Η εφαρμογή ελέγχου ταυτότητας πολλαπλών παραγόντων (MFA) είναι μια εξαιρετική στρατηγική για την ενίσχυση της ασφάλειας των διαδικτυακών λογαριασμών σας, αλλά οι εξελιγμένες επιθέσεις phishing μπορούν να παρακάμψουν το MFA. Σκεφτείτε λοιπόν να υιοθετήσετε μια ισχυρή μέθοδο MFA ανθεκτική στο phishing για την καταπολέμηση των σύγχρονων εκστρατειών phishing.
Πώς είναι το παραδοσιακό MFA επιρρεπές σε επιθέσεις phishing; Τι είναι μια λύση MFA ανθεκτική στο phishing και πώς μπορεί να αποτρέψει τις επιθέσεις phishing;
Τι είναι ο έλεγχος ταυτότητας πολλαπλών παραγόντων;
Όπως υποδηλώνει ο όρος, ο έλεγχος ταυτότητας πολλαπλών παραγόντων απαιτεί να παρουσιάσετε δύο ή περισσότερους παράγοντες επαλήθευσης για να αποκτήσετε πρόσβαση στους λογαριασμούς σας.
Ένας παράγοντας σε μια διαδικασία ελέγχου ταυτότητας είναι ένα μέσο επαλήθευσης της ταυτότητάς σας όταν προσπαθείτε να συνδεθείτε.
Οι πιο συνηθισμένοι παράγοντες είναι:
- Κάτι που ξέρεις: έναν κωδικό πρόσβασης ή ένα PIN που θυμάστε
- Κάτι που έχεις: ένα ασφαλές κλειδί USB ή ένα smartphone που έχετε
- Κάτι που είσαι: την αναγνώριση προσώπου ή το δακτυλικό σας αποτύπωμα
Ο έλεγχος ταυτότητας πολλαπλών παραγόντων προσθέτει επιπλέον επίπεδα ασφάλειας στους λογαριασμούς σας. Είναι σαν να προσθέτετε μια δεύτερη ή τρίτη κλειδαριά στο ντουλάπι σας.
Σε μια τυπική διαδικασία ελέγχου ταυτότητας πολλαπλών παραγόντων, θα εισαγάγετε πρώτα τον κωδικό πρόσβασης ή το PIN σας. Στη συνέχεια, ενδέχεται να λάβετε τον δεύτερο παράγοντα στο smartphone σας. Αυτός ο δεύτερος παράγοντας μπορεί να είναι ένα SMS ή μια ειδοποίηση σε μια εφαρμογή ελέγχου ταυτότητας. Ανάλογα με τις ρυθμίσεις MFA σας, μπορεί να χρειαστεί να επαληθεύσετε την ταυτότητά σας μέσω βιομετρικών στοιχείων.
Υπάρχουν πολλοί λόγοι για να χρησιμοποιήσετε έλεγχο ταυτότητας πολλαπλών παραγόντων, αλλά μπορείτε να αντισταθείτε πλήρως στο phishing;
Δυστυχώς, η απάντηση είναι «όχι».
Κυβερνοαπειλές για έλεγχο ταυτότητας πολλαπλών παραγόντων
Αν και οι μέθοδοι MFA είναι ασφαλέστερες από τις μεθόδους ελέγχου ταυτότητας ενός παράγοντα, οι φορείς απειλών μπορούν να τις εκμεταλλευτούν χρησιμοποιώντας διάφορες τεχνικές.
Ακολουθούν τρόποι με τους οποίους οι χάκερ μπορούν να παρακάμψουν το MFA.
Επιθέσεις Brute-Force
Εάν οι χάκερ έχουν τα διαπιστευτήρια σύνδεσής σας και έχετε ορίσει ένα τετραψήφιο PIN που θα χρησιμοποιείται ως δεύτερος παράγοντας, μπορούν να πραγματοποιήσουν επιθέσεις ωμής βίας για να μαντέψουν την καρφίτσα ασφαλείας προκειμένου να παρακάμψουν πολλούς παράγοντες αυθεντικοποίηση.
