OAuth samþykki vefveiðar og afturköllun illgjarnra forritaheimilda þriðja aðila¶

Ímyndaðu þér að uppgötva að árásarmaður er virkur að lesa einkapóstinn þinn, hlaða niður skýjaskjölunum þínum, búa til hljóðlausar framsendingarreglur fyrir pósthólf eða birta óþekktarangi af reikningnum þínum, jafnvel EFTIR að þú breyttir lykilorðinu þínu í 24 stafa handahófskenndan streng og virkjað tvíþátta auðkenningu vélbúnaðar (2FA / Passkeys). Hvernig er árásarmaður enn inni á Google Workspace, Microsoft 365, GitHub, Slack eða Discord reikningnum þínum án þess að vita nýja lykilorðið þitt eða kalla fram eina 2FA vísun? Vegna þess að þú varðst fórnarlamb OAuth 2.0 samþykkisvefveiðar (einnig þekkt sem ólöglegt samþykki eða vefveiðar með tækjakóða). Í stað þess að blekkja þig til að slá lykilorðið þitt inn á falska innskráningarsíðu sendi árásarmaðurinn þér hlekk á ósvikið accounts.google.com eða login.microsoftonline.com heimildarskjár þar sem spurt er hvort app sé nefnt "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," eða "Mail Backup Assistant" gæti haft leyfi til að "Lesa, semja, senda og eyða öllum tölvupósti þínum varanlega úr Gmail" eða "Hafa fullan aðgang að öllum skrám sem þú hefur aðgang að."

Augnablikið sem þú smelltir Allow eða Accept á þessum ekta Microsoft eða Google valmynd gaf auðkennisveitan út netþjóni árásarmannsins langlífa dulmálsmynd OAuth Refresh Token(offline_access). Vegna þess að OAuth 2.0 API auðkenni sannvotta beint gegn REST/Graph API í bakenda (graph.microsoft.com eða gmail.googleapis.com) algjörlega óháð veflotunni þinni, að breyta lykilorðinu þínu eða bæta við 2FA skilur oft illgjarn forritastyrk frá þriðja aðila eftir 100 prósent virka. Til að loka árásarmanninum úti fyrir fullt og allt, verður þú að afturkalla umsóknarstyrk þriðja aðila handvirkt, drepa alla útgefna OAuth endurnýjunar- og aðgangslykil og hreinsa allar bakdyr sem appið bjó til á meðan það hafði API aðgang.

