OAuth Idin Phishing sareng Ngabatalkeun Idin Aplikasi Pihak-Katilu anu jahat¶

Bayangkeun mendakan yén panyerang aktip maca email pribadi anjeun, ngaunduh dokumén awan anjeun, nyiptakeun aturan neraskeun koropak jempé, atanapi ngeposkeun tautan scam tina akun anjeun, bahkan saatos anjeun nembé ngarobih kecap konci anjeun kana string acak 24 karakter sareng hardware anu diaktipkeun Auténtikasi Dua-Faktor (2FA / Passkeys). Kumaha panyerang masih aya di jero Google Workspace, Microsoft 365, GitHub, Slack, atanapi akun Discord anjeun tanpa terang kecap konci énggal anjeun atanapi micu hiji ajakan 2FA? Kusabab anjeun jadi korban ** OAuth 2.0 Consent Phishing** (ogé katelah Illicit Consent Grant or Device Code Phishing). Tinimbang nipu anjeun kana ngetikkeun kecap akses anjeun kana halaman login palsu, panyerang ngirim anjeun tautan ka anu asli. accounts.google.com atawa login.microsoftonline.com layar otorisasina naroskeun upami hiji aplikasi namina "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," atawa "Mail Backup Assistant" tiasa gaduh idin pikeun "Maca, nyusun, ngirim, sareng mupus salamina sadaya email anjeun tina Gmail" atanapi "Mibanda aksés pinuh ka sadaya file anu anjeun gaduh aksés."

Momen anjeun ngaklik Allowatawa Accept dina kotak dialog Microsoft atanapi Google anu asli, panyadia identitas ngaluarkeun server panyerang kriptografi umur panjang OAuth Refresh Token(offline_access). Kusabab token API OAuth 2.0 auténtikasi langsung ngalawan backend REST/Graph API (graph.microsoft.com atawa gmail.googleapis.com) sagemblengna bebas tina sési wéb manusa anjeun, ngarobah sandi anjeun atanapi nambahkeun 2FA mindeng ninggalkeun hibah aplikasi pihak-katilu jahat 100 persen aktip. Pikeun ngonci panyerang pikeun hadé, anjeun kedah sacara manual nyabut hibah aplikasi pihak katilu, maéhan sadaya refresh OAuth anu dikaluarkeun sareng token aksés, sareng ngabersihkeun panto tukang anu didamel nalika aplikasi éta ngagaduhan aksés API.

