ความเสี่ยงจากการข้าม MFA

MFA ช่วยลดการยึดบัญชีได้อย่างมาก แต่ไม่ใช่วิธีแก้ปัญหาที่ครอบจักรวาล

ผู้โจมตีพัฒนาเทคนิคหลายอย่างเพื่อหลบเลี่ยง MFA รูปแบบที่อ่อนแอกว่า

การสลับ SIMหลอกผู้ให้บริการเครือข่ายมือถือให้ย้ายหมายเลขโทรศัพท์ของเหยื่อไปยัง SIM ของผู้โจมตี

รหัสที่ใช้SMSทั้งหมดจะถูกส่งไปถึงผู้โจมตี นี่เป็นเหตุผลที่ SMS เป็นปัจจัยที่สองที่อ่อนแอที่สุด

เครื่องมืออย่างพร็อกซีของผู้โจมตีคั่นกลางจะอยู่ระหว่างผู้ใช้กับเว็บไซต์จริง

เครื่องมือเหล่านี้ส่งต่อทั้งการเข้าสู่ระบบและ OTP แบบเรียลไทม์ แล้วขโมยคุกกี้เซสชันที่ได้ วิธีนี้เอาชนะได้ทั้ง SMS, TOTP และแม้แต่การแจ้งเตือนแบบพุช

หากผู้โจมตีขโมยโทเค็นเซสชันหรือคุกกี้ที่ผ่านการยืนยันตัวตนหลัง MFA ได้ ผู้โจมตีก็จะข้าม MFA ไปได้ทั้งหมด

มัลแวร์ ข้อมูลเบราว์เซอร์ที่ถูกขโมย หรือ XSS อาจทำให้โทเค็นเหล่านี้รั่วไหล

เมื่อใช้ MFAแบบการแจ้งเตือน ผู้โจมตีที่มีรหัสผ่านอยู่แล้วจะส่งคำขออนุมัติซ้ำ ๆ

ในที่สุดผู้ใช้ที่เหนื่อยล้าหรือสับสนก็แตะ อนุมัติ และให้สิทธิ์เข้าถึง การจับคู่หมายเลขช่วยป้องกันการโจมตีนี้

ขั้นตอนการกู้คืนบัญชีมักเป็นจุดอ่อน หากการรีเซ็ตรหัสผ่านหรือ MFA ต้องการเพียงลิงก์อีเมลหรือคำถามรักษาความปลอดภัย ผู้โจมตีก็จะโจมตีช่องทางนั้นแทน

การกู้คืนต้องแข็งแกร่งเทียบเท่ากับการเข้าสู่ระบบหลัก

การป้องกันที่แข็งแกร่งที่สุดคือMFA ที่ต้านทานฟิชชิง ได้แก่คีย์ความปลอดภัยฟีโดรุ่น 2 และพาสคีย์

เนื่องจากข้อมูลรับรองผูกไว้กับต้นทางจริง เว็บไซต์ฟิชชิงที่ทำหน้าที่เป็นพร็อกซีจึงไม่สามารถส่งต่อการยืนยันตัวตนที่ถูกต้องได้

ฟิชชิงแบบเรียลไทม์ใช้ไม่ได้ผลกับฟีโดรุ่น 2 เพราะคีย์ความปลอดภัยลงนามคำท้าทายที่ผูกกับโดเมนหลอกลวง ซึ่งเซิร์ฟเวอร์จริงจะปฏิเสธ

ผู้ใช้ไม่มีรหัสให้พิมพ์ซ้ำ และไม่มีความลับที่นำกลับมาใช้ใหม่ได้ให้ขโมย

ใช้ MFA ร่วมกับมาตรการควบคุมอื่น:

• การยืนยันตัวตนเพื่อเพิ่มระดับตามความเสี่ยง
• กำหนดอายุเซสชันให้สั้นและยืนยันตัวตนใหม่สำหรับการดำเนินการที่ละเอียดอ่อน
• การผูกอุปกรณ์และการผูกโทเค็น
• ตรวจสอบการเดินทางที่เป็นไปไม่ได้

เพื่อปิดช่องโหว่ในการกู้คืน:

• หลีกเลี่ยงคำถามรักษาความปลอดภัย
• กำหนดให้ใช้คีย์ที่ลงทะเบียนไว้อีกหนึ่งรายการเพื่อรีเซ็ต MFA
• เพิ่มความล่าช้าและการแจ้งเตือนเมื่อมีความพยายามกู้คืน

แม้ MFA ที่แข็งแกร่งก็ได้ประโยชน์จากผู้ใช้ที่ตระหนักรู้:

• อย่าอนุมัติการแจ้งเตือนแบบพุชที่คุณไม่ได้เป็นผู้เริ่มต้น
• ระวังคำขอเข้าสู่ระบบเร่งด่วน
• รายงานคำขอ MFA ที่ไม่คาดคิดทันที

วิธี MFA ใดต้านทานพร็อกซีฟิชชิงแบบเรียลไทม์ที่ส่งต่อรหัสและขโมยคุกกี้เซสชันได้ดีที่สุด

คุณได้เรียนรู้ว่า MFA ถูกหลบเลี่ยงได้อย่างไร และจะทำให้แข็งแกร่งขึ้นได้อย่างไร

• การสลับ SIM ฟิชชิงแบบเรียลไทม์ การขโมยเซสชัน และความล้าจาก MFAเป็นภัยคุกคามสำคัญ
• MFA ที่ต้านทานฟิชชิง (ฟีโดรุ่น 2 / พาสคีย์) เป็นการป้องกันที่แข็งแกร่งที่สุด
• ทำให้ขั้นตอนการกู้คืนแข็งแกร่งขึ้นและใช้การป้องกันหลายชั้น

โมดูลถัดไป: การจัดการข้อมูลประจำตัวและการเข้าถึง