Gerðu þetta núna¶

1. Skiljið strax hvers vegna að breyta lykilorðinu þínu kom EKKI í veg fyrir tölvuþrjótinn: þú verður að afturkalla Third-Party App / OAuth Consent Grant inni í öryggisgátt reikningsins þíns. Þegar þú smellir Allow á OAuth skjá býrðu til viðvarandi vél-til-vél API samning (Service Principal / OAuth App Token). Farðu beint á Forrit og þjónusta þriðju aðila síðu þjónustuveitunnar þíns núna (myaccount.google.com/connections fyrir Google, myapps.microsoft.com eða account.live.com/consent/Manage fyrir Microsoft, github.com/settings/applications fyrir GitHub) og smelltu á Fjarlægja aðgang / afturkalla á hverju forriti sem þú þekkir ekki 100 prósent og treystir ekki.
2. Ef þú slóst inn 8 eða 9 stafa alfanumerískum kóða í microsoft.com/devicelogin, google.com/device, eða github.com/login/device meðan á vefveiðasímtali stendur eða spjalli, afturkalla bæði þín Active Device Sessions OG OAuth App Grants strax. Í Device Code Flow Phishing árás (RFC 8628), árásarmaðurinn býr til snjallsjónvarp/CLI pörunarkóða á tölvunni sinni og platar þig til að slá inn kóðann á alvöru microsoft.com/devicelogin síðu. Með því að slá inn kóðann fær árásarmaðurinn aðal Refresh Token (PRT / Multi-Resource Refresh Token) dulbúinn sem innfæddur Microsoft Office, Azure CLI eða Apple Internet Accounts viðskiptavinur.
3. Eftir að hafa afturkallað skaðlega OAuth appið skaltu strax endurskoða tölvupóstinn þinn Forwarding Rules, Inbox Filters, og Delegated Mailbox Access í gegnum Graph/Gmail notendaviðmótið. Hvað er það fyrsta sem skaðlegt OAuth forrit gerir í fyrsta 500 milliseconds eftir að þú smellir Allow? Það notar Mail.ReadWrite eða MailboxSettings.ReadWrite API svigrúm til að dæla inn ósýnilegri pósthólfsreglu á netþjóni sem áframssender sjálfkrafa öllum komandi banka-, dulritunar- eða lykilorðapósti til árásarmannsins og sendir svör beint til þín Trash eða RSS Feeds möppu (sjá Tölvupóstreikningur brotinn: áframsendingarreglur og endurheimt).
4. Athugaðu hvort skaðlega OAuth appið hafi skráð annað OAuth öryggisafrit app, Personal Access Token (PAT), SSH Key, eða MFA aðferð á meðan það var með stjórnunarumfang. Í Microsoft Entra ID (Azure AD), GitHub og Google Workspace, app veitti skráa- eða reikningsstjórnunarsvið (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, eða GitHub admin:public_key) getur hljóðlaust búið til annað falið API tákn eða þjónustustjóra svo árásarmaðurinn haldi aðgangi eftir að þú eyðir fyrsta forritinu.
5. Ef þetta gerðist á fyrirtæki eða skóla Microsoft 365 eða Google Workspace reikning, hringdu í upplýsingaþjónustuna þína innan 5 mínútna. Einn starfsmaður smellir Accept á OAuth phishing hlekk getur veitt árásarmanni lesaðgang að öllu fyrirtækinu SharePoint, OneDrive, Teams spjalli og alþjóðlegum heimilisfangalista, og sett á laggirnar innri viðskiptatölvupóst (BEC) vírsvikaárás gegn vinnufélögum þínum og viðskiptavinum.
6. Ef árásarmaðurinn notaði OAuth aðgang til að skoða skýjadrifin þín (Google Drive / OneDrive), skattframtöl, útflutningur lykilorða eða reikningsskil, frystu kreditskrár þínar og læstu fjárhagsreikningum. Ef viðkvæm auðkennisskjöl eða ódulkóðuð frumsetningar/lykilorð voru geymd í skýjadrifinu sem OAuth appið opnaði, meðhöndlaðu hverja skrá á því drifi eins og þeim er hlaðið niður af árásarmanninum (sjá Viðbrögð við gagnabrotum og lykilorðsleka).

flowchart TD
    A["Grunur um OAuth-samþykki vefveiðar eða viðvarandi innbrot á reikningi eftir endurstillingu lykilorðs"] --> B["1. Opnaðu leyfisgátt þriðja aðila (Google Connections / Microsoft MyApps / GitHub forrit)"]
    B --> C["2. Skjámyndaðu ókunn öpp til að fá sönnunargögn, smelltu síðan á 'Afturkalla / fjarlægja aðgang' á hverju grunsamlegu OAuth forriti"]
    C --> D{"Slástu inn kóða á innskráningarsíðu tækis (t.d. microsoft.com/devicelogin)?"}
    D -->|"Já: Vefveiðar með tækjakóða (RFC 8628)"| E["Framkvæma 'Skráðu þig út alls staðar / afturkalla öll endurnýjunartákn' til að drepa innfædda CLI / tækiskóða lotur"]
    D -->|"Nei: Staðlað vef OAuth styrk"| E
    E --> F["3. Endurskoða og eyða aukahurðum sem eru búnar til af API tákninu"]
    F --> G["Athugaðu pósthólfsreglur, sjálfvirka áframsendingu og framseldan aðgang (Gmail / Outlook)"]
    F --> H["Athugaðu persónulega aðgangsauðkenni þróunaraðila (PAT), SSH lykla og samþættingu vefhook"]
    F --> I{"Var þetta Microsoft 365/Google Workspace fyrirtækjareikningur?"}
    I -->|"Já"| J["Gera Enterprise Admin / SOC strax viðvart um að afturkalla þjónustuaðstoðarstyrk í Entra ID / Workspace Admin"]
    I -->|"Nei (Persónulegur reikningur)"| K["Breyta lykilorði + Staðfestu MFA tæki + Athugaðu virkniskrár fyrir niðurhal á Cloud Drive"]

