Кража личности и денег

[dmitrmax]

Интересный материал появился на Фонтанке о том, как потерять телефон, учетку от ГосУслуг и попасть на кучу денег.

Хотя в статье не описаны досконально действия мошенников, я предполагаю, что получение доступа к ГосУслугам позволило мошенникам выпустить новый паспорт, а далее вместе с ним и доступ к выпуску электронной подписи, по которой уже можно

Comments

[myx_ostankin]

Хм... если я правильно понял статью, то главной ошибкой фигуранта этой истории было то, что он установил на телефон приложение для Госуслуг, которое а) непонятно, зачем вообще нужно на телефоне и б) почему-то позволяет пользователю быть практически постоянно залогиненным.

[dmitrmax]

Ну госуслуги на телефоне - это личное дело каждого. Что касается вечного токена, то это by design такое решение, которое позволяет залогинться раз, а потом авторизовываться 4-х или 5-ти значным ПИН-кодом. Если бы этого не было, то приходилось бы авторизовываться каждый раз логином/паролем/2FA. В общем-то даже банковские приложения, если я правильно понимаю, работают так же - первый вход по полной, потом придумываешь ПИН-код и ходишь по нему.

Главной ошибкой, я всё же думаю, было то, что дало злоумышленникам доступ к содержанию флэш-памяти: либо херовая блокировка, либо отсутствие шифрования. И скорее всего отсутствие ПИН-кода на СИМ-карте, хотя с ГосУслугами она связана не была.

[myx_ostankin]

По-моему, отсутствие пин-кода на симке тут никакой роли не играет. Смартфону для работы не нужна симка, Госуслуги к ней тоже напрямую не привязаны. Таким образом, получается главная уязвимость - это некий ключ шифрования или токен доступа к Госуслугам, который шифруется пин-кодом. Если устройство не зашифровано или плохо заблокировано, то теоретически этот пин-код был вскрыт перебором. Либо у приложения Госуслуг нет защиты от перебора, либо перебирали через прямой доступ к памяти устройства

[dmitrmax]

Защита SIM-карты поможет от сценария, когда злоумышленник пытается сбросить пароль от ГосУслуг по номеру телефона. Да, там кроме этого обычно спрашивается какая-то контрольная инфа, но будем считать, что она у злоумышленника есть (например, какие-то цифры паспорта).

[shelepiha]

Что такое токены авторизации ?

[dmitrmax]

После того, как вы вводите свой логин/пароль и, если он включен, второй фактор (СМС), сервер присылает вам токен - просто некоторый объем инфы, который серверу необходим для того, чтобы понимать, что все ваши последующие запросы именно от вас. Затем, каждый раз когда браузер или приложение отправляет запрос на сервер, оно включает в него информацию из этого токена, и сервер её проверяет. Так он убеждается, что запрос выполнен авторизованным юзером и у него есть права на доступ к тому или иному разделу сайта, который он запрашивает.

[shelepiha]

Понятно (как ни странно). Типа куков, то есть некий бес, который сидит у вас на устройстве и каждый раз подтверждает серверу, что каждый следующий запрос он получает оттуда же, откуда предыдущий. То есть "перехватить управление" в ходе сессии другим устройством не получится. Я умный ?

[dmitrmax]

В том-то и дело, что не "оттуда же", а "тем ж". Если токен как-то выковырять и в другое место скопировать, то сервер не поймет этого. В остальном, в целом, да.

[ivalnick]

Технический комментарий.
Чтобы вечером не забыть написать настоящий. :-)

[dmitrmax]

Забыл вроде =)

[mindfactor]

деликатно нопоменаю

[bom_lj]

подскажите, как получить паспорт на чужое имя? из оо услуг можно распечатать?