Vícefaktorové ověřování, zkráceně MFA, patří k nejužitečnějším opatřením proti zneužití hesel. Americká agentura CISA zdůrazňuje, že jakékoli MFA je lepší než žádné. Zároveň upozorňuje, že ne všechny formy MFA jsou stejně odolné. Útočníci se naučili ty slabší obcházet.
Jak útočníci obcházejí MFA
Hlavní scénáře jsou dobře popsané ve veřejných zdrojích, například v přehledu CISA Implementing Phishing-Resistant MFA:
- Phishingová stránka napodobí přihlášení. Uživatel zadá heslo i jednorázový kód a útočník je okamžitě použije.
- Únava z MFA, anglicky push fatigue nebo push bombing. Útočník zná heslo a opakovaně posílá žádosti o schválení, dokud je uživatel omylem nebo z únavy nepotvrdí.
- Převzetí telefonního čísla nebo slabiny mobilních sítí umožní zachytit kód zaslaný SMS.
- Krádež relace. Některé phishingové nástroje fungují jako prostředník mezi uživatelem a skutečnou službou. Po přihlášení získají token relace a heslo ani kód už nepotřebují.
Společné mají jedno: spoléhají na to, že člověk něco zadá nebo potvrdí na nesprávném místě či v nesprávnou chvíli. Pro obranu z toho plyne jednoduchý závěr. Čím méně záleží na pozornosti uživatele v okamžiku přihlášení, tím je metoda odolnější.
Metody odolné vůči phishingu
Za odolné vůči phishingu se považují metody, u kterých je kryptografické ověření vázané na konkrétní službu. Jde hlavně o standard FIDO2 a WebAuthn, tedy bezpečnostní klíče a passkeys, a o ověření pomocí certifikátů a čipových karet. Prohlížeč nebo zařízení ověří, že se přihlašujete ke skutečné službě. Na podvržené stránce přihlášení neproběhne, i kdyby ji uživatel nepoznal.
Americký standard NIST SP 800-63B výslovně uvádí, že jednorázové kódy ani ověření mimo hlavní kanál, kam patří i schvalování v mobilní aplikaci, odolné vůči phishingu nejsou. To neznamená, že jsou k ničemu. Znamená to, že pro nejcitlivější účty nestačí.
Při zavádění dává smysl postupovat od největšího rizika:
- Administrátoři, správci cloudu a účty s přístupem k zálohám.
- Vedení, finance a lidé, kteří schvalují platby.
- Vzdálený přístup a e-mail pro všechny zaměstnance.
- Ostatní aplikace podle citlivosti dat.
Počítejte s náhradními klíči, postupem při ztrátě a s tím, že některé starší systémy FIDO2 nepodporují. Průběžně sledujte, kolik účtů už používá silnější metodu a kde zůstávají výjimky. Výjimky zapisujte s důvodem a termínem, kdy je znovu posoudíte. Jinak se z dočasných výjimek snadno stanou trvalé.
Když zatím zůstáváte u schvalování v aplikaci
Přechod na FIDO2 bývá postupný. Do té doby lze schvalování v aplikaci výrazně zpevnit:
- Párování čísel, anglicky number matching. Uživatel musí do aplikace opsat číslo zobrazené na přihlašovací stránce, takže náhodné potvrzení nestačí. Například v Microsoft Authenticator je párování čísel zapnuté pro všechna push oznámení.
- Zobrazení kontextu, tedy aplikace a přibližné polohy, odkud přihlášení přichází.
- Upozornění bezpečnostnímu týmu při opakovaně odmítnutých žádostech.
- Podmíněný přístup. Pravidla mohou vyžadovat spravované zařízení, blokovat rizikové lokality nebo pro citlivé aplikace vyžádat silnější metodu. V prostředí Microsoft jde o funkci Conditional Access, podobné možnosti mají i jiní poskytovatelé identit.
- Omezení SMS jako záložní metody tam, kde je k dispozici lepší varianta.
Vypněte také starší přihlašovací protokoly, které MFA nepodporují. Jinak zůstanou zadními vrátky. A nezapomeňte na obnovu účtu. Pokud lze MFA obejít telefonátem na helpdesk nebo resetem přes e-mail, útočník zkusí právě tuto cestu. Ověření identity při resetu by mělo být stejně pečlivé jako samotné přihlášení.
Sledujte také přihlášení z neobvyklých míst a registrace nových metod MFA. Útočník, který získá přístup, se může pokusit přidat vlastní zařízení.
Školení, které dává smysl
Technika snižuje riziko, ale lidé zůstávají součástí obrany. Užitečné školení nezesměšňuje chyby. Učí rozpoznat podezřelé situace a hlavně je bez obav nahlásit.
Lidé by měli vědět:
- že nečekanou žádost o schválení přihlášení mají odmítnout a nahlásit,
- jak a komu podezřelou zprávu nebo přihlášení ohlásit,
- že helpdesk je nikdy nepožádá o heslo ani o kód,
- že nahlášená chyba je užitečná informace, ne důvod k postihu.
Simulované phishingové kampaně mohou pomoci, pokud slouží k učení. Sledujte hlavně, zda a jak rychle lidé podezřelé zprávy hlásí. Samotný počet kliknutí vypovídá méně. Další praktická doporučení shrnuje společný materiál CISA a partnerů Phishing Guidance: Stopping the Attack Cycle at Phase One.
Kontrolní seznam
- MFA je zapnuté pro všechny uživatele a služby přístupné z internetu.
- Administrátorské a jiné citlivé účty používají metodu odolnou vůči phishingu.
- Schvalování v aplikaci vyžaduje párování čísel a zobrazuje kontext.
- Opakovaně odmítnuté žádosti vyvolají upozornění.
- Pravidla podmíněného přístupu chrání citlivé aplikace.
- Obnova účtu a reset MFA ověřují identitu stejně pečlivě jako přihlášení.
- Starší protokoly bez podpory MFA jsou vypnuté nebo omezené.
- Zaměstnanci vědí, jak podezřelé přihlášení nahlásit.
Pokud řešíte, jak MFA ve vaší firmě posílit a kde začít, můžeme projít vaše současné nastavení a navrhnout postupné kroky. Domluvte si konzultaci.