Hacking SIM
Αυτές τις μέρες, οι φορείς απειλών χρησιμοποιούν τεχνικές όπως η εναλλαγή SIM, η κλωνοποίηση SIM και η είσοδος SIM χακάρει την κάρτα SIM σας. Και αφού έχουν τον έλεγχο της SIM σας, μπορούν εύκολα να υποκλέψουν τον δεύτερο παράγοντα που βασίζεται σε sms, θέτοντας σε κίνδυνο τον μηχανισμό MFA σας.
Επιθέσεις κόπωσης MFA
Σε μια Επίθεση κόπωσης MFA, ένας χάκερ σας βομβαρδίζει με ένα καταιγισμό ειδοποιήσεων push μέχρι να ενδώσετε. Μόλις εγκρίνετε το αίτημα σύνδεσης, ο χάκερ μπορεί να έχει πρόσβαση στον λογαριασμό σας.
Αντίπαλος στη Μέση Επιθέσεις
Οι χάκερ μπορούν να χρησιμοποιήσουν πλαίσια AiTM όπως το Evilginx για να υποκλέψουν τόσο τα διαπιστευτήρια σύνδεσης όσο και το δεύτερο διακριτικό παράγοντα. Στη συνέχεια, μπορούν να συνδεθούν στο λογαριασμό σας και να κάνουν ό, τι κακό τους κάνει.
Pass-the-Cookie Attacks
Μόλις ολοκληρώσετε τη διαδικασία ελέγχου ταυτότητας πολλαπλών παραγόντων, δημιουργείται ένα cookie προγράμματος περιήγησης και διατηρείται για τη συνεδρία σας. Οι χάκερ μπορούν να εξαγάγουν αυτό το cookie και να το χρησιμοποιήσουν για να ξεκινήσουν μια περίοδο λειτουργίας σε άλλο πρόγραμμα περιήγησης σε διαφορετικό σύστημα.
Phishing
Phishing, ένα από τα πιο κοινές τακτικές κοινωνικής μηχανικής, χρησιμοποιείται συχνά για πρόσβαση στον δεύτερο παράγοντα όταν ο παράγοντας απειλής έχει ήδη το όνομα χρήστη και τον κωδικό πρόσβασής σας.
Για παράδειγμα, χρησιμοποιείτε έναν προμηθευτή λογισμικού ως υπηρεσία (SaaS) και τα διαπιστευτήρια σύνδεσής σας παραβιάζονται. Ένας χάκερ θα σας καλέσει (ή θα στείλει email) που παρουσιάζεστε ως προμηθευτής SaaS σας για να ζητήσει τον δεύτερο παράγοντα για επαλήθευση. Μόλις κοινοποιήσετε τον κωδικό επαλήθευσης, ο χάκερ μπορεί να έχει πρόσβαση στον λογαριασμό σας. Και μπορούν να κλέψουν ή να κρυπτογραφήσουν δεδομένα που επηρεάζουν εσάς και τον προμηθευτή σας.
Αυτές τις μέρες, οι χάκερ απασχολούν προηγμένες τεχνικές phishing. Προσοχή λοιπόν για επιθέσεις phishing.
Τι είναι το MFA ανθεκτικό στο ψάρεμα;
Το MFA ανθεκτικό στο phishing δεν είναι ευαίσθητο σε όλα τα είδη κοινωνικής μηχανικής, συμπεριλαμβανομένων των επιθέσεων phishing, των επιθέσεων πλήρωσης διαπιστευτηρίων, των επιθέσεων Man-in-the-Middle και άλλων.
Καθώς οι άνθρωποι βρίσκονται στο επίκεντρο των επιθέσεων κοινωνικής μηχανικής, το MFA ανθεκτικό στο phishing αφαιρεί το ανθρώπινο στοιχείο από τη διαδικασία ελέγχου ταυτότητας.
