze beveiligingslaag kunnen omzeilen.

1] Cookiestelen^{(Cookie Stealing)} of sessiekaping^{(Session Hijacking)}

Het stelen van cookies of het kapen van sessies^{(Cookie stealing or session hijacking)} is de methode om de sessiecookie van de gebruiker te stelen. Zodra de hacker succes heeft met het stelen van de sessiecookie, kan hij de tweefactorauthenticatie gemakkelijk omzeilen. Aanvallers kennen veel methoden van kaping, zoals sessiefixatie, sessiesniffing, cross-site scripting, malware-aanval, enz. Evilginx is een van de populaire frameworks die hackers gebruiken om een ​​man-in-the-middle-aanval uit te voeren. Bij deze methode stuurt de hacker een phishing-link naar de gebruiker die hem naar een proxy-inlogpagina brengt. Wanneer de gebruiker inlogt op zijn account met 2FA, legt Evilginx zijn inloggegevens vast samen met de authenticatiecode. Sinds de OTPvervalt na gebruik en ook geldig is voor een bepaald tijdsbestek, heeft het geen zin om de authenticatiecode vast te leggen. Maar de hacker heeft de sessiecookies van de gebruiker, waarmee hij kan inloggen op zijn account en de tweefactorauthenticatie kan omzeilen.

2] Dubbele code genereren

Als je de Google Authenticator- app hebt gebruikt, weet je dat deze na een bepaalde tijd nieuwe codes genereert. Google Authenticator en andere authenticator-apps werken op een bepaald algoritme. Willekeurige^(Random) codegeneratoren beginnen over het algemeen met een startwaarde om het eerste getal te genereren. Het algoritme gebruikt vervolgens deze eerste waarde om de resterende codewaarden te genereren. Als de hacker dit algoritme kan begrijpen, kan hij eenvoudig een dubbele code maken en inloggen op het account van de gebruiker.

3] Brute kracht

Brute Force is een techniek om alle mogelijke wachtwoordcombinaties te genereren. De tijd voor het kraken van een wachtwoord met brute kracht hangt af van de lengte ervan. Hoe langer het wachtwoord is, hoe meer tijd het kost om het te kraken. Over het algemeen zijn de authenticatiecodes 4 tot 6 cijfers lang, hackers kunnen een brute force-poging doen om de 2FA te omzeilen. Maar tegenwoordig is het slagingspercentage van brute force-aanvallen minder. De authenticatiecode blijft namelijk maar voor een korte periode geldig.

4] Sociale techniek

Social Engineering is de techniek waarbij een aanvaller de gebruiker probeert te misleiden en hem dwingt zijn inloggegevens in te voeren op een valse inlogpagina. Het maakt niet uit of de aanvaller uw gebruikersnaam en wachtwoord kent of niet, hij kan de tweefactorauthenticatie omzeilen. Hoe? Laten we eens kijken:

Laten we eens kijken naar het eerste geval waarin de aanvaller uw gebruikersnaam en wachtwoord kent. Hij kan niet inloggen op je account omdat je 2FA hebt ingeschakeld. Om de code te krijgen, kan hij u een e-mail sturen met een kwaadaardige link, waardoor u de angst krijgt dat uw account kan worden gehackt als u niet onmiddellijk actie onderneemt. Wanneer u op die link klikt, wordt u doorgestuurd naar de pagina van de hacker die de authenticiteit van de originele webpagina nabootst. Zodra u de toegangscode invoert, wordt uw account gehackt.

Laten we nu een ander geval nemen waarin de hacker uw gebruikersnaam en wachtwoord niet kent. Nogmaals^(Again) , in dit geval stuurt hij je een phishing-link en steelt hij je gebruikersnaam en wachtwoord samen met de 2FA-code.

5] OAuth

OAuth -integratie biedt gebruikers de mogelijkheid om in te loggen op hun account met een account van een derde partij. Het is een gereputeerde webtoepassing die autorisatietokens gebruikt om de identiteit tussen de gebruikers en serviceproviders te bewijzen. U kunt OAuth beschouwen als een alternatieve manier om in te loggen op uw accounts.

Een OAuth- mechanisme werkt als volgt:

1. Site A vraagt ​​Site B (bijv . Facebook ) om een ​​authenticatietoken.
2. Site B is van mening dat het verzoek is gegenereerd door de gebruiker en verifieert het account van de gebruiker.
3. Site B stuurt vervolgens een terugbelcode en laat de aanvaller inloggen.

