MFA Bypass Attacks: Kur sistemet e autentifikimit me shumë faktorë nuk janë më të mjaftueshme

Autentifikimi me shumë faktorë (MFA) është një nga masat më të rëndësishme për mbrojtjen e llogarive dixhitale. Ai kërkon më shumë se një provë identiteti, si për shembull një fjalëkalim dhe një konfirmim në aplikacion ose një çelës sigurie. Megjithatë, shtimi i një faktori të dytë nuk e bën çdo proces hyrjeje të paprekshëm.

Sulmet që anashkalojnë MFA nuk synojnë domosdoshmërisht të thyejnë vetë teknologjinë e autentifikimit. Shpesh ato shfrytëzojnë mënyrën si përdoruesit miratojnë kërkesat, si regjistrohen pajisjet e reja, si rikuperohen llogaritë ose si ruhen sesionet pas hyrjes. Për këtë arsye, MFA mbetet një mbrojtje shumë e vlefshme, por efektiviteti i saj varet nga metoda dhe konfigurimi.

Për kompanitë, Soft & Solution Group rekomandon që MFA të shihet si pjesë e një strategjie më të gjerë të sigurisë së identitetit. Mbrojtja duhet të përfshijë të gjithë ciklin e aksesit: regjistrimin e përdoruesit, autentifikimin, menaxhimin e sesioneve, rikuperimin e llogarisë dhe çaktivizimin e aksesit kur ai nuk nevojitet më.

Çfarë do të thotë anashkalimi i MFA-së?

Anashkalimi i MFA-së ndodh kur një sulmues arrin të hyjë në një llogari ose të përdorë burime të mbrojtura pa përfunduar në mënyrë të ligjshme verifikimin e kërkuar. Kjo mund të ndodhë përmes mashtrimit të përdoruesit, shfrytëzimit të një metode më të dobët verifikimi ose marrjes së një sesioni që është autentifikuar më parë.

Prandaj, është e rëndësishme të dallohet mes komprometimit të fjalëkalimit, anashkalimit të sfidës MFA dhe vjedhjes së një tokeni sesioni. Rezultati mund të jetë i ngjashëm — akses i paautorizuar — por mënyra e sulmit dhe masat mbrojtëse ndryshojnë.

Si përpiqen sulmuesit të anashkalojnë MFA-në?

Një metodë e zakonshme është phishing-u i avancuar, përfshirë sulmet “adversary-in-the-middle”. Përdoruesi drejtohet drejt një faqeje mashtruese që imiton një shërbim të njohur. Sulmuesi ndërmjetëson komunikimin dhe mund të përpiqet të marrë kredencialet, kodet e përkohshme ose të dhënat e sesionit. Kodet që përdoruesi i shkruan manualisht janë më të ekspozuara ndaj këtij lloji sulmi sesa metodat kriptografike të lidhura me faqen e ligjshme.

Një tjetër teknikë është “MFA fatigue” ose bombardimi me kërkesa miratimi. Përdoruesi merr njoftime të përsëritura dhe mund të pranojë një kërkesë vetëm për t’i ndalur ato, sidomos kur sulmuesi përdor presion ose paraqitet si staf mbështetës. Përputhja e numrave në njoftimet push mund ta ulë rrezikun e miratimeve aksidentale, por nuk e zëvendëson një metodë rezistente ndaj phishing.

Sulmuesit mund të shfrytëzojnë edhe dobësitë e SMS-ve dhe telefonisë, përfshirë rastet e ndërrimit të paautorizuar të kartës SIM. SMS si faktor i dytë është më i dobët se autentifikimi kriptografik, sepse kodi mund të ridrejtohet ose të përgjohet në rrethana të caktuara. Një rrezik tjetër është vjedhja e tokenëve ose cookie-ve të sesionit pas një hyrjeje të suksesshme, për shembull nga një pajisje e komprometuar.

Dobësi mund të krijohen edhe gjatë regjistrimit ose rikuperimit të llogarisë. Nëse shërbimi i ndihmës nuk verifikon mjaftueshëm identitetin, një person i paautorizuar mund të përpiqet të shtojë një metodë të re autentifikimi ose të marrë kontrollin e llogarisë. Konfigurimet e pasakta të identitetit të federuar dhe protokollet e vjetra të autentifikimit mund të krijojnë gjithashtu rrugë alternative hyrjeje.

Cilat janë shenjat paralajmëruese?