Για να θεωρηθεί μηχανισμός MFA ανθεκτικός στο phishing, ο έλεγχος ταυτότητας θα πρέπει να είναι κρυπτογραφικά συνδεδεμένος στον τομέα. Και θα πρέπει να αναγνωρίζει έναν ψεύτικο τομέα που δημιουργήθηκε από έναν χάκερ.
Ακολουθεί ο τρόπος με τον οποίο λειτουργεί η τεχνολογία MFA που είναι ανθεκτική στο phishing.
Δημιουργήστε ισχυρό δέσιμο
Εκτός από την εγγραφή του εργαλείου ελέγχου ταυτότητας, θα ολοκληρώσετε μια κρυπτογραφική εγγραφή, συμπεριλαμβανομένης της επαλήθευσης ταυτότητας, για να δημιουργήσετε μια ισχυρή σύνδεση μεταξύ του εργαλείου ελέγχου ταυτότητας και της ταυτότητάς σας πάροχος (IDP). Αυτό θα επιτρέψει στον έλεγχο ταυτότητας να αναγνωρίζει ψεύτικους ιστότοπους.
Χρησιμοποιήστε ασύμμετρη κρυπτογραφία
Μια σταθερή σύνδεση δύο μερών που βασίζεται σε ασύμμετρη κρυπτογραφία (κρυπτογραφία δημόσιου κλειδιού) εξαλείφει την ανάγκη για κοινά μυστικά όπως κωδικούς πρόσβασης.
Για να ξεκινήσετε τις περιόδους σύνδεσης, θα απαιτηθούν και τα δύο κλειδιά (δημόσια και ιδιωτικά κλειδιά). Οι χάκερ δεν μπορούν να πραγματοποιήσουν έλεγχο ταυτότητας για να συνδεθούν, καθώς τα ιδιωτικά κλειδιά θα αποθηκευτούν με ασφάλεια σε κλειδιά ασφαλείας υλικού.
Απαντήστε μόνο σε έγκυρα αιτήματα ελέγχου ταυτότητας
Το MFA ανθεκτικό στο phishing ανταποκρίνεται μόνο σε έγκυρα αιτήματα. Όλες οι προσπάθειες πλαστοπροσωπίας νόμιμων αιτημάτων θα ματαιωθούν.
Επαληθεύστε την πρόθεση
Ο έλεγχος ταυτότητας MFA με αντοχή σε ηλεκτρονικό ψάρεμα πρέπει να επικυρώνει την πρόθεση του χρήστη ζητώντας από τον χρήστη να προβεί σε μια ενέργεια που υποδηλώνει την ενεργό συμμετοχή του χρήστη στον έλεγχο ταυτότητας του αιτήματος σύνδεσης.
Γιατί πρέπει να εφαρμόσετε MFA ανθεκτικό στο ψάρεμα
Η υιοθέτηση MFA ανθεκτικού στο phishing προσφέρει πολλαπλά οφέλη. Εξαλείφει το ανθρώπινο στοιχείο από την εξίσωση. Καθώς το σύστημα μπορεί να εντοπίσει αυτόματα έναν ψεύτικο ιστότοπο ή ένα μη εξουσιοδοτημένο αίτημα ελέγχου ταυτότητας, μπορεί να αποτρέψει όλους τους τύπους επιθέσεων phishing που στοχεύουν στην εξαπάτηση των χρηστών ώστε να δώσουν διαπιστευτήρια σύνδεσης. Κατά συνέπεια, το MFA ανθεκτικό στο phishing μπορεί να αποτρέψει παραβιάσεις δεδομένων στην εταιρεία σας.
Επιπλέον, ένα καλό MFA ανθεκτικό στο phishing, όπως η πιο πρόσφατη μέθοδος ελέγχου ταυτότητας FIDO2, βελτιώνει την εμπειρία χρήστη. Αυτό συμβαίνει επειδή μπορείτε να χρησιμοποιήσετε βιομετρικά στοιχεία ή κλειδιά ασφαλείας εύκολα στην εφαρμογή για να αποκτήσετε πρόσβαση στους λογαριασμούς σας.
