多要素認証は、ハッカーがアカウントを乗っ取ることを防ぐための強力な防御策です。 しかし、最近の調査結果によると、Lapsus $とSolarWindsの2つのグループが、MFAの動作方法にへこみを作ったようです。 この投稿では、これが何であるかについて説明します。最も重要なのは、すべての種類の多要素認証が同じように作成されるわけではないということです。 多要素認証(MFA)について アカウントで多要素認証を有効にしている場合は、アカウントへのログイン時に指定するユーザー名とパスワードに加えて、追加の要素も使用する必要があります。 これは、スマートフォンまたは電子メールで送信されるワンタイムパスワード、指紋、または物理的なセキュリティキーである可能性があります。 MFAフォーム–概要 セキュリティに関する限り、すべてのMFAが同じように作成されるわけではありません。 最近では、Lapsus$データ恐喝ギャングやCozyBearなどのスクリプトキディ– SolarWindsハッキングの背後にいる脅威アクターは、MFA保護の一部を破ることに成功しています。 彼らは、MFAプロンプト爆撃として知られている手法を使用しました。これについては、このブログの後半で説明します。 MFAプロンプト爆撃とは何かを説明する前に、まず、多要素認証の基礎となる2つのフレームワークについて詳しく見ていきましょう。 古い形式のMFA: これらは、電話またはGoogle認証システムなどのモバイルアプリを介して送信されるSMSまたはプッシュ通知を介して送信されるワンタイムパスワード(OTP)です。 この場合、ユーザー名とパスワードを入力する以外に、ログインプロセスを完了するために送信されたワンタイムパスワードも入力する必要があります。 FIDO2: これらの形式のMFAは比較的新しいものですが、古い形式よりも強力です。 これらは、ユーザーの使いやすさとセキュリティの両方のバランスをとるために、企業のコンソーシアムによって開発されました。 では、FIDO2は古いフォームとどう違うのですか? ここでは、デバイスに組み込まれているカメラ、フィンガーリーダー、または専用のセキュリティキーを使用するオプションがあります。 このようなメソッドは、ユーザーが目的のアカウントを使用することを許可されていることを検証します。 MFAプロンプト爆撃とは何ですか? MFAプロンプト爆撃の概念は、最初に、古い形式のMFAがいかに弱いかを示しています。 多くのMFAプロバイダーが、認証を確認するための電話の受信やプッシュ通知の送信を2番目の要素として許可していることを知っているため、過去に脅威アクターはユーザーの正当なデバイスに複数の多要素認証要求を発行しました。 […]
The post 多要素認証(MFA)の防御にへこみをつけるものは何ですか? appeared first on Gamingsym Japan.