คุณอาจคิดว่าการเปิดใช้งานการรับรองความถูกต้องด้วยสองปัจจัยในบัญชีของคุณทำให้ปลอดภัย 100% การรับรองความถูกต้องด้วยสองปัจจัย^{(Two-factor authentication)}เป็นหนึ่งในวิธีที่ดีที่สุดในการปกป้องบัญชีของคุณ แต่คุณอาจแปลกใจที่ทราบว่าบัญชีของคุณอาจถูกจี้แม้จะเปิดใช้งานการตรวจสอบสิทธิ์แบบสองปัจจัย ในบทความนี้ เราจะบอกคุณถึงวิธีต่างๆ ที่ผู้โจมตีสามารถเลี่ยงการตรวจสอบสิทธิ์แบบสองปัจจัยได้

การ รับรองความถูกต้อง^{(Authentication)}ด้วยสองปัจจัย(2FA) คืออะไร

ก่อนที่เราจะเริ่มต้นเรามาดูกันว่า 2FA คืออะไร คุณรู้ว่าคุณต้องป้อนรหัสผ่านเพื่อเข้าสู่บัญชีของคุณ หากไม่มีรหัสผ่านที่ถูกต้อง คุณจะไม่สามารถเข้าสู่ระบบได้ 2FA เป็นกระบวนการในการเพิ่มชั้นความปลอดภัยพิเศษให้กับบัญชีของคุณ หลังจากเปิดใช้งาน คุณจะไม่สามารถลงชื่อเข้าใช้บัญชีของคุณโดยป้อนรหัสผ่านเท่านั้น คุณต้องทำขั้นตอนความปลอดภัยให้เสร็จสิ้นอีกหนึ่งขั้นตอน ซึ่งหมายความว่าใน 2FA เว็บไซต์จะตรวจสอบผู้ใช้ในสองขั้นตอน

อ่าน^(Read) : วิธีเปิดใช้งานการยืนยันแบบ 2 ขั้นตอนในบัญชี^{(How to Enable 2-step Verification in Microsoft Account)} Microsoft

2FA ทำงานอย่างไร?

มาทำความเข้าใจหลักการทำงานของการรับรองความถูกต้องด้วยสองปัจจัยกัน 2FA กำหนดให้คุณต้องยืนยันตัวเองสองครั้ง เมื่อคุณป้อนชื่อผู้ใช้และรหัสผ่าน คุณจะถูกเปลี่ยนเส้นทางไปยังหน้าอื่น ซึ่งคุณต้องแสดงหลักฐานที่สองว่าคุณเป็นบุคคลจริงที่พยายามเข้าสู่ระบบ เว็บไซต์สามารถใช้วิธีการตรวจสอบใดๆ ต่อไปนี้:

OTP (รหัสผ่านครั้งเดียว)

หลังจากป้อนรหัสผ่าน เว็บไซต์จะแจ้งให้คุณตรวจสอบตัวเองโดยป้อนรหัส OTP^(OTP) ที่ ส่งมาจากหมายเลขโทรศัพท์มือถือที่ลงทะเบียนไว้ หลังจากป้อนOTP ที่ถูกต้อง แล้ว คุณสามารถเข้าสู่ระบบบัญชีของคุณได้

แจ้งเตือนทันที

การแจ้งเตือนจะปรากฏขึ้นบนสมาร์ทโฟนของคุณหากเชื่อมต่อกับอินเทอร์เน็ต คุณต้องยืนยันตัวเองโดยแตะที่ปุ่ม " ใช่^(Yes) " หลังจากนั้น คุณจะเข้าสู่บัญชีของคุณบนพีซี

รหัสสำรอง

รหัส สำรอง^(Backup)มีประโยชน์เมื่อวิธีการยืนยันสองวิธีข้างต้นใช้ไม่ได้ผล คุณสามารถลงชื่อเข้าใช้บัญชีของคุณโดยป้อนรหัสสำรองใดรหัสหนึ่งที่คุณดาวน์โหลดจากบัญชีของคุณ

แอปรับรองความถูกต้อง

ในวิธีนี้ คุณต้องเชื่อมต่อบัญชีของคุณกับแอปรับรองความถูกต้อง เมื่อใดก็ตามที่คุณต้องการลงชื่อเข้าใช้บัญชีของคุณ คุณต้องป้อนรหัสที่แสดงบนแอปตรวจสอบความถูกต้องที่ติดตั้งในสมาร์ทโฟนของคุณ

มีหลายวิธีในการยืนยันที่เว็บไซต์สามารถใช้ได้

อ่าน^(Read) : วิธีเพิ่มการยืนยันสองขั้นตอนในบัญชี Google ของ^{(How To Add Two-step Verification To Your Google Account)}คุณ

