0 
0 Nos últimos meses, vimos um número sem precedentes de ataques de roubo de identidade direcionados a contas protegidas por autenticação de dois fatores (2FA), desafiando a percepção de que as soluções 2FA existentes fornecem proteção adequada contra ataques de roubo de identidade. A recente violação do Uber é apenas um exemplo, mas vemos muitas campanhas burlando o 2FA em várias plataformas.
Por mais de uma década, a implementação de 2FA/MFA tem sido considerada a solução de melhor prática que as organizações devem implementar contra ataques de sequestro de conta , sejam eles baseados em phishing, força bruta, roubo de senha ou qualquer outra forma fraudulenta de obter credenciais de login. E enquanto especialistas do setor alertaram sobre o potencial abuso desses mecanismos por anos, pouca atenção foi dada. A maioria sabia que os ataques contra 2FA eram possíveis, mas achavam que eram muito complicados de executar e realmente não aconteciam no mundo real.
Com o tempo, porém, casos de ataques bem-sucedidos se tornaram mais comuns. O que mudou para que isso acontecesse? Em uma palavra: motivação.
Quando o 2FA foi implementado por apenas um pequeno número de organizações, os invasores não viram uma necessidade premente de desenvolver técnicas e habilidades para contorná-lo. Eles estavam simplesmente focados no resto do mundo – aqueles que ainda não haviam implementado adequadamente o 2FA. Mas nos últimos dois anos, vimos um grande aumento na adoção do 2FA, impulsionando a motivação dos invasores para construir a tecnologia para contornar o 2FA. Além disso, o aumento da migração para aplicativos de nuvem e SaaS, combinado com o logon único, transformou a identidade no novo perímetro, tornando o ganho potencial de sequestro de contas ainda maior do que antes.
É importante observar que, embora a indústria frequentemente use MFA e 2FA de forma intercambiável, a MFA é um conceito geral de autenticação multifator, ou seja, usar mais de um fator para autenticar um usuário. O que a maioria das organizações possui é o 2FA – a implementação mínima viável de MFA, utilizando o mecanismo de nome de usuário/senha existente com um segundo fator adicional, como uma OTP (senha de uso único), aprovação de push de aplicativo de autenticação ou tokens baseados em SMS ( semelhantes aos OTPs).
O problema com esse tipo de segundo fator é que ele não é necessariamente mais forte que uma senha; é apenas mais pontual . As senhas são um segredo que fornece proteção decente contra roubo de identidade – se permanecerem secretas. Ataques como phishing, força bruta ou injeção de SQL em bancos de dados com senhas são todos projetados para fazer uma coisa: descobrir a senha para que ela possa ser usada pelo invasor. As senhas descartáveis são semelhantes: se o invasor souber a senha descartável, ele poderá usá-la para autenticar. A proteção fornecida por ela está, portanto, relacionada à janela de tempo durante a qual ela pode ser usada: uma senha normal dura semanas e meses, mas uma senha de uso único é válida por segundos ou minutos.
Da mesma forma, uma aprovação de push de aplicativo usa protocolos fortes para validar um token de uso único, mas um invasor que usar essa validação na janela de tempo certa ainda poderá assumir o controle da conta. Por alguns anos, isso parecia uma abordagem razoável. Os invasores coletavam senhas por um período de tempo, armazenavam-nas offline e as usavam em um estágio posterior, tornando obsoleto qualquer token em potencial roubado.
Mas com o tempo sendo o único fator limitante, à medida que a motivação crescia, os invasores desenvolveram a tecnologia e as práticas para realizar esses ataques quase em tempo real, permitindo que eles sequestrassem contas da mesma forma que faziam antes da implementação do 2FA.
As duas técnicas mais comuns hoje para contornar 2FA são Adversary in the Middle (AiTM) e fadiga MFA.