Hvernig OAuth 2.0 Consent Phishing framhjá lykilorðum og 2FA (Technical Anatomy)¶

Af hverju hafa netglæpasamtök, njósnahópar þjóðríkja (Midnight Blizzard, Star Blizzard), og dulritunargjaldmiðlaþurrkur færðist mikið úr hefðbundinni falsa-innskráningarvefveiðum yfir í OAuth-samþykkisvefveiðar og Veiðarveiðar með tækiskóða?

1. Hefðbundin vefveiðar vs OAuth-samþykkisvefveiðar vs.¶

2. Stórhættulegt OAuth leyfi gildir um beiðni árásarmanna¶

Þegar þú skoðar forrit á heimildalistanum þínum skaltu skoða vel umfangið sem það bað um: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Leyfir að lesa allan tölvupóst, senda tölvupóst eins og þú og búa til falin framsendingarreglur fyrir pósthólf). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Leyfir niðurhal á hverri skrá í OneDrive og hverri sameiginlegri SharePoint möppu fyrirtækja). * offline_access (Leyfir netþjóni árásarmannsins að búa til glæný Access Tokens í hljóði allan sólarhringinn, jafnvel þegar slökkt er á tölvunni þinni). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Hrammarlegar forréttindi stigmögnunarsviðs fyrirtækja). * Google Workspace / Personal Gmail (Google APIs): * https://mail.google.com/ eða gmail.modify / gmail.settings.basic / gmail.settings.sharing (Full stjórn á lestri, eyðingu og áframsendingu Gmail). * https://www.googleapis.com/auth/drive (Fullur les-/skrif-/niðurhalsaðgangur að hverri skrá á Google Drive). * https://www.googleapis.com/auth/cloud-platform (Fulla stjórn á Google Cloud innviðum og innheimtu). * GitHub og vistkerfi þróunaraðila (GitHub Apps / OAuth Apps): * repo og workflow (Fullur les-/skrifaðgangur að öllum persónulegum frumkóðageymslum og leyfi til að sprauta illgjarnri GitHub Actions CI/CD leyndarmálsleiðslum). * admin:org, admin:public_key, og admin:gpg_key (Leyfi til að bæta við viðvarandi SSH lyklum bakdyra eða breyta aðild að fyrirtæki). * Slack & Discord OAuth umfang: * Slakur channels:history, groups:history, im:history, files:read, og chat:write (Leyfir utanaðkomandi forriti að lesa öll bein skilaboð frá einkateymi, skafa upphlaðnar PDF-skjöl og skilríki og senda vefveiðatengla sem sýna sig sem traustan samstarfsmann). * Ósátt guilds.join og identify (Leyfir vélmenni eða staðfestingargátt sem hefur verið í hættu að tengja Discord reikninginn þinn með valdi inn á svindlþjóna ítrekað án þíns samþykkis).

1. áfangi: Skref-fyrir-skref afturköllun OAuth og forrita frá þriðja aðila fyrir alla helstu vettvang¶

Fylgdu nákvæmlega skrefunum hér að neðan fyrir hvern reikning þar sem þú smelltir á grunsamlegan hlekk, notaðir "Skráðu þig inn með Google / Microsoft / Apple / GitHub / Discord" á ótraustum vef eða varð var við óleyfilega virkni.

