Update - أب ديت: microsoft teams

‏إظهار الرسائل ذات التسميات microsoft teams. إظهار كافة الرسائل

الثلاثاء، 28 أبريل 2020

# zoom

ثغرة في برنامج Microsoft Teams للمؤتمرات تؤدي إلى الاستيلاء على حساباتكم من خلال استلام صورة فقط

اكتشف الخبراء طريقة للاستيلاء على حسابات Microsoft Teams عن طريق إرسال صورة GIF عادية إلى المستلمين فقط ، وهي تعمل مع كل من إصدارات Team لسطح المكتب والويب.

عالجت Microsoft ثغرة أمنية في منصة محادثات الفيديو الخاصه بها Microsoft Teams والتي كان من الممكن أن تسمح للمهاجمين بالاستيلاء على حسابات الفريق عن طريق إرسال صورة GIF تبدو صوره سليمه على ما يبدو ولكنها غير ذلك.

تم اكتشاف الثغرة الأمنية من قبل باحثين من CyberArk ، وهي تؤثر على كل من إصدارات سطح المكتب والويب للبرنامج. أبلغ الباحثون المشكلة إلى Microsoft في 23 مارس ، وتناولها عملاق تكنولوجيا المعلومات في تحديث صدر في 20 أبريل.

"وجدنا أنه من خلال الاستفادة من ثغرة الاستحواذ على نطاق فرعي في Microsoft Teams ، كان بإمكان المهاجمين استخدام ملف GIF ضار لاستخراج بيانات المستخدم واستلام قائمة حسابات Teams الكاملة للمؤسسة في نهاية المطاف".

"نظرًا لأن المستخدمين لن يضطروا إلى مشاركة ملف GIF - لمجرد رؤيته - حتى يتأثروا ، فإن الثغرات الأمنية مثل هذه لديها القدرة على الانتشار تلقائيًا".

المشكلة حاسمة لأن حلول مؤتمرات الفيديو مثل Zoom و Microsoft Teams هي قنوات الاتصال المتميزة التي تختارها الشركات والطلاب وحتى المنظمات الحكومية خلال جائحة COVID-19.

تفاصيل تقنية :

يكمن الخلل في الطريقة التي تتعامل بها Microsoft Teams مع المصادقة مع موارد الصور. عند فتح التطبيق ، يقوم بإنشاء رمز وصول ، رمز JSON Web Token (JWT) ، والذي يسمح للمستخدم بعرض الصور التي شاركها الفرد أو الآخرون في محادثة.

للسماح للمستلمين بالحصول على الصورة المخصصة لهم ، يستخدم التطبيق رمزين مميزين للمصادقة: "authtoken" و "skypetoken".

يتم استخدام الرمز المميز "authtoken" لمصادقة المستخدمين لتحميل الصور في المجالات عبر Teams و Skype ، كما أنه ينشئ الرمز المميز "skypetoken" ، والذي يتم استخدامه للمصادقة على خادم يتعامل مع إجراء العميل ، مثل قراءة الرسائل.

يمكن للمهاجم الذي يمتلك كلا الرمزين المميزين إجراء مكالمات من خلال Teams API ويمكنه بهذا الاستيلاء على حساب الضحيه. يمكنه قراءة / إرسال الرسائل وإضافة مستخدمين أو إزالتهم وتغيير الأذونات وإنشاء مجموعات ،

أشار الخبراء إلى أنه يمكن استخدام "authtoken" فقط مع مجال فرعي ضمن "teams.microsoft.com" ، ولكن اكتشف الباحثون نطاقين فرعيين (aadsync-test.teams.microsoft.com و data-dev.teams.microsoft.com ) التي كانت عرضة لاستيلاء النطاق الفرعي.

"إذا تمكن المهاجم من إجبار المستخدم إلى حد ما على زيارة النطاقات الفرعية التي تم الاستيلاء عليها ، فسيرسل متصفح الضحية ملف تعريف الارتباط هذا إلى خادم المهاجم ويمكن للمهاجم (بعد استلام كلمة المرور التلقائية) إنشاء رمز سكايب مميز. بعد القيام بكل هذا ، يمكن للمهاجم سرقة بيانات حساب Teams الضحية. "تواصل المنصب.

