Risici ved MFA-omgåelse

Værktøjer som proxyer, hvor angriberen placerer sig mellem brugeren og det ægte websted, ligger mellem brugeren og det ægte websted.

De videresender loginoplysningerne og OTP'en i realtid og stjæler den resulterende sessionscookie. Det omgår SMS, TOTP og endda push.

Hvis en angriber stjæler et godkendt sessionstoken eller en sessionscookie efter MFA, omgår angriberen MFA fuldstændigt.

Skadelig software, stjålne browserdata eller XSS kan lække disse tokens.

Med push-baseret MFA sender angribere, der allerede har adgangskoden, godkendelsesanmodninger i massevis.

En udmattet eller forvirret bruger trykker til sidst på Godkend og giver adgang. Nummermatchning beskytter mod dette.

Kontos gendannelsesforløb er ofte et svagt punkt. Hvis nulstilling af en adgangskode eller MFA kun kræver et e-maillink eller et sikkerhedsspørgsmål, angriber gerningsmændene i stedet dette.

Gendannelse skal være lige så stærk som det primære login.

Det stærkeste forsvar er phishingmodstandsdygtig MFA: FIDO2-sikkerhedsnøgler og adgangsnøgler.

Fordi legitimationsoplysningerne er bundet til den ægte oprindelse, kan et phishingwebsted med en proxy ikke videresende en gyldig autentifikation.

Phishing i realtid mislykkes over for FIDO2, fordi sikkerhedsnøglen signerer en udfordring, der er knyttet til det falske domæne, som den ægte server afviser.

Der er ingen kode, som brugeren skal indtaste igen, og ingen genanvendelig hemmelighed, der kan stjæles.

Kombiner MFA med andre sikkerhedskontroller:

• Risikobaseret godkendelse med ekstra trin
• Korte sessionslevetider og gentagen autentifikation ved følsomme handlinger
• Binding af enheder og tokens
• Overvågning af umulige rejser

Sådan lukker du hullet i gendannelsen:

• Undgå sikkerhedsspørgsmål.
• Kræv en registreret ekstra nøgle for at nulstille MFA.
• Tilføj forsinkelser og meddelelser ved gendannelsesforsøg.

Selv stærk MFA har gavn af opmærksomme brugere:

• Godkend aldrig en push-anmodning, som du ikke selv har startet.
• Vær skeptisk over for presserende loginanmodninger.
• Indberet uventede MFA-anmodninger med det samme.

Du har lært, hvordan MFA omgås, og hvordan du kan styrke den.

• SIM-bytning, phishing i realtid, sessionstyveri og MFA-træthed er vigtige trusler.
• Phishingmodstandsdygtig MFA (FIDO2 / adgangsnøgler) er det stærkeste forsvar.
• Styrk gendannelsesforløb, og brug forsvar i dybden.

Næste modul: Identitets- og adgangsstyring.