このようなことがあると知識として押さえておいて対策したい
銀行や決済、仕事の管理画面を開く「メインのブラウザ」と、普段の調べ物や拡張機能を入れる「サブのブラウザ」を完全に分けておくだけでも、万が一の時に一番大事な資産を抜かれるリスクは劇的に下げられます
Cookieや端末指紋ごと抜かれると二段階認証も意味ないからブラウザ分離は大事
もはや、どうしたら良いのか。
え、これまじか。ここまでは想定してなかった
「このブラウザでは以後確認しない」の状態を模倣されるということか。そもCookie盗まれてる時点で負け確。PCならブラウザの『プロファイル』を分けとけばXSS対策にはなる。スマホなら公式アプリ以外を使わない。
Firefoxだとコンテナーての使えばある程度リスク下げられるのかな？あるいはプロファイル分けるか。
“今の主流はパスワードを盗むことではなく、マルウェアを使って「ログインした状態のブラウザの中身（Cookieなど）」を丸ごと引っこ抜く手口”
これは……パスワードをサイトごとに変更とか、ほぼ無意味だ。買い物終えたら一度ブラウザ閉じて、履歴とパスワード消去させてるけど、そんなのいつ抜かれるかとの追っかけっこだしな……よく思いつくな
でも２段階認証求めてこないのは一部だよね
二段階認証が無力化、っていうのはブラウザをクローンしたところで達成できないはず。単に Cookie セッションが長いサービスは二段階認証があろうがログイン状態が盗まれるって話よね？
同一セッションでなくても接続環境が再現できるようだ。ブラウザ使い分けるのと他にサービスからは都度ログアウトするような設定にして再ログイン必須にするとかの対処療法的には必要だわね。
そういうマルウェアがどこで入るのか。マヌケだけが入れられてるのか、普通にしてても気づかずにやられてるのか、それが問題。
なにそれこわい。二要素認証が発生しないというと、ログイン済みのセッションをとるって感じなのかな。
AIのハッキング能力もあるし、徐々にネットビジネスは終わりを迎えてアナログ方式に戻っていくか。
少なくともパスキーに変更しておくこと
「二段階認証すら発動せずに素通り」毎回発動するように設定しておけば良い気がするのだが。
ブラウザを分けても同じマシンでやっていたら効果は限定的な気もするけど。感染の入り口になったブラウザにしか影響しないマルウェアを想定？
クッキーが継続している間だけだよね。抜かれて販売されて利用されるまで時間かかるだろうし、クッキーの時間を短くしておけば解決するんじゃない？
そもそもマルウェアに感染しちゃってるからなぁ、、、こまめにログアウトするとか、サービス側はCookieの有効期限短めにするとかかな
セッションハイジャックのこと？？セキュリティ事情はあまり詳しくないのでなんとも言えないけど、このダークウェブ研究家(謎)のbioみてもちょっと眉唾かな… 自分が思うフルスタックの人って絶対自称しないし
要はPC盗まれても大丈夫なようにしとけという話。ちなみに日常的にログイン必須なサイトは Biscuit みたいなやつに分離しとくと便利。セッションまとめて抜かれる危険はあるけど
セキュリティ的な理由じゃないけどブラウザ使い分けはずっとやってる
読んでる限りただのセッションハイジャックなんで「サーバー側でセッションの有効期限は短めにする」で対策取れると思うんだが？
気づいた時点でログアウトすれば一応トークンは無効になるだろうけど…気付かないとおしまいよな
ファイアーフォックスで100個くらい拡張機能いれてるんだけど😭
うーん、そんなに騒がなくてもいい気はする。2段階認証を改めて求めらたら終わりだし、無力化してないよ。取引の時に改めて認証してくださいって言われても攻撃者はできない。ちょっと煽りすぎでは。
Cookie窃取による二段階認証の回避は実在。ただし端末の完全偽装は誇張。ブラウザの使い分けは限定的な対策で、OSへの侵入には弱い。重要なのは侵入防止と環境の隔離、そして盗難Cookieの再利用を防ぐDBSCの普及. AIより
おそろしや
嘘くさ
驚き屋亜種？
なんで2段階認証が発動しないんや、そんなにログイン有効期間って長いんか
ローカルPCに入られている時点で基本なんでもできるのに、「ブラウザの使い分けが有効」なわけないでしょ。少し読めば発信者がど素人であることは3秒でわかる。「発信者はど素人。はい解散」で終わるべき案件
雑AI解説すぎるだろ
このブラウザを信頼するとか使ってるとダメって話しかな。めんどくさくても毎回ちゃんと認証すべしか
金融機関のログインはiPhoneのアプリからにしてる。Androidはたまに記憶のないアプリがダウンロードされてて慄く。広告誤クリックだと思うので、ブロックアプリ入れないとなぁ。
セッションCookie取られたらそらそうやろだし、そもそも取られる状態＝マルウェアと共同生活してる時点で何やってもオワコンやで/SNSの自称フルスタックエンジニアってこんなんばっかやね