Laksanakeun ieu ayeuna¶

1. ** Ngartos langsung naha ngarobah sandi anjeun NOT eureun hacker: Anjeun kudu nyabut Third-Party App / OAuth Consent Grant jero portal kaamanan akun anjeun.** Lamun anjeun klik Allow dina layar OAuth, anjeun nyieun kontrak API mesin-ka-mesin pengkuh (Service Principal / OAuth App Token). Langsung ka halaman Aplikasi & Jasa Pihak Katilu panyadia anjeun ayeuna (myaccount.google.com/connections pikeun Google, myapps.microsoft.com atawa account.live.com/consent/Manage pikeun Microsoft, github.com/settings/applications pikeun GitHub) teras klik ** Cabut Aksés / Cabut ** dina unggal aplikasi anu anjeun henteu 100 persen ngakuan sareng percanten.
2. ** Upami anjeun ngetik kode alfanumerik 8-atawa-9-karakter kana microsoft.com/devicelogin, google.com/device, atawa github.com/login/device salila telepon phishing atawa obrolan, cabut duanana Anjeun Active Device Sessions AND OAuth App Grants geuwat.** Dina Alur Kode Alat Serangan Phishing (RFC 8628), panyerang ngahasilkeun kode papasangan TV-Smart/CLI dina komputerna sareng trik anjeun pikeun ngetikkeun kodeu éta sacara nyata. microsoft.com/devicelogin kaca. Ngetik kodeu éta masihan panyerang utami Refresh Token (PRT / Multi-Resource Refresh Token) nyamar salaku klien Microsoft Office asli, Azure CLI, atanapi Apple Internet Accounts.
3. Saatos ngabatalkeun aplikasi OAuth anu jahat, geura audit Surélék anjeun Forwarding Rules, Inbox Filters, jeung Delegated Mailbox Access via Graph/Gmail UI. Naon anu munggaran dilakukeun ku aplikasi OAuth jahat dina mimitina 500 milliseconds saatos Anjeun klik Allow? Éta ngagunakeun Mail.ReadWrite atawa MailboxSettings.ReadWrite Ruang lingkup API pikeun nyuntik aturan inbox sisi-server anu teu katingali anu diteruskeun otomatis unggal bank, crypto, atanapi email-reset sandi anu asup ka panyerang sareng rute ngabales langsung ka anjeun. Trash atawa RSS Feeds folder (tingali Akun surelek diretas: aturan diteruskeun sareng pamulihan).
4. ** Pariksa naha aplikasi OAuth jahat ngadaptarkeun aplikasi OAuth cadangan kadua, Token Aksés Pribadi (PAT), SSH Key, atawa métode MFA bari miboga wengkuan administratif.** Dina Microsoft Entra ID (Azure AD), GitHub, jeung Google Workspace, hiji aplikasi dibéré diréktori atawa wengkuan manajemén akun (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, atawa GitHub admin:public_key) tiasa cicingeun ngadamel token API disumputkeun * kadua * atanapi poko jasa supados panyerang nahan aksés saatos anjeun ngahapus aplikasi anu munggaran.
5. ** Upami ieu kajantenan dina perusahaan atanapi sakola Microsoft 365 atawa Google Workspace akun, nelepon Kaamanan IT anjeun / SOC Helpdesk dina 5 menit.** Hiji pagawe tunggal klik Accept dina tautan phishing OAuth tiasa masihan panyerang aksés maca ka sadaya perusahaan SharePoint, OneDrive, obrolan Teams, sareng Daptar Alamat Global, ngaluncurkeun Kompromi Email Bisnis internal (BEC) serangan kawat-panipuan ngalawan rekan kerja sareng klien anjeun.
6. ** Upami panyerang nganggo aksés OAuth pikeun ningali drive awan anjeun (Google Drive / OneDrive), ngabalikeun pajak, ékspor kecap akses, atanapi pernyataan kauangan, bekukeun file kiridit anjeun sareng konci akun kauangan.** Upami dokumén idéntitas sénsitip atanapi frasa/sandi cikal anu henteu énkripsi disimpen dina drive awan anu diaksés ku aplikasi OAuth, perlakukan unggal file dina drive éta sakumaha anu diunduh ku panyerang (tingali Réspon pelanggaran data sareng bocor sandi).

flowchart TD
    A["Disangka OAuth Idin Phishing atanapi Intrusion Akun Persisten Saatos Reset Sandi"] --> B["1. Buka Portal Idin Aplikasi Pihak Katilu (Google Connections / Microsoft MyApps / Aplikasi GitHub)"]
    B --> C["2. Screenshot aplikasi anu teu biasa pikeun bukti, teras klik 'Cabut / Cabut Aksés' dina unggal Aplikasi OAuth anu curiga"]
    C --> D{"Naha anjeun ngasupkeun kodeu dina kaca Login Alat (misalna, microsoft.com/devicelogin)?"}
    D -->|"Sumuhun: Kode Alat Phishing (RFC 8628)"| E["Laksanakeun 'Asup Ka Mana-mana / Cabut Sadaya Token Refresh' pikeun maéhan sési CLI / Kode Alat asli"]
    D -->|"No: Hibah OAuth Web Standar"| E
    E --> F["3. Inok & Hapus Backdoors Sekundér Dijieun ku API Token"]
    F --> G["Pariksa Aturan Koropak Email, Neraskeun Otomatis, & Aksés Delegasi (Gmail / Outlook)"]
    F --> H["Pariksa Token Aksés Pribadi Pangembang (PATs), SSH Keys, & Integrasi Webhook"]
    F --> I{"Naha ieu mangrupikeun Akun Microsoft 365 / Google Workspace Perusahaan?"}
    I -->|"Sumuhun"| J["Waspada Admin Perusahaan / SOC geuwat pikeun ngabatalkeun Hibah ServicePrincipal di Entra ID / Workspace Admin"]
    I -->|"Henteu (Akun Pribadi)"| K["Robah kecap akses + Verifikasi alat MFA + Pariksa Cloud Drive Undeur Activity Logs"]

Kumaha OAuth 2.0 Consent Phishing ngalangkungan kecap akses sareng 2FA (Anatomi Téknis)¶

Naha sindikat cybercriminal, kelompok spionase nagara-bangsa (Midnight Blizzard, Star Blizzard), sarta drainers cryptocurrency bergeser beurat ti phishing login palsu tradisional ka ** OAuth Idin Phishing ** jeung ** Kode Alat Phishing **?