1. Google reikningur (Personal Gmail & Google Workspace)¶

1. Opnaðu vafra og farðu beint á: https://myaccount.google.com/connections (eða farðu í myaccount.google.com -> smelltu á Öryggi í vinstri valmyndinni -> skrunaðu niður að Tengingar þínar við öpp og þjónustu þriðja aðila -> smelltu á Sjá allar tengingar).
2. Sía eftir áhættu: Smelltu á síuflöguna efst merkt Access to your Google Account (sem síar út skaðlausar „Skráðu þig inn með Google“ eingöngu nafnaskráningum og undirstrikar forrit sem hafa virkar API heimildir til að lesa Gmail, Google Drive, dagatal eða tengiliði).
3. Smelltu á hvert ókunnugt, grunsamlegt eða ekki lengur notað forrit (passaðu þig á villandi nöfnum sem líkja eftir kerfisforritum eins og "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," eða "Drive Backup").
4. Skrunaðu niður að Sjá upplýsingar til að sjá nákvæma dagsetningu og tíma sem aðgangur var veittur og hvaða umfang (Gmail, Google Drive) það heldur.
5. Smelltu Delete all connections you have with [App Name] -> Smelltu á Staðfesta.
6. Afturkalla einnig virkar tækjalotur (fyrir vefveiðar með tækjakóða): Farðu á https://myaccount.google.com/device-activity og skráðu þig út af ókunnugum Linux-, Windows-, Mac- eða snjallsjónvarpstækjum.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) á móti fyrirtæki (Microsoft 365 / Entra ID)¶

Microsoft notar tvær mismunandi gáttir eftir því hvort reikningurinn þinn er persónulegur neytendareikningur eða vinnu-/skólareikningur:

A. Persónulegir Microsoft reikningar (@outlook.com, @hotmail.com, @live.com)¶

1. Farðu beint á: https://account.live.com/consent/Manage (eða farðu í account.microsoft.com/privacy -> Forrit og þjónusta sem hafa aðgang að gögnunum þínum).
2. Skoðaðu hvert forrit sem skráð er. Ef þú sérð eitthvað forrit sem þú þekkir ekki (eða lögmætan viðskiptavin eins og eM Client, Thunderbird, eða Mail App sem þú settir aldrei upp sjálfur, algengt bragð sem árásarmenn nota til að fá IMAP/Graph OAuth tákn), smelltu á Edit undir því forriti og smelltu á Remove these permissions.
3. Næst skaltu fara á https://account.microsoft.com/security -> Stjórna hvernig ég skrái mig inn -> skrunaðu niður og smelltu á Sign me out (sem knýr fram alþjóðlega ógildingu í öllum vöfrum, forritum og Xbox/OneDrive lotum innan 24 klukkustunda).

B. Fyrirtæki / Vinna / Skóli Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Sem einstakur starfsmaður notandi:
2. Farðu í https://myapps.microsoft.com -> Smelltu á prófíltáknið þitt eða tannhjólstáknið -> Smelltu á Profile eða smelltu á punktana þrjá (...) á ókunnugum forritaflisum -> Veldu Stjórna forritinu þínu -> Afturkalla heimildir.
3. Farðu líka á https://myaccount.microsoft.com -> Öryggisupplýsingar -> sannreyndu að engum fantur Authenticator appi var bætt við og smelltu á Sign out everywhere undir flipanum Yfirlit.
4. Sem Microsoft 365 / Entra ID stjórnandi (Emergency PowerShell Token & Consent Purge): Þegar starfsmaður fellur fyrir OAuth Consent Phishing eða Device Code Phishing hjá leigjanda fyrirtækis, er einfaldlega ekki nóg að eyða appinu af MyApps gátt notandans; stjórnandi verður að afturkalla OAuth2PermissionGrant yfir leigjanda og ógilda notandann RefreshTokensValidFromDateTime í gegnum Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), og X / Félagsreikningar¶

