Dvoufaktorovou autentizaci PayPal lze obejít

Zdroj: SOOM.cz [ISSN 1804-7270]
Autor: .cCuMiNn.
Datum: 27.6.2014
Hodnocení/Hlasovalo: 1/1

Výzkumníci společnosti Duo Labs zveřejnili postup, jak lze obejít dvoufaktorovou autentizaci u PayPal. Útočník sice potřebuje znát přihlašovací jméno a heslo své oběti, ale to je vše. Útočník může odeslat finanční prostředky z účtu své oběti bez uplatnění druhého autentizačního faktoru.

Tato chyba v zabezpečení byla poprvé objevena Danem Saltman z EverydayCarry, který PayPalu odeslal upozornění přes bug bounty program již 29. března. Protože Saltman neobdržel od PayPal odpověď, rozhodl se předat informace o problému společnosti Duo Security, která vyvinula finální proof-of-concept.

Zatímco správně implementovaná dvoufaktorová autentizace nabízí velkou hodnotu pro ochranu uživatelů a firem, nedostatky v návrhu a realizaci, jako v tomto případě, mohou všechny tyto výhody negovat. Uživatelé se totiž mohou ukolébat falešným pocitem bezpečí, uvádí Duo Security.

Samotný proof-of-concept, video a mnoho dalších technických podrobností zveřejnila Duo Security na svém blogu.