- gada septembrī uzbrucējs, kurš bija nopircis kāda Uber darbuzņēmēja paroli, mēģināja pieteikties atkal un atkal. Katrs mēģinājums nosūtīja darbuzņēmējam divfaktoru apstiprinājuma pieprasījumu. Pirmie pieprasījumi uzbrucēju apturēja. Tad viens tika apstiprināts, un uzbrucējs bija iekšā (Uber drošības paziņojums). Mēnesi agrāk Cisco aprakstīja to pašu shēmu savā drošības incidentā: balss zvani no kāda, kurš uzdevās par atbalsta dienestu, un nepārtraukta push pieprasījumu plūsma, līdz kāds darbinieks vienu no tiem apstiprināja (Cisco Talos).
Abos uzņēmumos daudzfaktoru autentifikācija bija ieslēgta. Uzbrucēji otro faktoru neuzlauza; viņi to apgāja, izmantojot paņēmienus, kas strādā tieši tāpēc, ka esošā MFA liek nogurušam cilvēkam pieņemt drošības lēmumu vissliktākajā iespējamajā brīdī.
Ja jūsu MFA ir SMS kods vai viena pieskāriena “Apstiprināt?” paziņojums, tas ir desmit minūšu jūsu uzmanības vērts. Šīs divas metodes tagad ir tās, ap kurām uzbrucēji plāno savu darbību, nevis tās, kas viņus aptur.
Trīs uzbrukumi, kas pārvar “kaut kādu MFA”
- Push-bombing (MFA nogurums, MFA bombing, 2FA bombing). Uzbrucējam parole jau ir (no nopludinātu datu kopas, pikšķerēšanas vai atkārtoti izmantotas paroles). Viņš izraisa vienu pieteikšanos pēc otras, raidot lietotāja tālrunī apstiprinājuma pieprasījumu virkni, līdz kāds no apjukuma vai vienkārši, lai to izbeigtu, pieskaras Apstiprināt. Viens pieskāriens, un viņš ir iekšā.
- SIM apmaiņa (SIM swapping). SMS nekad nebija paredzēts kā drošības kanāls. Uzbrucējs, kurš pārliecina (vai uzpērk) mobilo operatoru pārnest numuru uz jaunu SIM karti, saņem katru uz to nosūtīto vienreizējo kodu. Nekāda ļaunprātīga programmatūra, nekāda pikšķerēšanas lapa — tikai zvans klientu atbalsta dienestam.
- Adversary-in-the-middle (AiTM), uzbrukums “pretinieks pa vidu”. Pārliecinoša viltota pieteikšanās lapa reāllaikā darbojas kā starpnieks īstajai. Upuris ievada savu paroli, īstā sistēma pieprasa otro faktoru, un upuris to sniedz, jo viņš patiešām mēģina pieteikties. Uzbrucēja starpniekserveris pārņem izveidoto sesiju. MFA “nostrādāja”. Konts tik un tā ir zaudēts.
ASV kiberdrošības aģentūra CISA savās vadlīnijās min visus trīs un novelk skaidru robežu: par pret pikšķerēšanu noturīgu uzskatāma tikai FIDO/WebAuthn un publiskās atslēgas (PKI) autentifikācija, jo atslēga ir piesaistīta īstās vietnes adresei un ārēji līdzīga viltota lapa to izmantot nevar. Push apstiprinājums, pat ar skaitļu salīdzināšanu (number matching), šajā sarakstā nav iekļauts (CISA faktu lapa).
Kas aptur katru no tiem
Šiem uzbrukumiem ir dažādi vājie punkti, tāpēc ir vērts precīzi pateikt, kas aptur kuru.
- SIM apmaiņa un kodu pārtveršana: atbrīvojieties no koda. Ja lietotāja atslēga tiek ģenerēta tālruņa drošajā aparatūrā un to nekad nepamet, datubāzē nav kopīga noslēpuma un pa SMS nekas nepienāk. Nav nekā, ko pārtvert, un tālruņa numura pārnešana nepārnes neko, ko uzbrucējs varētu izmantot.