1. Phishing Tradisional vs Idin OAuth Phishing vs Code Alat Phishing¶

2. High-Bahaya OAuth Idin Scopes Attackers Request¶

Nalika mariksa aplikasi dina daptar idin anjeun, tingali wengkuan anu dipénta: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Ngidinan maca sadaya email, ngirim email sapertos anjeun, sareng nyiptakeun aturan neraskeun koropak disumputkeun). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Ngidinan ngundeur unggal file dina OneDrive anjeun sareng unggal folder SharePoint perusahaan anu dibagikeun). * offline_access (Ngidinan server panyerang pikeun cicingeun nyéépkeun Token Aksés énggal 24/7 sanajan komputer anjeun dipareuman). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Catastrophic enterprise privilege escalation scopes). * Google Workspace / Gmail Pribadi (Google APIs): * https://mail.google.com/ atawa gmail.modify / gmail.settings.basic / gmail.settings.sharing (Kadali pinuh pikeun maca, mupus, sareng neraskeun Gmail). * https://www.googleapis.com/auth/drive (Baca / nyerat / unduh aksés lengkep ka unggal file dina Google Drive anjeun). * https://www.googleapis.com/auth/cloud-platform (Kadali pinuh kana infrastruktur Google Cloud sareng tagihan). * GitHub & Ékosistem pamekar (GitHub Apps / OAuth Apps): * repo jeung workflow (Akses baca / tulis lengkep ka sadaya repositori sumber-kode swasta sareng idin pikeun nyuntik jalur pipa maling rahasia GitHub jahat CI / CD). * admin:org, admin:public_key, jeung admin:gpg_key (Idin pikeun nambahkeun konci SSH backdoor pengkuh atawa ngaropéa kaanggotaan organisasi). * Slack & Discord OAuth Lingkup: * Slack channels:history, groups:history, im:history, files:read, jeung chat:write (Ngidinan aplikasi éksternal maca sadaya pesen langsung tim pribadi, ngikis PDF sareng Kapercayaan anu diunggah, sareng ngirim tautan phishing anu posing salaku batur kerja anu dipercaya). * Discord guilds.join jeung identify (Ngidinan bot kompromi atanapi portal verifikasi pikeun maksa gabung akun Discord anjeun kana server scam sababaraha kali tanpa idin anjeun).

Fase 1: Lengkah-demi-lengkah OAuth & Panyabutan Aplikasi Pihak Katilu pikeun unggal platform utama¶

Turutan léngkah-léngkah anu pasti di handap pikeun unggal akun dimana anjeun ngaklik tautan anu curiga, dianggo "Asup sareng Google / Microsoft / Apple / GitHub / Discord" dina situs anu teu dipercaya, atanapi ningali kagiatan anu henteu sah.

1. Akun Google (Personal Gmail & Google Workspace)¶

1. Buka browser teras angkat ka: https://myaccount.google.com/connections (atawa buka myaccount.google.com -> klik Kaamanan dina ménu kénca -> gulung ka handap ka Koneksi anjeun ka aplikasi & jasa pihak katilu -> klik Tingali sadaya sambungan).
2. Saring dumasar Résiko: Klik chip saringan di luhur dilabélan Access to your Google Account (anu nyaring "Asup sareng Google" ngan ukur nami login sareng nyorot aplikasi anu gaduh idin API aktip pikeun maca Gmail, Google Drive, Almenak, atanapi Kontak anjeun).
3. Pencét unggal aplikasi anu teu biasa, curiga, atanapi henteu dianggo deui (awas nami anu nipu anu meniru utilitas sistem sapertos "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," atawa "Drive Backup").
4. Gulung ka handap ka Tingali rinci pikeun ningali tanggal pasti sareng waktos aksés anu dipasihkeun sareng anu lingkupna (Gmail, Google Drive) eta nahan.
5. Pencét Delete all connections you have with [App Name] -> Klik Konfirmasi.
6. ** Oge Cabut Sesi Alat Aktif (Pikeun Phishing Kode Alat):** Pindah ka https://myaccount.google.com/device-activity sareng kaluar tina sési alat Linux, Windows, Mac, atanapi Smart TV anu teu biasa.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) vs Perusahaan (Microsoft 365 / Entra ID)¶