Kërkesat MFA që përdoruesi nuk i ka nisur vetë janë një sinjal i rëndësishëm. Po kështu, duhet të shqyrtohen njoftimet për regjistrimin e një pajisjeje ose metode të re, hyrjet nga pajisje apo vende të pazakonta, ndryshimet e papritura në të drejtat e aksesit dhe aktiviteti i pazakontë pas një hyrjeje të suksesshme.

Kompanitë duhet të monitorojnë veçanërisht llogaritë administrative, aksesin në email, VPN, platformat cloud dhe sistemet që përmbajnë të dhëna sensitive. Një hyrje e vlefshme nuk duhet të konsiderohet automatikisht e sigurt nëse sjellja e sesionit, pajisja ose veprimet pas hyrjes duken të dyshimta.

Si mund ta forcojnë bizneset mbrojtjen?

Hapi më i rëndësishëm është kalimi, kur është i mundur, drejt MFA-së rezistente ndaj phishing, si çelësat e sigurisë FIDO2/WebAuthn dhe passkeys të konfiguruara siç duhet. Këto metoda përdorin verifikim kriptografik të lidhur me faqen ose shërbimin e ligjshëm dhe janë më të vështira për t’u mashtruar përmes faqeve imituese. Për llogaritë administrative dhe sistemet kritike, duhet të kërkohet niveli më i fortë i autentifikimit që mbështet organizata.

Kur kalimi i menjëhershëm nuk është i mundur, kompanitë duhet të përdorin metoda më të sigurta se SMS, të aktivizojnë përputhjen e numrave për njoftimet push dhe të kufizojnë miratimet e panevojshme. Proceset e regjistrimit dhe rikuperimit duhet të kenë kontrolle të forta identiteti, njoftime për ndryshimet e faktorëve dhe verifikim të veçantë për kërkesat me rrezik të lartë.

MFA duhet të mbështetet nga politika të aksesit sipas rrezikut, pajisje të menaxhuara, privilegje minimale dhe monitorim i vazhdueshëm i hyrjeve. Organizatat duhet të mbrojnë pajisjet fundore, të përditësojnë sistemet, të çaktivizojnë metodat e vjetra të autentifikimit kur nuk nevojiten dhe të analizojnë regjistrat e identitetit për shenja të vjedhjes së sesioneve.

Çfarë duhet bërë kur dyshohet për anashkalim të MFA-së?

Në rast dyshimi, kompania duhet të bllokojë përkohësisht aksesin e llogarisë së prekur, të revokojë sesionet dhe tokenët aktivë, të rivendosë kredencialet dhe të kontrollojë metodat e regjistruara të autentifikimit. Duhet të shqyrtohen pajisjet e përdoruesit, aktiviteti i fundit, rregullat e email-it, aplikacionet e autorizuara dhe çdo ndryshim në privilegje.

Përgjigjja duhet të dokumentohet dhe të përfshijë njoftimin e personave përgjegjës për sigurinë. Vetëm ndryshimi i fjalëkalimit mund të mos mjaftojë nëse një sulmues ka ende një sesion aktiv ose një metodë autentifikimi të regjistruar. Pas rikuperimit, organizata duhet të identifikojë shkakun dhe të mbyllë boshllëkun që lejoi incidentin.

Përfundim: MFA mbetet thelbësore, por duhet zbatuar siç duhet

Sulmet që anashkalojnë MFA tregojnë se siguria nuk përfundon te aktivizimi i një kodi të dytë. Mbrojtja kërkon metoda të forta autentifikimi, procese të sigurta rikuperimi, pajisje të mbrojtura, kontroll të sesioneve dhe monitorim të vazhdueshëm. MFA nuk është bërë e pavlefshme; ajo duhet të jetë pjesë e një sistemi të plotë të menaxhimit të identitetit dhe aksesit.

Për bizneset, objektivi është të sigurojnë që vetëm përdoruesit dhe pajisjet e autorizuara të kenë aksesin e duhur, në kohën e duhur. Një qasje e tillë e bën më të vështirë marrjen e llogarive dhe kufizon ndikimin e një kredenciali të komprometuar.

Siç shprehet Ermal Beqiri, themelues i Soft & Solution Group:

“MFA është një shtresë e rëndësishme mbrojtjeje, por besimi duhet të verifikohet gjatë gjithë sesionit — jo vetëm në momentin e hyrjes.”