OAuth макулдугу фишинг жана зыяндуу үчүнчү тараптын колдонмолорунун уруксаттарын жокко чыгаруу¶

Сиз сырсөзүңүздү жаңы эле 24 белгиден турган кокус сапка өзгөрткөндөн КИЙИН жана эки фактордук аутентификацияны иштеткениңизден КИЙИН, чабуулчу сиздин жеке каттарды активдүү окуп жатканын, булут документтериңизди жүктөп алып, унчукпай келген каттарды жөнөтүү эрежелерин түзүп же аккаунтуңуздан алдамчылык шилтемелерин жарыялап жатканын элестетиңиз.2FA / Passkeys). Жаңы сырсөзүңүздү билбестен же бир гана 2FA чакырыгын иштетпестен, чабуулчу кандайча Google Workspace, Microsoft 365, GitHub, Slack же Discord каттоо эсебиңиздин ичинде турат? Анткени сиз OAuth 2.0 Consent Phishing (Мыйзамсыз Макулдук Грант же Түзмөктүн Код Фишинги катары да белгилүү) курмандыгы болдуңуз. Жасалма кирүү баракчасына сырсөзүңүздү терүү үчүн сизди алдагандын ордуна, чабуулчу сизге чыныгы сырсөзгө шилтеме жөнөттү. accounts.google.com же login.microsoftonline.com авторизация экраны колдонмонун аталышын сурайт "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," же "Mail Backup Assistant" "Gmail'ден бардык электрондук почтаңызды окуу, түзүү, жөнөтүү жана биротоло жок кылуу" же "Сиз кире алган бардык файлдарга толук мүмкүнчүлүк алуу" уруксаты болушу мүмкүн.

Сиз баскан учур Allow же Accept ошол чыныгы Microsoft же Google диалог терезесинде идентификациялык камсыздоочу чабуулчунун серверине узак мөөнөттүү криптографиялык OAuth Refresh Token (offline_access). Анткени OAuth 2.0 API токендери REST/Graph API'леринен түздөн-түз аутентификацияланат (graph.microsoft.com же gmail.googleapis.com) адамдын веб-сеансынан толугу менен көз карандысыз, паролуңузду өзгөртүү же 2FA кошуу көбүнчө зыяндуу үчүнчү тараптын колдонмолорун 100 пайыз активдүү калтырат. Чабуулчуну биротоло кулпулоо үчүн, үчүнчү тараптын колдонмо грантын кол менен жокко чыгарышыңыз керек, бардык берилген OAuth жаңыртууларын жана кирүү белгилерин жок кылышыңыз керек жана колдонмонун API мүмкүнчүлүгү бар кезде түзүлгөн бардык бэкдорлорду тазалашыңыз керек.

