OAuthi nõusoleku andmepüügi ja pahatahtlike kolmanda osapoole rakenduste lubade tühistamine¶

Kujutage ette, et avastate, et ründaja loeb aktiivselt teie privaatseid e-kirju, laadib alla teie pilvdokumente, loob vaikimisi postkasti edastamise reegleid või postitab teie kontolt kelmuse linke, isegi PÄRAST PÄRAST oma parooli muutmist 24-kohaliseks juhuslikuks stringiks ja riistvaralise kahefaktorilise autentimise lubamist (2FA / Passkeys). Kuidas on ründaja endiselt teie Google Workspace'i, Microsoft 365, GitHubi, Slacki või Discordi konto sees, teadmata teie uut parooli või käivitamata ühtki 2FA viipa? Kuna langesite OAuth 2.0 nõusoleku andmepüügi (tuntud ka kui Illicit Consent Grant või Seadmekoodi andmepüügi) ohvriks. Selle asemel, et petta teid oma parooli võltsitud sisselogimislehele sisestama, saatis ründaja teile lingi ehtsale accounts.google.com või login.microsoftonline.com autoriseerimisekraan, kus küsitakse, kas rakendus on nime saanud "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," või "Mail Backup Assistant" võib omada luba "Gmailist kogu oma meili lugemine, koostamine, saatmine ja jäädavalt kustutamine" või "täielik juurdepääs kõikidele failidele, millele teil on juurdepääs."

Hetkel, mil klõpsasite Allow või Accept selles ehtsas Microsofti või Google'i dialoogiboksis väljastas identiteedi pakkuja ründaja serverile pikaajalise krüptograafilise dokumendi OAuth Refresh Token (offline_access). Kuna OAuth 2.0 API-märgid autentivad otse taustaprogrammi REST/Graph API-de (graph.microsoft.com või gmail.googleapis.com). Ründaja lõplikuks lukustamiseks peate käsitsi tühistama kolmanda osapoole rakenduse luba, hävitama kõik väljastatud OAuthi värskendus- ja juurdepääsumärgid ning tühjendama kõik tagauksed, mille rakendus lõi, kui sellel oli API-juurdepääs.

Tehke seda kohe¶

1. Saage kohe aru, miks parooli muutmine EI peatanud häkkerit: peate selle tühistama Third-Party App / OAuth Consent Grant oma konto turvaportaalis. Kui klõpsate Allow OAuthi ekraanil loote püsiva masinatevahelise API lepingu (Service Principal / OAuth App Token). Minge kohe otse oma teenusepakkuja lehele Kolmanda osapoole rakendused ja teenused (myaccount.google.com/connections Google'i jaoks myapps.microsoft.com või account.live.com/consent/Manage Microsofti jaoks github.com/settings/applications GitHubi jaoks) ja klõpsake nuppu Eemalda juurdepääs / tühista iga rakenduse puhul, mida te 100 protsenti ei tunne ja ei usalda.
2. Kui sisestasite 8- või 9-kohalise tähtnumbrilise koodi microsoft.com/devicelogin, google.com/device, või github.com/login/device andmepüügikõne või vestluse ajal tühistage mõlemad oma Active Device Sessions JA OAuth App Grants kohe. Seadmekoodivoo andmepüügirünnakus (RFC 8628), loob ründaja oma arvutis nutiteleri/CLI sidumiskoodi ja petab teid seda koodi päriselt sisestama. microsoft.com/devicelogin lehel. Selle koodi sisestamine annab ründajale esmase Refresh Token (PRT / Multi-Resource Refresh Token) maskeeritud Microsoft Office'i, Azure'i CLI- või Apple'i Interneti-kontode kliendiks.
3. Pärast pahatahtliku OAuthi rakenduse tühistamist kontrollige kohe oma e-posti Forwarding Rules, Inbox Filtersja Delegated Mailbox Access Graph/Gmaili kasutajaliidese kaudu. Mida pahatahtlik OAuthi rakendus esimese asjana teeb 500 milliseconds pärast klõpsamist Allow? See kasutab Mail.ReadWrite või MailboxSettings.ReadWrite API ulatus, et sisestada nähtamatu serveripoolse postkasti reegel, mis saadab ründajale automaatselt edasi kõik sissetulevad panga-, krüpto- või parooli lähtestamise e-kirjad ning suunab vastused otse teie Trash või RSS Feeds kaust (vt Meilikontole häkitud: edastamise reeglid ja taastamine).
4. Kontrollige, kas pahatahtlik OAuthi rakendus registreeris teise OAuthi varurakenduse isikliku juurdepääsuluba (PAT), SSH-võti või MFA-meetod, kui sellel olid haldusulatused. Microsoft Entra ID-s (Azure AD), GitHubis ja Google Workspace'is andis rakendus kataloogi- või kontohaldusulatused (Application.ReadWrite.All, RoleManagement.ReadWrite.Directoryvõi GitHub admin:public_key) saab vaikselt luua teise peidetud API-märgi või teenusepõhimõtte, nii et ründaja säilitab juurdepääsu pärast esimese rakenduse kustutamist.
5. Kui see juhtus ettevõttes või koolis Microsoft 365 või Google Workspace konto, helistage 5 minuti jooksul oma IT-turbe / SOC kasutajatoele. Üks töötaja klõpsab Accept OAuthi andmepüügilink võib anda ründajale lugemisõiguse kogu ettevõtte SharePointile, OneDrive'ile, Teamsi vestlustele ja globaalsele aadressiloendile, käivitades ettevõttesisese e-posti kompromissi (BEC) traadipettuste rünnak teie töökaaslaste ja klientide vastu.
6. Kui ründaja kasutas teie pilvdraivide vaatamiseks OAuthi juurdepääsu (Google Drive / OneDrive), maksudeklaratsioonid, paroolide eksportimine või finantsaruanded, külmutage teie krediidifailid ja lukustage finantskontod. Kui pilvedraivi, millele OAuthi rakendus juurde pääses, salvestati tundlikud isikut tõendavad dokumendid või krüptimata algfraasid/paroolid, käsitlege kõiki sellel kettal olevaid faile ründaja allalaadituna (vt Andmerikkumisreaktsioon ja paroolilekked).

