Прошло две недели с момента организации мобильной точки сбора информации о сотрудниках компании г-на Грина. Закусочная уже работала в нормальном режиме, а Питер придумал новую атаку на сотрудников и в частности на самого Грина.

За пару дней вместе с Джейсоном они прослушали домашнюю Wi-Fi точку Грина и убедились, что она надежно защищена. Но ломать ее никто и не собирался. Нужно было лишь получить ее идентификатор. После этого на территории компании мистера Грина была развернута фальшивая точка доступа с тем же идентификатором, что и домашняя, но без пароля. Смартфон Грина находил знакомую точку и цеплялся к ней. В результате Питер получил пароль Грина к социальной сети и домашней и служебной почте.

— Роберт, вот ваши пароли. Вот домашний, вот рабочий, вот пароль от социальной сети.

— Ребята, а скрыть от вас что-то можно?

— Безусловно! Есть два способа. И первый — это применение везде где можно двухэтапной аутентификации.

— Это когда вы предъявляете пароль, а вам приходит SMS с кодом? И вторым шагом является ввод кода?

— Да! Это гораздо надежнее, чем просто пароль.

— Я знаю. Но иногда, насколько я понимаю, SMS приходит поздно, а это неудобно, верно?

— Конечно! Но для этого есть еще два способа. Первый — вы устанавливаете себе генератор одноразовых паролей на смартфон, а второй — вы распечатываете порядка десяти кодов с сайта заранее, а потом распечатываете следующие 10.

— Впрочем есть и еще один способ. Кода вы входите на сайт вашей почты, вы указываете что работаете в недоверенной среде. Например, на чужом ПК. В этом случае вы можете ввести только вторую часть пароля. Без первой вообще. А так как каждые 30 секунд она меняется, то пусть перехватывают эту информацию. Это называется OTP (One Time Password).

— Здорово. Но как быть, если почтовый клиент не понимает двухэтапную аутентификацию?

— На самом деле и это не страшно. Вы можете заранее сгенерировать себе пароль для этого приложения. Даже если его и перехватят, он будет работать только на этом ПК и только в этом приложении. А вы после работы в недоверенной среде его просто измените. Вот и все! Есть еще и аутентификация вашей Wi-Fi точки по сертификату. Тогда вообще атака точки будет невозможна.

— Спасибо! Я никогда не подозревал, что нужно столько знать.

— Знать нужно намного больше. Увы, атаки совершенствуются ежедневно! Учиться и учиться вот что нужно! Г-н Грин, заведите себе за правило, что ваш специалист по информационной безопасности должен регулярно обучать ваших сотрудников! Да и сам учиться у нас в Академии.

А вы готовы к таким атакам? Точно?