Un sitio web que implementa el sistema de autenticación SQRL muestra un código QR en la pantalla de la computadora y cualquier persona que quiera iniciar sesión sólo escanee ese código con una aplicación de teléfono móvil. Una vez escaneado, el sitio inicia la sesión de usuario sin necesidad de escribir ningún dato adicional. Este código se renueva cada 20 segundos. Por ejemplo, en WhatsApp web, se presenta la siguiente pantalla:
QRLJacking: Secuestro de código QR
El investigador de seguridad egipcio Mohamed Abdelbasset Elnouby (@SymbianSyMoh) ha creado una prueba de concepto que demuestra una técnica que se puede utilizarse para hackear cuentas de servicios que usan la característica "Inicio de sesión con código QR". Denominado QRLJacking, la técnica es un "vector de ataque simple-pero-desagradable" que afecta a todas las aplicaciones que basan su inicio de sesión con códigos QR.Básicamente se basa en un phishing, donde el atacante tiene que convencer a la víctima de escanear el código QR brindado por el atacante:
- El atacante ingresa al sitio que utiliza el código QR (por ejemplo WhatsApp web). El sitio muestra el código generado.
- El atacante clona/copia del código QR de inicio de sesión en una página de phishing creada por él.
- El atacante envía la página de phishing a la víctima.
- Si es convencido, la víctima escanea el código QR con la aplicación móvil objetivo.
- La aplicación móvil envía el token secreto al servicio web para completar el proceso de autenticación.
- Como resultado, el atacante inicia la sesión cliente y gana el control sobre la cuenta de la víctima.
- Para llevar a cabo un exitoso, un atacante debe refrescar continuamente (cada N segundos) el código generado en la página falsa.
_________________________________________________________________________________
Se Respetan Derechos de Autor.