Microsoft nganggo dua portal anu béda gumantung kana naha akun anjeun akun konsumen pribadi atanapi akun padamelan/sakola:

A. Akun Microsoft Pribadi (@outlook.com, @hotmail.com, @live.com)¶

1. Langsung ka:https://account.live.com/consent/Manage (atawa buka account.microsoft.com/privacy -> Aplikasi sareng jasa anu tiasa ngaksés data anjeun).
2. Pariksa unggal aplikasi didaptarkeun. Upami anjeun ningali aplikasi anu anjeun henteu kenal (atanapi klien anu disada sah sapertos eM Client, Thunderbird, atawa Mail App yén anjeun henteu kantos dipasang nyalira, trik umum anu dianggo ku panyerang pikeun kéngingkeun token IMAP/Graph OAuth), klik Edit handapeun aplikasi éta teras klik Remove these permissions.
3. Salajengna, buka https://account.microsoft.com/security -> Atur kumaha kuring asup -> gulung ka handap teras klik Sign me out (anu maksakeun invalidasi global dina sadaya panyungsi, aplikasi, sareng sesi Xbox/OneDrive dina 24 jam).

B. Perusahaan / Pagawean / Sakola Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Salaku Pamaké Pagawé Pribadi:
2. Pindah ka https://myapps.microsoft.com -> Klik ikon profil anjeun atanapi ikon gear -> Klik Profil atanapi klik tilu titik (...) dina ubin aplikasi anu teu biasa -> Pilih Atur aplikasi anjeun -> Cabut idin.
3. Oge ka https://myaccount.microsoft.com -> Info Kaamanan -> pariksa teu aya aplikasi Rogue Authenticator anu ditambahkeun, teras klik Sign out everywhere dina tab Ihtisar.
4. ** Salaku Administrator Microsoft 365 / Entra ID (Token PowerShell Darurat & Purge Idin):** Nalika hiji pagawe digolongkeun kana OAuth Consent Phishing atanapi Device Code Phishing dina panyewa perusahaan, ngan saukur ngahapus aplikasi tina portal MyApps pangguna henteu cekap; admin kudu nyabut OAuth2PermissionGrant sakuliah tenant jeung invalidate pamaké RefreshTokensValidFromDateTime ngaliwatan Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), jeung X / Akun Sosial¶

Panyerang pisan nargétkeun pamekar, komunitas, sareng akun sosial sareng phishing OAuth pikeun nyorong kodeu jahat, ngiringan komunitas Discord, atanapi masangkeun tautan drainer cryptocurrency:

Fase 2: Moro pikeun kegigihan sekundér ditinggalkeun ku aplikasi OAuth jahat¶

1. Aturan Koropak Surélék, Pangirim Otomatis, sareng Aturan Sapuan Nyumput (Gmail & Outlook / M365)¶

Upami aplikasi OAuth jahat ngagaduhan Mail.ReadWrite atawa MailboxSettings.ReadWrite idin: * Dina Gmail: Klik ** Ikon Gear (katuhu luhur) -> Tempo sadaya setélan**. 1. Pencét Forwarding and POP/IMAP tab -> Verifikasi éta Forwarding disetel ka Tumpurkeun diteruskeun tur teu aya alamat surélék nu teu biasa didaptarkeun. 2. Pencét Filters and Blocked Addresses tab -> Pilari saringan naon waé anu cocog from:(*) atawa kecap konci kawas bank, wire, invoice, coinbase, password, atawa security kalawan aksi Delete it, Skip the Inbox (Archive it), atawa Forward it to -> Hapus saringan éta langsung. 3. Pencét Accounts and Import tab -> Dina Pasihan aksés ka akun anjeun (Aksés delegasi) sareng Kirim surat salaku, hapus alamat anu teu biasa. * ** Dina Microsoft Outlook Web (outlook.office.com atawa outlook.live.com):** Klik ** Ikon Gear (katuhu luhur) -> Surat **. 1. Pencét Rules -> Pupus unggal aturan anu teu biasa (panyerang sering ngarana aturan jahat . atawa ... atawa Security Sync tur ngonpigurasikeun aranjeunna pikeun mindahkeun surelek asup kana RSS Subscriptions atawa Conversation History folder bari nyirian aranjeunna salaku Baca). 2. Pencét Forwarding (jeung Junk email) -> Pastikeun Aktipkeun diteruskeun teu dicentang, teras hapus domain panyerang anu ditambahkeun kana daptar Pangirim sareng domain anu aman.

