Viacfaktorové overovanie, skrátene MFA, patrí k najužitočnejším opatreniam proti zneužitiu hesiel. Americká agentúra CISA zdôrazňuje, že akékoľvek MFA je lepšie ako žiadne. Zároveň upozorňuje, že nie všetky formy MFA sú rovnako odolné. Útočníci sa naučili tie slabšie obchádzať.
Ako útočníci obchádzajú MFA
Hlavné scenáre sú dobre opísané vo verejných zdrojoch, napríklad v prehľade CISA Implementing Phishing-Resistant MFA:
- Phishingová stránka napodobní prihlásenie. Používateľ zadá heslo aj jednorazový kód a útočník ich okamžite použije.
- Únava z MFA, anglicky push fatigue alebo push bombing. Útočník pozná heslo a opakovane posiela žiadosti o schválenie, kým ich používateľ omylom alebo z únavy nepotvrdí.
- Prevzatie telefónneho čísla alebo slabiny mobilných sietí umožnia zachytiť kód poslaný cez SMS.
- Krádež relácie. Niektoré phishingové nástroje fungujú ako sprostredkovateľ medzi používateľom a skutočnou službou. Po prihlásení získajú token relácie a heslo ani kód už nepotrebujú.
Spoločné majú jedno: spoliehajú sa na to, že človek niečo zadá alebo potvrdí na nesprávnom mieste či v nesprávnej chvíli. Pre obranu z toho vyplýva jednoduchý záver. Čím menej záleží na pozornosti používateľa v okamihu prihlásenia, tým je metóda odolnejšia.
Metódy odolné voči phishingu
Za odolné voči phishingu sa považujú metódy, pri ktorých je kryptografické overenie viazané na konkrétnu službu. Ide najmä o štandard FIDO2 a WebAuthn, teda bezpečnostné kľúče a passkeys, a o overenie pomocou certifikátov a čipových kariet. Prehliadač alebo zariadenie overí, že sa prihlasujete do skutočnej služby. Na podvrhnutej stránke prihlásenie neprebehne, aj keby ju používateľ nespoznal.
Americký štandard NIST SP 800-63B výslovne uvádza, že jednorazové kódy ani overenie mimo hlavného kanála, kam patrí aj schvaľovanie v mobilnej aplikácii, nie sú odolné voči phishingu. Neznamená to, že sú zbytočné. Znamená to, že pre najcitlivejšie účty nestačia.
Pri zavádzaní má zmysel postupovať od najväčšieho rizika:
- Administrátori, správcovia cloudu a účty s prístupom k zálohám.
- Vedenie, financie a ľudia, ktorí schvaľujú platby.
- Vzdialený prístup a e-mail pre všetkých zamestnancov.
- Ostatné aplikácie podľa citlivosti údajov.
Počítajte s náhradnými kľúčmi, postupom pri strate a s tým, že niektoré staršie systémy FIDO2 nepodporujú. Priebežne sledujte, koľko účtov už používa silnejšiu metódu a kde zostávajú výnimky. Výnimky zapisujte s dôvodom a termínom, kedy ich znova posúdite. Inak sa z dočasných výnimiek ľahko stanú trvalé.
Keď zatiaľ zostávate pri schvaľovaní v aplikácii
Prechod na FIDO2 býva postupný. Dovtedy sa dá schvaľovanie v aplikácii výrazne spevniť:
- Párovanie čísel, anglicky number matching. Používateľ musí do aplikácie prepísať číslo zobrazené na prihlasovacej stránke, takže náhodné potvrdenie nestačí. Napríklad v Microsoft Authenticator je párovanie čísel zapnuté pre všetky push oznámenia.
- Zobrazenie kontextu, teda aplikácie a približnej polohy, odkiaľ prihlásenie prichádza.
- Upozornenie bezpečnostného tímu pri opakovane odmietnutých žiadostiach.
- Podmienený prístup. Pravidlá môžu vyžadovať spravované zariadenie, blokovať rizikové lokality alebo pre citlivé aplikácie vyžiadať silnejšiu metódu. V prostredí Microsoft ide o funkciu Conditional Access, podobné možnosti majú aj iní poskytovatelia identít.
- Obmedzenie SMS ako záložnej metódy tam, kde je k dispozícii lepšia možnosť.
Vypnite aj staršie prihlasovacie protokoly, ktoré MFA nepodporujú. Inak zostanú zadnými dvierkami. A nezabudnite na obnovu účtu. Ak sa dá MFA obísť telefonátom na helpdesk alebo resetom cez e-mail, útočník skúsi práve túto cestu. Overenie identity pri resete by malo byť rovnako dôkladné ako samotné prihlásenie.
Sledujte aj prihlásenia z neobvyklých miest a registrácie nových metód MFA. Útočník, ktorý získa prístup, sa môže pokúsiť pridať vlastné zariadenie.
Školenie, ktoré má zmysel
Technika znižuje riziko, ale ľudia zostávajú súčasťou obrany. Užitočné školenie nezosmiešňuje chyby. Učí rozpoznať podozrivé situácie a najmä ich bez obáv nahlásiť.
Ľudia by mali vedieť:
- že nečakanú žiadosť o schválenie prihlásenia majú odmietnuť a nahlásiť,
- ako a komu podozrivú správu alebo prihlásenie ohlásiť,
- že helpdesk ich nikdy nepožiada o heslo ani o kód,
- že nahlásená chyba je užitočná informácia, nie dôvod na postih.
Simulované phishingové kampane môžu pomôcť, ak slúžia na učenie. Sledujte najmä, či a ako rýchlo ľudia podozrivé správy hlásia. Samotný počet kliknutí vypovedá menej. Ďalšie praktické odporúčania zhŕňa spoločný materiál CISA a partnerov Phishing Guidance: Stopping the Attack Cycle at Phase One.
Kontrolný zoznam
- MFA je zapnuté pre všetkých používateľov a služby dostupné z internetu.
- Administrátorské a iné citlivé účty používajú metódu odolnú voči phishingu.
- Schvaľovanie v aplikácii vyžaduje párovanie čísel a zobrazuje kontext.
- Opakovane odmietnuté žiadosti vyvolajú upozornenie.
- Pravidlá podmieneného prístupu chránia citlivé aplikácie.
- Obnova účtu a reset MFA overujú identitu rovnako dôkladne ako prihlásenie.
- Staršie protokoly bez podpory MFA sú vypnuté alebo obmedzené.
- Zamestnanci vedia, ako podozrivé prihlásenie nahlásiť.
Ak riešite, ako MFA vo vašej firme posilniť a kde začať, môžeme prejsť vaše súčasné nastavenie a navrhnúť postupné kroky. Dohodnite si konzultáciu.