flowchart TD
    A["Arvatav OAuthi nõusoleku andmepüügi või püsiv konto sissetung pärast parooli lähtestamist"] --> B["1. Avage kolmanda osapoole rakenduste lubade portaal (Google'i ühendused / Microsoft MyApps / GitHubi rakendused)"]
    B --> C["2. Tõendite saamiseks tehke tundmatutest rakendustest ekraanipilt, seejärel klõpsake iga kahtlase OAuthi rakenduse juures käsul „Tühista / eemalda juurdepääs”."]
    C --> D{"Kas sisestasite koodi seadme sisselogimise lehel (nt microsoft.com/devicelogin)?"}
    D -->|"Jah: seadme koodi andmepüük (RFC 8628)"| E["Käivitage käsk „Logi välja kõikjal / tühista kõik värskendusmärgid”, et lõpetada natiivse CLI / seadmekoodi seansid"]
    D -->|"Ei: tavaline Web OAuthi toetus"| E
    E --> F["3. Kontrollige ja kustutage API märgiga loodud teisesed tagauksed"]
    F --> G["Kontrollige e-posti postkasti reegleid, automaatset edastamist ja volitatud juurdepääsu (Gmail / Outlook)"]
    F --> H["Kontrollige arendaja isiklikke juurdepääsumärke (PAT), SSH-võtmeid ja veebihaagi integratsioone"]
    F --> I{"Kas see oli ettevõtte Microsoft 365 / Google Workspace'i konto?"}
    I -->|"Jah"| J["Hoiatage ettevõtte administraatorit / SOC-i viivitamatult teenuse peamise toetuse tühistamiseks Entra ID-s / tööruumi administraatoris"]
    I -->|"Ei (isiklik konto)"| K["Muutke parooli + kinnitage MFA-seadmed + kontrollige Cloud Drive'i allalaadimistegevuste logisid"]

Kuidas OAuth 2.0 nõusoleku andmepüük paroolidest ja 2FA-st (tehniline anatoomia) mööda läheb?¶

Miks on küberkurjategijate sündikaadid, rahvusriikide spionaažirühmitused (Midnight Blizzard, Star Blizzard) ja krüptovaluuta kurnajad nihkusid traditsiooniliselt võltslogimisega andmepüügilt OAuthi nõusoleku andmepüügile ja seadme koodiga andmepüügile?