Árásarmenn miða mikið á þróunaraðila, samfélag og félagslega reikninga með OAuth vefveiðum til að ýta á skaðlegan kóða, tæma Discord samfélög eða senda dulritunargjaldmiðil tæmingartengla:

2. áfangi: Leita að efri þrautseigju sem illgjarn OAuth appið skilur eftir sig¶

1. Reglur fyrir pósthólf í tölvupósti, sjálfvirka framsendingar og falinn sópareglur (Gmail & Outlook / M365)¶

Ef illgjarn OAuth app hafði Mail.ReadWrite eða MailboxSettings.ReadWrite heimildir: * Í Gmail: Smelltu á Gírtáknið (efst til hægri) -> Sjá allar stillingar. 1. Smelltu á Forwarding and POP/IMAP flipinn -> Staðfestu það Forwarding er stillt á Slökkva á áframsendingu og ekkert ókunnugt netfang er skráð. 2. Smelltu á Filters and Blocked Addresses flipinn -> Leitaðu að hvaða síu sem passar from:(*) eða leitarorð eins og bank, wire, invoice, coinbase, password, eða security með aðgerðinni Delete it, Skip the Inbox (Archive it), eða Forward it to -> Eyddu þessum síum strax. 3. Smelltu á Accounts and Import flipinn -> Undir Veitja aðgang að reikningnum þínum (Framstilltur aðgangur) og Senda póst sem, fjarlægðu öll ókunnug heimilisfang. * Í Microsoft Outlook Web (outlook.office.com eða outlook.live.com): Smelltu á Gírtáknið (efst til hægri) -> Póstur. 1. Smelltu Rules -> Eyða öllum ókunnugum reglum (árásarmenn nefna oft illgjarnar reglur . eða ... eða Security Sync og stilla þá til að flytja komandi tölvupóst inn í RSS Subscriptions eða Conversation History möppu meðan þú merkir þær sem Lesa). 2. Smelltu Forwarding (og Junk email) -> Gakktu úr skugga um að ekki sé hakað við Enable forwarding og eyddu öllum árásarlénum sem bætt er við Örygga sendendur og lén listann.

2. Cloud Drive fjöldaniðurhalsendurskoðun & „Link-Sharing“ bakdyr (Google Drive & OneDrive / SharePoint)¶

Þegar OAuth app hefur Files.ReadWrite.All eða drive umfang, það gerir tvennt: Í fyrsta lagi halar það niður viðkvæmum PDF-skjölum þínum, töflureiknum og lykilorðaskrám; annað, það getur hljóðlaust breytt samnýtingarheimildum á trúnaðarmöppum þínum í "Anyone with the link can view/edit" þannig að árásarmaðurinn getur samt opnað þessar möppur í nafnlausum vafra jafnvel eftir að þú afturkallar OAuth appið. * Í Google Drive: Smelltu á (i) Skoða upplýsingar (virkni) táknið efst í hægra horninu til að sjá hverja skrá sem hefur verið skoðuð, breytt eða deilt á síðustu 7 dögum. Sláðu síðan inn is:unorganized, sharedwith:public, eða sharedwith:external í efstu Google Drive leitarstikuna til að finna allar skrár eða möppur sem árásarmaðurinn gerði aðgengilegar almenningi. * Í Microsoft OneDrive: Farðu í flipann Deilt -> Deilt af þér í vinstri valmyndinni og afturkallaðu alla opinbera hlekk (Anyone with the link) þú bjóst ekki til.