Муну азыр кыл¶

1. Эмне үчүн сырсөзүңүздү өзгөртүү хакерди токтотпогондугун дароо түшүнүңүз: сиз аны жокко чыгарышыңыз керек Third-Party App / OAuth Consent Grant каттоо эсебиңиздин коопсуздук порталынын ичинде. Басканда Allow OAuth экранында сиз туруктуу машинадан машинага API келишимин түзөсүз (Service Principal / OAuth App Token). Провайдериңиздин Үчүнчү Тарап Колдонмолор жана Кызматтары барагына азыр өтүңүз (myaccount.google.com/connections Google үчүн, myapps.microsoft.com же account.live.com/consent/Manage Microsoft үчүн, github.com/settings/applications GitHub үчүн) жана сиз 100 пайыз тааныбаган жана ишенбеген ар бир тиркемеде Кирүү мүмкүнчүлүгүн алып салуу/Жокко чыгаруу дегенди басыңыз.
2. Эгер сиз 8 же 9 белгиден турган алфавиттик-сандык кодду терген болсоңуз microsoft.com/devicelogin, google.com/device, же github.com/login/device фишинг чалуу же чат учурунда экөөнү тең жокко чыгарыңыз Active Device Sessions ЖАНА OAuth App Grants дароо. Түзмөк кодунун агымынын фишингдик чабуулунда (RFC 8628), чабуулчу өзүнүн компьютеринде смарт-TV/CLI жупташтыруу кодун жаратат жана ал кодду чыныгы жерге терүү үчүн алдап жатат. microsoft.com/devicelogin бет. Бул кодду терүү чабуулчуга биринчиликти берет Refresh Token (PRT / Multi-Resource Refresh Token) түпнуска Microsoft Office, Azure CLI же Apple Internet Accounts кардары катары жашырылган.
3. ** Зыяндуу OAuth колдонмосун жокко чыгаргандан кийин, дароо Emailиңизди текшериңиз Forwarding Rules, Inbox Filters, жана Delegated Mailbox Access Graph/Gmail UI аркылуу.** Зыяндуу OAuth колдонмосу эң биринчи эмне кылат 500 milliseconds чыкылдаткандан кийин Allow? Ал колдонот Mail.ReadWrite же MailboxSettings.ReadWrite Ар бир келген банкты, криптолорду же сырсөздү калыбына келтирүүчү электрондук почтаны автоматтык түрдө чабуулчуга жөнөтүүчү жана жоопторду түз сиздин дарегиңизге багыттай турган көзгө көрүнбөгөн сервер тарабындагы келген кутуча эрежесин киргизүү үчүн API масштабы Trash же RSS Feeds папка (кара Электрондук почта аккаунту бузулду: багыттоо эрежелери жана калыбына келтирүү).
4. Зыяндуу OAuth колдонмосу экинчи камдык OAuth тиркемесин, Жеке мүмкүндүк алуу белгисин каттаганын текшериңиз (PAT), SSH ачкычы же MFA ыкмасы, ал эми анын административдик чөйрөлөрү бар. Microsoft Entra ID (Azure AD), GitHub жана Google Workspaceде колдонмого каталог же каттоо эсебин башкаруу чөйрөлөрү (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, же GitHub admin:public_key) сиз биринчи колдонмону жок кылганыңыздан кийин чабуулчу кирүү мүмкүнчүлүгүн сактап калышы үчүн экинчи жашырылган API белгисин же кызматтын негизгисин түзө алат.
5. Эгер бул ишканада же мектепте болгон болсо Microsoft 365 же Google Workspace Каттоо эсебиңиз үчүн 5 мүнөттүн ичинде IT Коопсуздук / SOC жардам кызматына чалыңыз. Бир гана кызматкер чыкылдатуу Accept OAuth фишинг шилтемесинде чабуулчуга компаниянын SharePoint, OneDrive, Командалар чаттарына жана Глобалдык даректер тизмесине окуу мүмкүнчүлүгүн берип, ички Business Email Compromise (BEC) Сиздин кесиптештериңизге жана кардарларыңызга каршы зым менен алдамчылык чабуулу.
6. Эгер чабуулчу булут дисктериңизди көрүү үчүн OAuth мүмкүнчүлүгүн колдонсо (Google Drive / OneDrive), салык декларацияларын, сырсөздөрдү экспорттоо же каржылык отчеттор үчүн кредиттик файлдарыңызды тоңдуруңуз жана каржылык эсептерди жаап коюңуз. Эгерде купуя өздүгүңүздү тастыктаган документтер же шифрленбеген негизги фразалар/сырсөздөр OAuth колдонмосу кирген булут дискинде сакталган болсо, ал дисктеги ар бир файлды чабуулчу жүктөп алган деп эсептеңиз (караңыз. Маалыматтын бузулушуна жооп жана сырсөз агып чыгат).

flowchart TD
    A["Сырсөздү баштапкы абалга келтиргенден кийин OAuth макулдугу фишингине же каттоо эсебине туруктуу чабуулга шектелүүдө"] --> B["1. Үчүнчү Тарап Колдонмонун Уруксат порталын ачыңыз (Google Connections / Microsoft MyApps / GitHub Тиркемелери)"]
    B --> C["2. Далил үчүн бейтааныш колдонмолорду скриншот кылып, андан соң ар бир шектүү OAuth колдонмосунда 'Кирүү мүмкүнчүлүгүн жокко чыгаруу/алып салуу' баскычын чыкылдатыңыз"]
    C --> D{"Түзмөккө кирүү бетине код киргиздиңизби (мис., microsoft.com/devicelogin)?"}
    D -->|"Ооба: Түзмөк коду фишинг (RFC 8628)"| E["Түпкү CLI / Түзмөк кодунун сеанстарын жок кылуу үчүн 'Бардык жерде чыгуу / Бардык жаңылоо белгилерин жокко чыгаруу' функциясын аткарыңыз"]
    D -->|"Жок: Стандарттык Web OAuth Гранты"| E
    E --> F["3. API Токени тарабынан түзүлгөн кошумча арткы эшиктерди текшерүү жана жок кылуу"]
    F --> G["Электрондук почтанын келген каттарынын эрежелерин, автоматтык түрдө багыттоо жана ыйгарым укуктарды текшерүү (Gmail / Outlook)"]
    F --> H["Иштеп чыгуучунун жеке жетүү Токендерин (PATs), SSH ачкычтарын жана Webhook интеграциясын текшериңиз"]
    F --> I{"Бул Корпоративдик Microsoft 365 / Google Workspace аккаунтубу?"}
    I -->|"Ооба"| J["Enterprise Admin / SOC дароо эле Entra ID / Workspace администраторундагы ServicePrincipal грантын жокко чыгарууну эскертиңиз"]
    I -->|"Жок (Жеке аккаунт)"| K["Сырсөздү өзгөртүү + ТИМ түзмөктөрүн текшерүү + Cloud Drive жүктөө иш журналдарын текшерүү"]

