Risiko Bypass MFA

MFA secara drastis mengurangi pengambilalihan akun, tetapi bukan solusi ajaib.

Penyerang telah mengembangkan berbagai teknik untuk melewati bentuk MFA yang lebih lemah.

Penggantian SIM menipu operator seluler agar memindahkan nomor telepon korban ke kartu SIM milik penyerang.

Kode apa pun yang berbasis SMS kemudian diterima oleh penyerang. Inilah sebabnya SMS merupakan faktor kedua yang paling lemah.

Peralatan seperti proksi perantara penyerang berada di antara pengguna dan situs sebenarnya.

Peralatan tersebut meneruskan proses masuk dan OTP secara waktu nyata, lalu mencuri kuki sesi yang dihasilkan. Cara ini menggagalkan SMS, TOTP, bahkan persetujuan melalui notifikasi.

Jika penyerang mencuri token sesi atau kuki yang telah terautentikasi setelah MFA, mereka dapat sepenuhnya melewati MFA.

Perangkat lunak berbahaya, data peramban yang dicuri, atau XSS dapat membocorkan token tersebut.

Dengan MFA berbasis notifikasi, penyerang yang telah memiliki kata sandi akan mengirimkan banyak permintaan persetujuan.

Pengguna yang kelelahan atau kebingungan akhirnya mengetuk Setujui, sehingga memberikan akses. Pencocokan angka melindungi dari serangan ini.

Alur pemulihan akun sering menjadi titik lemah. Jika pengaturan ulang kata sandi atau MFA hanya memerlukan tautan email atau pertanyaan keamanan, penyerang akan menargetkan alur tersebut.

Pemulihan harus sekuat proses masuk utama.

Pertahanan terkuat adalah MFA yang tahan terhadap pengelabuan: kunci keamanan FIDO2 dan kunci akses.

Karena kredensial terikat pada asal sebenarnya, situs pengelabuan yang menggunakan proksi tidak dapat meneruskan autentikasi yang valid.

Pengelabuan waktu nyata gagal menghadapi FIDO2 karena kunci keamanan menandatangani tantangan yang terikat pada domain palsu, yang kemudian ditolak oleh server sebenarnya.

Tidak ada kode yang harus diketik ulang oleh pengguna dan tidak ada rahasia yang dapat digunakan kembali untuk dicuri.

Padukan MFA dengan kontrol lain:

• Autentikasi bertahap berbasis risiko
• Masa berlaku sesi yang singkat dan autentikasi ulang untuk tindakan sensitif
• Pengikatan perangkat dan pengikatan token
• Pemantauan perjalanan yang tidak mungkin

Untuk menutup celah pemulihan:

• Hindari pertanyaan keamanan.
• Wajibkan kunci kedua yang telah terdaftar untuk mengatur ulang MFA.
• Tambahkan penundaan dan notifikasi pada upaya pemulihan.

Bahkan MFA yang kuat akan lebih efektif jika penggunanya waspada:

• Jangan pernah menyetujui permintaan melalui notifikasi yang tidak Anda mulai.
• Waspadalah terhadap permintaan masuk yang mendesak.
• Segera laporkan permintaan MFA yang tidak terduga.

Metode MFA mana yang paling tahan terhadap proksi pengelabuan waktu nyata yang meneruskan kode dan mencuri kuki sesi?

Anda telah mempelajari cara MFA dilewati dan cara memperkuatnya.

• Penggantian SIM, pengelabuan waktu nyata, pencurian sesi, dan kelelahan MFA merupakan ancaman utama.
• MFA yang tahan terhadap pengelabuan (FIDO2 / kunci akses) adalah pertahanan terkuat.
• Perkuat alur pemulihan dan gunakan pertahanan berlapis.

Modul berikutnya: Manajemen Identitas dan Akses.