วิธีที่แฮกเกอร์สามารถหลีกเลี่ยงการตรวจสอบสิทธิ์แบบสองปัจจัย^{(Two-factor Authentication)}

ไม่ต้องสงสัย 2FA ทำให้บัญชีของคุณปลอดภัยยิ่งขึ้น แต่ยังมีหลายวิธีที่แฮ็กเกอร์สามารถเลี่ยงผ่านชั้นความปลอดภัยนี้ได้

1] การ ขโมยคุกกี้^{(Cookie Stealing)}หรือการจี้เซสชัน^{(Session Hijacking)}

การ ขโมยคุกกี้หรือการจี้เซสชัน^{(Cookie stealing or session hijacking)}เป็นวิธีการขโมยคุกกี้เซสชันของผู้ใช้ เมื่อแฮ็กเกอร์ขโมยเซสชันคุกกี้ได้สำเร็จ เขาสามารถเลี่ยงการตรวจสอบสิทธิ์แบบสองปัจจัยได้อย่างง่ายดาย ผู้โจมตีรู้วิธีการจี้แจ็กหลายวิธี เช่น การตรึงเซสชัน การดมกลิ่นเซสชัน การเขียนสคริปต์ข้ามไซต์ การโจมตีของมัลแวร์ ฯลฯEvilginxเป็นหนึ่งในเฟรมเวิร์กยอดนิยมที่แฮ็กเกอร์ใช้ในการโจมตีแบบคนกลาง ในวิธีนี้ แฮ็กเกอร์จะส่งลิงก์ฟิชชิ่งไปยังผู้ใช้ที่นำเขาไปยังหน้าเข้าสู่ระบบพร็อกซี เมื่อผู้ใช้ลงชื่อเข้าใช้บัญชีของเขาโดยใช้ 2FA Evilginx จะเก็บ ข้อมูลรับรองการเข้าสู่ระบบพร้อมกับรหัสการตรวจสอบสิทธิ์ ตั้งแต่OTPหมดอายุหลังจากใช้งานและยังใช้ได้ในกรอบเวลาที่กำหนด จึงไม่มีประโยชน์อะไรในการบันทึกรหัสยืนยันตัวตน แต่แฮ็กเกอร์มีคุกกี้เซสชันของผู้ใช้ ซึ่งเขาสามารถใช้ลงชื่อเข้าใช้บัญชีของตนและข้ามการตรวจสอบสิทธิ์แบบสองปัจจัยได้

2] การสร้างโค้ดซ้ำ

หากคุณเคยใช้ แอป Google Authenticatorคุณจะรู้ว่าแอปสร้างรหัสใหม่หลังจากช่วงเวลาหนึ่ง Google Authenticatorและแอปตรวจสอบความถูกต้องอื่นๆ ทำงานบนอัลกอริทึมเฉพาะ ตัวสร้างโค้ด แบบสุ่ม^(Random)มักจะเริ่มต้นด้วยค่าเมล็ดเพื่อสร้างตัวเลขแรก อัลกอริทึมจะใช้ค่าแรกนี้เพื่อสร้างค่ารหัสที่เหลือ หากแฮ็กเกอร์สามารถเข้าใจอัลกอริธึมนี้ เขาสามารถสร้างรหัสที่ซ้ำกันและลงชื่อเข้าใช้บัญชีของผู้ใช้ได้อย่างง่ายดาย

3] พลังเดรัจฉาน

Brute Forceเป็นเทคนิคในการสร้างรหัสผ่านที่เป็นไปได้ทั้งหมด เวลาในการถอดรหัสรหัสผ่านโดยใช้กำลังเดรัจฉานขึ้นอยู่กับความยาวของรหัสผ่าน ยิ่งรหัสผ่านยาวเท่าไหร่ก็ยิ่งใช้เวลาในการถอดรหัสมากขึ้นเท่านั้น โดยทั่วไป รหัสตรวจสอบสิทธิ์จะมีความยาวตั้งแต่ 4 ถึง 6 หลัก แฮกเกอร์สามารถลองใช้กำลังดุร้ายเพื่อเลี่ยง 2FA ได้ แต่วันนี้ อัตราความสำเร็จของการโจมตีด้วยกำลังเดรัจฉานมีน้อยลง เนื่องจากรหัสการตรวจสอบความถูกต้องยังคงใช้ได้ในช่วงเวลาสั้นๆ เท่านั้น