OAuth 2.0 Consent Phishing сырсөздөрдү жана 2FA (Техникалык Анатомия) кантип айланып өтөт¶

Эмне үчүн киберкриминалдык синдикаттар, улуттук-мамлекеттик шпиондук топтор бар (Midnight Blizzard, Star Blizzard) жана криптовалюталарды төгүүчүлөр салттуу жасалма кирүү фишингинен OAuth Consent Фишингине жана Түзмөктүн Код Фишингине катуу өттүбү?

1. Салттуу фишинг менен OAuth макулдугу фишингине каршы. Түзмөктүн коду фишингине каршы.¶

2. Жогорку кооптуу OAuth уруксат алкактары чабуулчулардын өтүнүчү¶

Уруксат тизмеңиздеги колдонмону текшерип жатканда, ал сураган чөйрөлөрдү жакшылап караңыз: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Бардык каттарды окууга, электрондук каттарды сиз катары жөнөтүүгө жана каттарды жөнөтүү эрежелерин түзүүгө мүмкүндүк берет). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (OneDrive жана ар бир жалпы корпоративдик SharePoint папкаңыздагы ар бир файлды жүктөп алууга мүмкүндүк берет). * offline_access (Чабуулчунун серверине компьютериңиз өчүк болсо да, 24/7 жаңы Access Токендерин үнсүз чыгарууга мүмкүндүк берет). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Катастрофиялык ишкананын артыкчылыктарын кеңейтүү чөйрөлөрү). * Google Workspace / Жеке Gmail (Google APIs): * https://mail.google.com/ же gmail.modify / gmail.settings.basic / gmail.settings.sharing (Gmailди окуу, жок кылуу жана багыттоо боюнча толук көзөмөл). * https://www.googleapis.com/auth/drive (Google Drive'ыңыздагы ар бир файлга толук окуу/жазуу/жүктөп алуу мүмкүнчүлүгү). * https://www.googleapis.com/auth/cloud-platform (Google Cloud инфраструктурасын жана эсеп коюуну толук көзөмөлдөө). * GitHub жана Developer экосистемалары (GitHub Apps / OAuth Apps): * repo жана workflow (Бардык жеке булак-код репозиторийлерине толук окуу/жазуу мүмкүнчүлүгү жана зыяндуу GitHub Actions CI/CD сырларын уурдоочу түтүктөрдү киргизүүгө уруксат). * admin:org, admin:public_key, жана admin:gpg_key (Туруктуу backdoor SSH ачкычтарын кошууга же уюмдун мүчөлүгүн өзгөртүүгө уруксат). * Slack & Discord OAuth Scopes: * Slack channels:history, groups:history, im:history, files:read, жана chat:write (Тышкы колдонмого бардык жеке команданын түз билдирүүлөрүн окууга, жүктөлүп берилген PDF файлдарын жана эсептик дайындарды кырып салууга жана ишенимдүү кесиптеш катары фишинг шилтемелерин жөнөтүүгө уруксат берет). * Дискорд guilds.join жана identify (Бузулган ботко же текшерүү порталына сиздин макулдугуңузсуз кайра-кайра Discord аккаунтуңузга шылуун серверлерге кошулуу мүмкүнчүлүгүн берет).

1-фаза: Ар бир негизги платформа үчүн этап-этабы менен OAuth жана Үчүнчү Тарап Колдонмосун жокко чыгаруу¶

Шектүү шилтемени чыкылдаткан, ишенимсиз сайтта "Google/Microsoft/Apple/GitHub/Discord менен кирүүнү" колдонгон же уруксатсыз аракеттерди байкаган ар бир аккаунт үчүн төмөндөгү так кадамдарды аткарыңыз.

