مخاطر تجاوز MFA

تقلل MFA بشكل كبير من الاستيلاء على الحسابات، لكنها ليست حلًا سحريًا.

طوّر المهاجمون عدة أساليب لتجاوز الأشكال الأضعف من MFA.

تخدع عملية تبديل بطاقة SIM شركة اتصالات محمولة لتنقل رقم هاتف الضحية إلى بطاقة SIM الخاصة بالمهاجم.

وبذلك تصل أي رموز معتمدة على SMS إلى المهاجم. ولهذا السبب تُعد SMS أضعف عامل ثانٍ.

تتموضع أدوات مثل الوكلاء الوسيطين بين الخصم والمستخدم بين المستخدم والموقع الحقيقي.

وتنقل تسجيل الدخول ورمز OTP في الوقت الفعلي، ثم تسرق ملف تعريف جلسة الارتباط الناتج. وهذا يهزم SMS وTOTP وحتى الإشعارات الفورية.

إذا سرق المهاجم رمز جلسة أو ملف تعريف ارتباط لجلسة موثّقة بعد MFA، فيمكنه تجاوز MFA بالكامل.

قد تسرّب البرمجيات الخبيثة أو بيانات المتصفح المسروقة أو XSS هذه الرموز.

في MFA المعتمدة على الإشعارات الفورية، يرسل المهاجمون الذين يملكون كلمة المرور مسبقًا مطالبات موافقة متكررة.

ينقر المستخدم المرهق أو المرتبك في النهاية على موافقة، مانحًا الوصول للمهاجم. وتدافع مطابقة الأرقام ضد ذلك.

تُعد مسارات استرداد الحساب نقطة ضعف متكررة. فإذا لم يتطلب إعادة تعيين كلمة المرور أو MFA سوى رابط بريد إلكتروني أو سؤال أمان، يستهدف المهاجمون ذلك بدلًا من مسار تسجيل الدخول.

يجب أن يكون الاسترداد قويًا بقدر قوة تسجيل الدخول الأساسي.

أقوى دفاع هو MFA المقاومة للتصيد الاحتيالي: مفاتيح أمان FIDO2 ومفاتيح المرور.

ولأن بيانات الاعتماد مرتبطة بالأصل الحقيقي، لا يستطيع موقع تصيد احتيالي وسيط تمرير مصادقة صالحة.

يفشل التصيد الاحتيالي في الوقت الفعلي أمام FIDO2، لأن مفتاح الأمان يوقّع تحديًا مرتبطًا بـالنطاق الاحتيالي، ويرفضه الخادم الحقيقي.

لا يوجد رمز يتعين على المستخدم إعادة كتابته، ولا سر قابل لإعادة الاستخدام يمكن سرقته.

اجمعوا MFA مع ضوابط أخرى:

• مصادقة تصعيدية مبنية على المخاطر
• فترات جلسة قصيرة وإعادة المصادقة لتنفيذ الإجراءات الحساسة
• ربط الجهاز وربط الرمز
• مراقبة السفر المستحيل

لسد فجوة الاسترداد:

• تجنبوا أسئلة الأمان.
• اشترطوا وجود مفتاح ثانٍ مسجّل لإعادة تعيين MFA.
• أضيفوا فترات تأخير وإشعارات عند محاولات الاسترداد.

حتى MFA القوية تستفيد من المستخدمين الواعين:

• لا توافقوا أبدًا على إشعار فوري لم تبدؤوا طلبه.
• كونوا متشككين تجاه مطالبات تسجيل الدخول العاجلة.
• أبلغوا فورًا عن طلبات MFA غير المتوقعة.

أي طريقة MFA تقاوم بأفضل شكل وكيل تصيد احتيالي في الوقت الفعلي ينقل الرموز ويسرق ملفات تعريف ارتباط الجلسات؟

تعلّمتم كيف يتم تجاوز MFA وكيفية تعزيز حمايتها.

• يُعد تبديل بطاقة SIM والتصيد الاحتيالي في الوقت الفعلي وسرقة الجلسات وإرهاق MFA من التهديدات الرئيسية.
• تُعد MFA المقاومة للتصيد الاحتيالي (FIDO2 / مفاتيح المرور) أقوى دفاع.
• عزّزوا مسارات الاسترداد واستخدموا دفاعًا متعدد الطبقات.

الوحدة التالية: إدارة الهوية والوصول.