3. Google Apps Script (script.google.com) & Microsoft Power Automate (make.powerautomate.com) Kveikjur¶

Hér er þrautseigjubragð sem notað er gegn notendum Google og Microsoft 365: á reikningnum þínum býr árásarmaður til 10 lína Google Apps Script (á https://script.google.com/home/triggers) eða Microsoft Power Automate Cloud Flow (á https://make.powerautomate.com) stillt á að keyra á 5 mínútna tímamæli (Time-driven trigger eða When a new email arrives). Vegna þess að þetta handrit keyrir innbyggt í þínum eigin skýjareikningi heldur það áfram að síast út tölvupóstinn þinn á 5 mínútna fresti, jafnvel eftir að þú breytir lykilorðinu þínu og eyðir ytri öppum. * Opið https://script.google.com/home/triggers (fyrir Google) eða https://make.powerautomate.com -> Mín flæði (fyrir Microsoft 365) núna og eyddu hvaða skriftu eða sjálfvirku flæði sem þú skrifaðir ekki persónulega.

4. Endurskoðun skýjaendurskoðunarskráa fyrir gagnasíun (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Ef þú þarft að vita nákvæmlega hvaða tölvupóst eða skrár skaðlega OAuth forritið las eða hlaðið niður á meðan tákn þess var virkt: * Á persónulegum Google reikningum: Opið https://myactivity.google.com og https://myaccount.google.com/notifications til að skoða nýlega öryggisatburði og athuga hvort beðið hafi verið um Google Takeout skjalasafnsútflutning. * Á Google Workspace (stjórnborði): Farðu á admin.google.com -> Reporting -> Audit and investigation -> OAuth log events og Drive log events síað af notandanum sem er í hættu og hinn illgjarna Client ID til að fá heilan tímastimplaðan lista yfir hvert skráaauðkenni sem aðgangur er að. * Á Microsoft 365 (Purview / Entra ID): Opið entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, smelltu á Non-interactive user sign-ins og Service principal sign-ins flipar (venjulegar gagnvirka innskráningarskrár sýna EKKI endurnýjun OAuth tákns í bakgrunni) og sía eftir skaðlegum Application ID til að sjá hvert IP-tala og símtal sem árásarmaðurinn hringir.

5. Snúið óvarið leyndarmál sem finnast inni í skýjadrifinu þínu eða tölvupósti¶

Ef illgjarn OAuth forritið hafði aðgang að Gmail, Outlook, Google Drive, OneDrive eða GitHub geymslunum þínum í jafnvel 60 sekúndur, gerðu ráð fyrir að árásarmaðurinn hafi keyrt sjálfvirka regex-sköfu yfir pósthólfið þitt og drif að leita að: 1. Kryptocurrency Seed Setningar (12/24-word BIP-39 mnemonics) eða Veski .json Lyklaverslanir: Ef mynd eða skjal sem inniheldur dulmálsfræsetningu var í skýjadrifinu þínu eða tölvupósti skaltu færa alla fjármuni strax í glænýtt vélbúnaðarveskisfræ (sjá Dulritunargjaldmiðill veski holræsi og fræ setningu málamiðlun). 2. ** Útfluttur lykilorðastjóri .csv Skrár eða skattframtöl (Form 1040 / W-2):** Snúðu lykilorðunum þínum og frystu lánastofnanirnar þínar (Equifax, Experian, TransUnion) strax. 3. Þróunarforritaskil lyklar (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env skrár): Afturkallaðu og rúllaðu hverju leyndarmáli skýjainnviða sem alltaf hefur birst í tölvupósti þínum, Slack skilaboðum eða skýjaskjölum.