4] วิศวกรรมสังคม

วิศวกรรมสังคมเป็นเทคนิคที่ผู้โจมตีพยายามหลอกล่อจิตใจของผู้ใช้และบังคับให้เขาป้อนข้อมูลรับรองการเข้าสู่ระบบในหน้าเข้าสู่ระบบปลอม ไม่ว่าผู้โจมตีจะทราบชื่อผู้ใช้และรหัสผ่านของคุณหรือไม่ก็ตาม เขาสามารถเลี่ยงการตรวจสอบสิทธิ์แบบสองปัจจัยได้ ยังไง? มาดูกัน:

ลองพิจารณากรณีแรกที่ผู้โจมตีทราบชื่อผู้ใช้และรหัสผ่านของคุณ เขาไม่สามารถลงชื่อเข้าใช้บัญชีของคุณได้เนื่องจากคุณเปิดใช้งาน 2FA ในการรับรหัส เขาสามารถส่งอีเมลพร้อมลิงก์ที่เป็นอันตรายถึงคุณ ทำให้คุณกลัวว่าบัญชีของคุณจะถูกแฮ็กถ้าคุณไม่ดำเนินการในทันที เมื่อคุณคลิกลิงก์นั้น คุณจะถูกเปลี่ยนเส้นทางไปยังหน้าของแฮ็กเกอร์ที่เลียนแบบความถูกต้องของหน้าเว็บต้นฉบับ เมื่อคุณป้อนรหัสผ่าน บัญชีของคุณจะถูกแฮ็ก

ทีนี้ ลองมาอีกกรณีที่แฮ็กเกอร์ไม่ทราบชื่อผู้ใช้และรหัสผ่านของคุณ อีกครั้ง^(Again)ในกรณีนี้ เขาส่งลิงก์ฟิชชิ่งและขโมยชื่อผู้ใช้และรหัสผ่านของคุณพร้อมกับรหัส 2FA

5] OAuth

การรวม OAuth^(OAuth)ช่วยให้ผู้ใช้เข้าสู่ระบบบัญชีโดยใช้บัญชีบุคคลที่สามได้ เป็นเว็บแอปพลิเคชันที่มีชื่อเสียงที่ใช้โทเค็นการอนุญาตเพื่อพิสูจน์ตัวตนระหว่างผู้ใช้และผู้ให้บริการ คุณสามารถพิจารณาOAuthเป็นวิธีอื่นในการลงชื่อเข้าใช้บัญชีของคุณ

กลไกOAuthทำงานในลักษณะต่อไปนี้:

1. ไซต์ A ร้องขอไซต์ B^{(Site B)} (เช่นFacebook ) สำหรับโทเค็นการพิสูจน์ตัวตน
2. ไซต์ B^{(Site B)}พิจารณาว่าคำขอนั้นถูกสร้างขึ้นโดยผู้ใช้และยืนยันบัญชีของผู้ใช้
3. จากนั้น ไซต์ B^{(Site B)}จะส่งรหัสโทรกลับและอนุญาตให้ผู้โจมตีลงชื่อเข้าใช้

ในกระบวนการข้างต้น เราพบว่าผู้โจมตีไม่จำเป็นต้องยืนยันตัวเองผ่าน 2FA แต่เพื่อให้กลไกบายพาสนี้ทำงานได้ แฮ็กเกอร์ควรมีชื่อผู้ใช้และรหัสผ่านของบัญชีผู้ใช้

นี่คือวิธีที่แฮกเกอร์สามารถเลี่ยงการตรวจสอบสิทธิ์แบบสองปัจจัยของบัญชีผู้ใช้ได้

จะป้องกันการเลี่ยงผ่าน 2FA ได้อย่างไร?

แฮกเกอร์สามารถเลี่ยงการตรวจสอบสิทธิ์แบบสองปัจจัยได้ แต่ในแต่ละวิธี พวกเขาต้องการความยินยอมจากผู้ใช้ที่ได้รับจากการหลอกลวง หากไม่หลอกลวงผู้ใช้ จะไม่สามารถเลี่ยง 2FA ได้ ดังนั้น^(Hence)คุณควรดูแลประเด็นต่อไปนี้:

