THE DIFFERENCE BETWEEN A KILLER DEAL AND A DEAL KILLER MARKUS - PowerPoint PPT Presentation

THE DIFFERENCE BETWEEN A KILLER DEAL AND A DEAL KILLER MARKUS JAKOBSSON PAYPAL

THAT DIFFERENCE IS OFTEN SMALL 2 Confidential and Proprietary

PART 1/3: DEALING WITH WEB SPOOFING JOINT WORK WITH HOSSEIN SIADATI 3 Confidential and Proprietary

Theory ¡of ¡When ¡Spoofing ¡Works ¡ ¡ An ¡a3acker ¡is ¡successful ¡if ¡ ¡ ¡ 1. The ¡vic;m ¡is ¡tricked, ¡and ¡as ¡a ¡result ¡ 2. The ¡vic;m ¡acts, ¡benefiBng ¡the ¡a3acker ¡

Theory ¡of ¡When ¡Spoofing ¡Works ¡ Tradi;onal ¡countermeasures ¡address ¡this ¡part ¡ ¡ ¡(locks, ¡colors, ¡warnings ¡– ¡a ¡user ¡communica;on ¡problem) ¡ ¡ An ¡a3acker ¡is ¡successful ¡if ¡ ¡ ¡ 1. The ¡vic;m ¡is ¡tricked, ¡and ¡as ¡a ¡result ¡ 2. The ¡vic;m ¡acts, ¡benefiBng ¡the ¡a3acker ¡

Theory ¡of ¡When ¡Spoofing ¡Works ¡ ¡ An ¡a3acker ¡is ¡successful ¡if ¡ ¡ ¡ 1. The ¡vic;m ¡is ¡tricked, ¡and ¡as ¡a ¡result ¡ 2. The ¡vic;m ¡acts, ¡benefiBng ¡the ¡a3acker ¡ Can ¡we ¡address ¡this ¡instead? ¡

Imagine ¡a ¡World ¡Where… ¡ GOOD ¡SITE ¡ NAÏVE ¡USER ¡ SUCCESS ¡ + ¡ = ¡ ¡ ¡NAÏVE ¡USER ¡ SPOOF ¡SITE ¡ ABORT ¡ (SAME ¡ACTION) ¡ + ¡ = ¡

¡ Here ¡is ¡How ¡to ¡Do ¡It! ¡ LOG ¡IN ¡NOW ¡ Y ¡ On ¡ Enter ¡Password: ¡ white-­‑ list? ¡ N ¡ ABORT ¡

Feedback ¡– ¡but ¡no ¡instruc;ons ¡

Performance ¡ 75% ¡ 15% ¡ 10% ¡

PART 2/3: DISCOURAGING LYING 11 Confidential and Proprietary

HOW LIES “SOLIDIFY”… 12 Confidential and Proprietary

… AND HOW TO AVOID IT! …… 13 Confidential and Proprietary

EXPERIMENT DESIGN MOTIVE CRIME VARI ABLE REACTION 14 Confidential and Proprietary

EXPERIMENT DESIGN Affiliate sends you a broken item. MOTIVE CRIME VARI ABLE REACTION 15 Confidential and Proprietary

EXPERIMENT DESIGN Affiliate sends you a broken item. MOTIVE You decide to order “and never CRIME receive”. VARI ABLE REACTION 16 Confidential and Proprietary

EXPERIMENT DESIGN Affiliate sends you a broken item. MOTIVE You decide to order “and never CRIME receive”. You select item, see You select photo/name VARI ABLE item. of delivery. REACTION 17 Confidential and Proprietary

AN EXPERIMENT - REACTION 18 Confidential and Proprietary

AN EXPERIMENT – RESULTS Test: 304 Control: 318 TEST TREATMENT REDUCES LIES BY ~60% 19 Confidential and Proprietary

HOW TO AVOID LIES • Confront the user before he has committed to his lie • Provide him with an “easy out” at the tipping point 20 Confidential and Proprietary

EXPERIMENT NUMBER 2 Affiliate sends you a broken item. MOTIVE You decide to order “and never CRIME receive”. You select item, told You select “was your VARI ABLE item. computer”. REACTION 21 Confidential and Proprietary

EXPERIMENT NUMBER 2 Affiliate sends you a broken item. MOTIVE You decide to order “and never CRIME receive”. You select item, told You select “was your VARI ABLE item. computer”. TEST TREATMENT REDUCES LIES BY ~30% REACTION 22 Confidential and Proprietary

HOW TO AVOID LIES • Order matters: evidence first, decision second • Always build an emergency exit • Concrete evidence is more helpful • Some confrontation hurts the honest – other does not 23 Confidential and Proprietary

PART 3/3: DERIVED PINS JOINT WORK WITH DEBIN LIU 24 Confidential and Proprietary

SOME BAD PINS 1234 2580 Your spouse’s birthday PINs you forget Confidential and Proprietary

CORPORATE FOUR-LETTER WORD “ Friction ” Confidential and Proprietary

WHAT WILL USERS SEE Confidential and Proprietary

EXAMPLE USER MAPPING “Blu2thRules” “2582” Confidential and Proprietary

OPPORTUNISTIC DERIVATION Access; Truncate; Map; Store Confidential and Proprietary

PASSWORD CHANGE? Dual Universes Confidential and Proprietary

IMAGINE PIN THEFT 20 18 16 14 12 10 8 6 4 2 0 Password Entropy Entropy of Derived Conditional Password PINs Entropy Confidential and Proprietary

MORE DETAILS www.spoofkiller.com www.derivedPIN.com … or email me at majakobsson@paypal.com … 32 Confidential and Proprietary