ٹویٹر کی دو فیکٹر تصدیق کو ہیک کیسے کریں

ہم نے ٹویٹر کی نئی دو عنصر تصدیق کے ساتھ کچھ مسائل کی نشاندہی کی ہے۔ مثال کے طور پر ، چونکہ صرف ایک فون نمبر اکاؤنٹ کے ساتھ منسلک کیا جاسکتا ہے ، لہذا ٹویٹر کی دو فیکٹر تصدیق ایسوسی ایٹ پریس ، پیاز ، یا دی گارڈین جیسی تنظیموں کے ل won't کام نہیں کرے گی۔ انہیں ہیک کیا گیا تھا۔ انہیں پھر بھی اسی طرح ہیک کیا جاسکتا ہے۔ تاہم ، سیکیورٹی ماہرین نے اشارہ کیا ہے کہ یہ مسئلہ اس سے کہیں زیادہ خراب ، اور بھی زیادہ خراب ہے۔

ٹویٹر کا دو قدمی پروگرام

توثیق کرنے والی کمپنی ٹوفر کے سی ای او جوش الیگزینڈر سے پوچھیں ، کہ اب آپ ٹویٹر کو ہیک کرنے کے بارے میں کس طرح جانا چاہتے ہیں کہ دو عنصر کی توثیق موجود ہے۔ وہ آپ کو بتائے گا کہ آپ بالکل ٹھیک اسی طرح کرتے ہیں جیسے آپ نے دو عنصر کی توثیق کے آغاز سے پہلے کیا تھا۔

ٹویٹر کی دو فیکٹر تصدیق کے بارے میں ایک مختصر ، ڈرول ویڈیو میں ، الیگزینڈر نے ٹویٹر کو "سیکیورٹی ٹو مرحلہ پروگرام" میں شامل ہونے اور پہلا قدم اٹھانے پر مبارکباد پیش کی ، اس مسئلے کو تسلیم کرتے ہوئے۔ اس کے بعد وہ یہ واضح کرنے کے لئے آگے بڑھتا ہے کہ SMS پر مبنی دو عنصر کی توثیق کرنے میں کس حد تک مدد ملتی ہے۔ سکندر نے کہا ، "آپ کا نیا حل دروازے کو کھلا چھوڑ دیتا ہے ،" اسی درمیانی درمیانی حملوں کے لئے جس نے بڑے خبروں کے ذرائع اور مشہور شخصیات کی شہرت میں سمجھوتہ کیا ہے۔ "

یہ عمل ہیکر کو ایک قائل ای میل بھیجنے کے ساتھ شروع ہوتا ہے ، یہ پیغام مجھے اپنے ٹویٹر پاس ورڈ کو تبدیل کرنے کا مشورہ دیتا ہے ، جس میں ایک جعلی ٹویٹر سائٹ کا لنک ہے۔ ایک بار جب میں یہ کروں تو ، ہیکر میرے ٹویٹر کے ساتھ لاگ ان ہونے والے دستاویزات کو حقیقی ٹویٹر سے مربوط کرنے کے لئے استعمال کرتا ہے۔ ٹویٹر مجھے ایک توثیقی کوڈ بھیجتا ہے اور میں اسے داخل کرتا ہوں ، اس طرح یہ ہیکر کو دیتا ہے۔ اس مقام پر کھاتوں کا پیوند ہے۔ ویڈیو دیکھیں - اس عمل کو بہت واضح طور پر ظاہر کرتا ہے۔

یہ تعجب کی بات نہیں ہے کہ ٹوفر مختلف قسم کے اسمارٹ فون پر مبنی دو عنصر کی توثیق کرتا ہے۔ ٹووفر حل آپ کے معمول کے مقامات اور معمول کی سرگرمیوں کو ٹریک کرتا ہے اور معمول کے لین دین کو خود بخود منظور کرنے کے لئے مقرر کیا جاسکتا ہے۔ کسی لین دین کو مکمل کرنے کے لئے آپ کو کوڈ ٹیکسٹ کرنے کے بجائے ، اس ٹرانزیکشن کی تفصیلات کے ساتھ ایک پش نوٹیفیکیشن بھیجتا ہے جس میں صارف نام ، سائٹ اور اس میں شامل کمپیوٹ شامل ہیں۔ میں نے اس کا تجربہ نہیں کیا ، لیکن یہ سمجھدار لگتا ہے۔

دو فیکٹر ٹیک اوور سے گریز کریں

سیکیورٹی راک اسٹار میککو ہپپونن ایف-سیکور میں اس سے بھی زیادہ سنگین منظر پیش کیا گیا ہے۔ اگر آپ نے دو عنصر کی توثیق کو اہل نہیں کیا ہے تو ، آپ کے اکاؤنٹ تک رسائی حاصل کرنے والا مردانہ فیکٹر اپنے فون کا استعمال کرکے آپ کے لئے یہ ترتیب دے سکتا ہے۔

ایک بلاگ پوسٹ میں ، ہپپون نے اس بات کی نشاندہی کی ہے کہ اگر آپ کبھی بھی SMS کے ذریعے ٹویٹس بھیجتے ہیں تو ، آپ کے اکاؤنٹ سے وابستہ فون نمبر پہلے ہی موجود ہے۔ اس انجمن کو روکنا آسان ہے۔ اپنے ملک کے لئے ٹویٹر شارٹ کوڈ پر بس STOP کو متن کریں۔ نوٹ ، اگرچہ ، ایسا کرنے سے دو عنصر کی توثیق بھی رک جاتی ہے۔ GO کو بھیجنا اسے دوبارہ چالو کرتا ہے۔

اس کو ذہن میں رکھتے ہوئے ، ہیپونن واقعات کا ایک ڈراؤنی تسلسل تیار کرتا ہے۔ پہلے ، ہیکر کو آپ کے اکاؤنٹ تک رسائی حاصل ہوسکتی ہے ، شاید نیزہ فشینگ میسج کے ذریعے۔ پھر ، اپنے فون سے GO کو مناسب شارٹ کوڈ پر ٹیکسٹ کرکے اور کچھ اشارے پر عمل کرکے ، وہ آپ کا اکاؤنٹ تشکیل دے دیتا ہے تاکہ اس کے فون پر دو فیکٹر کی توثیق کا کوڈ آجائے۔ آپ لاک آؤٹ ہو گئے ہیں۔

اگر آپ پہلے ہی دو عنصر کی توثیق کو فعال کر چکے ہیں تو یہ تکنیک کام نہیں کرے گی۔ "شاید آپ کو اپنے اکاؤنٹ کا 2 ایف اے فعال کرنا چاہئے ،" ہائپون نے تجویز کیا ، "اس سے پہلے کہ کوئی اور آپ کے لئے کرے۔" یہ بات مجھ پر مکمل طور پر واضح نہیں ہے کہ حملہ آور پہلے ایس ایم ایس کی جعل سازی کو دو طرفہ تصدیقی روکنے کے لئے کیوں استعمال نہیں کرسکتا تھا اور پھر حملے کے ساتھ آگے بڑھ سکتا ہے۔ کیا میں میککو سے زیادہ پاگل ہوسکتا ہوں؟