2. Cloud Drive Mass-Download Audit & "Link-Sharing" Backdoors (Google Drive & OneDrive / SharePoint)¶

Sakali hiji aplikasi OAuth boga Files.ReadWrite.All atawa drive wengkuan, ngalakukeun dua hal: kahiji, ngundeur PDFs sénsitip anjeun, spreadsheets, sarta file sandi; kadua, éta bisa cicingeun ngarobah idin babagi dina polder rahasia anjeun ka "Anyone with the link can view/edit" janten panyerang masih tiasa muka polder éta dina browser anonim sanaos anjeun nyabut aplikasi OAuth. * Dina Google Drive: Klik (i) Ikon Témbongkeun Rincian (Aktivitas) di pojok katuhu luhur pikeun ningali unggal file nu ditempo, dirobah, atawa dibagikeun dina 7 poé ka tukang. Teras ketik is:unorganized, sharedwith:public, atawa sharedwith:external kana bar teang Google Drive luhur pikeun milarian file atanapi polder naon waé anu didamel ku panyerang tiasa diaksés sacara umum. * Dina Microsoft OneDrive: Pindah ka tab Dibagi -> Dibagi ku anjeun dina ménu kénca sareng cabut tautan umum (Anyone with the link) anjeun teu nyieun.

3. Google Apps Script (script.google.com) & Microsoft Power Automate (make.powerautomate.com) Micu¶

Ieu mangrupikeun trik kegigihan anu dianggo ngalawan pangguna Google sareng Microsoft 365: nalika di jero akun anjeun, panyerang nyiptakeun 10-baris Google Apps Script (di https://script.google.com/home/triggers) atanapi Microsoft Power Automate Cloud Flow (di https://make.powerautomate.com) disetel pikeun ngajalankeun on timer 5 menit (Time-driven trigger atawa When a new email arrives). Kusabab skrip éta dijalankeun sacara asli di jero akun awan anjeun nyalira, éta tetep ngaluarkeun email anjeun unggal 5 menit bahkan saatos anjeun ngarobih kecap konci anjeun sareng ngahapus aplikasi éksternal. * Buka https://script.google.com/home/triggers (pikeun Google) atawa **https://make.powerautomate.com -> Aliran kuring ** (pikeun Microsoft 365) ayeuna sareng hapus skrip atanapi aliran otomatis anu anjeun henteu nyerat sacara pribadi.

4. Ngaudit Log Inok Awan pikeun Eksfiltrasi Data (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Upami anjeun peryogi terang persis email atanapi file mana anu dibaca atanapi diunduh aplikasi OAuth jahat nalika tokenna aktip: * Dina Akun Google Pribadi: Buka https://myactivity.google.comjeunghttps://myaccount.google.com/notifications pikeun mariksa kajadian kaamanan panganyarna sareng pariksa naha ékspor arsip Google Takeout dipénta. * Di Google Workspace (Konsol Admin): Pindah ka admin.google.com -> Reporting -> Audit and investigation -> OAuth log eventsjeungDrive log events disaring ku pamaké kompromi jeung jahat Client ID pikeun meunangkeun daptar timestamped lengkep unggal ID file diakses. * ** Dina Microsoft 365 (Purview / Entra ID):** Buka entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, klik Non-interactive user sign-insjeungService principal sign-ins tab (log Interaktif Asup-In standar teu nembongkeun latar tukang refresh token OAuth), sarta filter ku jahat Application ID pikeun ningali unggal alamat IP sareng telepon sumber anu dilakukeun ku panyerang.

5. Puteran Rahasia kakeunaan Kapanggih di jero Cloud Drive anjeun atanapi Surélék¶

Upami aplikasi OAuth jahat ngagaduhan aksés kana repositori Gmail, Outlook, Google Drive, OneDrive, atanapi GitHub anjeun salami 60 detik, anggap panyerang ngajalankeun scraper regex otomatis dina kotak surat anjeun sareng milarian: 1. Frasa Bibit Cryptocurrency (12/24-word BIP-39 mnemonics) atawa Dompét .json Toko konci: Upami poto atanapi dokumén anu ngandung frasa cikal crypto aya dina drive awan atanapi email anjeun, pindahkeun sadaya dana ka bibit dompét hardware énggal (tingali Dompét Cryptocurrency solokan sareng kompromi frasa siki). 2. ** Pangatur Kecap aksés anu diékspor .csv Berkas atanapi SPT Pajak (Form 1040 / W-2):** Rotasikeun kecap akses anjeun sareng bekukeun biro kiridit anjeun (Equifax, Experian, TransUnion) geura. 3. Konci API pamekar (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env file): Cabut jeung gulung unggal rusiah infrastruktur awan nu kungsi muncul dina surelek Anjeun, pesen Slack, atawa dokumén awan.