1. Google Каттоо эсеби (Personal Gmail & Google Workspace)¶

1. Браузерди ачып, түз өтүңүз: https://myaccount.google.com/connections (же өтүңүз myaccount.google.com -> сол менюдан Коопсуздук баскычын басыңыз -> Үчүнчү тараптын колдонмолоруна жана кызматтарына туташууларыңызга ылдый жылдырып -> Бардык байланыштарды көрүү дегенди басыңыз.
2. Тобокелдик боюнча чыпкалоо: Жогору жактагы чыпкалуу чипти басыңыз Access to your Google Account (ал "Google менен кирүү" деген зыянсыз логиндерди чыпкалайт жана Gmail, Google Drive, Жылнаама же Байланыштарыңызды окууга активдүү API уруксаттары бар колдонмолорду бөлүп көрсөтөт).
3. Ар бир бейтааныш, шектүү же колдонулбай калган колдонмолорду чыкылдатыңыз (мисалы, системанын утилиталарын туураган алдамчы аттардан сак болуңуз. "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," же "Drive Backup").
4. Так датаны жана убакытты көрүү үчүн Чоо-жайын көрүү дегенге ылдый жылдырып, кирүү мүмкүнчүлүгүн жана кайсы чөйрөлөрдү (Gmail, Google Drive) кармайт.
5. басыңыз Delete all connections you have with [App Name] -> Ырастоо баскычын басыңыз.
6. Ошондой эле түзмөктүн жигердүү сессияларын жокко чыгарыңыз (Түзмөктүн кодун фишинг үчүн): өтүңүз https://myaccount.google.com/device-activity жана бардык бейтааныш Linux, Windows, Mac же Smart TV түзмөгүнүн сессиясынан чыкыңыз.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) корпоративдик (Microsoft 365 / Entra ID)¶

Каттоо эсебиңиз жеке керектөө эсеби же жумуш/мектеп аккаунту экендигине жараша Microsoft эки башка порталды колдонот:

A. Жеке Microsoft Каттоо эсептери (@outlook.com, @hotmail.com, @live.com)¶

1. Түздөн-түз өтүңүз: https://account.live.com/consent/Manage (же өтүңүз account.microsoft.com/privacy -> Дайындарыңызга кире алган колдонмолор жана кызматтар).
2. Тизмеде көрсөтүлгөн ар бир арызды текшериңиз. Эгер сиз тааныбаган колдонмолорду көрсөңүз (же мыйзамдуу угулат eM Client, Thunderbird, же Mail App IMAP/Graph OAuth энбелгилерин алуу үчүн чабуулчулар колдонгон кеңири таралган куулук), сиз өзүңүз эч качан орнотпогонңуз), чыкылдатыңыз Edit ошол колдонмонун астында жана чыкылдатуу Remove these permissions.
3. Кийинкиге өтүңүз https://account.microsoft.com/security -> Мен кантип киреримди башкаруу -> ылдый жылдырып, чыкылдатыңыз Sign me out (бул бардык браузерлерде, колдонмолордо жана Xbox/OneDrive сеанстарында 24 сааттын ичинде глобалдык жараксыз абалга алып келет).

B. Корпоративдик / Жумуш / Мектеп Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Жеке кызматкер колдонуучу катары:
2. Баруу https://myapps.microsoft.com -> Профилиңиздин сөлөкөтүн же тиш белгисин басыңыз -> Профиль баскычын басыңыз же үч чекитти басыңыз (...) кандайдыр бир бейтааныш колдонмо плитасында -> Колдонмоңузду башкаруу -> Уруксаттарды жокко чыгаруу тандаңыз.
3. Ошондой эле барыңыз https://myaccount.microsoft.com -> Коопсуздук маалыматы -> эч кандай бузуку Authenticator колдонмосу кошулбаганын текшерип, чыкылдатыңыз Sign out everywhere Обзор өтмөгүнүн астында.
4. Microsoft 365 / Entra ID администратору катары (шашылыш PowerShell Токени жана макулдукту тазалоо): Кызматкер ишкананын ижарачысында OAuth Consent Фишингине же Түзмөк коду фишингине кабылганда, колдонуучунун MyApps порталынан колдонмону жок кылуу жетиштүү эмес; админ жокко чыгарышы керек OAuth2PermissionGrant ижарачы боюнча жана колдонуучунун жараксыз RefreshTokensValidFromDateTime Microsoft Graph PowerShell аркылуу:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), жана X / Коомдук эсептер¶