Τελευταίο αλλά εξίσου σημαντικό, το MFA ανθεκτικό στο phishing ενισχύει την ασφάλεια των λογαριασμών και των συσκευών σας, βελτιώνοντας έτσι λιβάδι κυβερνοασφάλειας στην παρέα σας.
Το Γραφείο Διαχείρισης και Προϋπολογισμού των ΗΠΑ (OMB) εξέδωσε την Έγγραφο Federal Zero Trust Strategy, το οποίο απαιτεί από τις ομοσπονδιακές υπηρεσίες να χρησιμοποιούν μόνο MFA ανθεκτικό στο phishing έως το τέλος του 2024.
Έτσι, μπορείτε να καταλάβετε ότι το MFA ανθεκτικό στο phishing είναι κρίσιμο για την ασφάλεια στον κυβερνοχώρο.
Πώς να εφαρμόσετε MFA ανθεκτικό στο Phishing
Σύμφωνα με την Έκθεση Ασφαλούς Ταυτότητας Κατάστασης που προετοιμάστηκε από την ομάδα Auth0 της Okta, οι επιθέσεις παράκαμψης του MFA αυξάνονται.
Καθώς το phishing είναι ο κορυφαίος φορέας επιθέσεων σε επιθέσεις που βασίζονται σε ταυτότητα, η εφαρμογή ελέγχου ταυτότητας πολλαπλών παραγόντων ανθεκτικό στο phishing μπορεί να σας βοηθήσει να προστατεύσετε τους λογαριασμούς σας.
Ο έλεγχος ταυτότητας FIDO2/WebAuthn είναι μια ευρέως χρησιμοποιούμενη μέθοδος ελέγχου ταυτότητας ανθεκτική στο phishing. Σας επιτρέπει να χρησιμοποιείτε κοινές συσκευές για έλεγχο ταυτότητας σε περιβάλλοντα κινητών και επιτραπέζιων υπολογιστών.
Ο έλεγχος ταυτότητας FIDO2 προσφέρει ισχυρή ασφάλεια μέσω κρυπτογραφικών διαπιστευτηρίων σύνδεσης μοναδικά για κάθε ιστότοπο. Και τα διαπιστευτήρια σύνδεσης δεν φεύγουν ποτέ από τη συσκευή σας.
Επιπλέον, μπορείτε να χρησιμοποιήσετε ενσωματωμένες λειτουργίες της συσκευής σας, όπως συσκευή ανάγνωσης δακτυλικών αποτυπωμάτων για να ξεμπλοκάρετε τα κρυπτογραφικά διαπιστευτήρια σύνδεσης.
Μπορείς ελέγξτε τα προϊόντα FIDO2 για να επιλέξετε το σωστό προϊόν για να εφαρμόσετε MFA ανθεκτικό στο phishing.
Ένας άλλος τρόπος για την εφαρμογή MFA ανθεκτικού στο phishing είναι η χρήση λύσεων που βασίζονται στην υποδομή δημόσιου κλειδιού (PKI). Οι έξυπνες κάρτες PIV, οι πιστωτικές κάρτες και τα ηλεκτρονικά διαβατήρια χρησιμοποιούν αυτήν την τεχνολογία που βασίζεται στο PKI.
Το MFA που είναι ανθεκτικό στο ψάρεμα είναι το μέλλον
Οι επιθέσεις phishing αυξάνονται και η εφαρμογή μόνο παραδοσιακών μεθόδων ελέγχου ταυτότητας πολλαπλών παραγόντων δεν προσφέρει προστασία από εξελιγμένες καμπάνιες ηλεκτρονικού ψαρέματος. Εφαρμόστε λοιπόν MFA ανθεκτικό στο phishing για να αποτρέψετε τους χάκερ να καταλάβουν τους λογαριασμούς σας.