يمكن للمهاجم استغلال الخلل بمجرد إرسال رابط ضار (أي صورة GIF) إلى الضحية ، أو إلى جميع أعضاء الدردشة الجماعية. ثم عندما يفتح المستلمون الرسالة ، يرسل المتصفح ملفات تعريف الارتباط التي تم فتحها تلقائيًا إلى النطاق الفرعي المخترق في محاولات تحميل المورد (أي صورة GIF).

"لن تعرف الضحية أبدًا أنها تعرضت للهجوم ، مما يجعل استغلال هذه الثغرة خفيًا وخطيرًا" ، يتابع التحليل. "في حين أن اقتصار مؤسستك على الاتصال الداخلي سيقلل من تعرضك ، وجدنا أنه لا يزال من الممكن التواصل مع شخص خارجي وأن أي تفاعل يتضمن واجهة دردشة مع شخص خارجي يكفي للتأثر بهذه الثغرة الأمنية. من الأمثلة الجيدة على ذلك دعوة إلى مؤتمر عبر الهاتف مع شخص خارجي لمقابلة عمل. "

وأوضح باحثو CyberArk أن الهجوم يمكن أن ينتشر تلقائيًا بطريقة تشبه الديدان ، مما يعرض جميع الحسابات في المنظمة المستهدفة للخطر.

نشر الخبراء أيضًا مقطع فيديو يستغله POC لهذه الثغرة الأمنية.

ويخلص CyberArk إلى أنه "حتى لو لم يقم المهاجم بجمع الكثير من المعلومات من حساب Teams ، فلا يزال بإمكانهم استخدام الحساب للتنقل عبر المؤسسة (مثل الدودة تمامًا)".

"في نهاية المطاف ، يمكن للمهاجم الوصول إلى جميع البيانات من حسابات Teams في مؤسستك - جمع المعلومات السرية والاجتماعات ومعلومات التقويم والبيانات التنافسية والأسرار وكلمات المرور والمعلومات الخاصة وخطط الأعمال وما إلى ذلك."

Jafar Abu Nada

I am a specialist in information security and security researcher, especially in the field of developing defense systems for wireless networks. In addition specializes in the web app security and listed in the Hall of Fame in many sites of international companies such as: ("Facebook, Google, Twitter, IBM, Sony, AT&T,... etc) , And some government institutions such as (US Department of Defense, and the US Air Force).

الأربعاء، 8 أبريل 2020

# zoom

المدارس الأمريكية تحظر Zoom وتقوم بالتحويل الي Microsoft Teams

by Aya Ali on 8:34:00 ص

المدارس الأمريكية تحظر Zoom وتقوم بالتحويل الي Microsoft Teams

بعد أن اعتمدت العديد من المدارس Zoom لإجراء الدروس عبر الإنترنت أثناء coronavirus ، أدت المخاوف بشأن الأمن والخصوصية إلى حظر برنامج مؤتمرات الفيديو في جميع أنحاء الولايات المتحدة.

أرسل مستشار وزارة التعليم في مدينة نيويورك Richard A Carranza رسالة بالبريد الإلكتروني إلى مديري المدارس يطلب منهم فيها :

"التوقف عن استخدام Zoom في أقرب وقت ممكن"

وهو ليس الوحيد بهذا القرار فقد اتخذت المدارس في أجزاء أخرى من البلاد إجراءات مماثلة، ويجري الآن تدريب المعلمين على استخدام (Microsoft Teams)كما اقترح ذلك كبديل مناسب، ويرجع ذلك جزئيا إلى أنها متوافقة مع (قانون حقوق التعليم العائلي والخصوصية).

بعد ان أمضت أعداد كبيرة من المعلمين الوقت في تعلم كيفيةاستخدام Zoom لمواصلةت تعليم التلاميذ المحصورين في منازلهم . ولكن الانتقادات المتزايدة لنهجها في الخصوصية والأمن قد أعطت سببا لإعادة التفكير.