• ก่อนคลิกลิงก์ใด ๆ โปรดตรวจสอบความถูกต้อง คุณสามารถทำได้โดยตรวจสอบที่อยู่อีเมลของผู้ส่ง
• สร้างรหัสผ่านที่คาดเดา^{(Create a strong password)}ยากที่ประกอบด้วยตัวอักษร ตัวเลข และอักขระพิเศษผสมกัน
• ใช้^(Use)เฉพาะแอปตรวจสอบของแท้เท่านั้น เช่นGoogle Authenticator, Microsoft Authenticator เป็นต้น
• ดาวน์โหลด^(Download)และบันทึกรหัสสำรองไว้ในที่ปลอดภัย
• อย่าวางใจอีเมลฟิชชิ่งที่แฮ็กเกอร์ใช้เพื่อหลอกล่อจิตใจของผู้ใช้
• อย่าเปิดเผยรหัสความปลอดภัยกับใคร
• ตั้งค่า^(Setup)คีย์ความปลอดภัยในบัญชีของคุณ แทน 2FA
• เปลี่ยนรหัสผ่านของคุณอย่างสม่ำเสมอ

อ่าน^(Read) : เคล็ดลับในการป้องกันไม่ให้แฮกเกอร์ใช้คอมพิวเตอร์ Windows ของ^{(Tips to Keep Hackers out of your Windows computer)}คุณ

บทสรุป

การรับรองความถูกต้องด้วยสองปัจจัยเป็นชั้นความปลอดภัยที่มีประสิทธิภาพซึ่งปกป้องบัญชีของคุณจากการไฮแจ็ก แฮกเกอร์มักต้องการมีโอกาสเลี่ยง 2FA หากคุณทราบกลไกการแฮ็กต่างๆ และเปลี่ยนรหัสผ่านเป็นประจำ คุณจะปกป้องบัญชีของคุณได้ดียิ่งขึ้น

How Hackers can get around Two-factor Authentication

You may thіnk that enabling two-factor аuthentication on your account makes it 100% secure. Two-factor authentication is among the best methods to protect your account. But you may be surprised to hear that your account can be hijacked despite enabling two-factor authentication. In this article, we will tell you the different ways by which attackers can bypass two-factor authentication.

What is Two-factor Authentication (2FA)?

Before we begin, let’s see what 2FA is. You know that you have to enter a password to log into your account. Without the correct password, you cannot log in. 2FA is the process of adding an extra security layer to your account. After enabling it, you cannot log into your account by entering the password only. You have to complete one more security step. This means in 2FA, the website verifies the user in two steps.

Read: How to Enable 2-step Verification in Microsoft Account.

How Does 2FA Work?

Let’s understand the working principle of two-factor authentication. The 2FA requires you to verify yourself two times. When you enter your username and password, you will be redirected to another page, where you have to provide a second proof that you are the real person trying to log in. A website can use any of the following verification methods:

OTP (One Time Password)

After entering the password, the website tells you to verify yourself by entering the OTP sent on your registered mobile number. After entering the correct OTP, you can log into your account.

Prompt Notification

Prompt notification is displayed on your smartphone if it is connected to the internet. You have to verify yourself by tapping on the “Yes” button. After that, you will be logged into your account on your PC.

Backup Codes

Backup codes are useful when the above two methods of verification won’t work. You can log into your account by entering any one of the backup codes you have downloaded from your account.

Authenticator App

In this method, you have to connect your account with an authenticator app. Whenever you want to log into your account, you have to enter the code displayed on the authenticator app installed on your smartphone.

There are several more methods of verification that a website can use.

Read: How To Add Two-step Verification To Your Google Account.

How Hackers can get around Two-factor Authentication

Undoubtedly, 2FA makes your account more secure. But there are still many ways by which hackers can bypass this security layer.

1] Cookie Stealing or Session Hijacking

Cookie stealing or session hijacking is the method of stealing the session cookie of the user. Once the hacker gets success in stealing the session cookie, he can easily bypass the two-factor authentication. Attackers know many methods of hijacking, like session fixation, session sniffing, cross-site scripting, malware attack, etc. Evilginx is among the popular frameworks that hackers use to perform a man-in-the-middle attack. In this method, the hacker sends a phishing link to the user that takes him to a proxy login page. When the user logs into his account using 2FA, Evilginx captures his login credentials along with the authentication code. Since the OTP expires after using it and also valid for a particular time frame, there is no use in capturing the authentication code. But the hacker has the user’s session cookies, which he can use to log into his account and bypass the two-factor authentication.

2] Duplicate Code Generation

If you have used the Google Authenticator app, you know that it generates new codes after a particular time. Google Authenticator and other authenticator apps work on a particular algorithm. Random code generators generally start with a seed value to generate the first number. The algorithm then uses this first value to generate the remaining code values. If the hacker is able to understand this algorithm, he can easily create a duplicate code and log into the user’s account.

3] Brute Force

Brute Force is a technique to generate all the possible password combinations. The time for cracking a password using brute force depends on its length. The longer the password is, the more time it takes to crack it. Generally, the authentication codes are from 4 to 6 digits long, hackers can try a brute force attempt to bypass the 2FA. But today, the success rate of brute force attacks is less. This is because the authentication code remains valid only for a short period.