1. Traditsiooniline andmepüügi vs. OAuthi nõusoleku andmepüük vs. seadmekoodiga andmepüük¶

2. Kõrge ohuga OAuthi loa ulatuse ründajate taotlus¶

Lubade loendis olevat rakendust uurides vaadake hoolikalt selle taotletud ulatusi. * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Võimaldab lugeda kõiki e-kirju, saata e-kirju teie nime all ja luua peidetud postkasti edasisuunamisreegleid). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Võimaldab alla laadida kõik teie OneDrive'is olevad failid ja kõik jagatud ettevõtte SharePointi kaustad). * offline_access (Võimaldab ründaja serveril vaikselt vermida uhiuusi juurdepääsumärke ööpäevaringselt, isegi kui teie arvuti on välja lülitatud). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Katastroofilised ettevõtte privileegide eskalatsiooni ulatused). * Google Workspace / Personal Gmail (Google APIs): * https://mail.google.com/ või gmail.modify / gmail.settings.basic / gmail.settings.sharing (Täielik kontroll Gmaili lugemise, kustutamise ja edastamise üle). * https://www.googleapis.com/auth/drive (Täielik lugemis-/kirjutus-/allalaadimisjuurdepääs igale Google Drive'i failile). * https://www.googleapis.com/auth/cloud-platform (Täielik kontroll Google Cloudi infrastruktuuri ja arveldamise üle). * GitHub & Developer Ecosystems (GitHub Apps / OAuth Apps): * repo ja workflow (Täielik lugemis-/kirjutusjuurdepääs kõigile privaatsetele lähtekoodihoidlatele ja luba sisestada pahatahtlikke GitHub Actionsi CI/CD saladusi varastavaid torujuhtmeid). * admin:org, admin:public_keyja admin:gpg_key (Luba lisada püsivaid tagaukse SSH-võtmeid või muuta organisatsiooni liikmesust). * Slack & Discord OAuthi ulatus: * Loid channels:history, groups:history, im:history, files:readja chat:write (Võimaldab välisel rakendusel lugeda kõiki privaatse meeskonna otsesõnumeid, kraapida üleslaaditud PDF-e ja mandaate ning saata andmepüügilinke, mis esinevad usaldusväärse töökaaslasena). * Ebakõla guilds.join ja identify (Võimaldab ohustatud robotil või kinnitusportaalil korduvalt ilma teie nõusolekuta teie Discordi kontoga sunniviisiliselt liituda petuserveritega).

1. etapp: järkjärguline OAuthi ja kolmanda osapoole rakenduste tühistamine igal suuremal platvormil¶

Järgige allolevaid täpseid juhiseid iga konto puhul, kus klõpsasite kahtlasel lingil, kasutasite ebausaldusväärsel saidil käsku "Logi sisse Google'i / Microsofti / Apple'i / GitHubiga / Discordiga" või märkasite volitamata tegevust.

1. Google'i konto (Personal Gmail & Google Workspace)¶

1. Avage brauser ja minge otse aadressile: https://myaccount.google.com/connections (või minge aadressile myaccount.google.com -> klõpsake vasakpoolses menüüs Turvalisus -> kerige alla jaotiseni Teie ühendused kolmandate osapoolte rakenduste ja teenustega -> klõpsake Kuva kõik ühendused).
2. Filtreeri riski järgi: klõpsake ülaosas filtrikiibil Access to your Google Account (mis filtreerib välja kahjutud "Google'i kontoga sisselogimise" nimelised sisselogimised ja tõstab esile rakendused, millel on aktiivsed API-load teie Gmaili, Google Drive'i, kalendri või kontaktide lugemiseks).
3. Klõpsake igal võõral, kahtlasel või enam mittekasutataval rakendusel (olge petlikud nimed, mis jäljendavad süsteemi utiliite, nagu "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," või "Drive Backup").
4. Kerige alla jaotiseni Vaata üksikasju, et näha täpset kuupäeva ja kellaaega, millal juurdepääs anti ning millised ulatused (Gmail, Google Drive) see kehtib.
5. Klõpsake Delete all connections you have with [App Name] -> Klõpsake Kinnita.
6. Tühista ka aktiivsed seadmeseansid (seadme koodide andmepüügi puhul): Mine https://myaccount.google.com/device-activity ja logige välja mis tahes võõrast Linuxi, Windowsi, Maci või Smart TV seadme seansist.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) vs ettevõtte (Microsoft 365 / Entra ID)¶

Microsoft kasutab kahte erinevat portaali olenevalt sellest, kas teie konto on isiklik tarbijakonto või töö-/koolikonto.