وتظهر الوثائق التي اطلع عليها Chalkbeat أن المديرين في مدينة نيويورك قد قيل لهم:

"استنادا ً إلى مراجعة وزارة الحماية لتلك المخاوف الموثقة، فإن وزارة الحماية لن تسمح بعد الآن باستخدام Zoom في هذا الوقت".

ونقلت صحيفة واشنطن بوست عن Daniell Filson ، المتحدثة باسم وزارة التعليم في مدينة نيويورك، قولها:

إن توفير تجربة تعليمية آمنة ومأمونة لطلابنا أمر ضروري، وعند إجراء مزيد من المراجعة للمخاوف الأمنية، يجب على المدارس الابتعاد عن استخدام Zoom في أقرب وقت ممكن. هناك العديد من المكونات الجديدة للتعلم عن بعد، ونحن نقوم بالقرارات في الوقت الحقيقي في مصلحة موظفينا والطالب.سوف ندعم الموظفين والطلاب في الانتقال إلى منصات مختلفة مثل Microsoft Teams التي لديها نفس القدرات مع تدابير الأمان المناسبة المعمول بها.

كما تشير صحيفة بوست إلى أن المدارس العامة لمقاطعة كلارك في نيفادا كانت تبتعد أيضًا عن Zoom ، قائلة في بيان إن القرار قد اتخذ "لتعطيل الوصول إلى Zoom

والحذر بسبب حالات القرصنة التي خلقت بيئات غير آمنة للمعلمين والطلاب وان المدارس في ولاية يوتا وولاية واشنطن وخارجها تبحث أيضا في بدائل عن Zoom .

على مدى الأسابيع القليلة الماضية، قامت Zoom بمواجهة كبيره ضد الصحافة السيئة بعد العديد من القضايا المتعلقة بالخصوصية والأمن. وقد قامت الشركة بالفعل بتغييرات لمعالجة بعض المشاكل التي أثيرت، وتوقفت عن تطوير ميزة جديدة في حين أنها تركز على إصلاح العيوب. مع الأخذ في عين الاعتبارلمحاولة طمأنة الناس على سلامة منتجاتها كما أصدرت الشركة بياناً جاء فيه:

Zoom تأخذ خصوصية المستخدم والأمان والثقة على محمل الجد. وقد تم تطوير Zoom في الأصل لاستخدام المؤسسات ، وتم اختياره بثقة للنشر الكامل من قبل عدد كبير من المؤسسات على مستوى العالم ، بعد مراجعات الأمان لطبقات المستخدم والشبكة ومركز البيانات. خلال جائحة COVID-19، نعمل على مدار الساعة لضمان أن المستشفيات والجامعات والمدارس والمنظمات الأخرى في جميع أنحاء العالم يمكن أن تبقى على اتصال .

مع بدء الاستخدام الزائد والأنواع الجديدة من المستخدمين ل Zoom خلال هذا الوقت ،فلقد كان Zoom جذابًا بشكل استباقي للتأكد من فهمهم لسياسات Zoom ذات الصلة ، بالإضافة إلى أفضل الطرق لاستخدام النظام الأساسي وحماية اجتماعاتهم. وقد شجعنا مستخدمي التعليم لدينا على وجه الخصوص على اتباع التوجيهات الواردة هنا:

https://blog.zoom.us/wordpress/2020/03/27/best-practices-for-securing-your-virtual-classroom

وقمنا مؤخرًا بتحديث الإعدادات الافتراضية لمستخدمي التعليم المسجلين في برنامج

K-12 لتمكين غرف الانتظار وضمان أن المعلمين هم الوحيدون الذين يمكنهم مشاركة المحتوى في الفصل بشكل افتراضي. نحن فخورون بالدور الذي نقوم به خلال هذا الوقت العصيب وملتزمون بتزويد المعلمين وغيرهم من المستخدمين بالأدوات التي يحتاجونها.