De cette façon, le pirate informatique ne saura pas si les informations de connexion sont correctes ou non.

Si les informations présentées après la connexion n'ont aucun lien avec la personne qui login devrait être pour, alors la plupart des hackers reconnaîtront rapidement que la connexion n'est probablement pas la vraie.

Mais, pour afficher des informations qui semblent correspondre à l'utilisateur, un effort considérable peut être nécessaire. Il doit également être créé spécifiquement pour chaque utilisateur et afficher de vraies informations sur l'utilisateur afin qu'il ne semble pas faux mais pas trop afin qu'aucune information importante ne soit divulguée.

Vous ne pouvez pas vous attendre à ce que votre fournisseur fasse cela pour vous, mais vous pouvez essayer de le faire vous-même dans de nombreux cas, c'est-à-dire ajouter un autre compte de messagerie, un autre compte Facebook, etc.

Le concept que vous décrivez s'appelle Déni plausible et des méthodes pour le fournir ont en effet été implémentées dans certains logiciels, VeraCrypt en étant un exemple.

Un problème avec sa mise en œuvre dans les sites Web, comme vous le suggérez, est qu'il est très difficile pour le développeur du site Web de trouver de fausses données suffisamment réalistes pour tromper un attaquant sans en divulguer aucune données sur l'utilisateur. Dans les logiciels de cryptage comme VeraCrypt, cette tâche est transférée à l'utilisateur, qui est évidemment dans une bien meilleure position pour le faire.

Parce que les pirates n'attaquent pas les formulaires de connexion

Le défaut est que vous supposez que les pirates pénètrent dans les comptes en forçant brutalement les informations d'identification contre les services distants. Mais c'est futile de toute façon.

Tout site Web avec une sécurité décente (ceux sans une sécurité décente ne se soucieraient pas non plus de votre idée) aura une limite imposée au nombre de tentatives de connexion infructueuses peut être effectuée dans un certain laps de temps par adresse IP, généralement quelque chose comme 5 tentatives infructueuses toutes les 6 heures. Si la sécurité est un peu plus forte, les comptes peuvent également avoir besoin d'une action de la part du propriétaire après un certain nombre de tentatives infructueuses, et / ou le propriétaire peut être informé des tentatives de connexion infructueuses ou même de toutes les connexions à partir de nouveaux appareils.

Donc alors que les attaques par force brute peuvent très bien être possibles contre des données simples (telles que les hachages de mots de passe exposés lors d'une violation), elles sont loin d'être réalisables contre un service avec même un peu de sécurité.

Pour les attaquants, c'est donc beaucoup plus facile de faire du phishing, ou mieux encore de mettre en place un véritable service gratuit eux-mêmes et de travailler sur l'hypothèse de la réutilisation du mot de passe:

Je n'ai jamais entendu parler d'un service ou d'un appareil implémentant cela non plus.

Le cas où un attaquant est présent et vous oblige à vous connecter est assez improbable. Ils sont plus susceptibles de simplement prendre votre iPhone à 1000 $ et de courir.

Cependant, il est très plausible que cela se produise si «l'attaquant» est un agent de sécurité / TSA à un point de contrôle de sécurité d'un aéroport. Surtout si vous êtes dans un pays étranger. (Il y a quelques années, il y a eu une présentation PHENOMENAL Defcon sur ce sujet.)

Sites Web

Cela n'aurait probablement pas beaucoup de sens de l'implémenter sur un site Web. Si vous (l'administrateur) êtes certain qu'une personne qui tente d'accéder à un compte est un pirate informatique, bloquez-la / verrouillez le compte. Problème résolu.

Si l'attaquant tente d'accéder à plusieurs comptes, il saura probablement que quelque chose est louche s'il parvient à se connecter "avec succès" à plusieurs comptes lors du premier ou du deuxième essai.

Téléphones

Bien que les téléphones n'autorisent pas les fausses connexions (?), mais vous pouvez les verrouiller après que le mot de passe n'a pas été saisi correctement n fois.

L'attaquant / agent TSA vous demande de déverrouiller le téléphone. Vous avez intentionnellement entré un mot de passe incorrect lors du premier essai.

"Oh, oups, un mot de passe incorrect ..."

Vous entrez à nouveau le mauvais mot de passe au deuxième essai.

"Désolé, j'ai les mains moites quand je suis nerveux ..."

Vous avez entré un mot de passe incorrect au troisième essai. Le téléphone est maintenant verrouillé pendant 30 minutes!

Cela ne fonctionnera bien sûr pas si vous récitez le mot de passe à l'attaquant et qu'il le saisit dans le téléphone. Et je pense que la plupart des verrouillages de téléphone ne durent que 30 minutes (?), Période pendant laquelle l'attaquant / l'agent TSA fera de son mieux pour vous "convaincre" de vous souvenir du mot de passe dans une arrière-salle.

Ordinateurs portables

Votre suggestion serait relativement simple à mettre en œuvre sur un ordinateur portable ...