Forvarnargátlisti: stöðva OAuth og tækjakóða vefveiðar varanlega¶

• Gefðu aldrei utanaðkomandi app fullt Read/Write Email eða Full Cloud Drive heimildir bara til að skoða eina PDF, dagatalsboð eða tól: Lögmætur hlekkur til að skoða skjöl þarf aldrei leyfi til að "Lesa, skrifa, senda og eyða öllum tölvupósti þínum varanlega úr Gmail." Ef óvænt OAuth-samþykkisskjár biður um breitt pósthólf eða drifsvið skaltu loka flipanum strax.
• Sláðu aldrei inn a Device Login Code (microsoft.com/devicelogin eða google.com/device) send til þín af öðrum aðila í tölvupósti, textaskilaboðum eða spjalli: Tækjakóðar (RFC 8628) eru eingöngu fyrir vélbúnaðarskjái sem sitja líkamlega fyrir framan þig í sama herbergi (eins og Apple TV í stofu eða eigin SSH útstöð). Ef einhver annar býr til tækiskóða og biður þig um að slá hann inn, ertu að skrá þig inn á þinn tölvu.
• Fyrir Microsoft 365 / Google Workspace stjórnendur: Slökktu á OAuth forritssamþykki endanotenda og loka fyrir flæði tækiskóða með skilyrtum aðgangi:
• Í Microsoft Entra Admin Center (entra.microsoft.com) -> Auðkenni -> Forrit -> Fyrirtækjaforrit -> Samþykki og heimildir -> Stillingar notendasamþykkis, skiptu úr Leyfa samþykki notanda fyrir forrit í Do not allow user consent (og virkjaðu Samþykkisverkflæði stjórnanda þannig að starfsmenn smelli á „Biðja um samþykki“ í stað þess að veita fantur forritum aðgang).
• Í Google Workspace stjórnborðinu (admin.google.com) -> Öryggi -> Aðgangs- og gagnastýring -> API stýringar -> Stjórna aðgangi þriðja aðila forrita, stilltu áhættusvið (Gmail, Drive) til Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Búðu til Entra ID skilyrt aðgangsstefnu sem hindrar Device Code Flow flutningsaðferð auðkenningar fyrir alla notendur sem ekki eru verktaki.

Algengar spurningar¶

Af hverju var ekki illgjarnt OAuth-forrit að breyta lykilorðinu mínu og kveikja á tvíþátta auðkenningu (2FA)?¶

Lykilorð og tvíþætt auðkenning verja aðeins útidyrnar þegar maður skráir sig inn í gegnum innskráningarskjá. Þegar þú smellir `Allow` á OAuth 2.0 samþykkisbeiðni gefur þú Google, Microsoft, GitHub eða Discord fyrirmæli um að gefa út dulmál `Refresh Token` beint á netþjón þriðja aðila forritsins svo appið geti virkað í bakgrunni á meðan þú ert ótengdur. Með byggingarhönnun leyfa margir vettvangar viðurkenndar samþættingar þriðja aðila (eins og samstillingarverkfæri fyrir dagatal, öryggisafritunarþjónustu eða CRM-tengi) til að halda áfram að keyra yfir venjulega snúninga lykilorða nema þú farir sérstaklega á síðuna þína fyrir tengingar þriðja aðila og smellir á **Afturkalla / fjarlægja aðgang**.

Hvernig gæti OAuth phishing hlekkur sýnt accounts.google.com eða login.microsoftonline.com með alvöru HTTPS hengilás ef það var svindl?¶

Í OAuth Consent Phishing árás býr glæpamaðurinn ekki til falsa vefsíðu; í staðinn skrá þeir ókeypis þróunarforrit í Google Cloud eða Microsoft Azure (sem tekur 2 mínútur) og senda þér ekta Google eða Microsoft heimildartengil sem inniheldur forritið þeirra `client_id`. Vegna þess að þú ert að heimsækja raunverulegan innskráningarþjón Google eða Microsoft eru lénið og SSL vottorðið 100 prósent ósvikið. Blekkingin er í því að **hver á nafn þriðja aðila appsins** biður um leyfi þegar þú skráir þig inn; smella `Allow` segir hinum raunverulega Google eða Microsoft netþjóni að afhenda gögnin þín í skráða þróunarforrit glæpamannsins.

