Risico's van MFA-bypass

Hulpmiddelen zoals proxies van het type aanvaller-in-het-midden staan tussen de gebruiker en de echte website.

Ze sturen het inloggen en de OTP in realtime door en stelen het bijbehorende sessiecookie. Dit omzeilt sms, TOTP en zelfs pushmeldingen.

Als een aanvaller na MFA een geauthenticeerd sessietoken of sessiecookie steelt, wordt MFA volledig overgeslagen.

Malware, gestolen browsergegevens of XSS kunnen deze tokens lekken.

Bij MFA op basis van pushmeldingen sturen aanvallers die het wachtwoord al hebben massaal goedkeuringsverzoeken.

Een uitgeputte of verwarde gebruiker tikt uiteindelijk op Goedkeuren en verleent zo toegang. Nummervergelijking beschermt hiertegen.

Herstelprocessen van accounts zijn vaak een zwak punt. Als het opnieuw instellen van een wachtwoord of MFA alleen een e-maillink of een beveiligingsvraag vereist, richten aanvallers zich daarop.

Herstel moet net zo sterk zijn als de primaire inlogprocedure.

De sterkste bescherming is phishingbestendige MFA: FIDO2-beveiligingssleutels en passkeys.

Omdat inloggegevens aan de echte oorsprong zijn gekoppeld, kan een phishingwebsite die als proxy werkt geen geldige authenticatie doorsturen.

Phishing in realtime mislukt bij FIDO2, omdat de beveiligingssleutel een uitdaging ondertekent die aan het frauduleuze domein is gekoppeld en door de echte server wordt afgewezen.

Er is geen code die de gebruiker opnieuw moet invoeren en geen herbruikbaar geheim dat kan worden gestolen.

Combineer MFA met andere maatregelen:

• Risicogestuurde aanvullende authenticatie
• Korte sessieduur en herauthenticatie voor gevoelige acties
• Apparaatbinding en tokenbinding
• Controle op onmogelijke verplaatsingen

Om het zwakke punt in het herstelproces weg te nemen:

• Vermijd beveiligingsvragen.
• Vereis een geregistreerde tweede sleutel om MFA opnieuw in te stellen.
• Voeg vertragingen en meldingen toe bij herstelpogingen.

Zelfs sterke MFA heeft baat bij alerte gebruikers:

• Keur nooit een pushverzoek goed dat je niet zelf hebt gestart.
• Wees wantrouwig tegenover dringende inlogverzoeken.
• Meld onverwachte MFA-verzoeken onmiddellijk.

Je hebt geleerd hoe MFA wordt omzeild en hoe je die beter beveiligt.

• SIM-verwisseling, phishing in realtime, sessiediefstal en MFA-moeheid zijn belangrijke bedreigingen.
• Phishingbestendige MFA (FIDO2 / passkeys) is de sterkste bescherming.
• Versterk herstelprocessen en gebruik gelaagde beveiliging.

Volgende module: identiteits- en toegangsbeheer.