A. Isiklikud Microsofti kontod (@outlook.com, @hotmail.com, @live.com)¶

1. Minge otse aadressile: https://account.live.com/consent/Manage (või minge aadressile account.microsoft.com/privacy -> Rakendused ja teenused, millel on juurdepääs teie andmetele).
2. Kontrollige kõiki loetletud rakendusi. Kui näete rakendust, mida te ei tunne (või õiguspärase kõlaga klienti, nagu eM Client, Thunderbird, või Mail App mida te pole kunagi ise installinud - levinud trikk, mida ründajad kasutavad IMAP-i/Graph OAuthi lubade hankimiseks), klõpsake Edit selle rakenduse all ja klõpsake Remove these permissions.
3. Järgmisena minge lehele https://account.microsoft.com/security -> Hallake, kuidas ma sisse login -> kerige alla ja klõpsake Sign me out (mis sunnib 24 tunni jooksul kõigi brauserite, rakenduste ja Xboxi/OneDrive'i seansside ülemaailmse kehtetuks tunnistamise).

B. Ettevõte / Töö / Kool Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Füüsilisest isikust töötajana:
2. Mine https://myapps.microsoft.com -> Klõpsake oma profiiliikoonil või hammasrattaikoonil -> klõpsake Profiil või klõpsake kolmel punktil (...) mis tahes tundmatu rakenduse paanil -> valige Halda oma rakendust -> Tühista load.
3. Mine ka https://myaccount.microsoft.com -> Turbeteave -> veenduge, et võltsitud autentimisrakendust pole lisatud, ja klõpsake Sign out everywhere vahekaardil Ülevaade.
4. Microsoft 365 / Entra ID administraatorina (Emergency PowerShell Token & Consent Purge): Kui töötaja satub ettevõtte rentniku OAuthi nõusoleku andmepüügi või seadmekoodi andmepüügi alla, ei piisa rakenduse kasutaja MyAppsi portaalist kustutamisest. administraator peab tühistama OAuth2PermissionGrant üle kogu üürniku ja muuta kasutaja oma kehtetuks RefreshTokensValidFromDateTime Microsoft Graph PowerShelli kaudu:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple) ja X / Sotsiaalkontod¶

Ründajad sihivad OAuthi andmepüügiga tugevalt arendajate, kogukondade ja sotsiaalsete kontode kontosid, et suruda peale pahatahtliku koodi sidumist, tühjendada Discordi kogukondi või postitada krüptovaluuta tühjenduslinke:

2. etapp: pahatahtliku OAuthi rakenduse jäetud teisese püsivuse jahtimine¶

1. Meili postkasti reeglid, automaatsed edasisaatjad ja peidetud pühkimisreeglid (Gmail & Outlook / M365)¶

Kui pahatahtlikul OAuthi rakendusel oli Mail.ReadWrite või MailboxSettings.ReadWrite load: * Gmailis: klõpsake hammasrattaikoonil (paremas ülanurgas) -> Kuva kõik seaded. 1. Klõpsake Forwarding and POP/IMAP vahekaart -> Kontrollige seda Forwarding on seatud väärtusele Keela edastamine ja loendis pole võõrast e-posti aadressi. 2. Klõpsake Filters and Blocked Addresses vahekaart -> otsige sobivat filtrit from:(*) või märksõnad nagu bank, wire, invoice, coinbase, password, või security tegevusega Delete it, Skip the Inbox (Archive it) või Forward it to -> Kustutage need filtrid kohe. 3. Klõpsake Accounts and Import vahekaart -> jaotistes Anda juurdepääs oma kontole (Delegeeritud juurdepääs) ja Saada meil kui eemaldage kõik tundmatud aadressid. * ** Microsoft Outlook Web'is (outlook.office.com või outlook.live.com):** Klõpsake hammasrattaikoonil (paremas ülanurgas) -> Mail. 1. Klõpsake Rules -> Kustutage kõik tundmatud reeglid (ründajad nimetavad sageli pahatahtlikke reegleid . või ... või Security Sync ja konfigureerige need sissetulevaid e-kirju teisaldama RSS Subscriptions või Conversation History kausta, märkides need loetuks). 2. Klõpsake Forwarding (ja Junk email) -> Veenduge, et ruut Luba edastamine poleks märgitud, ja kustutage kõik loendisse Turvalised saatjad ja domeenid lisatud ründaja domeen.