Чабуулчулар OAuth фишингинин жардамы менен иштеп чыгуучуларга, коомчулукка жана социалдык аккаунттарга катуу бутага алып, зыяндуу коддорду түртүп, Discord коомдоштуктарын өчүрүп же криптовалюталарды төгүүчү шилтемелерди жайгаштырышат:

2-фаза: зыяндуу OAuth колдонмосунан калган экинчилик туруктуулукка аңчылык кылуу¶

1. Электрондук почтанын кириш кутусунун эрежелери, авто-экспедиторлор жана жашыруун шыпыруу эрежелери (Gmail & Outlook / M365)¶

Эгерде зыяндуу OAuth колдонмосу болсо Mail.ReadWrite же MailboxSettings.ReadWrite уруксаттар: * Gmail'де: Тешердик сөлөкөтүн (жогорку оң жакта) -> Бардык жөндөөлөрдү көрүү чыкылдатыңыз. 1. ** басыңызForwarding and POP/IMAP** табулатура -> Муну текшериңиз Forwarding Багыттоону өчүрүү деп коюлган жана эч кандай тааныш эмес электрондук почта дареги көрсөтүлгөн эмес. 2. ** басыңызFilters and Blocked Addresses** өтмөк -> дал келген чыпкаларды издеңиз from:(*) же сыяктуу ачкыч сөздөр bank, wire, invoice, coinbase, password, же security иш менен Delete it, Skip the Inbox (Archive it), же Forward it to -> Ошол чыпкаларды дароо жок кылыңыз. 3. ** басыңызAccounts and Import** өтмөк -> Каттоо эсебиңизге кирүү мүмкүнчүлүгүн берүү (Өкүл берилген мүмкүнчүлүк) жана Катты төмөнкүдөй жөнөтүү бөлүмдөрүнүн астынан тааныш эмес даректи алып салыңыз. * Microsoft Outlook Webте (outlook.office.com же outlook.live.com): Тиштүү белгисин (жогорку оң жакта) -> Почта чыкылдатыңыз. 1. басыңыз Rules -> Ар бир бейтааныш эрежени жок кылыңыз (чабуулчулар көбүнчө зыяндуу эрежелерди аташат . же ... же Security Sync жана аларды кирүүчү электрондук почтага жылдыруу үчүн конфигурациялаңыз RSS Subscriptions же Conversation History папканы окуу менен белгилөө менен). 2. басыңыз Forwarding (жана Junk email) -> Бастап жиберүүнү иштетүү белгиленбегенин текшериңиз жана Коопсуз жөнөтүүчүлөр жана домендер тизмесине кошулган бардык чабуулчу домендерин жок кылыңыз.

2. Cloud Drive Масс-Жүктөө Аудити жана "Шилтемелерди бөлүшүү" Backdoors (Google Drive & OneDrive / SharePoint)¶

OAuth колдонмосу болгондо Files.ReadWrite.All же drive масштабы, ал эки нерсени кылат: биринчиден, ал сиздин сезимтал PDF файлдарыңызды, электрондук жадыбалыңызды жана сырсөз файлдарыңызды жүктөп алат; экинчиден, ал сиздин купуя папкаларыңыздагы бөлүшүү уруксаттарын ** деп унчукпай өзгөртө алат"Anyone with the link can view/edit"** Ошентип, чабуулчу сиз OAuth колдонмосун жокко чыгаргандан кийин дагы ал папкаларды анонимдүү браузерде ача алат. * Google Drive'да: чыкылдатыңыз (i) Акыркы 7 күндө көрүлгөн, өзгөртүлгөн же бөлүшүлгөн ар бир файлды көрүү үчүн жогорку оң бурчтагы чоо-жайды көрүү (Аракет) сөлөкөтүн. Андан кийин ** териңизis:unorganized, sharedwith:public, же sharedwith:external чабуулчу жалпыга жеткиликтүү кылган файлдарды же папкаларды табуу үчүн жогорку Google Drive издөө тилкесине кириңиз. **Microsoft OneDrive'д Сол менюдагы **Бөлүшүлгөн> Сиз бөлүшкөн өтмөгүнө өтүп, жалпыга ачык шилтемени жокко чыгарыңыз (Anyone with the link) сиз жараткан жоксуз.