- AiTM é uma técnica usada por invasores para fazer ataques de phishing por meio de um proxy. Em vez de coletar senhas e tentar usá-las posteriormente, os invasores fazem proxy da tentativa de login do usuário, incluindo o segundo fator de autenticação (seja um push OTP ou MFA), e criam uma nova sessão para o invasor, em tempo real, que é então usado para acesso futuro. Com as sessões de MFA sendo válidas por 14 a 30 dias na maioria dos casos, isso permite que o invasor tenha um tempo substancial para usar a conta invadida. Vimos isso em várias campanhas, incluindo a configuração de um novo aplicativo autenticador de MFA para manter a persistência além da duração de validade da sessão de MFA. É importante notar que, embora isso possa parecer mais complicado, agora existem pelo menos três kits de phishing populares(e um personalizado ) que automatiza esse processo para os invasores.
- A fadiga de MFA é uma técnica que pode ser usada contra desafios de MFA por meio de notificações push em seu aplicativo de autenticação de MFA. Nesse cenário, o invasor pode primeiro obter o nome de usuário/senha usando uma abordagem tradicional (phishing, roubo de banco de dados de senhas e assim por diante), antes de iniciar o próprio ataque MFA. O invasor começa a tentar fazer login com as credenciais roubadas. Toda vez que o invasor faz isso, o usuário recebe uma notificação por push em seu aplicativo solicitando a verificação da autenticação. Para muitos usuários, isso é visto como uma falha no sistema, e eles aprovam imediatamente ou aprovam em algum momento, pois se cansam das notificações e pressionam Não todas as vezes.
O que isso significa para nossa indústria é que a eficácia das soluções 2FA existentes está sendo anulada. É seguro supor que quase todos os ataques de phishing em breve serão alimentados por essas novas estruturas para contornar o 2FA, e voltaremos a onde estávamos alguns anos atrás, com apenas um nome de usuário e senha tentando ineficientemente ficar entre os invasores e nossos dados e sistemas.
A solução é adotar a MFA de forma mais ampla, migrando para a autenticação de três fatores (3FA) adicionando um fator adicional, mas desta vez um que não pode ser usado pelo invasor para autenticar a partir de um dispositivo externo. Isso pode ser feito vinculando a autenticação do usuário a um dispositivo ou token de hardware específico.
Os tokens de hardware que suportam os protocolos FIDO2 garantem uma assinatura na autenticação do dispositivo que está vinculado ao host específico usado e ao servidor específico que está sendo acessado, impossibilitando sua reutilização por invasores. Mas as organizações não precisam comprar um dispositivo de hardware dedicado para isso. Uma implementação semelhante do FIDO2 (ou uma abordagem semelhante) pode ser feita diretamente nos dispositivos do usuário, vinculando efetivamente a autenticação a dispositivos específicos, impossibilitando que um invasor crie uma nova sessão a partir de um novo dispositivo.
Esse recurso é oferecido pelos dois maiores provedores de identidade, Microsoft 365 e Okta.
Com o Microsoft 365, o Acesso Condicional (que é a principal maneira de gerenciar 2FA/MFA) pode ser configurado para permitir conexões apenas de dispositivos registrados no InTune (MDM da Microsoft). Se configurado corretamente, isso torna os ataques de fadiga AiTM ou MFA redundantes. A Microsoft também oferece integração com o Microsoft Hello para conexões FIDO2 seguras (de máquinas Windows neste momento).
O Okta também oferece recursos semelhantes por meio da integração com soluções MDM de terceiros (assim como com tokens de hardware).
Há, no entanto, uma ressalva. Pouquíssimas organizações implementaram essas soluções até o momento, então elas ainda são um tanto imaturas. Temos visto organizações tentando implementar essas soluções e estão enfrentando uma sobrecarga substancial, frustração do usuário e muitos casos extremos sem solução até o momento. Esperamos que, à medida que o setor aumente a adoção dessas soluções 3FA, os fornecedores aloquem os recursos necessários para aperfeiçoá-las, tornando-as o caminho padrão a seguir e desafiando os invasores a criar novas técnicas.
Agora está claro que implementar a verificação baseada em hardware/dispositivo de terceiro fator é a única maneira de as organizações se protegerem contra phishing e outros ataques de controle de contas e, portanto,… o 2FA acabou. Viva a 3FA!
FONTE: HELPNET SECURITY