研究人员设计的一种交互方式要求用户按下正确的彩色按钮来批准登录尝试。信贷:Nitesh Saxena，得克萨斯州A & amp作为额外的安全层，一些在线服务已经采用了基于推送通知的双因素认证系统，用户必须通过移动设备批准登录尝试。在当前的认证系统中，尤其是“点击批准”方法，没有明确的链接来指示用户的浏览器会话和他们在他们的设备上接收的通知之间的对应关系。攻击者可以利用此漏洞。为了解决这个问题，包括德克萨斯A&M大学计算机科学与工程系教授Nitesh Saxena博士在内的一个研究小组设计了一种新的易于使用的方法来应对基于推送通知的双因素身份认证系统中的漏洞。
“我们设计的机制与最初基于推送通知的认证方法具有相似的可用性，但它们提高了对并发登录攻击的安全性，”Saxena说。“如果用户收到两个通知，对应于攻击者的浏览器会话的通知将会不同。因此，用户应该能够察觉出有问题，并且不会接受错误的通知。”
该团队描述这项研究的论文发表在2021年电气和电子工程师协会欧洲安全和隐私研讨会(EuroS&P)的会议录上。
推送通知是可点击的弹出消息，通过安装的应用程序直接发送到用户的移动或桌面设备。它们可以随时出现，显示各种信息，如天气、突发新闻、未接电话或短信、提醒等。
它们还可以用作第二因素身份验证(或无密码身份验证)，作为额外的安全层来保护用户的在线帐户免受攻击者的攻击。使用推送通知身份验证，推送通知会直接发送到注册了在线帐户的移动设备(通常是智能手机),提醒用户正在进行登录尝试。然后，用户可以查看通知细节，并通过点击按钮来批准或拒绝请求。
这种方法的主要优点之一是，这是一种验证登录尝试的简单方法，不需要用户记住和管理复杂的帐户密码。在过去的几年里，像Duo-Push和Authy这样的基于推送通知的身份验证系统的采用急剧增加。它们也被主要的软件和服务公司，如Google、Twitter和一些学术机构所采用。
虽然这种方法从根本上来说比一次性密码方法更加用户友好，但它包含几个安全风险，其中之一是Saxena的研究中介绍的并发攻击。
在这种类型的攻击中，恶意行为者将获取用户的密码，同时作为主用户启动登录会话，从而获得用户登录凭据的访问权限。如果攻击者和用户同时登录，用户的设备将收到两个“一键批准”通知。因为这两种通知没有根本的区别，他们可能会不知不觉地接受攻击者的通知，从而获得敏感信息(银行、学校等)。).
研究人员开发的一个早期解决方案，在他们的欧洲安全和隐私研讨会论文中提到，包括使用一个随机的四位数，用户必须比较和匹配才能接受通知。然而，使用这种类型的方法，他们很有可能不会仔细查看并接受攻击者的通知。
Saxena说:“可用性安全社区中有大量的文献表明，人们并不关注这些安全通知、警告和类似的事情。“他们通过按下OK按钮来绕过它们，这样他们就可以连接并继续他们的主要任务。他们没有预料到攻击，所以我们不想使用这种方法。”
为了解决这个设计缺陷，研究人员设计了一种叫做复制的新方法。使用REPLICATE，用户需要通过在登录通知上复制浏览器会话上呈现的随机交互来批准登录尝试，将通知显式绑定到用户的浏览器会话。例如，在一次交互中，用户将被指示在特定方向上拖动按键图标。在另一次互动中，用户会看到彩色按钮，并按下正确的按钮。
虽然执行交互很简单，但它们可以防止并发攻击的发生，因为验证用户会话所需的交互不同于攻击者批准会话所需的交互。
为了测试界面的有效性，该团队进行了一项有40-50名参与者的可用性研究，他们评估并比较了其与“只需点击”方法的有效性。他们发现，研究参与者可以有效地成功完成简单的任务，几乎没有错误。
Saxena说:“如果攻击者在同一时间登录，对这种方法进行攻击，他们不会成功，因为用户将他们的浏览器会话与通知相匹配，无法接受攻击者的通知。”
除了通过更大的研究小组来研究REPLICATE的有效性，以更好地衡量其在实践中的可用性和适应性，研究人员还希望增加浏览器会话与通知匹配过程的随机性。
“例如，当你查看键拖动交互的选项数量时，这个过程中涉及的随机性非常低。如果用户收到两个通知，一个说“向上拖动”，另一个说“向下拖动”，用户可以选择攻击者的通知，执行该操作，并接受它。虽然我们在研究中没有看到，但这种情况仍有可能发生，所以这是我们需要解决的一个问题。”
来源：由phyica.com整理转载自PH，转载请保留出处和链接！
