Evilginx2 Fortsetzung

[sempervideo]

Comments

[niduroki]

Die Lösung "Nicht auf 'Angemeldet bleiben' klicken" ist auch nur mittelmäßig – die Phishing-Seite die evilginx präsentiert das Häkchen für dich ja trotzdem setzen – als Mittelmann hat man da ziemlich viel Macht.
Nur wenn man auf Abmelden klickt wird der Cookie echt entwertet.

Session Hijacking ist so ein Problem das HTTP als Stateless-Protokoll schon immer hatte, und auch immer haben wird.
Mit Verschlüsselung kann man dagegen arbeiten, was den Mensch aber mehr zum Fehlerfaktor macht – Phishing, andere Sicherheitslücken, Unachtsamkeit, etc.

Wäre der Ablauf:
Opfer klickt auf Phishing-Seite, gibt Login, PW, 2FA-Code ein, liest 5 Minuten auf Twitter, und meldet sich ab.
Dann wäre es bei gezielten Angriffen, wenn der Angreifer bereit steht sowieso schon zu spät. 5 Minuten aktive Session reicht sich anzumelden, 2FA zu deaktivieren, PW zu ändern, etc.

---

Aber wie wir aus dem 0rbit-Fall mit Twitter mal wieder gesehen haben: Social Engineering bringt immer noch am weitesten:
"Ja ich bin [berühmte Person] – Mein Handy ist kaputt, können Sie die 2FA deaktivieren?"
"Okay, einmal ihr Geburtsdatum?"
Google: Geburtstag von [berühmte Person]
"Alles klar, ist deaktiviert."

[eitja]

Ich weis nicht ob das gut oder unheimlich finden soll... erst mal überall "angemeldet bleiben" abgeschaltet xD

[celmor]

Cookie geht doch nur wenn User-Agent und IP noch gleich ist, als wenn Cookie/token generiert wurde dachte ich, sonst sollte es login/2FA verlangen. Der Attacker ist normallerweise nicht auf der gleichen Kiste.

[niduroki]

Konzeptuell ist es den Cookies egal, von welchem User-Agent, und welcher IP-Adresse sie gesendet werden. Da muss schon in der Logik der Webseite gespeichert, und danach überprüft werden: Ist die IP noch die gleiche.

---

Einen neuen Login zu fordern wenn Cookie und das IP/User-Agent-Tupel nicht mehr zusammen passen wäre sowieso blöd. Jedes mal, wenn man den Browser aktualisiert muss man sich neu anmelden, also so ein mal im Monat, und die IP ändert sich bei Heim-Anschlüssen auch etwa täglich, also täglich neuer Login.

---

Edit: User-Agent kann man davon abgesehen natürlich abgreifen, und senden was man lustig findet, das ist nur ein HTTP-Header, also sind auch Logiken wie:
Wenn sowohl User-Agent als auch IP nicht zum Cookie-Tupel passen: Neuer Login
Unnütz, den nur die IP lässt sich über TCP nicht fälschen. Cookies nur von der IP abhängig machen heißt aber etwa täglich neue Logins, und das ist nicht praktisch genug, also lieber weniger sicher.