- Push-bombing: ļaujiet lietotājam izlasīt, ko viņš apstiprina. Nedz atslēga, nedz biometrija nevar palīdzēt, tiklīdz pieprasījums sasniedz tālruni, jo uzbrukums vienkārši lūdz lietotāju pateikt “jā”. Biometrija tikai apliecina, ka pieskaras tālruņa īpašnieks, nevis to, ka pieteikšanās ir leģitīma. Darbojas pieprasījums, kurā ir konkrēts, izlasāms apraksts par to, kas tieši tiek apstiprināts: kurš pakalpojums, kura darbība, no kurienes. Pieprasījums, ko lietotājs nekad nav uzsācis, ir acīmredzami svešs, tāpēc viņš to noraida. Pieprasījumu derīguma termiņš un ierobežojumi tam, cik bieži pieprasījumus var izraisīt, atņem uzbrukumam apjomu, uz kuru tas balstās.
- Adversary-in-the-middle: ar apstiprinājumu vien to neapturēt. Šeit lietotājs netiek piemānīts apstiprināt kāda cita pieteikšanos. Viņš apstiprina savējo, tikai nepareizajā vietnē. Palīdz tas, ka tiek parādīts, no kurienes pieprasījums nāk: ja apstiprinājumā redzama adrese, no kuras pienāca pieteikšanās, starpniekserveris citā valstī lietotājam, kurš ieskatās, krīt acīs. Tas padara uzbrukumu dārgāku, bet nepadara to neiespējamu. Ja draudu modelis prasa noturību pret pikšķerēšanu šī vārda stingrajā nozīmē, atbilde ir vietnei piesaistītas FIDO atslēgas, kopā ar īsu sesiju darbības laiku un pieteikšanās politikām, kas ierobežo, kur sesijas var izmantot.
Tā ir atšķirība starp MFA, kuras apiešanu uzbrucējs jau ir automatizējis, un MFA, kas katru no šiem uzbrukumiem padara redzamu vai bezjēdzīgu.
Kur šeit iederas Notakey
Notakey atbrīvo no koda un padara katru apstiprinājumu izlasāmu.
- Lietotāja atslēga tiek ģenerēta tālruņa drošajā aparatūrā un to nekad nepamet. Nav SMS, ko pārtvert, un nav koda, ko pārsūtīt.
- Paziņojums ir tikai durvju zvans. Kad lietotājs atver lietotni, tā pa HTTPS ielādē apstiprinājuma karti no servera, kurā tā tika reģistrēta, tāpēc tas, ko lietotājs izlasa, nāk no jūsu servera, nevis no paziņojuma, un viņa paraksts attiecas tieši uz šo pieprasījumu.
- Pret push-bombing aizsardzība ir tas, ko lietotājs izlasa: kartē redzams, kurš pakalpojums pieprasa un kas tieši tiek apstiprināts, tāpēc pieprasījums, ko neviens nav uzsācis, ir acīmredzams jau pēc pirmā skatiena un tiek noraidīts. Pieprasījumiem ir derīguma termiņš, un iebūvēts ierobežotājs nosaka, cik bieži tos var izraisīt, tāpēc pieprasījumu plūsma, uz kuru uzbrukums paļaujas, tiek pārtraukta.
- Pret adversary-in-the-middle serveri var konfigurēt tā, lai kartē tiktu parādīta pieprasītāja IP adrese, pakalpojuma nosaukums vai URL, un lietotājs redz, no kurienes pieteikšanās patiesībā nāk. Vairāk mēs neapgalvosim: tas padara starpniekserveri redzamu lietotājam, kurš ieskatās, bet nepadara uzbrukumu neiespējamu.
- Tas aptver ceļus, ko uzbrucēji patiešām izmanto; skatiet praktiskās rokasgrāmatas par divfaktoru autentifikāciju VPN caur RADIUS, Windows attālināto darbvirsmu un Linux SSH.
Pārliecinieties paši
Ātrākais veids, kā sajust atšķirību, ir apstiprināt darījumu, ko patiešām varat izlasīt: konkrētu darbību, parakstītu no sava tālruņa, nevis bezkonteksta pieprasījumu.
Izmēģiniet tiešsaistes demo un parakstiet vienu darījumu aptuveni divās minūtēs vai pieprasiet demo, un mēs izplānosim jūsu VPN, SSO vai Windows pieteikšanos kā izmēģinājuma projektu jūsu pašu infrastruktūrā.