Webアプリは非常に複雑になっているため、安全に使用できません。ブラックハットとDEFCONのコンピューターセキュリティで、3人のセキュリティ研究者は、多くのWebベースのアプリやサービス、および一部のWebアプリ自体で使用される共有ログイントークンとプロセスは基本的に安全ではなく、ハッカーにとって潜在的な金鉱となると述べています。先週ここで会議。 問題は、今日のオンラインサービスが非常に複雑で理解が難しいため、ハッカー、フィッシング詐欺師、その他の詐欺師がファイルを盗んだり、マルウェアを埋め込んだり、アカウントにアクセスしたりする機会がたくさんあることです。 「これらのプロトコルを保護する際に多くの悪い仮定がなされました」と Netskopeの研究者であるJenkoHwong は、土曜日（8月7日）にDEF CONで講演し、Microsoft、Facebook、Google、Twitter、その他数百の企業で使用されているOAuthオープン認証プロトコルの明らかな弱点に焦点を当てました。 「OAuthはめちゃくちゃで、誰もそれをすべて理解しているわけではありません。」 Hwongの直前のDEFCONプレゼンテーションで、Snapchatの研究者 Matt Bryant は、Google独自のクラウドベースのApps Script開発ツールを使用して、Googleアカウントを簡単に乗っ取り、ファイル、連絡先、メールにアクセスできることを示しました。オンラインのGoogleWorkspace環境で。 そして木曜日（8月5日）のブラックハットで、マシューウィークのDeloitteは、特定のディレクトリに制限されているはずのファイルアクセスWebアプリが、どのように制限を「エスケープ」できるかを示しました。最終的にデスクトップコンピュータをハッキングすることになります。 自分自身を保護する方法 OAuthとGoogleワークスペースを悪用するフィッシング攻撃のリスクを最小限に抑えるために、理論的には、次の場合に各アカウントからログアウトできます。アクセストークンとセッションCookieを強制終了するために、その日の使用は終了しましたが、ログインしている各デバイスで使用する必要があります。 これにより、非常に不便になります。 。 Twitterを使い終わったら、誰が本当にTwitterからログアウトしますか?所有している各PC、Mac、またはスマートフォンで毎日Googleからログアウトし、翌日に再度ログインするのは誰ですか。さらに、ログインするとすぐに再び脆弱になります。 ファイルを変更するWebアプリのリスクを最小限に抑えるために、Webサイトでファイルまたはフォルダへのアクセス許可を求めるように求められた場合は十分に注意してください。 PCまたはMac—アクセスを許可するファイルに特定の名前が付いていることを確認してください。 また、最高のWindows10の1つをインストールして使用することもできます。ウイルス対策または最高のMacウイルス対策プログラム。システム。 1つの場所にログインし、どこにでもアクセスできます OAuthは、2007年から2010年にTwitter、Google、その他の企業によって開発されました。現在広く使用されているプロトコルを使用すると、1つのサイトまたはサービスにログインできます。次に、そのサイトまたはサービスは、アクセストークンを他の多くのサイトに渡し、あなたがあなたであることを信頼し、彼らもあなたを信頼する必要があることを伝えます。 これらのサイトにログインする必要はありません。サイト1から受け取ったアクセストークンでログインできます。 このようにして、Twitterにサインインして次に、TweetDeckにもログインするか、Gmailにログインして、Googleドライブ、Googleカレンダー、その他のGoogleエコシステムにログインします。 ただし、そのアクセストークンの存在と、それが特定のオンラインサービスに「バインド」されていないということは、トークンを取得したフィッシング詐欺師が、メールアドレス、ユーザー名、またはパスワードなしでアカウントにアクセスできることを意味します。 2要素認証（2FA）、多要素認証（MFA）とも呼ばれます攻撃を止めることはできません。 「ターゲットはもはやユーザー名やパスワードではありません」とHwong氏は述べています。 「必要なのはセッショントークンです。すでに祝福されています。MFAはありません。セッショントークンは通常1時間続きますが、その後更新トークンを取得するため、無期限に持続します。基本的に、MFAをバイパスした永続的な資格情報があります。」 ‘より複雑で、有用性が低く、安全性が低い’ OAuthの最初のバージョンには、多くのセキュリティ保護手段が含まれていました。ただし、2012年にリリースされたOAuth 2.0では、プロトコルの実装と使用を容易にするために、これらのセーフガードの多くが削除されました。 これらの変更により、OAuth仕様の作成者は Eran Hammer 開発チームを辞任し、「OAuth 1.0と比較すると、2.0仕様はより複雑で、相互運用性が低く、有用性が低く、不完全であり、最も重要なのは安全性が低い」と非難する怒りのブログ投稿を書くことです。 Hammerは、トークンの出所を示すアクセストークンからのクライアント情報のバインド解除、プロトコルからの暗号化署名の削除、企業がモバイルデバイスやスマートホームデバイス向けにOAuth2.0を調整できるように導入された不必要な複雑さを挙げました。