2. Pilvedraivi mass-allalaadimise audit ja "lingi jagamise" tagauksed (Google Drive & OneDrive / SharePoint)¶

Kui OAuthi rakendus on Files.ReadWrite.All või drive ulatus, teeb see kahte asja: esiteks laadib alla teie tundlikud PDF-failid, arvutustabelid ja paroolifailid; teiseks saab see vaikselt muuta teie konfidentsiaalsete kaustade jagamisõigusi "Anyone with the link can view/edit", et ründaja saaks neid kaustu avada anonüümses brauseris ka pärast OAuthi rakenduse tühistamist. * Google Drive'is: klõpsake (i) Kuva üksikasjad (tegevus) ikoon paremas ülanurgas, et näha kõiki viimase 7 päeva jooksul vaadatud, muudetud või jagatud faile. Seejärel tippige is:unorganized, sharedwith:public või sharedwith:external ülemisele Google Drive'i otsinguribale, et leida failid või kaustad, mille ründaja avalikult kättesaadavaks tegi. * Microsoft OneDrive'is: minge vasakpoolses menüüs vahekaardile Jagatud -> Teie poolt jagatud ja tühistage kõik avalikud lingid (Anyone with the link) te ei loonud.

3. Google Appsi skript (script.google.com) ja Microsoft Power Automate (make.powerautomate.com) Päästikud¶

Siin on Google'i ja Microsoft 365 kasutajate vastu kasutatav püsivustrikk: teie kontol olles loob ründaja 10-realise Google Apps Scripti (aadressil https://script.google.com/home/triggers) või Microsoft Power Automate Cloud Flow (aadressil https://make.powerautomate.com) seadistatud töötama 5-minutilise taimeriga (Time-driven trigger või When a new email arrives). Kuna see skript töötab algselt teie enda pilvekontol, jätkab see teie meilide väljafiltreerimist iga 5 minuti järel isegi pärast parooli muutmist ja väliste rakenduste kustutamist. * Avatudhttps://script.google.com/home/triggers (Google'i jaoks) või https://make.powerautomate.com -> Minu vood (Microsoft 365 jaoks) kohe ja kustutage kõik skriptid või automatiseeritud vood, mida te isiklikult ei kirjutanud.

4. Andmete väljafiltreerimise pilveauditi logide auditeerimine (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Kui teil on vaja täpselt teada, milliseid meile või faile pahatahtlik OAuthi rakendus luges või alla laadis, kui selle luba oli aktiivne, toimige järgmiselt. * Isiklikel Google'i kontodel: Avatud https://myactivity.google.com ja https://myaccount.google.com/notifications, et kontrollida hiljutisi turvasündmusi ja kontrollida, kas taotleti Google Takeouti arhiivi eksporti. * Google Workspace'is (administraatorikonsool): minge admin.google.com -> Reporting -> Audit and investigation -> OAuth log events ja Drive log events filtreeritud ohustatud kasutaja ja pahatahtliku poolt Client ID et saada iga juurdepääsetava faili ID täielik ajatempliga loend. * ** Microsoft 365-s (Purview / Entra ID):** Avatud entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, klõpsake Non-interactive user sign-ins ja Service principal sign-ins vahekaardid (standardsed interaktiivsed sisselogimislogid EI näita taustal OAuthi loa värskendamist) ja filtreerivad pahatahtliku Application ID et näha kõiki ründaja tehtud IP-aadresse ja ressursikõnesid.

5. Pöörlevad paljastatud saladused, mis on leitud teie pilvedraivist või meilist¶

Kui pahatahtlikul OAuthi rakendusel oli juurdepääs teie Gmaili, Outlooki, Google Drive'i, OneDrive'i või GitHubi hoidlatele isegi 60 sekundit, eeldage, et ründaja käivitas teie postkastis ja autos automaatse regex-kaabitsa, otsides: 1. Krüptovaluuta alglaused (12/24-word BIP-39 mnemonics) või Rahakott .json Võtmehoidlad: kui teie pilveseadmes või meilis oli krüpto algfraasi sisaldav foto või dokument, teisaldage kõik raha viivitamatult uhiuue riistvararahakoti seemnesse (vt Krüptovaluuta rahakoti tühjendamine ja seemnefraasi kompromiss). 2. Eksporditud paroolihaldur .csv Failid või maksudeklaratsioonid (Form 1040 / W-2): Muutke oma paroole ja külmutage oma krediidibürood (Equifax, Experian, TransUnion) kohe. 3. Arendaja API võtmed (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env failid): Saate tühistada ja rullida kõik pilveinfrastruktuuri saladused, mis kunagi ilmusid teie meilides, Slacki sõnumites või pilvedokumentides.