3. Google Apps Script (script.google.com) & Microsoft Power Automate (make.powerautomate.com) Триггерлер¶

Бул жерде Google жана Microsoft 365 колдонуучуларына каршы колдонулган өжөрлүк амалы: аккаунтуңуздун ичинде чабуулчу 10 саптан турган Google Apps Script түзөт (** дарегинде).https://script.google.com/home/triggers) же Microsoft Power Automate Cloud Flow ( боюнча)https://make.powerautomate.com**) 5 мүнөттүк таймерде иштөөгө коюлган (Time-driven trigger же When a new email arrives). Бул скрипт сиздин жеке булут эсебиңиздин ичинде иштегендиктен, сырсөзүңүздү өзгөрткөндөн жана тышкы колдонмолорду жок кылганыңыздан кийин да, ал ар бир 5 мүнөт сайын электрондук почталарыңызды эксфильтрациялай берет. * Ачык https://script.google.com/home/triggers (Google үчүн) же https://make.powerautomate.com -> Менин агымдарым (Microsoft 365 үчүн) азыр жана сиз жеке жазбаган скрипттерди же автоматташтырылган агымдарды жок кылыңыз.

4. Маалыматтарды эксфильтрациялоо үчүн булуттагы аудит журналдарын текшерүү (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Зыяндуу OAuth тиркемеси анын энбелгиси активдүү болуп турганда кайсы электрондук почталарды же файлдарды окуп же жүктөп алганын так билгиңиз келсе: * Жеке Google аккаунттарында: Ачык https://myactivity.google.com жана https://myaccount.google.com/notifications акыркы коопсуздук окуяларын текшерүү жана Google Takeout архивин экспорттоо суралганын текшерүү үчүн. * Google Workspaceде (Администратор консолунда): ** өтүңүзadmin.google.com -> Reporting -> Audit and investigation -> OAuth log events** жана Drive log events бузулган колдонуучу жана зыяндуу тарабынан чыпкаланган Client ID жеткиликтүү ар бир файл ID толук убакыт тизмесин алуу үчүн. * Microsoft 365те (Purview / Entra ID): Ачык entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, басыңыз Non-interactive user sign-ins жана Service principal sign-ins өтмөктөр (стандарттык интерактивдүү кирүү журналдары фондогу OAuth энбелгисин жаңыртууларды КӨРСӨТПӨТ) жана зыяндуулар боюнча чыпкалоо Application ID чабуулчу жасаган ар бир IP даректи жана ресурстук чалууларды көрүү үчүн.

5. Булуттагы дискиңиздин же электрондук почтаңыздын ичинде табылган ачык сырларды айлантуу¶

Эгерде зыяндуу OAuth колдонмосу сиздин Gmail, Outlook, Google Drive, OneDrive же GitHub репозиторийлериңизге 60 секундага кирсе, чабуулчу почта ящигиңизде жана дискиңизде автоматташтырылган регекс кыргычты иштетти деп ойлойсуз: 1. Криптовалюталык фразалар (12/24-word BIP-39 mnemonics) же Капчык .json Ачкыч кампалары: Эгер криптографиялык фразаны камтыган сүрөт же документ булуттагы дискиңизде же электрондук почтаңызда болсо, бардык каражаттарды дароо жапжаңы аппараттык капчыкка көчүрүңүз (караңыз Cryptocurrency капчыгы дренаж жана үрөн фразасы компромисс). 2. ** Экспорттолгон Сырсөз менеджери .csv Файлдар же салык декларациялары (Form 1040 / W-2):** Сырсөздөрүңүздү айлантыңыз жана кредиттик бюролоруңузду тоңдуруңуз (Equifax, Experian, TransUnion) дароо. 3. Иштеп чыгуучунун API ачкычтары (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env файлдар): Электрондук каттарыңызда, Slack билдирүүлөрүңүздө же булут документтеринде пайда болгон ар бир булут инфраструктурасынын сырларын жокко чыгарып, жылдырыңыз.

