Ryzyko omijania MFA

MFA znacznie ogranicza przejmowanie kont, ale nie jest cudownym rozwiązaniem.

Napastnicy opracowali kilka technik omijania słabszych form MFA.

Zamiana karty SIM polega na nakłonieniu operatora komórkowego do przeniesienia numeru telefonu ofiary na kartę SIM napastnika.

Wszelkie kody oparte na SMS-ach trafiają wtedy do napastnika. Dlatego SMS jest najsłabszym drugim czynnikiem.

Narzędzia takie jak serwery proxy typu adversary-in-the-middle umieszczają się między użytkownikiem a prawdziwą witryną.

Przekazują w czasie rzeczywistym zarówno dane logowania, jak i kod OTP, a następnie kradną uzyskany cookie sesji. Omija to zabezpieczenia SMS, TOTP, a nawet powiadomienia push.

Jeśli napastnik ukradnie uwierzytelniony token sesji lub cookie po zastosowaniu MFA, całkowicie pomija MFA.

Złośliwe oprogramowanie, skradzione dane przeglądarki lub XSS mogą ujawnić te tokeny.

W przypadku MFA opartego na powiadomieniach push napastnicy, którzy znają już hasło, wysyłają masowo monity z prośbą o zatwierdzenie.

Wyczerpany lub zdezorientowany użytkownik w końcu dotyka przycisku Zatwierdź, przyznając dostęp. Dopasowanie numeru chroni przed takim atakiem.

Procesy odzyskiwania dostępu do konta często stanowią słaby punkt. Jeśli do zresetowania hasła lub MFA wystarczy łącze wysłane pocztą elektroniczną albo pytanie zabezpieczające, napastnicy zaatakują właśnie ten element.

Odzyskiwanie dostępu musi być równie bezpieczne jak logowanie podstawowe.

Najsilniejszą ochroną jest MFA odporne na phishing: klucze bezpieczeństwa FIDO2 i passkeys.

Ponieważ poświadczenia są powiązane z prawdziwym originem, serwer proxy działający jako witryna phishingowa nie może przekazać prawidłowego uwierzytelnienia.

Phishing w czasie rzeczywistym nie działa przeciwko FIDO2, ponieważ klucz bezpieczeństwa podpisuje wyzwanie powiązane z fałszywą domeną, które prawdziwy serwer odrzuca.

Użytkownik nie ma żadnego kodu do ponownego wpisania, a napastnik nie może ukraść sekretu wielokrotnego użytku.

Połącz MFA z innymi mechanizmami kontroli:

• uwierzytelnianie oparte na ryzyku i wymagane dodatkowo w razie potrzeby
• krótkie czasy życia sesji i ponowne uwierzytelnianie przy wrażliwych operacjach
• wiązanie urządzenia i tokenu
• monitorowanie przemieszczania się niemożliwego do zrealizowania

Aby usunąć słabości procesu odzyskiwania dostępu:

• Należy unikać pytań zabezpieczających.
• Należy wymagać zarejestrowania drugiego klucza w celu zresetowania MFA.
• Należy wprowadzić opóźnienia i powiadomienia dotyczące prób odzyskiwania dostępu.

Nawet silne MFA przynosi większe korzyści, gdy użytkownicy są świadomi zagrożeń:

• Nigdy nie należy zatwierdzać powiadomienia push, którego nie zainicjował Pan / nie zainicjowała Pani.
• Należy zachować ostrożność wobec pilnych monitów logowania.
• Nieoczekiwane żądania MFA należy natychmiast zgłaszać.

Jaka metoda MFA najlepiej chroni przed serwerem proxy phishingu w czasie rzeczywistym, który przekazuje kody i kradnie cookie sesji?

Dowiedział się Pan / Dowiedziała się Pani, jak omija się MFA i jak je wzmacniać.

• Zamiana karty SIM, phishing w czasie rzeczywistym, kradzież sesji i zmęczenie MFA to najważniejsze zagrożenia.
• MFA odporne na phishing (FIDO2 / passkeys) stanowi najsilniejszą ochronę.
• Należy wzmacniać procesy odzyskiwania dostępu i stosować wielowarstwową ochronę.

Następny moduł: zarządzanie tożsamością i dostępem.