Ennetamise kontroll-loend: OAuthi ja seadmekoodi andmepüügi lõplik peatamine¶

• Ära kunagi luba välist rakendust täis Read/Write Email või Full Cloud Drive õigused ainult ühe PDF-faili, kalendrikutse või utiliidi vaatamiseks: Õigustatud dokumendi vaatamise link ei vaja kunagi luba „Gmailist kõigi meilide lugemiseks, koostamiseks, saatmiseks ja jäädavalt kustutamiseks.” Kui ootamatu OAuthi nõusolekukuva küsib laia postkasti või draivi ulatust, sulgege vahekaart kohe.
• Ära kunagi kirjuta a Device Login Code (microsoft.com/devicelogin või google.com/device), mille on teile saatnud teine inimene meili, teksti või vestluse kaudu: Seadme koodid (RFC 8628) on mõeldud ainult riistvaraekraanidele, mis ** istuvad füüsiliselt teie ees samas ruumis** (nt teie enda elutoa Apple TV või teie enda SSH-terminal). Kui keegi teine ​​genereerib seadme koodi ja palub teil selle sisestada, logite tema arvutisse oma kontole.
• Microsoft 365 / Google Workspace'i administraatorid: keelake lõppkasutaja OAuthi rakenduse nõusolek ja blokeerige seadme koodivoog tingimusjuurdepääsu kaudu:
• Microsoft Entra halduskeskuses (entra.microsoft.com) -> Identiteet -> Rakendused -> Ettevõtterakendused -> Nõusolek ja load -> Kasutaja nõusoleku seaded, lülitage Luba rakenduste jaoks kasutaja nõusolek valikule Do not allow user consent (ja lubage Administraatori nõusoleku töövoog, et töötajad klõpsaksid petturitele rakendustele juurdepääsu andmise asemel „Taotle kinnitust”).
• Google Workspace'i administraatorikonsoolis (admin.google.com) -> Turvalisus -> Juurdepääsu ja andmete juhtimine -> API juhtelemendid -> Kolmanda osapoole rakenduste juurdepääsu haldamine, määrake kõrge riskiga ulatused (Gmail, Drive) kuni Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Looge Entra ID tingimusliku juurdepääsu eeskiri, mis blokeerib Device Code Flow autentimise edastusmeetod kõigile mittearendajatele kasutajatele.

Korduma kippuvad küsimused¶

Miks ei muutnud parooli muutmine ja kahefaktorilise autentimise (2FA) sisselülitamine pahatahtlikku OAuthi rakendust välja?¶

Paroolid ja kahefaktoriline autentimine kaitsevad välisust ainult siis, kui inimene logib sisse logimiskuva kaudu. Kui klõpsate `Allow` OAuth 2.0 nõusolekuviiba korral annate Google'ile, Microsoftile, GitHubile või Discordile korralduse väljastada krüptograafiline dokument `Refresh Token` otse selle kolmanda osapoole rakenduse serverisse, et rakendus saaks töötada taustal, kui olete võrguühenduseta. Arhitektuurse kujunduse tõttu võimaldavad paljud platvormid volitatud kolmandate osapoolte integratsioonidel (nt kalendri sünkroonimise tööriistad, varundusteenused või CRM-i konnektorid) jooksmist rutiinsete paroolide vaheldumisi, välja arvatud juhul, kui lähete oma kolmanda osapoole rakenduste ühenduste lehele ja klõpsate nupul **Tühista / eemalda juurdepääs**.

Kuidas saaks OAuthi andmepüügilink kuvada accounts.google.com või login.microsoftonline.com tõelise HTTPS-i tabalukuga, kui see oli pettus?¶

OAuthi nõusoleku andmepüügirünnaku korral ei loo kurjategija võltsveebisaiti; selle asemel registreerivad nad Google Cloudis või Microsoft Azure'is tasuta arendajarakenduse (see võtab 2 minutit) ja saadavad teile ehtsa Google'i või Microsofti autoriseerimislingi, mis sisaldab nende rakenduse `client_id`. Kuna külastate Google'i või Microsofti tegelikku sisselogimisserverit, on domeeninimi ja SSL-sertifikaat 100 protsenti autentsed. Pettus seisneb selles, et **kellele kuulub kolmanda osapoole rakenduse nimi**, mis küsib pärast sisselogimist luba; klõpsates `Allow` käsib päris Google'i või Microsofti serveril anda teie andmed üle kurjategija registreeritud arendajarakendusele.

