Многофакторная аутентификация

Многофакторная аутентификация (MFA) требует, чтобы пользователи подтверждали личность с помощью двух или более независимых факторов из разных категорий. Даже если один фактор скомпрометирован (например, украден пароль), учётная запись остаётся защищённой.

Факторы аутентификации:

• То, что Вы знаете — пароль, PIN, контрольный вопрос
• То, что у Вас есть — телефон, аппаратный токен, смарт-карта
• То, чем Вы являетесь — отпечаток пальца, лицо, голос (биометрические данные)

Полноценная MFA использует как минимум две разные категории, а не два пароля.

TOTP создаёт 6-значный код, который меняется каждые 30 секунд с использованием общего секрета и текущего времени (RFC 6238). Приложения: Google Authenticator, Authy, Microsoft Authenticator.

TOTP защищает от атак с повторным использованием данных, но уязвим для фишинга в реальном времени.

OTP на основе SMS удобен, но имеет существенные недостатки:

• Подмена SIM-карты — злоумышленник с помощью социальной инженерии убеждает оператора перенести номер жертвы
• Атаки SS7 — перехват SMS государственными злоумышленниками на уровне телекоммуникационной сети
• Фишинг в реальном времени — злоумышленник мгновенно передаёт OTP от жертвы целевому сайту

SMS OTP лучше, чем отсутствие MFA, но это самая слабая форма MFA.

Аппаратные ключи безопасности (YubiKey, Google Titan) используют криптографию с открытым ключом. Устройство подписывает запрос, связанный с конкретным веб-сайтом, поэтому ключи защищают от фишинга — на поддельных сайтах они не работают.

Это эталон MFA.

Приложение-аутентификатор отправляет push-уведомление: «Одобрить вход из Нью-Йорка?» Пользователь нажимает «одобрить» или «отклонить». Это удобно, но уязвимо для атак на основе усталости от MFA — злоумышленники отправляют множество запросов на одобрение, пока уставший пользователь случайно не одобрит один из них.

Их также называют бомбардировкой уведомлениями: злоумышленник знает пароль и отправляет десятки push-уведомлений MFA в надежде, что пользователь одобрит одно из них из-за раздражения или замешательства. Мера защиты: требовать сопоставления чисел в push-уведомлении (пользователь должен ввести код, показанный на экране входа).

Ключи доступа (FIDO2/WebAuthn) объединяют «то, что у Вас есть» (ключ устройства) и «то, чем Вы являетесь» (биометрическая разблокировка) в одну учётную информацию, защищённую от фишинга. Пароль не нужен. Поддерживаются основными платформами.

Современные платформы управления идентификацией поддерживают условный доступ: требуйте MFA только тогда, когда сигналы риска указывают на необходимость этого (незнакомое местоположение, новое устройство, ресурс с конфиденциальными данными). Аутентификация с повышением уровня риска улучшает взаимодействие с пользователем и сохраняет безопасность.

Злоумышленники обходят MFA с помощью следующих методов:

• Фишинг в реальном времени (AiTM) — прокси перехватывает файл cookie сеанса после MFA
• Подмена SIM-карты — перехват SMS-кодов
• Усталость от MFA — массовая отправка push-уведомлений
• Социальная инженерия при обращении в службу поддержки — отключение MFA через обращение в поддержку

При внедрении MFA:

• По умолчанию требуйте MFA для всех пользователей
• Предлагайте несколько вариантов MFA, но обеспечьте доступность аппаратных ключей и TOTP
• Расскажите пользователям об усталости от MFA: если они не инициировали вход, нужно отклонить push-уведомление
• Отслеживайте признаки обхода MFA в журналах аутентификации

Какой метод MFA защищает от фишинга, поскольку криптографически связывает аутентификацию с конкретным веб-сайтом?

MFA требует двух факторов из разных категорий (знать/иметь/быть). Приложения TOTP хороши, а аппаратные ключи (FIDO2) лучше всего защищают от фишинга. SMS OTP — самый слабый вариант и уязвим для подмены SIM-карты. При атаках на основе усталости от MFA пользователям массово отправляются push-уведомления; сопоставление чисел снижает этот риск. Ключи доступа объединяют аппаратный ключ и биометрические данные в одну удобную учётную информацию.