عبور از سیستم امنیت دو وجهی PayPal

این آسیب پذیری در پروسه لاگین وجود دارد یعنی جایی که کاربر می خواهد از اکانت eBay خود به اکانت PayPal لاگین کند.همه کاربران eBay می دانند که برای خرید راحت تر از اکانت PayPal که به eBay لینک شده باشد، می توانند استفاده کنند. کاربران می توانند این دو اکانت را در تنظیمات کاربری خود، لینک نکنند.

آسیب پذیری در ورود به PayPal بوسیله حساب کاربری eBay است. ورود به PayPal از طریق eBay باعث می شود تا احراز هویت دو وجهی PayPal دیگر استفاده نشود.

هنگامی که کاربر eBay به صفحه لاگین هدایت شد، آدرس URL شامل عبارت “=_integrated-registration”  می شود. با یک جست و جو در گوگل متوجه خواهید شد که این عبارت تنها به eBay اختصاص دارد.

وقتی که شما لاگین کردید، یک کوکی با مشخصات شما ذخیره می شود. سپس شما به صفحه دیگری هدایت می شوید تا اطلاعات وارد شده را تصدیق کنید و اینجا دقیقا جایی است که آسیب پذیری وجود دارد. کافی است شما الان صفحه PayPal خود را لود کنید. می بینید که شما در PayPal نیز لاگین کرده اید، بدون آنکه احراز هویت دو وجهی صورت بگیرد.

PayPal یک سیستم احراز دو وجهی برای حفاظت از اکانت کاربران خود استفاده می کند. اما با استفاده از تکنیک بالا بدون آنکه کاربر کد یک بار مصرف 2 Factor Authentication را دریافت کند، لاگین می کند. این یعنی عبور از سیستم 2FA.

PayPal از یک کد یک بار مصرف استفاده می کند. این کد از طریق SMS به کاربر اعلام می شود. برای لاگین کردن هم این کد و هم شناسه کاربری و رمز عبور لازم است. اما با استفاده از این آسیب پذیری دیگر نیازی به کد 2FA نیست.

این آسیب پذیری در ماه ژوئن به PayPal اعلام شد اما هنوز وصله نشده است. قبلا هم آسیب پذیری برای سیستم های اهراز هویت دو وجهی PayPal شناسایی شده بود.