Créez au moins 2 profils utilisateur.

Le premier profil que vous nommez après vous-même (prénom et nom). Vous définissez une photo de vous-même comme photo de profil. Ce sera votre "faux" compte. Définissez le mot de passe comme quelque chose de simple et facile à retenir. Mettez des "trucs personnels" dans le compte (musique, photos de votre animal, documents "de travail", etc.).

Le deuxième compte, vous donnez un nom générique de membre de la famille ("mari", "les enfants "," miel ", etc.). Conservez la photo de profil par défaut. Définissez un mot de passe fort. Ce sera le compte avec des privilèges d'administrateur sur l'ordinateur portable, et le compte que vous utiliserez pour votre travail important / confidentiel.

Imaginez maintenant un scénario dans lequel vous êtes obligé de vous connecter ...

Vous êtes dans un aéroport d'Océanie, sur le point de rentrer chez vous en Eurasie. La sécurité de l'aéroport vous arrête sur votre chemin à travers le terminal.

Sécurité: "Donnez-nous votre passeport et votre ordinateur portable!"

Vous leur donnez l'ordinateur portable et le passeport. Ils allument un ordinateur portable et essaient de se connecter au compte que vous avez nommé d'après vous-même. En voyant qu'ils ont besoin d'un mot de passe, ils vous demandent de leur dire le mot de passe.

Vous: "Le mot de passe est opensea . Pas d'espace."

L'aéroport security entrez le mot de passe et entrez avec succès votre faux compte.

Après avoir cherché pendant quelques minutes sans rien trouver qui l'intéresse, ils se déconnectent et essaient de se connecter à votre vrai compte.

Sécurité: "À qui appartient ce compte? Quel est le mot de passe?"

Vous: "C'est le compte de mes enfants. Le mot de passe est 123dogs ."

Ils entrent le mot de passe, mais ne parviennent pas à se connecter.

Sécurité: "Ce mot de passe est faux! Dites-nous le mot de passe correct!"

Vous vous sentez surpris et demandez eux pour vous donner l'ordinateur portable afin que vous puissiez essayer de vous connecter. Ils vous donnent l'ordinateur portable et vous commencez à taper de faux mots de passe.

Vous: "Ces maudits enfants, je leur ai dit de NE PAS changer le mot de passe! Je suis désolé, ils n'étaient censés utiliser que ce compte pour leurs jeux vidéo stupides! "

La sécurité de l'aéroport se concerte, puis vous laisse continuer votre chemin. Vous rentrez en Eurasie en toute sécurité sans que les informations confidentielles de votre ordinateur portable ne soient compromises.

Ce n'est pas exactement le contexte que vous aviez en tête mais il existe en fait des systèmes qui ont implémenté cette idée. J'avais l'habitude de travailler dans une installation (quelque peu sensible) où chaque employé avait deux codes pour désactiver le système d'alarme: le standard et un code de contrainte. Si vous utilisiez le code de contrainte, le système serait désactivé pour ne pas vous mettre en danger mais une alarme silencieuse se déclencherait au centre de surveillance. Je lis sur Wikipédia que cela a également été envisagé pour les guichets automatiques bancaires aux États-Unis mais finalement exclu.

Un autre concept similaire est le " pot de miel" . Certains d'entre eux peuvent en fait accepter des informations d'identification ou fournir des données factices lorsqu'ils sont attaqués, pour pouvoir enregistrer ce qu'un attaquant fait ensuite ou exploiter la situation d'une autre manière (par exemple, capturer la charge utile d'un ver).

Quant à pourquoi ce n'est pas plus courant dans les produits de consommation, les services en ligne, etc., il y a simplement un compromis entre les avantages (quelle est la probabilité d'une attaque particulière, si elle dissuaderait efficacement les criminels ou les inciterait simplement à modifier légèrement leur technique) et le les coûts (systèmes plus complexes à développer, maintenir et certifier - ce qui signifie également une surface d'attaque accrue qui pourrait permettre à un attaquant avec un point d'entrée réel, une bande passante et des coûts d'exploitation pour servir les données factices à tous les botnets attaquant constamment les services en ligne, effort pour créer des données factices pour tromper des attaques plus sophistiquées).

C'est ce qu'on appelle la «Deception Technology» dans le cyber-monde où la solution trompe les cyber-ennemis (attaquants) avec des leurres clés en main (pièges) qui «imitent» vos véritables atouts. Des centaines ou des milliers de pièges peuvent être déployés avec peu d'effort, créant un champ de mines virtuel pour les cyberattaques, vous alertant immédiatement de toute activité malveillante avec des informations exploitables. Les pièges contiendraient des informations de connexion, des données factices, un système factice, etc. pour tromper l'attaquant en le faisant comme un système réel.

