Uwierzytelnianie wieloskładnikowe

Uwierzytelnianie wieloskładnikowe (MFA) wymaga od użytkowników potwierdzenia tożsamości za pomocą co najmniej dwóch niezależnych czynników z różnych kategorii. Nawet jeśli jeden czynnik zostanie przejęty (np. skradzione hasło), konto pozostaje chronione.

Czynniki uwierzytelniania:

• Coś, co znasz — hasło, PIN, pytanie zabezpieczające
• Coś, co masz — telefon, token sprzętowy, karta inteligentna
• Coś, czym jesteś — odcisk palca, twarz, głos (dane biometryczne)

Prawdziwe MFA wykorzystuje co najmniej dwie różne kategorie — nie dwa hasła.

TOTP generuje sześciocyfrowy kod, który zmienia się co 30 sekund na podstawie wspólnego sekretu i bieżącego czasu (RFC 6238). Aplikacje: Google Authenticator, Authy, Microsoft Authenticator.

TOTP chroni przed atakami typu replay, ale jest podatne na phishing w czasie rzeczywistym.

Jednorazowe hasła OTP oparte na SMS-ach są wygodne, ale mają poważne słabości:

• Podmiana karty SIM — atakujący manipuluje operatorem za pomocą inżynierii społecznej, aby przenieść numer ofiary
• Ataki SS7 — przechwytywanie SMS-ów przez państwa na poziomie operatora telekomunikacyjnego
• Phishing w czasie rzeczywistym — atakujący natychmiast przekazuje kod OTP od ofiary do docelowej witryny

Jednorazowe hasła OTP przez SMS są lepsze niż brak MFA, ale stanowią najsłabszą formę MFA.

Sprzętowe klucze bezpieczeństwa (YubiKey, Google Titan) wykorzystują kryptografię klucza publicznego. Urządzenie podpisuje wyzwanie powiązane z konkretną witryną, dzięki czemu klucze są odporne na phishing — nie zadziałają w fałszywych witrynach.

To złoty standard MFA.

Aplikacja uwierzytelniająca wysyła powiadomienie push: „Zatwierdzić logowanie z Nowego Jorku?”. Użytkownik wybiera zatwierdzenie lub odrzucenie. To wygodne rozwiązanie, ale podatne na ataki MFA fatigue — atakujący wysyłają masowo żądania zatwierdzenia, aż zmęczony użytkownik przypadkowo jedno z nich zaakceptuje.

Nazywane również push bombing: atakujący zna hasło i wysyła dziesiątki powiadomień push MFA, licząc na to, że użytkownik zaakceptuje jedno z nich z powodu frustracji lub dezorientacji. Środek zaradczy: wymaganie dopasowania numeru w powiadomieniu push (użytkownik musi wprowadzić kod wyświetlony na ekranie logowania).

Klucze dostępu (FIDO2/WebAuthn) łączą „coś, co masz” (klucz urządzenia) z „czymś, czym jesteś” (odblokowanie biometryczne) w jedno poświadczenie odporne na phishing. Hasło nie jest potrzebne. Są obsługiwane przez główne platformy.

Nowoczesne platformy tożsamości obsługują dostęp warunkowy: wymagają MFA tylko wtedy, gdy sygnały ryzyka wskazują na taką potrzebę (nieznana lokalizacja, nowe urządzenie, poufny zasób). Uwierzytelnianie dodatkowym krokiem poprawia wygodę użytkownika przy zachowaniu bezpieczeństwa.

Atakujący obchodzą MFA za pomocą:

• Phishingu w czasie rzeczywistym (AiTM) — serwer proxy przechwytuje plik cookie sesji po zakończeniu MFA
• Podmiany karty SIM — przechwytywanie kodów SMS
• Ataków MFA fatigue — masowe wysyłanie powiadomień push
• Inżynierii społecznej wymierzonej w helpdesk — wyłączenie MFA za pomocą zgłoszenia do pomocy technicznej

Podczas wdrażania MFA:

• Domyślnie należy wymagać MFA od wszystkich użytkowników
• Należy udostępnić wiele opcji MFA, w tym klucze sprzętowe i TOTP
• Należy edukować użytkowników na temat ataków MFA fatigue — jeśli nie rozpoczęli logowania, powinni odrzucić powiadomienie push
• Należy monitorować dzienniki uwierzytelniania pod kątem wzorców obchodzenia MFA

Która metoda MFA jest odporna na phishing, ponieważ kryptograficznie wiąże uwierzytelnianie z konkretną witryną?

MFA wymaga dwóch czynników z różnych kategorii (wiedza/posiadanie/cecha). Aplikacje TOTP są dobrym rozwiązaniem, a klucze sprzętowe (FIDO2) są najlepsze, ponieważ są odporne na phishing. Jednorazowe hasła OTP przez SMS są najsłabsze — są podatne na podmianę karty SIM. Ataki MFA fatigue polegają na masowym wysyłaniu powiadomień push; dopasowanie numeru ogranicza ich skuteczność. Klucze dostępu łączą sprzęt i dane biometryczne w jedno wygodne poświadczenie.