Алдын алуу текшерүү тизмеси: OAuth & Device Code фишингин биротоло токтотуу¶

• Эч качан тышкы колдонмону толук бербеңиз Read/Write Email же Full Cloud Drive бир гана PDF, календардык чакыруу же утилитаны көрүү үчүн гана уруксаттар: Мыйзамдуу документти көрүү шилтемеси эч качан "Gmail'ден бардык электрондук почтаңызды окуу, түзүү, жөнөтүү жана биротоло жок кылуу" үчүн уруксаттын кереги жок. Эгерде күтүлбөгөн OAuth макулдук экраны кеңири почта кутусун же диск чөйрөсүн сураса, өтмөктү дароо жабыңыз.
• Эч качан a Device Login Code (microsoft.com/devicelogin же google.com/device) сизге башка адам тарабынан электрондук кат, текст же чатта жөнөтүлгөн: Түзмөк коддору (RFC 8628) катуу аппараттык экрандар үчүн бир бөлмөдө сиздин маңдайыңызда отурган (өзүңүздүн конок бөлмөңүздөгү Apple TV же SSH терминалыңыз сыяктуу). Эгер башка бирөө аппараттын кодун жаратып, аны терүүнү суранса, сиз алардын компьютерин өзүңүздүн каттоо эсебиңизге киргизип жатасыз.
• Microsoft 365 / Google Workspace администраторлору үчүн: Акыркы колдонуучунун OAuth Колдонмонун макулдугун өчүрүп, Шарттуу кирүү аркылуу Түзмөк кодунун агымын бөгөттөңүз:
• Microsoft Entra башкаруу борборунда (entra.microsoft.com) -> Идентификация -> Тиркемелер -> Ишкана колдонмолору -> Макулдук жана уруксаттар -> Колдонуучунун макулдугунун жөндөөлөрү, Колдонмолор үчүн колдонуучунун макулдугуна уруксат берүү дегенден га которулуңузDo not allow user consent (жана Администратордун макулдугунун иш процессин иштетиңиз, ошондуктан кызматкерлер жалган колдонмолорго кирүү мүмкүнчүлүгүн берүүнүн ордуна "Уруксат берүүнү сурануу" баскычын басыңыз).
• Google Workspace администратор консолунда (admin.google.com) -> Коопсуздук -> Мүмкүнчүлүк жана берилиштерди көзөмөлдөө -> API башкаруулары -> Үчүнчү Тарап Колдонмонун Мүмкүнчүлүктөрүн башкаруу, жогорку тобокелдик чөйрөсүн орнотуңуз (Gmail, Drive) үчүн Trusted: Can only access Google data if explicitly allowlisted by an admin.
• ** бөгөттөөчү Entra ID шарттуу мүмкүндүк саясатын түзүңүзDevice Code Flow** бардык иштеп чыгуучу эмес колдонуучулар үчүн аутентификацияны өткөрүү ыкмасы.

Көп берилүүчү суроолор¶

Эмне үчүн менин сырсөзүмдү өзгөртүп, эки факторлуу аутентификацияны (2FA) күйгүзгөн жокмун, зыяндуу OAuth колдонмосун өчүргөн жокмун?¶

Сырсөздөр жана эки факторлуу аутентификация адам кирүү экраны аркылуу киргенде гана алдыңкы эшикти коргойт. Сиз басканда `Allow` OAuth 2.0 макулдук сурамында сиз Google, Microsoft, GitHub же Discord компанияларына криптографияны чыгарууну тапшырасыз `Refresh Token` түздөн-түз ошол үчүнчү тараптын тиркемесинин серверине өтүңүз, ошондуктан колдонмо сиз оффлайнда болгондо фондо иштей алат. Архитектуралык дизайн боюнча, көптөгөн платформалар үчүнчү тараптын ыйгарым укуктуу интеграцияларына (мисалы, календардык синхрондоштуруу куралдары, резервдик кызматтар же CRM туташтыргычтары) Үчүнчү Тарап Колдонмо Туташуулар барагына ачык өтүп, **Кирүү мүмкүнчүлүгүн жокко чыгаруу/Өчүрүү** баскычын чыкмайынча күнүмдүк сырсөз айландыруулары боюнча иштөөгө мүмкүндүк берет.

OAuth фишинг шилтемеси кантип көрсөтө алат? accounts.google.com же login.microsoftonline.com ал алдамчылык болсо, чыныгы HTTPS кулпусу менен?¶

OAuth Consent Phishing чабуулунда кылмышкер жасалма веб-сайтты түзбөйт; Анын ордуна, алар Google Cloud же Microsoft Azure ичинде акысыз иштеп чыгуучу тиркемесин катташат (бул 2 мүнөттү талап кылат) жана сизге алардын колдонмосун камтыган чыныгы Google же Microsoft авторизация шилтемесин жөнөтүшөт. `client_id`. Сиз Google же Microsoftтун чыныгы кирүү серверине кирип жатканыңыз үчүн, домендик аталыш жана SSL сертификаты 100 пайыз анык. Алдоо **үчүнчү тараптын колдонмосунун аты кимге таандык** ичинде, сиз киргенден кийин уруксат сурайт; чыкылдатуу `Allow` чыныгы Google же Microsoft серверине маалыматыңызды кылмышкердин катталган иштеп чыгуучу колдонмосуна өткөрүп берүүнү айтат.

