MFA Atlama Riskleri

MFA, hesapların ele geçirilmesini büyük ölçüde azaltır, ancak tek başına sihirli bir çözüm değildir.

Saldırganlar, MFA'nın daha zayıf biçimlerini aşmak için çeşitli teknikler geliştirmiştir.

SIM değiştirme, bir mobil operatörü kurbanın telefon numarasını saldırganın SIM kartına taşımaya kandırır.

Böylece SMS tabanlı tüm kodlar saldırgana ulaşır. SMS'nin en zayıf ikinci faktör olmasının nedeni budur.

Araya giren saldırgan vekil sunucuları gibi araçlar, kullanıcı ile gerçek site arasında konumlanır.

Girişi ve OTP'yi gerçek zamanlı olarak aktarır ve bunun sonucunda oluşan oturum çerezini çalarlar. Bu, SMS'yi, TOTP'yi ve hatta anlık bildirimi etkisiz bırakır.

Bir saldırgan MFA'dan sonra kimliği doğrulanmış bir oturum belirtecini veya çerezini çalarsa MFA'yı tamamen atlar.

Kötü amaçlı yazılımlar, çalınmış tarayıcı verileri veya XSS bu belirteçleri açığa çıkarabilir.

Anlık bildirim tabanlı MFA kullanıldığında, parolayı zaten ele geçirmiş saldırganlar onay istemlerini art arda gönderir.

Yorulmuş veya kafası karışmış bir kullanıcı sonunda Onayla seçeneğine dokunarak erişim izni verir. Numara eşleştirme buna karşı koruma sağlar.

Hesap kurtarma akışları sıkça zayıf bir nokta oluşturur. Bir parolayı veya MFA'yı sıfırlamak yalnızca bir e-posta bağlantısı ya da güvenlik sorusu gerektiriyorsa saldırganlar bunun yerine bu noktayı hedef alır.

Kurtarma, birincil giriş kadar güçlü olmalıdır.

En güçlü savunma kimlik avına dayanıklı MFA'dır: FIDO2 güvenlik anahtarları ve geçiş anahtarları.

Kimlik bilgileri gerçek kaynağa bağlı olduğundan, bir aracı kimlik avı sitesi geçerli bir kimlik doğrulamasını aktaramaz.

Gerçek zamanlı kimlik avı FIDO2'ye karşı başarısız olur, çünkü güvenlik anahtarı sahte alan adına bağlı bir sorguyu imzalar ve gerçek sunucu bunu reddeder.

Kullanıcının yeniden yazacağı bir kod veya çalınabilecek yeniden kullanılabilir bir sır yoktur.

MFA'yı diğer denetimlerle birlikte kullanınız:

• Risk tabanlı ek kimlik doğrulaması
• Kısa oturum ömürleri ve hassas işlemler için yeniden kimlik doğrulama
• Cihaz bağlama ve belirteç bağlama
• Olanaksız seyahatleri izleme

Kurtarma açığını kapatmak için:

• Güvenlik sorularından kaçınınız.
• MFA sıfırlama işlemi için kayıtlı ikinci bir anahtar gerektiriniz.
• Kurtarma girişimlerine gecikmeler ve bildirimler ekleyiniz.

Güçlü MFA bile bilinçli kullanıcılardan yarar görür:

• Başlatmadığınız hiçbir anlık bildirimi onaylamayınız.
• Acil giriş istemlerine şüpheyle yaklaşınız.
• Beklenmedik MFA isteklerini derhâl bildiriniz.

Kodları aktaran ve oturum çerezlerini çalan gerçek zamanlı bir kimlik avı aracısına karşı hangi MFA yöntemi en iyi direnç gösterir?

MFA'nın nasıl aşıldığını ve nasıl güçlendirilebileceğini öğrendiniz.

• SIM değiştirme, gerçek zamanlı kimlik avı, oturum hırsızlığı ve MFA yorgunluğu temel tehditlerdir.
• Kimlik avına dayanıklı MFA (FIDO2 / geçiş anahtarları) en güçlü savunmadır.
• Kurtarma akışlarını güçlendiriniz ve katmanlı savunma kullanınız.

Sonraki modül: Kimlik ve Erişim Yönetimi.