وصف الهجمات المستندة إلى المصادقة
تحدث هجمات المصادقة عندما يحاول شخصٌ ما سرقة بيانات اعتماد شخص آخر. يمكنهم بعد ذلك التظاهر بأنهم ذلك الشخص. لأن الهدف من هذه الأنواع من الهجمات هو انتحال شخصية مستخدم شرعي، يمكن أيضاً في كثير من الأحيان أن يشار إليها باسم هجمات الهوية. وتشمل الهجمات الشائعة، على سبيل المثال لا الحصر:
- هجوم بقوة غاشمة
- هجوم القاموس
- حشو بيانات الاعتماد
- تسجيل المفاتيح
- الهندسة الاجتماعية
هجوم بقوة غاشمة
في هجوم القوة الغاشمة، سيحاول المجرم الوصول ببساطة عن طريق تجربة مجموعات مختلفة من أسماء المستخدمين وكلمات المرور. عادةً ما يمتلك المهاجمون أدوات تعمل على أتمتة هذه العملية باستخدام الملايين من مجموعات أسماء المستخدمين وكلمات المرور. كلمات المرور البسيطة، مع المصادقة أحادية العامل، عرضة لهجمات القوة الغاشمة.
هجوم القاموس
هجوم القاموس هو شكل من أشكال هجوم القوة الغاشمة، حيث يتم تطبيق قاموس الكلمات شائعة الاستخدام. لمنع هجمات القاموس، من المهم استخدام الرموز والأرقام ومجموعات الكلمات المتعددة في كلمة المرور.
حشو بيانات الاعتماد
حشو بيانات الاعتماد هو طريقة هجوم تستفيد من حقيقة أن العديد من الأشخاص يستخدمون نفس اسم المستخدم وكلمة المرور عبر العديد من المواقع. سيستخدم المهاجمون بيانات الاعتماد المسروقة، التي يتم الحصول عليها عادةً بعد خرق البيانات على موقع واحد، لمحاولة الوصول إلى مناطق أخرى. يستخدم المهاجمون عادةً أدوات برمجية لأتمتة هذه العملية. لمنع حشو بيانات الاعتماد، من المهم عدم إعادة استخدام كلمات المرور وتغييرها بانتظام، لا سيما بعد خرق الأمان.
تسجيل المفاتيح
يتضمن تسجيل المفاتيح البرامج الضارة التي تسجل ضغطات المفاتيح. باستخدام مسجل المفاتيح، يمكن للمهاجم تسجيل (سرقة) مجموعات اسم المستخدم وكلمة المرور، والتي يمكن استخدامها بعد ذلك لهجمات حشو بيانات الاعتماد. هذا هجوم شائع في مقاهي الإنترنت أو في أي مكان تستخدم فيه جهاز كمبيوتر مشترك للوصول إليه. لمنع تسجيل لوحة المفاتيح، لا تثبت برامج غير موثوق بها واستخدم برامج فحص الفيروسات ذات السمعة الطيبة.
لا يقتصر تسجيل المفاتيح على أجهزة الكمبيوتر فقط. لنفترض أن جهة فاعلة سيئة قام بتثبيت صندوق أو جهاز فوق قارئ البطاقة ولوحة المفاتيح في ماكينة الصراف الآلي. عندما تقوم بإدخال بطاقتك، فإنها تمر أولًا من خلال قارئ بطاقة الجهات السيئة - حيث تلتقط تفاصيل البطاقة، قبل إدخالها في قارئ بطاقات أجهزة الصراف الآلي. والآن، عندما تقوم بإدخال رقم التعريف الشخصي الخاص بك باستخدام لوحة مفاتيح الممثل السيئ، فإنه يحصل على رقم التعريف الشخصي أيضًا.
الهندسة الاجتماعية
تنطوي الهندسة الاجتماعية على محاولة لدفع الناس للكشف عن المعلومات أو إكمال إجراءً لتمكين هجوم ما.
تتضمن معظم هجمات المصادقة استغلال أجهزة الكمبيوتر أو محاولة تجربة العديد من مجموعات بيانات الاعتماد. تختلف هجمات الهندسة الاجتماعية من حيث أنها تستغل نقاط ضعف البشر. يحاول المهاجم كسب ثقة مستخدم شرعي. تقنع المستخدم بإفشاء المعلومات أو اتخاذ إجراء يمكّنهم من التسبب في تلف المعلومات أو سرقتها.
يمكن استخدام عدد من تقنيات الهندسة الاجتماعية لسرقة المصادقة، بما في ذلك:
- يحدث التصيد الاحتيالي عندما يرسل مهاجم بريداً إلكترونياً يبدو شرعياً بهدف أن يكشف المستخدم عن بيانات اعتماد المصادقة الخاصة به. على سبيل المثال، قد يظهر بريد إلكتروني من بنك المستخدم. يفتح رابط لما يشبه صفحة تسجيل الدخول للبنك، ولكنه في الواقع موقع مزيف. عندما يباشر مستخدم بتسجيل الدخول إلى الموقع المزيف، تصبح بيانات اعتماده متاحة للمهاجم. هناك العديد من أشكال التصيد الاحتيالي، بما في ذلك التصيد الاحتيالي المُوجّه، الذي يستهدف مؤسسات أو شركات أو أفراداً بعينهم.
- التذرع الاحتيالي هي طريقة يكسب فيها المهاجم ثقة الضحية ويقنعه بالكشف عن معلومات آمنة. ويمكن بعد ذلك استخدام هذا لسرقة هويتهم. على سبيل المثال، قد يتصل بك أحد القراصنة، متظاهراً بأنه من البنك، ويطلب كلمة مرورك للتحقق من هويتك. وثمة نهج آخر يستخدم وسائل التواصل الاجتماعي. قد يُطلب منك إكمال استطلاع أو اختبار، حيث يطرحون أسئلة تبدو عشوائية وبريئة تجعلك تكشف عن حقائق شخصية، أو تُوهمك بأنك ستجني شيئًا من وراء ذلك، مثل اختلاق اسم لفرقة البوب باستخدام اسم حيوانك الأليف الأول والمكان الذي ولدت فيه.
- الاصطياد هو شكل من أشكال الهجوم حيث يقدم المجرم مكافأة وهمية أو جائزة لتشجيع الضحية على الكشف عن معلومات آمنة.
أساليب هجوم أخرى قائمة على المصادقة
هذه ليست سوى أمثلة قليلة من الهجمات القائمة على المصادقة. هناك دائماً احتمال لحدوث أنواع جديدة من الهجمات، ولكن يمكن منع جميع الأنواع المدرجة هنا عن طريق تثقيف الأشخاص واستخدام المصادقة متعددة العوامل.