いまのダークウェブでは二段階認証も無力化する「ブラウザのクローンデータ」が売買されており、その対策にはブラウザを使い分けることが有効らしい
このようなことがあると知識として押さえておいて対策したい
銀行や決済、仕事の管理画面を開く「メインのブラウザ」と、普段の調べ物や拡張機能を入れる「サブのブラウザ」を完全に分けておくだけでも、万が一の時に一番大事な資産を抜かれるリスクは劇的に下げられます
Cookieや端末指紋ごと抜かれると二段階認証も意味ないからブラウザ分離は大事
もはや、どうしたら良いのか。
え、これまじか。ここまでは想定してなかった
「このブラウザでは以後確認しない」の状態を模倣されるということか。そもCookie盗まれてる時点で負け確。PCならブラウザの『プロファイル』を分けとけばXSS対策にはなる。スマホなら公式アプリ以外を使わない。
Firefoxだとコンテナーての使えばある程度リスク下げられるのかな？あるいはプロファイル分けるか。
“今の主流はパスワードを盗むことではなく、マルウェアを使って「ログインした状態のブラウザの中身（Cookieなど）」を丸ごと引っこ抜く手口”
これは……パスワードをサイトごとに変更とか、ほぼ無意味だ。買い物終えたら一度ブラウザ閉じて、履歴とパスワード消去させてるけど、そんなのいつ抜かれるかとの追っかけっこだしな……よく思いつくな
でも２段階認証求めてこないのは一部だよね
二段階認証が無力化、っていうのはブラウザをクローンしたところで達成できないはず。単に Cookie セッションが長いサービスは二段階認証があろうがログイン状態が盗まれるって話よね？
同一セッションでなくても接続環境が再現できるようだ。ブラウザ使い分けるのと他にサービスからは都度ログアウトするような設定にして再ログイン必須にするとかの対処療法的には必要だわね。
そういうマルウェアがどこで入るのか。マヌケだけが入れられてるのか、普通にしてても気づかずにやられてるのか、それが問題。
なにそれこわい。二要素認証が発生しないというと、ログイン済みのセッションをとるって感じなのかな。
AIのハッキング能力もあるし、徐々にネットビジネスは終わりを迎えてアナログ方式に戻っていくか。
少なくともパスキーに変更しておくこと
「二段階認証すら発動せずに素通り」毎回発動するように設定しておけば良い気がするのだが。
ブラウザを分けても同じマシンでやっていたら効果は限定的な気もするけど。感染の入り口になったブラウザにしか影響しないマルウェアを想定？
クッキーが継続している間だけだよね。抜かれて販売されて利用されるまで時間かかるだろうし、クッキーの時間を短くしておけば解決するんじゃない？
そもそもマルウェアに感染しちゃってるからなぁ、、、こまめにログアウトするとか、サービス側はCookieの有効期限短めにするとかかな
セッションハイジャックのこと？？セキュリティ事情はあまり詳しくないのでなんとも言えないけど、このダークウェブ研究家(謎)のbioみてもちょっと眉唾かな… 自分が思うフルスタックの人って絶対自称しないし
要はPC盗まれても大丈夫なようにしとけという話。ちなみに日常的にログイン必須なサイトは Biscuit みたいなやつに分離しとくと便利。セッションまとめて抜かれる危険はあるけど
セキュリティ的な理由じゃないけどブラウザ使い分けはずっとやってる
読んでる限りただのセッションハイジャックなんで「サーバー側でセッションの有効期限は短めにする」で対策取れると思うんだが？
気づいた時点でログアウトすれば一応トークンは無効になるだろうけど…気付かないとおしまいよな
ファイアーフォックスで100個くらい拡張機能いれてるんだけど😭
うーん、そんなに騒がなくてもいい気はする。2段階認証を改めて求めらたら終わりだし、無力化してないよ。取引の時に改めて認証してくださいって言われても攻撃者はできない。ちょっと煽りすぎでは。
Cookie窃取による二段階認証の回避は実在。ただし端末の完全偽装は誇張。ブラウザの使い分けは限定的な対策で、OSへの侵入には弱い。重要なのは侵入防止と環境の隔離、そして盗難Cookieの再利用を防ぐDBSCの普及. AIより
おそろしや
嘘くさ
驚き屋亜種？
なんで2段階認証が発動しないんや、そんなにログイン有効期間って長いんか
ローカルPCに入られている時点で基本なんでもできるのに、「ブラウザの使い分けが有効」なわけないでしょ。少し読めば発信者がど素人であることは3秒でわかる。「発信者はど素人。はい解散」で終わるべき案件
雑AI解説すぎるだろ
このブラウザを信頼するとか使ってるとダメって話しかな。めんどくさくても毎回ちゃんと認証すべしか
金融機関のログインはiPhoneのアプリからにしてる。Androidはたまに記憶のないアプリがダウンロードされてて慄く。広告誤クリックだと思うので、ブロックアプリ入れないとなぁ。
セッションCookie取られたらそらそうやろだし、そもそも取られる状態＝マルウェアと共同生活してる時点で何やってもオワコンやで/SNSの自称フルスタックエンジニアってこんなんばっかやね