Daptar pariksa pencegahan: ngeureunkeun phishing OAuth & Kode Alat sacara permanén¶

• ** Entong masihan aplikasi éksternal pinuh Read/Write Email atawa Full Cloud Drive idin ngan pikeun nempo hiji PDF, uleman almenak, atawa utilitas:** Tautan nempoan dokumén anu sah teu perlu idin pikeun "Baca, nyusun, ngirim, jeung mupus salamina sadaya surelek anjeun ti Gmail." Upami layar idin OAuth anu teu kaduga naroskeun kotak surat anu lega atanapi ruang lingkup drive, tutup tabna langsung.
• ** Henteu pernah ngetik a Device Login Code (microsoft.com/devicelogin atawa google.com/device) dikirim ka anjeun ku jalma sejen dina surelek, téks, atawa obrolan:** Kode alat (RFC 8628) anu mastikeun pikeun layar hardware ** linggih fisik di hareup anjeun dina kamar anu sarua ** (kawas hirup-ruang Apple TV sorangan atawa terminal SSH anjeun sorangan). Lamun batur ngahasilkeun kodeu alat jeung miwarang anjeun nuliskeunana, anjeun asup * komputerna * kana * akun * anjeun.
• Pikeun Admins Microsoft 365 / Google Workspace: Nonaktipkeun Idin Aplikasi OAuth Pamaké Ahir sareng Blokkeun Aliran Kode Alat ngalangkungan Aksés Bersyarat:
• Dina Microsoft Entra Admin Center (entra.microsoft.com) -> Identitas -> Aplikasi -> Aplikasi perusahaan -> Idin sareng idin -> Setélan idin pamaké, pindah tina Ngidinan idin pamaké pikeun aplikasi ka Do not allow user consent (sareng aktipkeun Admin Consent Workflow ku kituna karyawan klik "Request Approval" tinimbang masihan aksés aplikasi rogue).
• Dina Konsol Admin Google Workspace (admin.google.com) -> Kaamanan -> Aksés sareng kontrol data -> Kadali API -> Atur Aksés Aplikasi Pihak Katilu, atur wengkuan résiko luhur (Gmail, Drive) ka Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Jieun Entra ID Kabijakan Aksés Bersyarat ngahalangan Device Code Flow métode transfer auténtikasi pikeun sakabéh pamaké non-pamekar.

Patarosan anu sering ditaroskeun¶

Naha henteu ngarobih sandi sareng ngaktipkeun Auténtikasi Dua-Faktor (2FA) ngaluarkeun aplikasi OAuth anu jahat?¶

Sandi sareng Auténtikasi Dua-Faktor ngan ukur ngajaga panto hareup nalika manusa asup ngaliwatan layar login. Lamun anjeun klik `Allow` dina pituduh idin OAuth 2.0, anjeun maréntahkeun Google, Microsoft, GitHub, atanapi Discord pikeun ngaluarkeun kriptografi. `Refresh Token` langsung ka pangladén aplikasi pihak katilu éta supados aplikasi éta tiasa dianggo di latar tukang nalika anjeun offline. Dumasar desain arsitéktur, seueur platform ngamungkinkeun integrasi pihak katilu anu otorisasi (sapertos alat singkronisasi almenak, jasa cadangan, atanapi konektor CRM) pikeun tetep ngajalankeun rotasi sandi rutin kecuali anjeun sacara eksplisit angkat ka halaman Sambungan Aplikasi Pihak Katilu anjeun teras klik ** Cabut / Cabut Aksés **.

Kumaha tautan phishing OAuth tiasa nunjukkeun accounts.google.com atawa login.microsoftonline.com kalawan HTTPS padlock nyata lamun éta scam a?¶

Dina serangan Phishing OAuth Idin, penjahat teu nyieun ramatloka palsu; Gantina, aranjeunna ngadaptarkeun aplikasi pamekar gratis di jero Google Cloud atanapi Microsoft Azure (anu peryogi 2 menit) sareng ngirim anjeun tautan otorisasi Google atanapi Microsoft asli anu ngandung aplikasi na. `client_id`. Kusabab anjeun ngadatangan server login nyata Google atanapi Microsoft, nami domain sareng sertipikat SSL 100 persen asli. Penipuan aya dina **nu gaduh nami aplikasi pihak katilu** naroskeun idin saatos anjeun asup; ngaklik `Allow` nyarioskeun ka server Google atanapi Microsoft asli pikeun nyerahkeun data anjeun ka aplikasi pamekar anu kadaptar ku penjahat.

