Farewell.Mix
Опытный user
- Регистрация
- 22 Июн 2022
- Сообщения
- 147
- Реакции
- 5
1. Скачать инструмент
$ go get -u github.com/drk1wi/Modlishka
$ cd $GOPATH/src/github.com/drk1wi/Modlishka/
2. Настройте плагин 'autocert'
Этот шаг необходим, если вы хотите запустить кампанию по доверенному каналу TLS браузера:
$ openssl genrsa -out MyRootCA.key 2048`
$ openssl req -x509 -new -nodes -key MyRootCA.key -sha256 -days 1024 -out MyRootCA.pem
Замените переменную const CA_CERT содержимым файла MyRootCA.pem, а const CA_CERT_KEY содержимым MyRootCA.key в файле plugin/autocert.go.
Установите и настройте правильный уровень доверия CA «MyRootCA» в хранилище сертификатов вашего браузера, и все готово.
3. Скомпилируйте и запустите тестовую конфигурацию «Modlishka»
$ make
$ sudo ./dist/proxy -config templates/google.com_gsuite.json
Небольшой отказ от ответственности: я не поощряю проводить кампании против какой-либо конкретной компании. Но для повышения осведомленности о риске, я использую один из самых популярных сервисов в качестве доказательства концепции.
4. Просмотр веб-страницы в вашем браузере
Следующая ссылка может быть использована для просмотра запущенной тестовой страницы. Вы можете заметить, как параметр « ident » скрыт от пользователя при первом запросе: https://loopback.modlishka.io?ident=user_tracking_param .
Собранные учетные данные можно найти в файле 'log' или с помощью одного из включенных плагинов:
5. Настройте свои параметры
Если вам нравится инструмент. Вы можете начать настройку конфигурации для выбранного вами домена. Модлишка может быть легко настроена с помощью набора доступных параметров командной строки или файлов конфигурации JSON.
Пожалуйста, обратитесь к страницам вики для дальнейшего описания функций.
Заключение
Таким образом, возникает вопрос ... 2FA сломан?
Вовсе нет, но с правильным обратным прокси-сервером, нацеленным на ваш домен по зашифрованному каналу связи, которому доверяет браузер, можно действительно не заметить, что что-то не так.
Если учесть отсутствие осведомленности пользователей, это буквально означает, что вы отдаете свои наиболее ценные активы своим противникам на серебряной тарелке.
В конце концов, даже самые сложные системы защиты безопасности могут выйти из строя, если не будет достаточной осведомленности пользователей и наоборот.
В настоящее время единственный способ решения этой проблемы с технической точки зрения - полностью полагаться на аппаратные токены 2FA, основанные на протоколе U2F . Вы можете легко купить их онлайн. Однако помните, что правильная осведомленность пользователей так же важна.
Подводя итог:
используйте аппаратные токены U2F в качестве второго фактора аутентификации.
используйте менеджеры паролей, которые будут проверять правильность имени домена в вашем браузере, прежде чем вставлять пароль.
постоянно повышать осведомленность пользователей о современных методах социальной инженерии.
Я считаю, что без рабочего доказательства концепции, которая действительно доказывает эту точку зрения, риск рассматривается как теоретический, и никаких реальных мер для его надлежащего решения не предпринимается. Этот статус-кво и отсутствие правильной осведомленности о риске является идеальной ситуацией для злоумышленников, которые с радостью воспользуются им.
$ go get -u github.com/drk1wi/Modlishka
$ cd $GOPATH/src/github.com/drk1wi/Modlishka/
2. Настройте плагин 'autocert'
Этот шаг необходим, если вы хотите запустить кампанию по доверенному каналу TLS браузера:
$ openssl genrsa -out MyRootCA.key 2048`
$ openssl req -x509 -new -nodes -key MyRootCA.key -sha256 -days 1024 -out MyRootCA.pem
Замените переменную const CA_CERT содержимым файла MyRootCA.pem, а const CA_CERT_KEY содержимым MyRootCA.key в файле plugin/autocert.go.
Установите и настройте правильный уровень доверия CA «MyRootCA» в хранилище сертификатов вашего браузера, и все готово.
3. Скомпилируйте и запустите тестовую конфигурацию «Modlishka»
$ make
$ sudo ./dist/proxy -config templates/google.com_gsuite.json
Небольшой отказ от ответственности: я не поощряю проводить кампании против какой-либо конкретной компании. Но для повышения осведомленности о риске, я использую один из самых популярных сервисов в качестве доказательства концепции.
4. Просмотр веб-страницы в вашем браузере
Следующая ссылка может быть использована для просмотра запущенной тестовой страницы. Вы можете заметить, как параметр « ident » скрыт от пользователя при первом запросе: https://loopback.modlishka.io?ident=user_tracking_param .
Собранные учетные данные можно найти в файле 'log' или с помощью одного из включенных плагинов:
5. Настройте свои параметры
Если вам нравится инструмент. Вы можете начать настройку конфигурации для выбранного вами домена. Модлишка может быть легко настроена с помощью набора доступных параметров командной строки или файлов конфигурации JSON.
Пожалуйста, обратитесь к страницам вики для дальнейшего описания функций.
Заключение
Таким образом, возникает вопрос ... 2FA сломан?
Вовсе нет, но с правильным обратным прокси-сервером, нацеленным на ваш домен по зашифрованному каналу связи, которому доверяет браузер, можно действительно не заметить, что что-то не так.
Если учесть отсутствие осведомленности пользователей, это буквально означает, что вы отдаете свои наиболее ценные активы своим противникам на серебряной тарелке.
В конце концов, даже самые сложные системы защиты безопасности могут выйти из строя, если не будет достаточной осведомленности пользователей и наоборот.
В настоящее время единственный способ решения этой проблемы с технической точки зрения - полностью полагаться на аппаратные токены 2FA, основанные на протоколе U2F . Вы можете легко купить их онлайн. Однако помните, что правильная осведомленность пользователей так же важна.
Подводя итог:
используйте аппаратные токены U2F в качестве второго фактора аутентификации.
используйте менеджеры паролей, которые будут проверять правильность имени домена в вашем браузере, прежде чем вставлять пароль.
постоянно повышать осведомленность пользователей о современных методах социальной инженерии.
Я считаю, что без рабочего доказательства концепции, которая действительно доказывает эту точку зрения, риск рассматривается как теоретический, и никаких реальных мер для его надлежащего решения не предпринимается. Этот статус-кво и отсутствие правильной осведомленности о риске является идеальной ситуацией для злоумышленников, которые с радостью воспользуются им.