4] Social Engineering

Social Engineering is the technique in which an attacker tries to trick the user’s mind and forces him to enter his login credentials on a fake login page. No matter whether the attacker knows your username and password or not, he can bypass the two-factor authentication. How? Let’s see:

Let’s consider the first case in which the attacker knows your username and password. He cannot log into your account because you have enabled 2FA. To get the code, he can send you an email with a malicious link, creating a fear in you that your account can be hacked if you do not take immediate action. When you click on that link, you will be redirected to the hacker’s page that mimics the authenticity of the original webpage. Once you enter the passcode, your account will be hacked.

Now, let’s take another case in which the hacker does not know your username and password. Again, in this case, he sends you a phishing link and steals your username and password along with the 2FA code.

5] OAuth

OAuth integration provides users with a facility to log into their account using a third-party account. It is a reputed web application that uses authorization tokens to prove identity between the users and service providers. You can consider OAuth an alternate way to log into your accounts.

An OAuth mechanism works in the following way:

1. Site A requests Site B (e.g. Facebook) for an authentication token.
2. Site B considers that the request is generated by the user and verifies the user’s account.
3. Site B then sends a callback code and lets the attacker sign in.

In the above processes, we have seen that the attacker does not require to verify himself via 2FA. But for this bypass mechanism to work, the hacker should have the user’s account username and password.

This is how hackers can bypass the two-factor authentication of a user’s account.

How to prevent 2FA bypassing?

Hackers can indeed bypass the two-factor authentication, but in each method, they need the users’ consent which they get by tricking them. Without tricking the users, bypassing 2FA is not possible. Hence, you should take care of the following points:

• Before clicking on any link, please check its authenticity. You can do this by checking the sender’s email address.
• Create a strong password that contains a combination of alphabets, numbers, and special characters.
• Use only genuine authenticator apps, like Google authenticator, Microsoft authenticator, etc.
• Download and save the backup codes at a safe place.
• Never trust phishing emails that hackers use to trick the users’ minds.
• Do not share security codes with anyone.
• Setup security key on your account, an alternative to 2FA.
• Keep changing your password regularly.

Read: Tips to Keep Hackers out of your Windows computer.

Conclusion

Two-factor authentication is an effective security layer that protects your account from hijacking. Hackers always want to get a chance to bypass 2FA. If you are aware of different hacking mechanisms and change your password regularly, you can protect your account better.

Related posts

• วิธีเปิดใช้งาน Two-Factor Authentication ใน Discord

• วิธีการตั้งค่าตัวเลือกการกู้คืนและการสำรองข้อมูลอย่างเหมาะสมสำหรับการตรวจสอบสิทธิ์แบบสองปัจจัย

• วิธีการติดตั้ง Drupal โดยใช้ WAMP บน Windows

• Best Software & Hardware Bitcoin Wallets สำหรับ Windows, IOS, Android

• Setup Internet Radio Station ฟรีบน Windows PC

• Disqus comment กล่องไม่โหลดหรือแสดงสำหรับเว็บไซต์

• Blue Whale Challenge Dare Game คืออะไร

• อะไรคือ 'ชิปและ PIN' หรือ EMV Credit การ์ด

• วิธีการป้องกันด้วยรหัสผ่านและปลอดภัยเอกสาร PDf ด้วย LibreOffice

• SMS Organizer: SMS Application ขับเคลื่อนโดย Machine Learning

• เครื่องมือที่ดีที่สุดในการส่ง SMS ฟรีจากคอมพิวเตอร์ของคุณ

• ความแตกต่างระหว่าง Analog, Digital and Hybrid computers

• ล็อคออกจาก Plex Server and Server Settings? นี่คือการแก้ไข!

• วิธีการแปลง Binary เป็นข้อความโดยใช้ข้อความนี้เป็น Binary Converter

• แอพ OpenGL ไม่ทำงานบนหน้าจอ Miracast wireless ใน Windows 10

• วิธีการ Encrypt และเพิ่มรหัสผ่านไปยังเอกสาร LibreOffice

• Video มารยาทการประชุม, เคล็ดลับและกฎที่คุณต้องปฏิบัติตาม

• Magnet link คืออะไรและวิธีการเปิด Magnet link ในเบราว์เซอร์คืออะไร

• แอปส่งข้อความเซสชันให้ความปลอดภัยที่แข็งแกร่ง ต้องใช้หมายเลข No phone!

• Best ฟรี Secure Digital Notebook Software & Online Services