Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Technology

Technology

Begini cara peretas menembus keamanan otentikasi dua faktor

by

Sekarang kita tahu bahwa nama pengguna dan kata sandi tidak cukup untuk mengakses layanan online dengan aman. Sebuah studi baru-baru ini menyoroti lebih dari 80% dari semua pelanggaran terkait peretasan terjadi karena kredensial yang dikompromikan dan lemah, dengan tiga miliar kombinasi nama pengguna/kata sandi dicuri pada tahun 2016 saja.

Dengan demikian, penerapan otentikasi dua faktor (2FA) telah menjadi suatu keharusan. Secara umum, 2FA bertujuan untuk memberikan lapisan keamanan tambahan ke sistem nama pengguna/kata sandi yang relatif rentan.

Tetapi seperti halnya solusi keamanan siber yang baik, penyerang dapat dengan cepat menemukan cara untuk menghindarinya. Mereka dapat melewati 2FA melalui one time code (kode satu kali) yang dikirim melalui SMS ke ponsel cerdas pengguna.

Vendor besar seperti Microsoft telah mendesak pengguna untuk meninggalkan solusi 2FA yang memanfaatkan SMS dan panggilan suara. Ini karena SMS terkenal memiliki keamanan yang sangat buruk, membiarkannya terbuka untuk sejumlah serangan yang berbeda.

Kode satu kali berbasis SMS juga terbukti dikompromikan melalui alat yang tersedia seperti Modlishka dengan memanfaatkan teknik yang disebut reverse proxy. Ini memfasilitasi komunikasi antara korban dan layanan yang dipalsukan.

Selain kerentanan yang ada ini, tim The Next Web telah menemukan kerentanan tambahan di 2FA berbasis SMS. Satu serangan tertentu mengeksploitasi fitur yang disediakan di Google Play Store untuk menginstal aplikasi secara otomatis dari web ke perangkat android Anda.

Eksperimen The Next Web mengungkapkan aktor jahat dapat mengakses 2FA berbasis SMS pengguna dari jarak jauh dengan sedikit usaha, melalui penggunaan aplikasi populer (nama dan jenis dirahasiakan karena alasan keamanan) yang dirancang untuk menyinkronkan notifikasi pengguna di berbagai perangkat.

Secara khusus, penyerang dapat memanfaatkan kombinasi email/kata sandi yang disusupi yang terhubung ke akun Google untuk secara jahat memasang aplikasi message mirroring yang tersedia di smartphone korban melalui Google Play.

Setelah aplikasi diinstal, penyerang dapat menerapkan teknik rekayasa sosial sederhana untuk meyakinkan pengguna agar mengaktifkan izin yang diperlukan agar aplikasi berfungsi dengan baik.

Meskipun beberapa kondisi harus dipenuhi agar serangan yang disebutkan di atas berfungsi, itu masih menunjukkan sifat rapuh dari metode 2FA berbasis SMS.

Selengkapnya: The Next Web

Boffins Belgia membuang firmware terminal hidangan Starlink, mendapatkan akses root dan beberapa ide

by

Boffins Belgia telah menerbitkan pembongkaran terminal pengguna Starlink – juga dikenal sebagai Dishy McFlatface – di mana mereka berhasil membuang firmware perangkat yang disimpan di kartu eMMC di atas PCB.

Bagi para akademisi di Katholieke Universiteit Leuven (KU Leuven), sebenarnya mendapatkan firmware untuk analisis selanjutnya terbukti merupakan proses yang agak rumit.

Meskipun perangkat keras dilengkapi dengan port UART (Universal Asynchronous Receiver Transmitter) untuk debugging USB, SpaceX memilih — mungkin karena alasan yang jelas — untuk membatasi akses kepada mereka yang dipercayakan dengan kredensial pengembangan. Namun, itu mengungkapkan beberapa petunjuk, terutama ketika datang ke proses boot, dengan pemeriksaan integritas dan keaslian yang digunakan untuk memastikan kernel tidak dirusak.

Peneliti KU Leuven kemudian mengalihkan perhatian mereka ke kartu eMMC, yang berisi gambar sistem. SpaceX meninggalkan 10 titik uji di papan sirkuit, yang sesuai dengan titik solder yang setara pada chip eMMC. Para akademisi kemudian dapat membuat perangkat penangkap logika ad-hoc, menggunakan pembaca kartu memori dan beberapa kabel dan resistor yang disolder dengan hati-hati, memungkinkan mereka untuk membuang konten penyimpanan ke dalam sirkuit.