社内のエンタープライズ展開と同様に。 「次のカップルで[OAuthで]重大なセキュリティ障害が発生する可能性があります。 広範囲にわたるOAuth攻撃 このような重大なセキュリティ障害は、2017年5月にメールの「ワーム」がGoogleアプリシステムを破り、Googleアカウントに感染し、数千のGoogleドキュメントにアクセスできるようになりました。グーグルがシャットダウンする数時間前。 「グーグルが拡散を止める前の数時間で、ワームは100万人以上のグーグルユーザーに影響を与えた」とブライアントはグーグルに焦点を当てた彼のDEFCONプレゼンテーションを言った。 「コーディングは素人っぽく、収集されたメールアドレスのみでした。」 Gmailアカウントから送信されたものではない不正なメールは、あなたが知っている誰かがGoogleドキュメントをあなたと共有したと主張しました。 [ドキュメントで開く]ボタンをクリックすると、Google名簿の全員に同じフィッシングメールが届きますが、送信者はあなただけです。 重要なのは、「この攻撃ではエクスプロイトやバグは使用されませんでしたが、その影響は甚大でした。」 OAuthとGoogleのサインインシステムを悪用した場合、「大規模な攻撃を仕掛けるのに狂ったゼロ日は必要ありません。」 「OAuthの使用が一般的なテーマになる可能性が高いです。今後のフィッシングキャンペーンで」と語った。攻撃。 誰も攻撃を検出できない場合、それは起こりましたか? ブライアントによると、その予測は正しいですが、Googleのオンラインアプリとサービスの世界は非常に複雑であるため、ブライアント氏によると、攻撃が発生したかどうかを確認してください。 Googleは、攻撃から2か月以内にオンラインエコシステムのセキュリティを強化しましたが、Googleのドキュメント所有権とドキュメントを乗っ取る可能性はあります。 2017年のGoogleワームのような共有プロセス。 最大の脅威は、MicrosoftOfficeやBryantと競合するエンタープライズ対応のGSuiteなど、GoogleオンラインアプリのマクロのようなAppsScriptの悪用です。言った。 誰でもAppsScriptを作成できますが、Googleは100人を超えるユーザーと共有しているユーザーを精査し、少数のユーザーと共有しているユーザーは「未確認」であると警告しています。ただし、スクリプトの作成者がそれを開こうとしたユーザーと同じG Suiteドメインを使用している場合、警告は表示されません。 「AppsScriptは、GSuiteアカウントをフィッシングおよびバックドアするための魅力的なオプションです」と述べています。ブライアント。 「インプラントはウイルス対策や他の1つのデバイスのスキャンでは検出できず、デバイスの再起動後も存続します。」 Googleの環境は、OAuthシステム全体よりも厳密に制御されていますが、ブライアント氏によると、悪意のある攻撃者が気付かないうちに、Googleユーザーに許可を与えることは可能だという。 たとえば、Apps ScriptをGoogleドキュメントに添付し、シートをスライドさせてから、コピーリンクを別のユーザーに送信できると彼は言いました。ファイルはAppsScriptとともにコピーされますが、対象のユーザーはAppsScriptを手動でトリガーして実行する必要があります。ブライアント氏によると、この問題を解決するために、ユーザーがクリックして削除し、背後にあるものを確認するトリガーを画像に配置しました。 新しいAppsScriptごとに、新しいGoogleプロジェクトが作成されます。 Googleドキュメント、シート、またはスライドの1つへのアクセスをリクエストすると、プロジェクトに「バインド」されてしまいます。 そのバインディングを利用して他の人のGoogleアカウントにアクセスすることはできないはずですが、彼は自分のGoogleプロジェクトを正確に編集することができました。 「ユーザーがアクセスできるものは何でも、あなたもアクセスできる」とブライアント氏は語った。 ウェブサイトにPC上のファイルを変更させることは、今では当たり前のことです 同様の種類Deloitteの研究者であるMatthewWeeksは、木曜日のBlack Hatで、過剰共有が原因で、ユーザーのPC上のファイルを変更できるWebアプリに深刻なセキュリティ問題が発生すると説明しました。 PC上のファイルを変更するウェブサイトの概念は、従来のウェブサイトとブラウザの関係の一部ではないため、完全には理解していない可能性があります。 20年近くの間、ブラウザはほとんどがWebサイトに表示されるものへのパッシブウィンドウであり、ブラウザで発生したことはPCの他の部分に影響を与えるとは考えられていませんでした。 これは次のようなWebアプリで変更されました。 Microsoft Office365。ユーザーのPCで、ズームなどのビデオ会議アプリを使用してドキュメントやスプレッドシートを作成および変更できます。 、Cisco WebExまたはGoToMeeting。PCの管理者から許可を得ることなく、ユーザーのPCにクライアントアプリケーションをインストールします。 これらの各オンラインサービスには、ファイルシステムアクセスアプリケーションプログラミングインターフェイス（API）があり、PCのオペレーティングシステムと対話してファイルを変更できます。 “ファイル-ウェブからのシステムアクセスAPIはごく当たり前のことだ」と語った。 「これらはビデオ会議ではすでに明らかですが、現在はWebアプリを使用してPC上の非常に大きなファイルを編集および変更するためにも使用されています。」 必要以上のものを提供する <ウィークス氏によると、ファイルシステムにアクセスできるウェブアプリにはセキュリティ制限が組み込まれているという。一部のファイルタイプは完全に禁止されており、Webアプリは他のディレクトリへのアクセスを許可する可能性のある完全なファイルパスを使用できず、Webアプリがファイルに加えることができる変更の数は制限されています。 しかし、ウィークス氏は、「アップロードまたは変更するファイルを含む特定のフォルダーへのWeb APIアクセスを許可すると、そのフォルダー内のすべてのファイルへのアクセスが許可されます。これは通常の機能です」と述べています。さらに、「しかし、誰もが気付くとは限らない」と付け加えた。 このため、ウィークス氏は、「ウェブサイトにフォルダ書き込みアクセスが許可されていれば、DLLを書き込むことができる」と述べた。 1つ以上のアプリケーションが読み取って実行できるプログラミングコードを含むファイル。 DLL「インジェクション」 悪意のあるコードがDLL内に配置され、それ以外の場合は安全なアプリケーションによって実行されるのは、 WindowsとmacOSの両方 。 週は、WebアプリがPCで「計算をポップ」するか、Calculatorアプリを強制的に開くデモを実行しました。これは、WindowsまたはMacが持つ従来のサインインの概念証明攻撃です。 その秘訣は、ユーザーが名前の欠如に気付かずに許可する名前のないファイルへのアクセスをWebアプリに要求させることでした。これにより、Webアプリは、禁止されている拡張子を持つファイルを作成したり、それらのファイルを複数回変更したりするなど、そのフォルダーで実行できるはずの多くのことを実行できるようになります。 ウィークス氏によると、ユーザーのシステムは、ウェブアプリによって作成されたファイルを定期的にチェックして、安全であることを確認します。ただし、アプリは、そのスクリーニング後にファイルを変更できるとは想定されていません。ただし、名前のないファイルのチェックはその保護手段をバイパスし、作成されたファイルを悪意のあるコードでWebサイトに更新させ、ユーザーのOSは賢明ではありません。 フィッシング攻撃は攻撃者によって完全に制御されます OAuth 2.0はさらに改良され、入力方法が制限されているデバイスに適用できるようになりました、とHwong氏は説明しました。 HBO Max またはShowtimetoGoにログインしている場合スマートテレビの場合、ノートパソコンやスマートフォンなどの別のデバイスでこれらのサービスにログインしてから、テレビ画面に表示される一時的なアクセスコードを入力するように求められます。 「アプリ[onスマートテレビ]はこのプロセスを完全に管理している」と語った。 次に、アクセスコードを送信した攻撃者によって制御されたWebアプリを使用して、このアプリ駆動型プロセスを使用してMicrosoft Office365アカウントを乗っ取る方法を示すデモを実行しました。 Hwongの例では、フィッシングに成功したアカウントはたまたま会社のMicrosoft Azureクラウドシステム管理者のものであり、潜在的な被害を最大化しています。 「Microsoftアカウントすら必要ありませんでした。これを行うために」とファンは言った。 従来のフィッシング攻撃とは異なり、この攻撃では「攻撃者にはサーバーインフラストラクチャ、偽のアプリ、偽のサイトがありません。ユーザーが承認する必要のある同意画面はありません。また、Azureへのピボットはログに記録されません。 「プロセス全体がMicrosoftのクラウドアプリシステム内で行われ、他のすべてのMicrosoftプロセスが信頼されているためです。 「使いやすさは不安につながる」とフォン氏は語った。 「異なる認証フローは攻撃者の機会につながります。」 Hwongは、ユーザーが最初にログインしたサイトであるユーザー間の3方向通信を使用して、OAuthプロセスの進化を示すいくつかの図を投稿しました。 、および元のログインサイトからユーザーのアクセストークンを受信して​​使用するサイト。 しかし、時間の経過とともに、情報の流れは3者すべての間で変化し、エンドユーザーはますます制御できなくなります。図は非常に複雑になりますが、何が起こっているのかが常に明確であるとは限りません。 「私たちは表面を引っ掻いているだけです」とHwongはDEFCONプレゼンテーションの最後に聴衆に語った。 「頭が痛いので、5分以内にこれを脳から洗い流すことを保証します。私の頭が痛いです。しかし、それはもっと多くの研究に値する領域です。」 あなたは週の黒帽子のプレゼンテーションのスライドはこちら、ブライアントのDEFCONプレゼンテーションスライドはこちらおよび Hwong’s DEF CONプレゼンテーションのスライドはこちら。 今日の最高のGooglePixel 4a5Gのお得な情報

Webアプリ、Google Workspace、およびOAuth共有アクセスメカニズムは、その複雑さによってユーザーのセキュリティとプライバシーを危険にさらしていると、研究者たちはBlackHatとDEFCONのセキュリティ会議で述べています。