Eine Umgehung der Multi-Faktor-Authentifizierung verschafft Zugang, obwohl ein zweiter Faktor eingerichtet ist.
Der Angreifer umgeht nicht zwingend die Mathematik des Faktors, sondern die Stelle, an der er abgefragt, weitergeleitet oder vom Nutzer bestätigt wird.
MFA bleibt wertvoll, ist aber kein Abschluss der Zugangssicherung.
Multi-Faktor-Authentifizierung verstehen
Multi-Faktor-Authentifizierung verlangt mindestens zwei unabhängige Nachweise, etwa ein Passwort und einen Besitz oder ein körperliches Merkmal.
Der zweite Nachweis soll gestohlene Passwörter allein wertlos machen.
Wirksam ist das nur, wenn der zweite Faktor wirklich unabhängig ist und die Sitzung danach nicht auf einem schwächeren Weg neu aufgebaut werden kann.
Arten von MFA
Arten von MFA unterscheiden sich nach Wissen, Besitz und biometrischem Merkmal.
Üblich sind Einmalcodes aus einer App oder einem Gerät, Bestätigungen auf einem zweiten Gerät, Schlüssel im Hardwaretoken und physische Merkmale.
Codes per SMS hängen am Mobilfunknetz und am Gerät, das die Nachricht empfängt.
Widerstandsfähiger sind Verfahren, die den Faktor an die konkrete Anmeldung binden und nicht an einen beliebig weiterleitbaren Code.
MFA verstehen
MFA zu verstehen heißt zu sehen, welcher Nachweis fehlt, wenn einer der Faktoren entfällt oder nachgemacht wird.
Eine Anmeldung ist nur so stark wie der schwächste akzeptierte Weg, einschließlich Passwortreset, Support und alter Sitzungen.
Wer nur das Anmeldefenster betrachtet, übersieht die Umgehung, die daneben eingerichtet ist.
Methoden zur Umgehung von MFA
Methoden zur Umgehung zielen auf den Menschen, auf die Weitergabe des Codes oder auf eine Sitzung, die nach dem Faktor entsteht.
Angreifer fangen Einmalcodes in Echtzeit über eine vorgeschaltete Seite ab, drängen Nutzer zu einer Bestätigung oder stehlen ein bereits angemeldetes Token.
Andere nutzen Wiederherstellungscodes, die schwächer aufbewahrt werden als der Faktor selbst, oder einen Helpdesk, der den Faktor auf Zuruf zurücksetzt.
Auswirkungen der Umgehung von MFA
Gelingt die Umgehung, steht dem Angreifer dieselbe Sitzung offen wie dem berechtigten Nutzer, einschließlich Postfach, Verwaltung und Zahlungswegen.
Der zweite Faktor erzeugt dann eine falsche Sicherheit, weil Protokolle eine erfolgreiche MFA-Anmeldung zeigen.
Entdeckung hängt davon ab, ob Ort, Gerät und Folgehandlungen der Sitzung trotzdem geprüft werden.
Auswirkungen auf Unternehmen
Für Unternehmen bedeutet eine Umgehung Zugriff auf Kunden, Korrespondenz und interne Werkzeuge über ein einziges übernommenes Konto.
Besonders folgenreich sind Konten mit Recht zur Änderung weiterer Faktoren oder zur Anlage neuer Benutzer.
Der Schaden wächst, wenn dasselbe Konto bei mehreren Diensten gilt und der zweite Faktor dort nur einmal überwunden werden muss.
Minderung der Risiken einer MFA-Umgehung
Risiken sinken, wenn der zweite Faktor an die konkrete Anmeldung gebunden ist, Wiederherstellungswege genauso streng sind wie die Anmeldung selbst und Sitzungen nach verdächtigem Wechsel neu geprüft werden.
Push-Bestätigungen sollten Ort und Anwendung anzeigen, damit eine blinde Zustimmung auffällt.
Support darf den Faktor nicht anhand von Daten zurücksetzen, die ein Angreifer bereits kennt.
Best Practices für MFA
Bewährte Praxis bevorzugt Faktoren, die sich nicht einfach vorlesen oder weiterleiten lassen, und trennt Administratorkonten von der alltäglichen Anmeldung.
Wiederherstellungscodes liegen nicht im Postfach, das mit demselben Faktor geschützt wird.
Alte Sitzungen werden beendet, wenn der Faktor wechselt, und fehlgeschlagene sowie unerwartete Bestätigungen werden ausgewertet.
Schlussfolgerung
MFA erschwert den reinen Passwortdiebstahl und wird über den Menschen, die Wiederherstellung und die Sitzung danach umgangen.
Schutz heißt, jeden akzeptierten Weg auf dieselbe Stärke zu bringen und Bestätigungen verständlich zu machen.
Eine erfolgreiche MFA-Zeile im Protokoll ist kein Beweis, dass der berechtigte Nutzer gehandelt hat.