双因子身份认证机制的安全分析

双因子认证（2FA）是指结合密码以及实物（信用卡、SMS手机、令牌或指纹等生物标志）两种条件对用户的身份进行认证的方法。这种方法已经得到了企业的广泛采用，特别是在对数据进行远程访问时，但在其它领域应用还十分有限。双因子身份认证的推广之所以受阻，主要是由于其需要使用额外的工具，而这一条件为IT和技术支持人员带来了不小的负担。其批评者还指出，这种安全保障措施仍然很容易遭受攻击，即在非常小的时间周期内，这种技术很容易受到中间人（man-in-the-middle）攻击（这也是采用严格SSL处理的主要原因）。实际上，除了这些障碍以外，现在我们已经开始认识到，不采用双因子认证所带来的隐含成本远远比采用双因子认证所需要的成本高得多。

双因子身份认证是确保远程访问安全性的最佳实践方式，但是这种技术也给了一些网络犯罪分子可乘之机。如果攻击者在获取到了大量身份凭证的情况下，他们就可以伪装成合法用户，而且还可以躲避安全防护软件的检测。很多公司都认为双因子认证机制是绝对可靠的，而且也没有采取一定的安全预防措施来防御攻击者的攻击以及系统后门。

在这篇文章中，我们将会站在攻击者的角度来对双因子身份验证机制进行从浅至深的分析，我们希望这篇文章能够帮助安全研究人员解决这项技术中目前所存在的一些问题。我将会对远程绕过双因子身份验证技术进行讨论，并且向大家描述如何绕过远程访问设备的双因子身份验证机制，并从内部网络环境的设备中窃取数据。

1）K.I.S.S-简单，有效

入侵设备的远程访问控制是攻击者首要解决的问题，因为它可以给攻击者提供设备的访问权限，并且降低被监测到的可能性。在合法远程访问工具的帮助下，攻击者不仅可以在目标主机中执行控制命令，而且还可以在身份验证机制的掩护下进行其他的一些攻击活动。

在某些较为困难的情况下，我们可以使用一些比较直接的方法来获取到我们所需的凭证：让目标用户代替我们来进行操作。我们只需进行一些简单的设置就可以制作一个完美的陷阱。

在下图中，我们可以看到两个不同的VPN登录页面。其中一个是公司的合法登录网站，另一个是由攻击者伪造的虚假登录页面。你能发现这两者之间的区别吗？

分辨不出吗？没错，你的客户也一样分辨不出。在社会工程学工具（SET）的帮助下，任何人都可以快速地复制出一个外部页面来欺骗用户（攻击者只需要将HTML页面中的本地资源地址（“/home/image/logo.png”）修改成外部引用地址(“mycompany.com/home/image/logo.png”)就可以了）。在一次完美的网络钓鱼攻击中，你可以引诱目标用户访问你所克隆出的虚假VPN身份验证页面，并且得到所有你需要的信息：用户名，密码，甚至是令牌码！

如果攻击者的操作速度足够快，那么他们还可以将凭证提交至虚假的VPN页面，然后利用这些信息来登录真实的VPN。如下图所示，攻击者可以将登录提交请求重定向至一个PHP脚本，然后这个脚本就会将提交过来的用户名，密码，以及其他的一些元数据写入服务器的日志文件中，这样攻击者就可以检测并获取到用户所提交的双因子身份验证信息了。

当攻击者通过了VPN的身份验证之后，他们就可以在安全检测软件检测到钓鱼攻击并进行安全响应之前，在目标主机中实现提权并获取到敏感数据。

2）电子邮件就是我们的敌人

数字令牌通常会需要一个同步代码，而为了保证其有效性，每一名用户的令牌都只会有一个唯一的同步码与之对应。同步码和算法是保证令牌安全性的因素，而且这两个因素也可以确保用户令牌能够与身份验证服务器的要求所匹配。当用户的VPN访问请求通过批准之后，很多公司会选择使用一种简单和友好的方式来向用户发送通知类的电子邮件。这些电子邮件中通常会包含有“seed“密钥和安装说明。但对于安全团队来说不幸的是，用户通常在阅读完这类电子邮件之后，却忘记将其删除了，这些电子邮件就这样躺在了用户的收件箱之中，等待着攻击者前来窃取。

攻击者可以在用户的电子邮箱中搜索敏感文件和有价值的信息（包括硬盘中的.PST和.OST文件）。在大多数情况下，攻击者只需要使用一个简单的PowerShell脚本就可以搜索用户邮箱中的敏感文件以及与RSA软令牌相关的.sdtid文件了。

3）双因子身份验证机制中的紧急模式

在很多的双因子身份验证产品中，都提供有一个名为“紧急访问”的代码，这种运行模式实际上是一种身份验证机制，如果用户丢失了令牌，但是又急需对数据进行远程访问，那么这种机制也可以允许用户进行临时性的VPN访问。下图显示的就是紧急访问模式的操作界面截图：

如上图所示，系统提供了一个身份验证的修复机制。对于攻击者而言，攻击者可以利用这种机制来远程访问目标系统。这些紧急访问码是非常不安全的，因为他们的有效日期可以被修改，这样一来，攻击者就可以利用这些紧急访问码来获取到目标系统的永久访问权限了。

总结

对于一名经验丰富的攻击者来说，他们有很多种方法可以对目标进行攻击，并绕过那些所谓的“安全防护措施“。

不幸的是，很多公司太过于相信那些所谓的安全解决方案了，例如双因子身份验证。如果安全技术人员没有采取一些必要的安全保障措施，那么这种安全技术也不能保证公司的安全。如果安全技术人员忽略了这一点，那么攻击者就可以利用如上文所述的一些攻击方法破坏双因子身份验证技术本该带来的安全性。

在此，我还需要感谢Andrew Burkhardt, Evan Peña, 以及Justin Prosco为这篇文章所做出的贡献。