PayPal暂时关闭了其针对移动用户的两因素身份验证系统

2019-12-16 16:14:51 来源: INeng财经

Duo Security的一份新报告显示,可以绕过PayPal的两因素身份验证技术,并且在线支付公司(不反对调查结果)正在为其移动用户禁用两因素身份验证。两因素身份验证是一种广泛推荐的方法,旨在为用户帐户访问提供额外的安全层。除了静态密码外,两因素身份验证还要求用户具有随机生成的第二个密码(或因素),以便获得对站点或服务的访问权限。在贝宝的情况下,该机制被颠覆了。

Duo Security本身并未发现PayPal的两因素身份验证绕过。研究人员Dan Saltman在3月28日发现了绕行问题,并将其报告给PayPal的漏洞赏金计划。在没有收到PayPal的状态更新后,Saltman于4月22日与Duo Security联系。Duo Security的高级安全研究员Zach Lanier向eWEEK解释说Saltman是Duo Security首席执行官Dug Song的朋友。

Lanier说:“两因素身份验证曾经而且现在仍在PayPal的Web属性(例如,www.paypal.com)中全面实施。” “这是身份验证流程中的一个缺陷,因为它与api.paypal.com以及扩展到mobileclient.paypal.com有关。”

鉴于今天的Duo Security披露,PayPal 在其Web和移动客户端上发布了有关两因素身份验证支持的当前状态的声明。

“为预防起见,我们已禁止选择两因素身份验证的客户在PayPal移动应用程序和某些其他移动应用程序上登录其PayPal帐户,” PayPal全球计划高级总监Anuj Nayar说道,说。“这些客户仍然可以通过访问PayPal移动网站在移动设备上登录其PayPal帐户。”

尽管Saltman于3月28日首次向PayPal报告了此问题,但Lanier指出,不一定是第一次或唯一一次将问题报告给PayPal。他说,从未对此问题进行任何公开讨论或披露,因此有可能以前曾有过报道。

Lanier说:“在反思PayPal似乎对其API和移动应用程序进行的某些更改和大修时,特别是在身份验证过程方面,此缺陷很可能已在2010年或2012年引入。” 他补充说,还不清楚该漏洞是否曾经被恶意攻击者野蛮利用。

披露程序

Lanier与PayPal的漏洞赏金计划的通讯时间表明,Duo Security于6月9日通知PayPal,打算在6月25日公开披露此问题。6月19日,PayPal向Duo Security发送了一个请求,要求延迟公开披露,并指出PayPal的目标修复日期为7月28日。

关于Duo Security为什么不遵守PayPal延迟披露的要求的原因,Lanier指出,60天的时间足以解决此类问题。例如,谷歌目前有60天的负责任披露规则。

PayPal实际上也在6月16日向Duo Security支付了最初的漏洞赏金。

拉尼尔说:“由于我们不十分了解为eBay / PayPal赏金计划设定赏金支出背后的决策程序,因此我们不完全愿意讨论目前已支付的金额。”

Lanier表示,Duo Security仅获得了初次付款,据Duo Security所知,按照漏洞赏金计划的条款,由于披露漏洞,他们无需偿还赏金。

Lanier说:“对许多供应商而言,产品安全响应并不是一门真正的完美科学;漏洞赏金/奖励计划会加剧这一问题。” “无论如何,我们最初在使用PayPal时遇到的一些策略,例如无法共享案例详细信息,都使流程变得窒息。”

他说,贝宝(PayPal)延迟回应身份查询也无济于事。

纳亚尔在一份声明中说,尽管两因素身份验证提供了额外的安全性,但这并不是PayPal保护其用户安全的唯一方法。

纳亚尔说:“我们拥有广泛的欺诈和风险检测模型,以及专门的安全团队,致力于帮助确保我们的客户的帐户每天免受欺诈交易的影响。”

PayPal由eBay拥有,该公司对其用户帐户使用类似的两因素身份验证系统。eBay 最近是一次攻击的受害者,该攻击破坏了其用户数据库,这导致该公司建议用户更改密码。但是,贝宝(PayPal)两因素身份验证问题似乎并未对eBay产生明显影响。

拉尼尔说:“我们至少在尝试复制这项技术时,在eBay上简短地测试了两因素身份验证,但是它似乎并不容易受到攻击。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。