Mis on "seadme koodi andmepüük" (microsoft.com/devicelogin) ja miks see nii ohtlik on?¶

OAuth 2.0 seadme autoriseerimise luba (`RFC 8628`) loodi selleks, et saaksite sisse logida seadmetesse, millel pole veebibrauserit või klaviatuuri (nt Smart TV või käsurea liides (CLI): teler kuvab 8-kohalise koodi ja käsib avada `microsoft.com/devicelogin` oma telefoni ja sisestage see kood. Seadmekoodi andmepüügi rünnaku korral käivitab häkker skripti (`TokenTactics` või `RoadTools`) oma arvutis uue 8-kohalise koodi genereerimiseks, seejärel meilid või sõnumid, mis teile Teamsis/Slackis väidavad, et peate selle koodi sisestama aadressil `microsoft.com/devicelogin` turvalise dokumendi vaatamiseks või konto kinnitamiseks. Pärast seda, kui sisestate nende koodi Microsofti päris saidile, logib Microsoft häkkeri arvuti otse teie kontole, kus mitmefaktorilise autentimise nõuded on juba rahuldatud.

Kas tavaline "Logi sisse Google'iga" või "Logi sisse Apple'iga" on ohtlik, kui hüpikaken küsib ainult minu nime ja e-posti aadressi?¶

Standardne OpenID Connect (`OIDC`) "Logi sisse Google'i / Apple'i / Microsofti kontoga" annab teada, et **ainult** taotlete teie põhiprofiili (`Name`, `Email address`ja `Profile picture`). Oht ilmneb ainult siis, kui nõusoleku hüpikaken küsib **täiendavaid tundlikke API ulatusi**, näiteks *"Kogu oma meili lugemine, koostamine, saatmine ja jäädavalt kustutamine", * *Kõigi Google Drive'i failide vaatamine, muutmine, loomine ja kustutamine* või *"Liitu serveritega teie eest."* Enne käsul Jätka klõpsamist lugege alati nõusolekukuval olevat lubade täpploendit.

Seotud juhendid¶

• MFA andmepüügi ja AiTM-i ümbersõit
• Seansiküpsiste kaaperdamine, infostealeri pahavara ja pääsukoodi tühistamine
• Meilikontole häkitud: edastamise reeglid ja taastamine
• Ettevõtte e-posti kompromiss (BEC) ja pettuste tagasivõtmine
• Pahatahtlikud brauserilaiendid, lõikelaua kaaperdajad ja reklaamvara eemaldamine
• Ülemaailmsed hädaabinumbrid

Allikad kontrollitud¶

• Küberturvalisuse ja infrastruktuuri turbeagentuur (CISA) ja Föderaalne Juurdlusbüroo (FBI) (Ameerika Ühendriigid): ühine küberturvalisuse nõuanne ebaseaduslike OAuthi nõusolekulubade, seadmekoodide andmepüügi kohta (RFC 8628) ja Cloud Identity Token Theft.
• Internet Engineering Task Force (IETF) (rahvusvaheline): RFC 6749 (OAuth 2.0 autoriseerimisraamistik), RFC 7009 (OAuth 2.0 loa tühistamine) ja RFC 8628 (OAuth 2.0 seadme autoriseerimise lubamise turvakaalutlused).
• Microsoft Threat Intelligence ja Microsoft Entra Security Engineering (rahvusvaheline): * Pahatahtlike OAuthi rakenduste juhtumitele reageerimise käsiraamat (OAuth2PermissionGrant) ja seadmekoodi andmepüük Microsoft Entra ID-s*.
• Google Cloud ja Google Workspace'i turvalisus (rahvusvaheline): OAuth 2.0 API ulatuse kinnitamine, kolmanda osapoole rakenduste juurdepääsu haldamine ja märgi tühistamise arhitektuur.
• National Cyber ​​Security Center (NCSC) (Ühendkuningriik): juhised pilveüürnike kaitsmiseks OAuthi nõusoleku andmepüügi ja delegeeritud API kuritarvitamise vastu.