"Түзмөктүн коду фишинг" деген эмне (microsoft.com/devicelogin) жана эмне үчүн мынчалык коркунучтуу?¶

OAuth 2.0 Түзмөктүн авторизациясынын гранты (`RFC 8628`) Smart TV же буйрук сабы интерфейси (CLI) сыяктуу веб-браузери же клавиатурасы жок түзмөктөргө кирүү үчүн түзүлгөн: сыналгы 8 белгиден турган кодду көрсөтүп, ачууну айтат. `microsoft.com/devicelogin` телефонуңузга жана ошол кодду киргизиңиз. Түзмөк коду фишинг чабуулунда хакер скрипт (`TokenTactics` же `RoadTools`) жаңы 8 белгиден турган кодду түзүү үчүн өз компьютериңизде, андан кийин Teams/Slack'теги электрондук каттарды же билдирүүлөрдү жөнөтүңүз. `microsoft.com/devicelogin` коопсуз документти көрүү же каттоо эсебиңизди текшерүү үчүн. Экинчиден, алардын кодун Microsoftтун чыныгы сайтына тергениңизде, Microsoft хакердин компьютерин түз эле сиздин каттоо эсебиңизге киргизет.

Калкыма терезе менин атым менен электрондук почта дарегимди гана сураса, стандарттуу "Google менен кирүү" же "Apple менен кирүү" коркунучтуубу?¶

Стандарттык OpenID Connect (`OIDC`) "Google/Apple/Microsoft менен кирүү" сиздин негизги профилиңизди **гана** суроону сунуштайт (`Name`, `Email address`, жана `Profile picture`) чындыгында жаңы веб-сайтта сырсөздү терүүдөн алда канча коопсуз, анткени үчүнчү тараптын веб-сайты сиздин сырсөзүңүздү эч качан көрбөйт жана электрондук почталарыңызга же файлдарыңызга нөлдүк кирүү мүмкүнчүлүгүн албайт. Кооптуулук макулдуктун калкыма терезеси **кошумча сезгич API чөйрөлөрүн** сураганда гана пайда болот, мисалы *"Электрондук почтаңыздын баарын окуу, түзүү, жөнөтүү жана биротоло жок кылуу"* *"Google Drive файлдарыңыздын бардыгын көрүү, түзөтүү, түзүү жана жок кылуу"* же *"Сиз үчүн серверлерге кошулуу."* Ар дайым чыкылдатуудан мурун экрандагы маркерлердин тизмесин окуп чыгыңыз.

Тиешелүү гиддер¶

• ТИМ фишингинен жана Ортодогу Душмандан (AiTM) айланып өтүү
• Сеанс кукилерин уурдоо, маалымат уурдоочу кесепеттүү программа жана өтүүчү ачкычты жокко чыгаруу
• Электрондук почта аккаунту бузулду: багыттоо эрежелери жана калыбына келтирүү
• Корпоративдик бизнес электрондук почта компромисси (BEC) жана зым алдамчылыкты кайра чакыртып алуу
• Зыяндуу браузер кеңейтүүлөрү, алмашуу буферин уурдоочулар жана жарнамалык программаларды жок кылуу
• Дүйнөлүк тез жардам номерлери

Булактар текшерилди¶

• Киберкоопсуздук жана инфраструктуралык коопсуздук агенттиги (CISA) жана Федералдык иликтөө бюросу (ФБР) (Америка Кошмо Штаттары): Мыйзамсыз OAuth макулдук гранттары боюнча биргелешкен киберкоопсуздук кеңеши, Түзмөк коду фишинг (RFC 8628), жана Cloud Identity Token уурдоо.
• Internet Engineering Task Force (IETF) (Эл аралык): RFC 6749 (The OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation) жана RFC 8628 (OAuth 2.0 Device Authorization Grant Security Considerations).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (Эл аралык): * Зыяндуу OAuth Тиркемелери үчүн Incident Response Playbook (OAuth2PermissionGrant) жана Microsoft Entra ID*деги Түзмөк коду фишинг.
• Google Булут жана Google Workspace коопсуздугу (эл аралык): OAuth 2.0 API масштабын текшерүү, үчүнчү тараптын колдонмолоруна кирүү мүмкүнчүлүгүн башкаруу жана токенди жокко чыгаруу архитектурасы.
• Улуттук Кибер Коопсуздук Борбору (NCSC) (Улуу Британия): Булуттагы ижарачыларды OAuth макулдугунун фишингинен жана ыйгарым укуктуу API кыянатчылыгынан коргоо боюнча көрсөтмө.