Hesap ele geçirme, kimlik bağlamanın gerçekte nerede yardım ettiği

Solidus bir hesap ele geçirme ürünü sunmuyor, ve kurduğumuz hiçbir şeyde ATO tespiti, cihaz istihbaratı ya da davranışsal analitik yok.

Ama bu bölümdeki çoğu sayfanın aksine, burada gerçek bir açı var, ve onu sınırlamadan önce açıkça belirtmeye değer.

Ne olduğu

Hesap sahibinden başka birinin hesabın denetimini ele geçirmesi: kimlik bilgisi doldurma, oltalama, SIM değiştirme, oturum kaçırma, ya da bir destek masasının sosyal mühendislikle kandırılması yoluyla.

Tanımlayıcı özellik, her şeyin meşru görünmesidir. Kimlik bilgileri doğrudur. Cihaz biliniyor olabilir. İşlemde hiçbir şey olağandışı değildir, klavyedeki insanın yanlış insan olması dışında, ki tespitin kanıta değil çıkarıma (cihaz parmak izleri, davranışsal sinyaller, hız) yaslanmasının sebebi budur.

Gerçek açı, açıkça belirtilmiş

Kimlik doğrulama bir kimlik bilgisine sahip olmayı kanıtlıyor. Bir kişinin orada olduğunu kanıtlamıyor. Hesap ele geçirmenin sömürdüğü boşluk budur, ve doğrulanabilir bir kimlik bilgisi sunumunun belirli bir anda kapatabileceği boşluktur.

Kendisine bağlı bir kimlik bilgisi tutan bir hesap sahibinden, önemli anlarda onu sunması istenebilir: büyük bir para çekme, kayıtlı cihaz değişikliği, yeni bir alıcı, bir destek masası yükseltmesi. Sunum, yalnızca bir sırrın bilindiğini değil tutucunun orada olduğunu gösteriyor. Tutucu bağlama düzenektir.

Argüman iyidir; doğrulanmamış olan fikrin şekli değil bizim uygulamamızdır.

Sınırlar, ki kayda değerdir

Bu bir yükseltme düzeneğidir, tespit değil. Bir şeyin hâlâ ne zaman soracağına karar vermesi gerekiyor. O karar risk puanlama ve cihaz istihbaratıdır, bizim değil. Soruyu yanıtlayabiliriz; onu ne zaman soracağınızı size söyleyemeyiz.

Yalnızca bir kimlik bilgisi tutan kişiler için işliyor. Tutmayan mevcut hesap sahiplerinden oluşan bir portföy için bu, gelecekteki bir durum hakkında bir argümandır, ki düzeltme sayfasında belirtilen aynı ön koşuldur.

Birinci taraf dolandırıcılık için hiçbir şey yapmıyor, ki orada hesap sahibi eyleyen kişinin kendisidir ve sonradan itiraz ediyor. Orada varlığı kanıtlamak yanlış şeyi kanıtlıyor.

Ve saldırganın da tamamlayabildiği bir yükseltme kendini boşa çıkarıyor. Kimlik bilgisi, saldırganın ele geçirdiği cihazda yaşıyorsa, onu sunmak hiçbir şey kanıtlamıyor. Değer, kimlik bilgisinin saldırganın olmadığı bir yerde tutulmasına bağlı, ki bu bir kimlik bilgisi sorusu değil bir cüzdan saklama sorusudur.