Rintangan berikutnya datang ketika para peneliti mencoba membaca konten firmware, karena SpaceX menggunakan format FIT (pohon gambar rata) khusus. Untungnya, perubahan ini dapat diakses publik, karena perusahaan menerapkan versi U-Boot yang dimodifikasi, dan terpaksa mempublikasikan perubahannya agar tetap mematuhi GPL.

selengkapnya : www.theregister.com

Raksasa teknologi memperingatkan pemutusan layanan di Hong Kong karena undang-undang perlindungan data

by

Raksasa teknologi termasuk Facebook, Google dan Twitter dilaporkan telah mengeluarkan peringatan kepada pemerintah Hong Kong bahwa layanan mereka dapat terputus di kota jika pihak berwenang melanjutkan dengan undang-undang perlindungan data yang akan membuat perusahaan bertanggung jawab jika informasi pengenal pribadi individu dirilis tanpa persetujuan mereka, The Wall Street Journal melaporkan.

Peringatan itu dibuat dalam surat yang sebelumnya tidak dilaporkan yang dikirim pada 25 Juni dari Asia Internet Coalition (AIC) yang berbasis di Singapura, lapor Journal. Anggota koalisi lainnya termasuk Apple, Amazon, Yahoo dan LinkedIn.

Amandemen yang diusulkan untuk undang-undang perlindungan data Hong Kong menuntut denda hingga 1 juta dolar Hong Kong, sekitar $ 128.800, dan penjara selama lima tahun untuk memerangi “doxxing”, di mana data pribadi seseorang dibagikan secara online. The Journal mencatat bahwa praktik ini menjadi lazim ketika protes pro-demokrasi pecah di kota itu pada tahun 2019.

Presiden AIC Jeff Paine merinci bahwa anggota organisasinya menentang rilis data pengguna yang tidak sah, tetapi mengatakan mereka khawatir bahwa kata-kata yang tidak jelas dari amandemen yang diusulkan akan membuat anggota staf berbasis lokal mereka rentan terhadap penuntutan dan penyelidikan, Journal laporan.

Selengkapnya: The Hill

Penyerang menggunakan ‘AI ofensif’ untuk membuat deepfake untuk kampanye phishing

by

AI memungkinkan organisasi untuk mengotomatisasi tugas, mengekstrak informasi, dan membuat media yang hampir tidak dapat dibedakan dari yang asli. Tetapi seperti teknologi apa pun, AI tidak selalu dimanfaatkan untuk kebaikan. Secara khusus, penyerang siber dapat menggunakan AI untuk meningkatkan serangan mereka dan memperluas kampanye mereka.

Sebuah survei baru-baru ini yang diterbitkan oleh para peneliti di Microsoft, Purdue, dan Universitas Ben-Gurion, antara lain, mengeksplorasi ancaman “AI ofensif” ini pada organisasi. Ini mengidentifikasi kemampuan berbeda yang dapat digunakan musuh untuk meningkatkan serangan mereka dan memberi peringkat masing-masing berdasarkan tingkat keparahan, memberikan wawasan tentang musuh.

Survei, yang melihat penelitian yang ada tentang AI ofensif dan tanggapan dari organisasi termasuk IBM, Airbus, Airbus, IBM, dan Huawei, mengidentifikasi tiga motivasi utama musuh untuk menggunakan AI: cakupan, kecepatan, dan kesuksesan. AI memungkinkan penyerang untuk “meracuni” model pembelajaran mesin dengan merusak data pelatihan mereka, serta mencuri kredensial melalui analisis saluran samping. Dan itu dapat digunakan untuk mempersenjatai metode AI untuk deteksi kerentanan, pengujian penetrasi, dan deteksi kebocoran kredensial.

Organisasi memberi tahu para peneliti bahwa mereka menganggap pengembangan eksploitasi, rekayasa sosial, dan pengumpulan informasi sebagai teknologi AI ofensif yang paling mengancam. Mereka sangat khawatir tentang AI yang digunakan untuk peniruan identitas, seperti deepfake untuk melakukan serangan phishing dan rekayasa balik yang memungkinkan penyerang untuk “mencuri” algoritme kepemilikan. Selain itu, mereka khawatir bahwa, karena kemampuan AI untuk mengotomatisasi proses, musuh dapat beralih dari memiliki beberapa kampanye rahasia yang lambat menjadi memiliki banyak kampanye yang bergerak cepat untuk membanjiri pembela dan meningkatkan peluang keberhasilan mereka.

