- aasta septembris proovis ründaja, kes oli ostnud Uberi lepingulise töötaja parooli, sisse logida ikka ja jälle. Iga katse saatis töötajale kaheastmelise autentimise kinnituspäringu. Esimesed päringud blokeerisid ründaja. Siis kinnitati üks neist ja ründaja oli sees (Uberi turvateade). Kuu aega varem kirjeldas Cisco sama mustrit oma andmelekke puhul: telefonikõned kelleltki, kes esines kasutajatoena, ja push-teavituste voog, kuni üks töötaja ühe neist kinnitas (Cisco Talos).
Mõlemal ettevõttel oli mitmeastmeline autentimine sisse lülitatud. Ründajad ei murdnud teist tegurit lahti. Nad kõndisid sellest mööda, kasutades võtteid, mis toimivad just seetõttu, et kasutuses olev MFA palub väsinud inimesel teha turvaotsuse kõige halvemal võimalikul hetkel.
Kui teie MFA on SMS-kood või ühe puutega „Kas kinnitate?“ teavitus, siis tasub sellele kümme minutit tähelepanu pühendada. Just neid kahte meetodit ründajad täna oma plaanides arvestavad, mitte ei põrku need neilt tagasi.
Kolm rünnet, mis murravad „mingi MFA“
- Push-pommitamine (MFA-väsimus, MFA-pommitamine, 2FA bombing). Ründajal on parool juba olemas (lekkinud andmekogumist, andmepüügist või taaskasutusest). Ta käivitab sisselogimise sisselogimise järel, saates kasutaja telefoni pihta kinnitusteavituste voo, kuni keegi segaduses või lihtsalt selleks, et see lõppeks, vajutab Kinnita. Üks puude ja ta on sees.
- SIM-kaardi vahetus. SMS-i ei loodud kunagi turvakanaliks. Ründaja, kes veenab (või ära ostab) mobiilioperaatori numbrit uuele SIM-kaardile tõstma, saab kätte kõik sellele saadetud ühekordsed koodid. Ei mingit pahavara, ei mingit andmepüügilehte – vaid üks telefonikõne klienditoele.
- Vaherünne (adversary-in-the-middle, AiTM). Veenev võltsitud sisselogimisleht vahendab päris lehte reaalajas. Ohver sisestab oma parooli, päris süsteem küsib teist tegurit ja ohver esitab selle, sest ta tõepoolest üritab sisse logida. Ründaja vahendusserver korjab tekkiva seansi endale. MFA „toimis“. Konto on ikkagi läinud.
USA küberturvalisuse amet CISA nimetab oma juhistes kõiki kolme ja tõmbab selge piiri: andmepüügikindlaks loetakse ainult FIDO/WebAuthn ja avaliku võtme (PKI) autentimist, sest võti on seotud päris veebisaidi aadressiga ja järeletehtud leht ei saa seda kasutada. Push-kinnitus, isegi numbrite kokkusobitamisega, sellesse loetellu ei kuulu (CISA teabeleht).
Mis peatab igaühe neist
Neil rünnetel on erinevad nõrgad kohad, seega tasub olla täpne selles, mis millise vastu aitab.
- SIM-kaardi vahetus ja koodide pealtkuulamine: kõrvaldage kood. Kui kasutaja võti luuakse telefoni turvalises riistvaras ega lahku sealt kunagi, pole andmebaasis jagatud saladust ega saabu midagi SMS-iga. Pole midagi, mida pealt kuulata, ja telefoninumbri ümbertõstmisega ei liigu kaasa midagi, mida ründaja saaks kasutada.
- Push-pommitamine: laske kasutajal lugeda, mida ta kinnitab. Ükski võti ega biomeetria ei aita, kui päring juba telefoni jõuab, sest rünne palub kasutajal lihtsalt jaatavalt vastata. Biomeetria kinnitab üksnes seda, et vajutab telefoni omanik, mitte seda, et sisselogimine on õiguspärane. Aitab see, kui päring kannab konkreetset, loetavat kirjeldust sellest, mida täpselt kinnitatakse: milline teenus, milline toiming, kust. Päring, mida kasutaja ise ei algatanud, on nähtavalt võõras, nii et ta lükkab selle tagasi. Päringute aegumine ja piirangud selle kohta, kui sageli päringuid saab käivitada, võtavad ründelt ära päringute hulga, millele see tugineb.
- Vaherünne: kinnitus üksi seda ei peata. Siin ei meelitata kasutajat kinnitama kellegi teise sisselogimist. Ta kinnitab omaenda sisselogimise, aga valel veebisaidil. Aitab see, kui näidatakse, kust päring tuli: kui kinnitus nimetab aadressi, kust sisselogimine saabus, torkab teises riigis asuv vahendusserver silma kasutajale, kes seda vaatab. See teeb ründe kallimaks, kuid ei muuda seda võimatuks. Kui ohumudel nõuab andmepüügikindlust selle sõna ranges tähenduses, on lahenduseks saidiga seotud FIDO-võtmed koos lühikese seansi elueaga ja sisselogimispoliitikatega, mis piiravad, kus seansse saab kasutada.
Selles seisnebki vahe MFA vahel, millest ründaja on juba ette skriptiga mööda pääsenud, ja MFA vahel, mis muudab igaühe neist rünnetest nähtavaks või mõttetuks.
Kus Notakey sobitub
Notakey kõrvaldab koodi ja muudab iga kinnituse loetavaks.
- Kasutaja võti luuakse telefoni turvalises riistvaras ega lahku sealt kunagi. Pole SMS-i, mida pealt kuulata, ega koodi, mida edastada.
- Teavitus on ainult uksekell. Kui kasutaja rakenduse avab, laadib see kinnituskaardi HTTPS-i kaudu serverist, kuhu rakendus on registreeritud, nii et see, mida kasutaja loeb, tuleb teie serverist, mitte teavitusest, ja tema allkiri katab täpselt selle päringu.
- Push-pommitamise vastu on kaitse see, mida kasutaja loeb: kaart näitab, milline teenus küsib ja mida kinnitatakse, nii et päring, mida keegi ei algatanud, on esimese pilguga ilmselge ja lükatakse tagasi. Päringud aeguvad ning sisseehitatud piiraja seab ülempiiri sellele, kui sageli neid saab käivitada, nii et päringute voog, millele rünne tugineb, katkeb varakult.
- Vaheründe vastu saab serveri seadistada näitama kaardil päringu IP-aadressi, teenuse nime või URL-i, nii et kasutaja näeb, kust sisselogimine tegelikult tuleb. Rohkem me ei väida: see teeb vahendusserveri nähtavaks kasutajale, kes vaatab, kuid ei muuda rünnet võimatuks.
- See katab rajad, mida ründajad tegelikult kasutavad. Vaadake praktilisi juhendeid: 2FA VPN-il üle RADIUS-e, Windowsi kaugtöölaud ja Linuxi SSH.
Nähke seda ise
Kiireim viis vahet tunnetada on kinnitada tehing, mida saate tegelikult lugeda: konkreetne toiming, mis on allkirjastatud teie enda telefonist, mitte kontekstita teavitus.
Proovige elavat demot, et allkirjastada üks umbes kahe minutiga, või küsige demot ja me kaardistame teie VPN-i, SSO või Windowsi sisselogimised pilootprojektiks teie enda taristul.