Συντάχθηκε 26-08-2024 09:03
Τόπος:
Σύνδεσμος τηλεδιάσκεψης
Έναρξη: 30/08/2024 14:00
Λήξη: 30/08/2024 15:00
ΠΟΛΥΤΕΧΝΕΙΟ ΚΡΗΤΗΣ
Σχολή Ηλεκτρολόγων Μηχανικών και Μηχανικών Υπολογιστών
Πρόγραμμα Προπτυχιακών Σπουδών
ΠΑΡΟΥΣΙΑΣΗ ΔΙΠΛΩΜΑΤΙΚΗΣ ΕΡΓΑΣΙΑΣ
Παναγιώτη Λεοντή
με θέμα
Διερεύνηση Απειλών που βασίζονται σε Phishing κατά τη χρήση του Ελέγχου Ταυτότητας με SSO
Exploring Phishing-based Threats in the use of SSO Authentication on the Web
Εξεταστική Επιτροπή
Αναπληρωτής Καθηγητής Σωτήριος Ιωαννίδης (επιβλέπων)
Καθηγητής Απόστολος Δόλλας
Επίκουρος Καθηγητής Νικόλαος Γιατράκος
Περίληψη
Στόχος αυτής της έρευνας είναι η ανίχνευση απειλών Phishing κατά τη χρήση του Single Sign-On στο διαδίκτυο. Τα συστήματα Single Sign-On (SSO) έχουν γίνει ένα αναπόσπαστο μέρος του σύγχρονου ψηφιακού ελέγχου ταυτότητας, παρέχοντας στους χρήστες εύκολη πρόσβαση σε πολλαπλές υπηρεσίες χωρίς την χρήση πολλών κωδικών. Θεωρήσαμε λοιπόν πως επιθέσεις για την κλοπή αυτών των στοιχείων στα συστήματα σύνδεσης SSO αποτελούν σοβαρό κίνδυνο για την ασφάλεια των χρηστών και υπονομεύεται η αποτελεσματικότητά και η χρησιμότητά τους. Δεδομένου ότι οι χάκερ εξελίσσονται συνεχώς, έχουν γίνει ειδικοί στο να εξαπατούν ανυποψίαστους χρήστες και να παραμένουν απαρατήρητοι. Υποδυόμενοι έναν έμπιστο πάροχο, π.χ το Facebook, εμπνέουν εμπιστοσύνη για την ασφάλεια των στοιχείων εισόδου που χρησιμοποιεί ο χρήστης. Επομένως, υπάρχει ανάγκη να μελετήσουμε περισσότερο αυτές τις απειλές και να μπορούμε να τις αναγνωρίζουμε. Αυτό μας οδήγησε στο να δράσουμε ως ένας κακόβουλος χρήστης και να αξιολογήσουμε κατά πόσο είναι εφικτή μια τέτοια επίθεση. Έτσι φτιάξαμε mock-up σελίδες ώστε να στήσουμε ένα τέτοιο περιβάλλον. Το επόμενο βήμα ήταν να αναζητήσουμε κατά πόσο υπάρχουν τέτοιες απειλές στο διαδίκτυο. Γι' αυτό το λόγο αναπτύχθηκε ένα εργαλείο αυτοματισμού το οποίο εκτελεί όλα τα βήματα που περιλαμβάνει μια διαδικασία σύνδεσης με SSO καθώς και ανακαλύπτει κάποια ύποπτη προσπάθεια κλοπής των στοιχειών του χρήστη. Αφού δοκιμάσαμε τις προσεγγίσεις μας, τρέχοντας εκτενή πειράματα θέλαμε να είμαστε σε θέση να προστατέψουμε το χρήστη. Βασισμένοι σε αυτό αναπτύξαμε ένα Chrome Extension το οποίο θα μπορεί να φορτωθεί στο πρόγραμμα περιήγησης του χρήστη και να χειριστεί αυτές τις ύποπτες υποθέσεις. Με αυτόν τον τρόπο, θα μπορούμε να του παρέχουμε άμυνα σε πραγματικό χρόνο εάν εντοπιστεί κάποια κακόβουλη ανακατεύθυνση.
Abstract
This thesis delves into the exploration of Phishing threats in the use of Single Sign-On authentication on the web. Single sign-on (SSO) systems have become an integral part of modern digital authentication, providing users with easy access to multiple services with single credentials. However, we considered that phishing attacks targeting SSO login systems pose a serious risk to user security and undermine the effectiveness of these systems. Because they are always changing, hackers have mastered the art of deceiving unsuspecting people and avoiding detection. They create the impression that the user’s personal information will be secure by impersonating a trusted provider. Therefore, there is a need for these threats to be more studied and recognizable. For this reason, we tried to act as an attacker and see how feasible it is to create such an attack by creating mock-up pages and interacting with them. Next step in our work was conducting a large scale experiment to evaluate if this kind of attack exists on the web. This goal was achieved by developing an automation tool to navigate through various domains and perform all the steps involved a login procedure using SSO as well as to discover any suspicious phishing attempt. After evaluating our approaches we wanted to be able to protect the user. Based on that a Chrome extension was implemented to be loaded to the user’s browser and handle these cases. In this way, we could provide him with real-time defense if any malicious redirection is identified.
Meeting ID: 965 4957 9524
Password: 984136