Tetapi ketakutan tidak memacu investasi dalam pertahanan. Menurut survei perusahaan yang dilakukan oleh startup otentikasi data Attestiv, kurang dari 30% mengatakan mereka telah mengambil langkah-langkah untuk mengurangi dampak dari serangan deepfake. Pertarungan melawan deepfake kemungkinan akan tetap menantang karena teknik pembuatan terus meningkat, terlepas dari inovasi seperti Tantangan Deteksi Deepfake dan Video Authenticator Microsoft.

selengkapnya : venturebeat.com

API Baru Memungkinkan Pengembang Aplikasi Mengautentikasi Pengguna melalui Kartu SIM

by

Pembuatan akun online menimbulkan tantangan bagi para insinyur dan arsitek sistem: jika Anda memasang terlalu banyak penghalang, Anda berisiko menolak pengguna asli. Buat terlalu mudah, dan Anda berisiko dari penipuan atau akun palsu.

Model tradisional identitas online – nama pengguna/email dan kata sandi – telah lama tidak digunakan lagi. Beginilah cara otentikasi multi-faktor atau dua faktor (MFA atau 2FA) berperan, untuk menambal kerentanan yang disebut model berbasis pengetahuan, biasanya dengan kode sandi SMS untuk memverifikasi kepemilikan nomor ponsel.

Terkadang solusi paling sederhana sudah ada di tangan kita. SMS saja mungkin tidak aman, tetapi nomor ponsel yang ditambatkan ke kartu SIM adalah: pasangan unik yang sulit untuk diubah atau disalin.

Otentikasi berbasis SIM adalah terobosan identitas. Sekarang dimungkinkan untuk mencegah penipuan dan akun palsu sambil memverifikasi pengguna seluler dengan mulus menggunakan pengenal paling aman secara kriptografis yang sudah mereka miliki – kartu SIM yang tertanam di perangkat seluler mereka.

Jika Anda khawatir tentang penipuan pertukaran SIM sebagai ancaman bagi pengguna Anda, Anda benar.

Otentikasi berbasis SIM memberikan perbaikan sederhana, dengan respons langsung yang dapat ditindaklanjuti. Penipu berusaha mengakses akun korban mereka biasanya dalam waktu 24 jam, jadi dengan memeriksa aktivitas pertukaran SIM dalam 7 hari terakhir, SubscriberCheck oleh tru.ID dapat mendeteksi mereka di gerbang.

Kartu SIM di dalam telepon sudah diautentikasi dengan Operator Jaringan Seluler (MNO). Otentikasi SIM memungkinkan pelanggan seluler melakukan dan menerima panggilan telepon dan terhubung ke Internet.

SubscriberCheck dari tru.ID terhubung ke mekanisme otentikasi yang sama dengan MNO. Akibatnya, tru.ID API melakukan dua hal.

Pertama, memverifikasi bahwa nomor ponsel aktif dan dipasangkan ke kartu SIM di ponsel. Sebagai bagian dari verifikasi ini, API juga mengambil informasi jika kartu SIM yang terkait dengan nomor telepon baru saja diubah. Pemeriksaan ini dapat diintegrasikan dengan mudah dengan API dan SDK.

Selengkapnya: The Hacker News

Trusted Platform Modules (TPM) Terbaik 2021

by

Microsoft mengkonfirmasi dengan peluncuran resmi Windows 11 bahwa modul platform tepercaya (TPM) 2.0 akan menjadi persyaratan “lunak”.

Jika karena alasan tertentu PC Anda tidak mendukung TPM dan Anda ingin maju dari permainan untuk mendukung Windows 11, Windows Central telah mengumpulkan beberapa add-on TPM untuk board yang kompatibel. Ini diperlukan hanya jika Anda tidak dapat mengaktifkan TPM melalui UEFI BIOS.

Untuk motherboards ASUS

ASUS Trusted Platform Module (TPM)

Modul TPM 2.0 ini dirancang oleh ASUS untuk motherboard Intel-nya. Pastikan motherboard Anda memiliki header TPM.

Sumber: ASUS

Untuk motherboard ASRock

ASRock Trusted Platform Module (TPM)

Modul TPM 2.0 ini dirancang oleh ASRock untuk motherboard Intel-nya. Pastikan motherboard Anda memiliki header TPM.

Sumber: ASRock

Untuk motherboard MSI

MSI Trusted Platform Module (TPM)

Modul TPM 2.0 ini dirancang oleh MSI untuk motherboard Intel-nya. Pastikan motherboard Anda memiliki header TPM.

Sumber: MSI

Selengkapnya: Windows Central

Kripto senilai $158.000.000 yang Disita oleh Polisi Inggris dalam Dugaan Skema Pencucian Uang

by

Polisi Metropolitan Inggris (Met) mengungkapkan bahwa mereka telah melakukan penyitaan cryptocurrency terbesar di negara itu senilai ratusan juta dolar sebagai bagian dari penyelidikan yang sedang berlangsung terkait dengan pencucian uang.