In de bovenstaande processen hebben we gezien dat de aanvaller zich niet via 2FA hoeft te verifiëren. Maar om dit bypass-mechanisme te laten werken, moet de hacker de gebruikersnaam en het wachtwoord van de gebruikersaccount hebben.

Op deze manier kunnen hackers de tweefactorauthenticatie van het account van een gebruiker omzeilen.

Hoe 2FA-bypassing te voorkomen?

Hackers kunnen inderdaad de twee-factor-authenticatie omzeilen, maar bij elke methode hebben ze de toestemming van de gebruikers nodig die ze krijgen door ze te misleiden. Zonder de gebruikers te misleiden, is het omzeilen van 2FA niet mogelijk. Daarom^(Hence) moet u op de volgende punten letten:

• Controleer de authenticiteit ervan voordat u op een link klikt. U kunt dit doen door het e-mailadres van de afzender te controleren.
• Maak een sterk wachtwoord^{(Create a strong password)} dat een combinatie van alfabetten, cijfers en speciale tekens bevat.
• Gebruik^(Use) alleen echte authenticator-apps, zoals Google -authenticator, Microsoft -authenticator, enz.
• Download en bewaar de back-upcodes op een veilige plaats.
• Vertrouw nooit phishing-e-mails die hackers gebruiken om de geest van de gebruikers te misleiden.
• Deel beveiligingscodes met niemand.
• Stel^(Setup) een beveiligingssleutel in op uw account, een alternatief voor 2FA.
• Verander regelmatig uw wachtwoord.

Lees^(Read) : Tips om hackers buiten uw Windows-computer te houden^{(Tips to Keep Hackers out of your Windows computer)} .

Conclusie

Twee-factor-authenticatie is een effectieve beveiligingslaag die uw account beschermt tegen kaping. Hackers willen altijd een kans krijgen om 2FA te omzeilen. Als u op de hoogte bent van verschillende hackmechanismen en uw wachtwoord regelmatig wijzigt, kunt u uw account beter beschermen.

How Hackers can get around Two-factor Authentication

You may think that enаbling two-factor authenticаtion on your account makes іt 100% secure. Two-factor authentication is among the best methods to protect your account. But you may be surprised to hear that your account can be hijacked despite enabling two-factor authentication. In this article, we will tell you the different ways by which attackers can bypass two-factor authentication.

What is Two-factor Authentication (2FA)?

Before we begin, let’s see what 2FA is. You know that you have to enter a password to log into your account. Without the correct password, you cannot log in. 2FA is the process of adding an extra security layer to your account. After enabling it, you cannot log into your account by entering the password only. You have to complete one more security step. This means in 2FA, the website verifies the user in two steps.

Read: How to Enable 2-step Verification in Microsoft Account.

How Does 2FA Work?

Let’s understand the working principle of two-factor authentication. The 2FA requires you to verify yourself two times. When you enter your username and password, you will be redirected to another page, where you have to provide a second proof that you are the real person trying to log in. A website can use any of the following verification methods:

OTP (One Time Password)

After entering the password, the website tells you to verify yourself by entering the OTP sent on your registered mobile number. After entering the correct OTP, you can log into your account.

Prompt Notification

Prompt notification is displayed on your smartphone if it is connected to the internet. You have to verify yourself by tapping on the “Yes” button. After that, you will be logged into your account on your PC.

Backup Codes

Backup codes are useful when the above two methods of verification won’t work. You can log into your account by entering any one of the backup codes you have downloaded from your account.

Authenticator App

In this method, you have to connect your account with an authenticator app. Whenever you want to log into your account, you have to enter the code displayed on the authenticator app installed on your smartphone.

There are several more methods of verification that a website can use.

Read: How To Add Two-step Verification To Your Google Account.

How Hackers can get around Two-factor Authentication

Undoubtedly, 2FA makes your account more secure. But there are still many ways by which hackers can bypass this security layer.

1] Cookie Stealing or Session Hijacking

Cookie stealing or session hijacking is the method of stealing the session cookie of the user. Once the hacker gets success in stealing the session cookie, he can easily bypass the two-factor authentication. Attackers know many methods of hijacking, like session fixation, session sniffing, cross-site scripting, malware attack, etc. Evilginx is among the popular frameworks that hackers use to perform a man-in-the-middle attack. In this method, the hacker sends a phishing link to the user that takes him to a proxy login page. When the user logs into his account using 2FA, Evilginx captures his login credentials along with the authentication code. Since the OTP expires after using it and also valid for a particular time frame, there is no use in capturing the authentication code. But the hacker has the user’s session cookies, which he can use to log into his account and bypass the two-factor authentication.

