MFA能否解决账户接管威胁？

F5生态系统 | 2023年6月26日

对于试图通过凭据填充实施账户接管欺诈的犯罪分子，多重身份验证（MFA）增加了障碍，但攻击者已找到绕过MFA的方法。这意味着，仅靠MFA无法消除账户接管威胁。企业需要采取更多措施来增强MFA的安全性，包括缓解机器人攻击和监控上下文风险。

尽管MFA存在不足，但它仍是一次重大进步，因为事实已经证明，仅使用密码的身份验证并不可靠。人类很难记住长字符串，因此往往会选择简单、容易猜到的密码，并在多个应用中重复使用密码。这些做法已导致许多安全漏洞。

然而，随着密码认证失效和MFA的普及，针对MFA的攻击也日益增多，例如：

实时网络钓鱼代理

在实时网络钓鱼代理（RTPP）攻击中，欺诈者利用网络钓鱼消息诱骗用户访问由攻击者控制、外观类似可信网站的站点，引诱用户输入凭据并批准第二重身份验证请求，无论该请求是短信还是推送通知。RTPP会将凭据转发给目标应用并获取访问权限。如需查看此类攻击的演示，请观看黑客兼安全顾问Kevin Mitnick制作的这段视频；如需了解实时网络钓鱼代理日益增多的背景信息，请参阅F5 Labs网络钓鱼与欺诈报告。

MFA轰炸

在MFA轰炸攻击中，攻击者通过发送多个欺诈性验证码请求，诱骗目标交出身份验证码。这种攻击对依赖推送通知的身份验证器应用尤其有效，因为用户只需按一下按钮，就能轻易停止接连不断的请求。攻击者有时会将MFA轰炸与社会工程学手段结合使用，诱导用户接受推送通知并授予访问权限。

生物特征欺骗

攻击者甚至已经绕过了生物特征认证。毕竟，我们触摸过的几乎每个光滑表面都会留下指纹。攻击者可以收集这些指纹，并使用各种材料和设备进行复制，从3D打印机到软糖原料均可。安全研究人员还演示了如何欺骗人脸和语音识别以及虹膜扫描。尽管供应商已开发出活体检测等反欺骗技术来检测绕过企图，但随着攻击者不断改进技术，任何生物特征识别设备都可能出现新的漏洞。

SIM卡换卡攻击

SIM卡换卡攻击是指欺诈者利用服务提供商将电话号码转移到另一台设备的功能实施攻击。欺诈者先收集受害者的个人信息，再通过社会工程手段诱骗支持人员将受害者的电话号码转移到欺诈者的SIM卡上。控制受害者的电话服务后，欺诈者便可收到原本发给受害者的短信，从而截获一次性密码（OTP）并绕过MFA。

增强MFA安全性

MFA相比仅使用密码的身份验证有显著改进，并将长期存在，因此网络安全从业人员必须解决其漏洞问题。

可以先从缓解机器人程序威胁入手。攻击者利用密码重复使用的问题，部署机器人程序，使用窃取的凭据尝试登录。OWASP将这种技术定义为“凭据填充”，攻击者借此绕过MFA的第一重身份验证。攻击者还会在RTPP攻击中使用机器人程序，在OTP过期前将其转发到目标网站。MFA轰炸同样是一种依赖机器人程序的自动化攻击。借助有效的机器人程序管理解决方案，安全团队可以消除攻击者用于大规模实施MFA绕过技术的一项关键工具。

缓解MFA漏洞的另一种方法是考虑上下文风险。上下文风险可根据用户的IP地址、ISP、位置、访问时间、设备、所访问的功能和行为来确定。当用户在应用中执行操作时，可利用所有这些因素计算风险评分。评分越高，身份验证要求就越严格，最终可能会停用账户。

后续步骤

我们必然会看到更多关于密码将消亡的论断，以及更多声称新型MFA技术将一劳永逸地保障身份验证安全的炒作。然而，执意发起攻击的攻击者仍可能找到绕过新实施方案的方法，因此需要持续分析并缓解MFA的漏洞。要深入了解为何MFA只是防止账户接管的第一步，请参阅新的F5白皮书。与F5合作，可在保护MFA的同时优化客户体验。详细了解F5 Distributed Cloud Services并注册，与我们的团队沟通。