2Faktor Auth kann für DOS verwendet werden

Geend / HshHelper

Hannover University of Applied Sciences and Arts - Master Project - Security competition to make a secure filesharing website.

GNU General Public License v3.0

0 stars 1 forks source link

Closed Flips01 closed 5 years ago

Flips01 commented 5 years ago

Bild laden erzeugt TempSecret. (sehr unwahrscheinlicher) angriff per race condition ist möglich:

Nutzer lädt settings-seite
TempSecret wird gesetzt
Nutzer scannt code
Angreifer bekommt Nutzer dazu, das bild erneut zu laden (iframe etc)
nutzer aktiviert 2factor auth.
es wird nicht der code verwendet, den der nutzer gesetzt hat, sondern der der von zweiten bild-call gesetzt wurde -> nutzer ist ausgesperrt (DOS)