La technologie de tromperie est une catégorie émergente de défense de la cybersécurité. Les produits de la technologie de déception peuvent détecter, analyser et se défendre contre les attaques zero-day (où le type / la procédure d'attaque n'est pas connu auparavant) et les attaques avancées, souvent en temps réel. Ils sont automatisés, précis et fournissent un aperçu des activités malveillantes au sein des réseaux internes qui peuvent être invisibles par d'autres types de cyberdéfense. La technologie de tromperie permet une posture de sécurité plus proactive en cherchant à tromper les attaquants, à les détecter puis à les vaincre, permettant à l'entreprise de reprendre ses activités normales.

Vous pouvez consulter le lien ci-dessous pour certains fournisseurs de solutions: https://www.firecompass.com/blog/top-5-emerging-deception-technology-vendors-at-rsa-conference-2017/

Cela a été fait dans le passé, plutôt avec succès, mais dépend beaucoup de ce qu'est le système.

À un moment donné, il n'était pas rare pour les sites Web à accès payant de détecter automatiquement lorsqu'un compte se connectait à partir d'un trop grand nombre d'adresses IP ou avec d'autres modèles suspects et de rediriger ces utilisateurs vers une version du site qui était principalement annonces et liens d'affiliation vers d'autres sites. S'il est bien fait, le partage des identifiants de connexion volés pourrait devenir un centre de revenus.

Il existe également des sites Web qui dirigent les utilisateurs vers différentes versions en fonction de l'adresse IP ou d'autres critères; la version la plus simple est la publicité ciblée.

Pour l'accès au shell, il est possible de diriger une connexion vers une prison chrootée qui n'a qu'une petite section de disque et des binaires spécialement provisionnés, qui ne sont pas nécessairement les mêmes que le système général.

Tout d'abord, je n'appellerais pas l'attaquant dans ce scénario un hacker. Un pirate informatique tente de contourner la sécurité qu'offre le site Web.Dans votre scénario, l'attaquant ne se soucie pas de la sécurité de vos services, il se soucie de la facilité avec laquelle l'utilisateur est intimidé et peut-être de ce qu'il doit faire du corps par la suite.

Deuxièmement, d'autres informations d'identification qui modifient votre accès ont été effectuées, mais si cela fait plus que présenter une vue restreinte de la vérité, cela représente beaucoup de travail et une utilité limitée.

La raison est d'une utilité limitée, car vos utilisateurs le savent, vous devez présumer que tout attaquant le sait également. Supposons que vous ayez fait cela pour une carte ATM afin qu'elle affiche un solde inférieur à cent dollars afin de limiter votre perte. Soit l'attaquant demande les deux (auquel cas la victime a au mieux 50% de chances de ne pas perdre plus) ou inclut simplement dans le cadre de ses demandes qu'il produit plus que cela - "si je n'obtiens pas au moins 200 tu es mort ".

Ce n'est pas totalement inutile, mais n'est efficace que contre un attaquant ignorant. S'appuyer sur l'attaquant ne sachant pas quelque chose s'appelle la sécurité par l'obscurité, c'est-à-dire "ils l'ont compris".

Pour le Web et une attaque à distance, comme beaucoup de gens l'ont déjà dit ici, outre la difficulté de créer un faux contenu d'utilisateur, il y a le problème de: comment savez-vous qu'il s'agit d'une connexion compromise?

Je veux dire, si vous supposez qu'il y a une sorte d'activité suspecte, comme une attaque par force brute, vous pouvez simplement bloquer la connexion pour cette IP et peut-être pour ce compte lui-même pour un certain temps (jusqu'à ce que le vrai propriétaire valide d'une manière ou d'une autre son identité)

Les seuls cas utiles sont les connexions forcées , c'est une autre histoire et une jolie idée de couperet. Voici l'implémentation que j'imagine pour un réseau social:

1. L'utilisateur crée lui-même un compte avec des données factices, et le définit comme son compte factice.
2. Quand il y a une connexion forcée en cours, comme vous jelous gf ou bf vous extorquant de vous connecter, alors vous mettez le mot de passe factice et il y en a! vous êtes connecté à votre magnifique compte factice créé par vous-même.

MAIS Ce n'est pas non plus une solution parfaite. L'attaquant vous connaîtra probablement et, si c'est votre ex fou par exemple, elle peut simplement vérifier son journal de discussion avec vous et saura que vous venez de vous connecter sur le faux compte.

Ceci est particulièrement pertinent car il s'agira d'une fonctionnalité bien connue du public de la plate-forme que vous êtes, donc quiconque vous oblige pourra vérifier si vous êtes ou non.

Pour les banques ou d'autres sites, c'est une très bonne idée.

Le problème est que vos utilisateurs doivent le savoir, vous devez donc présumer que tout attaquant le sait également.

Pour moi, c'est comme si vous invitiez l'attaquant à danser avec vous.

"Hé attaquant, tu veux pirater mon site Web? Eh bien, voici un faux site de connexion pour vous!"

Vous ne voulez certainement pas inviter l'attaquant à danser avec vous car il pourrait trouver cela amusant et stimulant, ce qui lui donnerait encore plus de motivation pour essayer de pirater votre site Web.