Dalam sebuah pernyataan, divisi penegakan hukum mengatakan mereka menyita aset crypto senilai $ 158 juta setelah menerima laporan tentang transfer aset kriminal.

Detektif Constable Joe Ryan menjelaskan bahwa penjahat mengandalkan skema pencucian uang dalam upaya menyembunyikan asal-usul pendapatan haram mereka. Jika tidak, mereka berisiko kehilangan uang untuk penegakan hukum.

Wakil Asisten Komisaris Graham McNulty mengatakan bahwa sementara uang tunai masih menjadi raja, teknologi dan platform online sekarang memungkinkan penjahat untuk menggunakan metode yang lebih canggih untuk mencuci hasil kegiatan terlarang mereka.

Meskipun penjahat memanfaatkan teknologi canggih untuk menyembunyikan gerakan mereka, McNulty mengatakan kepolisian memiliki bakat dan tenaga untuk tetap berada di depan kurva.

Sementara Met tidak menyebutkan cryptocurrency yang terlibat, penyitaan aset digital sudah mewakili lebih dari dua kali lipat jumlah yang disita oleh kepolisian pada tahun keuangan sebelumnya.

Selengkapnya: The Daily Hodl

Nama jaringan tertentu dapat sepenuhnya menonaktifkan Wifi di iPhone Anda

by

Inilah bug yang lucu: seorang peneliti keamanan telah menemukan bahwa nama jaringan yang dibuat dengan hati-hati menyebabkan bug di tumpukan jaringan iOS dan dapat sepenuhnya menonaktifkan kemampuan iPhone Anda untuk terhubung ke Wi-Fi.

Di Twitter, Carl Schou menunjukkan bahwa setelah bergabung dengan jaringan Wi-Fi dengan nama tertentu (“%p%s%s%s%s%n”), semua fungsi Wi-Fi di iPhone dinonaktifkan sejak saat itu.

Setelah iPhone atau iPad bergabung dengan jaringan dengan nama “%p%s%s%s%s%n”, perangkat gagal tersambung ke jaringan Wi-Fi atau menggunakan fitur jaringan sistem seperti AirDrop. Masalah tetap ada setelah me-reboot perangkat (walaupun ada solusi, lihat di bawah).

Meskipun Schuo tidak merinci dengan tepat bagaimana dia mengetahui hal ini, programmer mana pun harus memperhatikan pola dalam nama jaringan yang funky yang diperlukan untuk memicu bug.

Berikut penjelasan yang mungkin: sintaks ‘%[karakter]’ biasanya digunakan dalam bahasa pemrograman untuk memformat variabel menjadi string keluaran. Dalam C, penentu ‘%n’ berarti menyimpan jumlah karakter yang ditulis ke dalam string format ke variabel yang diteruskan ke fungsi format string. Subsistem Wi-Fi mungkin meneruskan nama jaringan Wi-Fi (SSID) yang tidak dibersihkan ke beberapa perpustakaan internal yang melakukan pemformatan string, yang pada gilirannya menyebabkan penulisan memori dan buffer overflow yang berubah-ubah. Ini akan menyebabkan kerusakan memori dan pengawas iOS akan mematikan prosesnya, sehingga secara efektif menonaktifkan Wi-Fi bagi pengguna.

Jelas, ini adalah rangkaian peristiwa yang tidak jelas sehingga sangat tidak mungkin ada orang yang secara tidak sengaja jatuh ke dalamnya, kecuali jika banyak orang iseng Wi-Fi tiba-tiba muncul di alam liar dengan jaringan Wi-Fi terbuka menggunakan nama beracun. Sampai Apple memperbaiki kasus tepi ini dalam pembaruan OS di masa mendatang, awasi saja jaringan Wi-Fi apa pun dengan simbol persen di namanya.

Namun demikian, Jika Anda entah bagaimana terpengaruh oleh ini, bug tampaknya tidak merusak perangkat keras Anda secara permanen.

Anda harus dapat mengatur ulang semua pengaturan jaringan dan memulai dari awal. Di Pengaturan, buka Umum -> Atur Ulang -> Atur Ulang Pengaturan Jaringan. Ini mengatur ulang semua jaringan Wi-Fi yang disimpan di iPhone (serta hal-hal lain seperti pengaturan seluler dan akses VPN), sehingga menghapus pengetahuan tentang nama jaringan berbahaya dari memorinya. Anda kemudian dapat bergabung dengan Wi-Fi rumah standar Anda sekali lagi.

selengkapnya : 9to5mac.com