Naon "Phishing Kode Alat" (microsoft.com/devicelogin), sareng naha éta bahaya pisan?¶

Hibah Otorisasi Alat OAuth 2.0 (`RFC 8628`) dijieun sangkan anjeun bisa asup kana alat nu teu boga web browser atawa kibor, saperti Smart TV atawa command-line interface (CLI): TV mintonkeun kode 8 karakter jeung nitah Anjeun muka. `microsoft.com/devicelogin` dina telepon anjeun sarta asupkeun kodeu éta. Dina serangan Phishing Kode Alat, hacker ngajalankeun skrip (`TokenTactics` atawa `RoadTools`) dina komputerna sorangan pikeun ngahasilkeun kodeu 8 karakter anu anyar, teras email atanapi pesen anjeun dina Teams/Slack ngaku anjeun kedah ngalebetkeun kode éta di `microsoft.com/devicelogin` pikeun nempo dokumén aman atawa pariksa akun anjeun. Sadetik anjeun ngetik kode maranéhanana dina situs nyata Microsoft urang, Microsoft log komputer hacker urang langsung kana akun anjeun kalawan pinuh klaim Auténtikasi Multi-Factor geus wareg.

Naha standar "Asup sareng Google" atanapi "Asup sareng Apple" bahaya upami munculna ngan ukur naroskeun Nami sareng Alamat Surélék kuring?¶

Standar OpenID Connect (`OIDC`) "Asup sareng Google / Apple / Microsoft" nyarankeun yén **ngan** menta profil dasar anjeun (`Name`, `Email address`, jeung `Profile picture`) saleresna langkung aman tibatan ngetik kecap akses dina halaman wéb énggal, sabab halaman wéb pihak katilu henteu pernah ningali kecap konci anjeun sareng nampi nol aksés kana email atanapi file anjeun. Bahaya ngan ukur lumangsung nalika popup idin naroskeun **ruang lingkup API sénsitip tambahan**, sapertos *"Baca, tulis, kirim, sareng mupus sadaya email anjeun sacara permanen,"* *"Tingali, édit, jieun, sareng mupus sadaya file Google Drive anjeun,"* atanapi *"Gabung ka server pikeun anjeun."* Sok baca daptar idin anu dibullet sateuacan ngaklik dina layar idin.

Panungtun patali¶

• MFA phishing jeung Adversary-in-the-Middle (AiTM) bypass
• Ngabajak cookie sési, malware infostealer, sareng panyabutan konci sandi
• Akun surelek diretas: aturan diteruskeun sareng pamulihan
• Kompromi Email Usaha Perusahaan (BEC) sareng ngelingan panipuan kawat
• Ekstensi browser jahat, pembajak clipboard, sareng ngahapus adware
• Nomer darurat global

Sumber dipariksa¶

• Cybersecurity and Infrastructure Security Agency (CISA) & Federal Bureau of Investigation (FBI) (Amérika Sarikat): Joint Cybersecurity Advisory on Illicit OAuth Consent Grants, Device Code Phishing (RFC 8628), sarta Cloud Identity Token Maling.
• Internet Engineering Task Force (IETF) (Internasional): RFC 6749 (The OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation), jeung RFC 8628 (OAuth 2.0 Device Authorization Grant Security Considerations).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (Internasional): Insiden Tanggapan Playbook pikeun Aplikasi OAuth jahat (OAuth2PermissionGrant) jeung Kode Alat Phishing dina Microsoft Entra ID.
• Google Cloud & Google Workspace Security (Internasional): Verifikasi Lingkup API OAuth 2.0, Pamarentahan Aksés Aplikasi Pihak Katilu, sareng Arsitéktur Pembatalan Token.
• Pusat Kaamanan Siber Nasional (NCSC) (Inggris): Pitunjuk pikeun Ngabela Panyewa Awan Ngalawan Phishing Idin OAuth sareng Nyalahgunakeun API Delegasi.