Hvað er "Tækjakóða vefveiðar" (microsoft.com/devicelogin), og hvers vegna er það svona hættulegt?¶

OAuth 2.0 tækjaheimildarstyrkur (`RFC 8628`) var búið til svo þú gætir skráð þig inn í tæki sem eru ekki með vafra eða lyklaborð, eins og snjallsjónvarp eða skipanalínuviðmót (CLI): sjónvarpið sýnir 8 stafa kóða og segir þér að opna `microsoft.com/devicelogin` í símanum þínum og sláðu inn kóðann. Í tækjakóða phishing árás, keyrir tölvuþrjótur skriftu (`TokenTactics` eða `RoadTools`) á eigin tölvu til að búa til nýjan 8 stafa kóða, síðan senda tölvupóst eða skilaboð til þín á Teams/Slack þar sem haldið er fram að þú þurfir að slá inn þann kóða á `microsoft.com/devicelogin` til að skoða öruggt skjal eða staðfesta reikninginn þinn. Í annað sinn sem þú slærð kóðann inn á raunverulega síðu Microsoft skráir Microsoft tölvu tölvuþrjótarans beint inn á reikninginn þinn með fullri fjölþátta auðkenningarkröfum sem þegar hafa verið uppfylltar.

Er staðlað „Skráðu þig inn með Google“ eða „Skráðu þig inn með Apple“ hættulegt ef sprettiglugginn biður aðeins um nafn mitt og netfang?¶

Standard OpenID Connect (`OIDC`) „Skráðu þig inn með Google / Apple / Microsoft“ biður um að **aðeins** biður um grunnprófílinn þinn (`Name`, `Email address`, og `Profile picture`) eru í raun miklu öruggari en að slá inn lykilorð á nýja vefsíðu, vegna þess að vefsíða þriðja aðila sér aldrei lykilorðið þitt og fær engan aðgang að tölvupóstinum þínum eða skrám. Hættan á sér aðeins stað þegar samþykkissprettiglugginn biður um **viðkvæmt API umfang**, eins og *"Lesa, skrifa, senda og eyða öllum tölvupósti þínum varanlega,"* *"Sjá, breyta, búa til og eyða öllum Google Drive skránum þínum,"* eða *"Gakktu til liðs við netþjóna fyrir þig."* Lesið alltaf punktalistann yfir leyfisveitingar.

Tengdir leiðsögumenn¶

• MFA phishing og Adversary-in-the-Middle (AiTM) framhjá
• Ránun á lotuköku, spilliforritum upplýsingastealer og afturköllun aðgangslykills
• Tölvupóstreikningur brotinn: áframsendingarreglur og endurheimt
• Samkomulag um viðskiptatölvupóst (BEC) og innköllun á vírsvikum
• Illgjarn vafraviðbót, ræningjar á klemmuspjaldi og fjarlæging auglýsingaforrita
• Alþjóðleg neyðarnúmer

Heimildir athugaðar¶

• Netöryggis- og innviðaöryggisstofnunin (CISA) og alríkislögreglan (FBI) (Bandaríkin): Sameiginleg netöryggisráðgjöf um ólöglega OAuth-samþykkisstyrki, vefveiðar með tækjakóða (RFC 8628), og Cloud Identity Token Theft.
• Internet Engineering Task Force (IETF) (alþjóðleg): RFC 6749 (The OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation) og RFC 8628 (OAuth 2.0 Device Authorization Grant Security Considerations).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (alþjóðlegt): Aðviksviðbrögð leikbók fyrir illgjarn OAuth forrit (OAuth2PermissionGrant) og Vefveiðar tækjakóða í Microsoft Entra ID.
• Google Cloud & Google Workspace Security (alþjóðlegt): OAuth 2.0 API umfangsstaðfesting, stjórnun forritaaðgangs frá þriðja aðila og arkitektúr fyrir afturköllun tákna.
• National Cyber ​​Security Center (NCSC) (Bretland): Leiðbeiningar um að verja skýleigjendur gegn OAuth-samþykkisveiðum og framseldri misnotkun á API.