Für Kriminelle, die versuchen, mittels Credential Stuffing Konten zu übernehmen, stellt die Multi-Faktor-Authentifizierung (MFA) eine zusätzliche Hürde dar. Angreifer haben jedoch Wege gefunden, MFA zu umgehen. Daher kann MFA allein die Gefahr einer Kontoübernahme nicht beseitigen. Unternehmen müssen zusätzliche Maßnahmen ergreifen, um die Sicherheit von MFA zu erhöhen. Dazu gehören die Abwehr von Bots und die Überwachung kontextbezogener Risiken.
Trotz ihrer Schwächen ist die MFA ein bedeutender Fortschritt, da die reine Passwortauthentifizierung eindeutig gescheitert ist. Wir Menschen können uns lange Zeichenfolgen schlichtweg nicht merken. Deshalb greifen wir zu Abkürzungen, wählen einfache, vorhersehbare Passwörter und verwenden dieselben Passwörter für mehrere Anwendungen – all dies hat zu zahlreichen Sicherheitsverletzungen geführt.
Mit dem Versagen von Passwörtern und der zunehmenden Verbreitung von MFA ist jedoch auch die Zahl der Angriffe auf MFA gestiegen, darunter:
Echtzeit-Phishing-Proxys
Bei einem Echtzeit-Phishing-Proxy-Angriff (RTPP) verleiten Betrüger Benutzer mithilfe von Phishing-Nachrichten dazu, eine vom Angreifer kontrollierte Website zu besuchen, die wie eine vertrauenswürdige Website aussieht. Dort sollen die Benutzer ihre Anmeldedaten eingeben und die Anfrage zur Zwei-Faktor-Authentifizierung bestätigen, sei es per SMS oder Push-Benachrichtigung. Der RTPP leitet die Anmeldedaten an die Zielanwendung weiter und verschafft sich so Zugriff. Eine Demonstration des Angriffs finden Sie in diesem Video des Hackers und Sicherheitsberaters Kevin Mitnick. Hintergrundinformationen zur zunehmenden Verbreitung von Echtzeit-Phishing-Proxys finden Sie im F5 Labs Phishing and Fraud Report.
MFA-Bombing
Bei MFA-Bombing-Angriffen bringt der Angreifer sein Opfer dazu, ihm den Authentifizierungscode zu übermitteln, indem er mehrere betrügerische Anfragen nach dem Code sendet. Dies funktioniert besonders gut bei Authentifizierungs-Apps, die auf Push-Benachrichtigungen setzen, da der Benutzer die Flut von Anfragen ganz einfach per Knopfdruck stoppen kann. Manchmal kombinieren Angreifer MFA-Bombing mit Social Engineering, um Benutzer dazu zu bewegen, die Push-Benachrichtigung zu bestätigen und so Zugriff zu gewähren.
Biometrische Täuschung
Angreifer haben sogar schon biometrische Authentifizierungsverfahren umgangen. Schließlich hinterlassen wir unsere Fingerabdrücke überall – auf nahezu jeder glatten Oberfläche, die wir berühren. Dort können sie erfasst und mit verschiedensten Mitteln reproduziert werden, von einem 3D-Drucker bis hin zu Gummibärchen-Zutaten. Sicherheitsforscher haben außerdem nachgewiesen, dass sich die Gesichts- und Stimmerkennung sowie Iris-Scans manipulieren lassen. Zwar haben Anbieter Anti-Spoofing-Techniken wie Lebenderkennung entwickelt, um Umgehungsversuche zu erkennen, doch jedes biometrische Gerät kann anfällig werden, wenn Angreifer ihre Methoden weiterentwickeln.
SIM-Swapping
SIM-Swapping bezeichnet eine Betrugsmasche, bei der Kriminelle die Möglichkeit von Mobilfunkanbietern ausnutzen, eine Telefonnummer auf ein anderes Gerät zu übertragen. Der Betrüger sammelt persönliche Informationen über das Opfer und bringt anschließend einen Supportmitarbeiter durch Social Engineering dazu, die Telefonnummer des Opfers auf die SIM-Karte des Betrügers zu übertragen. Da der Betrüger nun die Kontrolle über den Mobilfunkanschluss des Opfers hat, erhält er die für das Opfer bestimmten Textnachrichten. So kann er Einmalpasswörter (OTPs) abfangen und die Multi-Faktor-Authentifizierung (MFA) umgehen.
Stärkung der MFA-Sicherheit
Da MFA eine erhebliche Verbesserung gegenüber der reinen Passwortauthentifizierung darstellt, wird sie auch künftig Bestand haben. Daher müssen Cybersicherheitsexperten ihre Schwachstellen beheben.
Ein guter Ausgangspunkt ist die Abwehr von Bots. Angreifer nutzen die Wiederverwendung von Passwörtern aus und setzen Bots ein, um gestohlene Anmeldedaten bei Anmeldeversuchen zu testen. Diese Technik wird von OWASP als Credential Stuffing bezeichnet und ermöglicht es ihnen, den ersten Faktor der MFA zu überwinden. Angreifer setzen Bots auch bei RTPP-Angriffen ein, um Einmalpasswörter an die Zielwebsite weiterzuleiten, bevor sie ablaufen. Auch MFA-Bombing ist ein automatisierter Angriff, der auf Bots angewiesen ist. Mit einer effektiven Bot-Management-Lösung kann ein Sicherheitsteam den Angreifern ein entscheidendes Werkzeug entziehen, auf das sie angewiesen sind, um MFA-Umgehungstechniken in großem Umfang einzusetzen.
Eine weitere Möglichkeit, die Schwachstellen der MFA zu mindern, besteht darin, kontextbezogene Risiken zu berücksichtigen. Diese lassen sich anhand der IP-Adresse, des Internetanbieters, des Standorts, der Tageszeit, des Geräts, der aufgerufenen Funktionen und des Verhaltens des Benutzers ermitteln. Aus all diesen Faktoren kann ein Risikowert berechnet werden, während sich der Benutzer durch eine Anwendung bewegt. Je höher dieser Wert ist, desto strenger sind die Authentifizierungsanforderungen, was letztlich zur Sperrung eines Kontos führen kann.
Nächste Schritte
Wir werden mit Sicherheit weitere Verkündungen vom Ende der Passwörter erleben, ebenso wie weitere überzogene Versprechen, dass neue MFA-Techniken die Authentifizierung ein für alle Mal sicher machen werden. Doch entschlossene Angreifer werden weiterhin Wege finden, neue Implementierungen zu umgehen. Daher müssen Sie die Schwachstellen von MFA auch künftig analysieren und minimieren. Eine ausführlichere Analyse dazu, warum MFA nur ein erster Schritt zur Verhinderung von Kontoübernahmen ist, finden Sie im neuen Whitepaper von F5. Durch eine Partnerschaft mit F5 können Sie MFA absichern und gleichzeitig das Kundenerlebnis optimieren. Erfahren Sie mehr über F5 Distributed Cloud Services und registrieren Sie sich für ein Gespräch mit unserem Team.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...