Hackers Claim $ 10،000 Prize for Breaking Into StrongWebmail

Hackers love تحدي. وأكثر من ذلك ، أنهم يحبون النقود.

هذا ما اكتشفه تيليزاين هذا الأسبوع. وقد طوّرت الشركة ، التي توفر موفرًا لبرنامج المصادقة المستندة إلى الصوت ، المتطفلين على الدخول إلى موقع الويب StrongWebmail.com في أواخر الأسبوع الماضي. الجائزة؟ 10000 دولار أميركي.

يوم الخميس ، زعم مجموعة من الباحثين الأمنيين أنهم فازوا في المسابقة ، التي طعنت المتسللين في اختراق حساب بريد الويب الخاص بـ StrongWebmail CEO Darren Berkovitz ، وتقديم تقرير عن تفاصيل تسجيل دخوله في 26 يونيو.

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز الكمبيوتر الذي يعمل بنظام تشغيل Windows]

قدم المتسللون ، بقيادة كبير علماء العلوم الآمنة لانس جيمس والباحثين في شؤون الأمن ، آيف راف ومايك بيلي ، تفاصيل من تقويم بيركوفيتس إلى خدمة آي دي جي الإخبارية. في مقابلة ، أكد بيركوفيتز أن تلك التفاصيل كانت من حسابه.

ومع ذلك ، لم يتمكن بيركوفيتز من تأكيد أن المتسللين قد فازوا بالجائزة. وقال إنه سيحتاج إلى التحقق للتأكد من أن المتسللين قد التزموا بقواعد المسابقة ، مضيفًا: "إذا قام شخص ما بذلك ، فسوف نرمي رؤوسنا إلى أسفل."

قواعد المسابقة تمنع الباحثين من الكشف عن كيفية قيامهم بهجومهم ، ولكنهم كانوا أيضا قادرين على اختراق اختبار حساب StrongWebmail الذي تم إعداده من قبل IDG News Service. لم يعمل هجوم IDG في البداية ، ولكنه نجح عندما تم تعطيل برنامج الأمان الذي يسمى NoScript على متصفح Firefox ، الذي يعمل على جهاز يعمل بنظام التشغيل Windows XP.

"لقد وجدنا هجمات متعددة عبر المواقع تسمح لنا بمهاجمة مستخدمين آخرين" ، قال. "يجب أن يكون لديك حساب مسجل لإطلاق الهجوم."

يستخدم StrongWebmail نظام مصادقة الهاتف Telisign لمنح مستخدمي بريد الويب طبقة أمان أخرى. بدلاً من تسجيل الدخول باستخدام اسم مستخدم وكلمة مرور ، يجب على العملاء أيضًا إدخال رمز سري يتم الاتصال بهم في أي وقت يريدون فيه تسجيل الدخول إلى الموقع.

تستخدم البنوك خوادم المصادقة المستندة إلى الهاتف هذه للمساعدة في محاربة المجرمين الإلكترونيين الذين غالبًا ما سرقة أسماء المستخدمين وكلمات المرور من الضحايا.

ولكن هذا النوع من الاستيقان - الذي يطلق عليه المصادقة الثنائية - يمكن إحباطه من قبل المتسللين الذين يستخدمون ما يعرف باسم "رجل في الوسط". في هذا الهجوم ، ينتظر برنامج الهاكر للمستخدم تسجيل الدخول بشكل شرعي إلى موقع الويب ثم يتولى أمره. قال جيمس: "إنهم ينتظرون منك فقط لتسجيل الدخول ويمكنهم فعل ما يريدون".

قال جيمس أن هذه المسابقات قد تكون ممتعة ، لكنها لا تقدم مقياسا واقعيا للأمن الحقيقي لأنهم مرهونون بها. قواعد. تحظر مسابقة StrongWebmail العمل مع شركة من الداخل ، على سبيل المثال. وقال: "إن الشخص السيئ لا يهتم بالقواعد.

لقد حظيت حماية بريد الويب بالكثير من الاهتمام خلال العام الماضي. وفي سبتمبر ، تمكن أحد المتسللين من الوصول إلى حساب البريد الإلكتروني الخاص بحاكم ألاسكا ، سارة بالين ، ونشر تفاصيل عن ذلك. المراسلات على شبكة الإنترنت: تم توجيه اتهام إلى طالب جامعي يدعى ديفيد كيرنيل في ذلك الحادث.

مهما كانت نتيجة المسابقة ، يقول بيركوفيتز إنه يأمل في أن تصبح مشاركته - ومقدمي بريد الويب مثل غوغل وياهو - يفكرون أكثر في الأمن. وقال "نحن لا ندعي أن هذا هو الحل النهائي النهائي. لكننا نحاول أن نلفت الانتباه إلى جزء اسم المستخدم وكلمة المرور."