2] Duplicate Code Generation

If you have used the Google Authenticator app, you know that it generates new codes after a particular time. Google Authenticator and other authenticator apps work on a particular algorithm. Random code generators generally start with a seed value to generate the first number. The algorithm then uses this first value to generate the remaining code values. If the hacker is able to understand this algorithm, he can easily create a duplicate code and log into the user’s account.

3] Brute Force

Brute Force is a technique to generate all the possible password combinations. The time for cracking a password using brute force depends on its length. The longer the password is, the more time it takes to crack it. Generally, the authentication codes are from 4 to 6 digits long, hackers can try a brute force attempt to bypass the 2FA. But today, the success rate of brute force attacks is less. This is because the authentication code remains valid only for a short period.

4] Social Engineering

Social Engineering is the technique in which an attacker tries to trick the user’s mind and forces him to enter his login credentials on a fake login page. No matter whether the attacker knows your username and password or not, he can bypass the two-factor authentication. How? Let’s see:

Let’s consider the first case in which the attacker knows your username and password. He cannot log into your account because you have enabled 2FA. To get the code, he can send you an email with a malicious link, creating a fear in you that your account can be hacked if you do not take immediate action. When you click on that link, you will be redirected to the hacker’s page that mimics the authenticity of the original webpage. Once you enter the passcode, your account will be hacked.

Now, let’s take another case in which the hacker does not know your username and password. Again, in this case, he sends you a phishing link and steals your username and password along with the 2FA code.

5] OAuth

OAuth integration provides users with a facility to log into their account using a third-party account. It is a reputed web application that uses authorization tokens to prove identity between the users and service providers. You can consider OAuth an alternate way to log into your accounts.

An OAuth mechanism works in the following way:

1. Site A requests Site B (e.g. Facebook) for an authentication token.
2. Site B considers that the request is generated by the user and verifies the user’s account.
3. Site B then sends a callback code and lets the attacker sign in.

In the above processes, we have seen that the attacker does not require to verify himself via 2FA. But for this bypass mechanism to work, the hacker should have the user’s account username and password.

This is how hackers can bypass the two-factor authentication of a user’s account.

How to prevent 2FA bypassing?

Hackers can indeed bypass the two-factor authentication, but in each method, they need the users’ consent which they get by tricking them. Without tricking the users, bypassing 2FA is not possible. Hence, you should take care of the following points:

• Before clicking on any link, please check its authenticity. You can do this by checking the sender’s email address.
• Create a strong password that contains a combination of alphabets, numbers, and special characters.
• Use only genuine authenticator apps, like Google authenticator, Microsoft authenticator, etc.
• Download and save the backup codes at a safe place.
• Never trust phishing emails that hackers use to trick the users’ minds.
• Do not share security codes with anyone.
• Setup security key on your account, an alternative to 2FA.
• Keep changing your password regularly.

Read: Tips to Keep Hackers out of your Windows computer.

Conclusion

Two-factor authentication is an effective security layer that protects your account from hijacking. Hackers always want to get a chance to bypass 2FA. If you are aware of different hacking mechanisms and change your password regularly, you can protect your account better.

Related posts

• Hoe twee-factorenauthenticatie in Discord in te schakelen

• Herstel- en back-upopties voor twee-factorenauthenticatie correct instellen

• Drupal installeren met WAMP op Windows

• Beste software en hardware Bitcoin-portefeuilles voor Windows, iOS, Android

• Gratis internetradiostation instellen op Windows-pc

• Gratis taakbeheersoftware om Teamwork te beheren

• Beste gratis veilige digitale notebooksoftware en online services

• Bring Your Own Device (BYOD) voordelen, best practices, etc.

• Whiteboard Fox is een gratis online whiteboard waarmee u in realtime kunt delen

• Session messaging-app biedt sterke beveiliging; Geen telefoonnummer nodig!

• 10 beste USB LED-lampen voor laptops

• Hoe pdf-documenten met een wachtwoord te beveiligen en te beveiligen met LibreOffice

• Wat is Blue Whale Challenge Dare Game?

• SMS Organizer: SMS-applicatie mogelijk gemaakt door Machine Learning

• Zip-bestand is te groot fout bij het downloaden van bestanden van DropBox

• Wat is big data - een eenvoudige uitleg met een voorbeeld?

• Beste laptoprugzakken voor heren en dames

• Dat account is niet gekoppeld aan een Mixer-account

• Hoe u wachtwoorden versleutelt en toevoegt aan LibreOffice-documenten

• Converteer Magnet-links naar Direct Download-links met Seedr