Специалист от Microsoft съветва да не използвате SMS съобщения за 2FA защита

Microsoft призовава телефонно-базираната мултифакторна авторизация, като изпращането на SMS кодове и гласови обаждания, предава ZDNet. Вместо това, специалист от компанията препоръчва използването на модерни решения в подобни случаи, като вписването посредством приложения за автентикация и тайни ключове.

Призивът идва от Алекс Вайнерт, директор на Identity Security към Microsoft. Медията припомня, че той се явява защитник на мултифакторната защита (multi-factor authentication, MFA) за вписване в онлайн ресурсите от повече от година. През 2019, той публикува в един от блоговете на Microsoft статистика на компанията, според която използването на MFA блокира 99.9% от автоматизираните атаки срещу акаунти на Microsoft. Сега той продължава своя призив с настояването, че ако потребителите трябва да избират между няколко MFA решения, то те трябва да странят от телефонно-базираната автентикация.

Вайнерт цитира в подкрепа на своя призив няколко известни проблема не със самия метод на вторична защита, а със състоянието на телефонните мрежи днес. Той споделя, че, както SMS съобщенията, така и гласовите обаждания се предават във вид на чист текст и могат лесно да бъдат пресечени от недоброжелатели посредством добре известни техники. Освен това, служители в телефонните компании могат да бъдат подлъгани да пренасочат телефонни номера към SIM картата на атакуващата страна, което ще позволи получаването на еднократните кодове (или SIM-swapping).

Не е за подценяване факта, че тези мрежи често променят своите регулации, търпят забавяния и изпитват други проблеми с представянето, което забавя достъпността на механизмите на защитеното вписване, което на свой ред може да попречи на потребителите да се впишат в акаунтите си в случай на нужда. Според Вайнерт, слабостите свързани с тези вече остарели методи за MFA само ще се разширяват и увеличават в бъдеще.

И нещо в заключение. Призивите на Вайнерт за изоставяне на телефонно-базираната MFA не трябва да се подминават, но и не трябва да се надценяват и да се подминава основното му послание – използвайте двойна защита при вписване. Това трябва да е едно от първите неща, които проверявате при регистрация в даден сайт – дали той предлага използването на двойна защита при вписване. Не на последно място, това говори нещо и за самия онлайн ресурс и как той подхожда към защитата на своите потребители. Тук в „Калдата“ често ви информираме за пробиви, осъществени от хакери към онлайн ресурси и бизнеси от всякакъв ранг – нито малките, нито най-големите са пощадени. Особено, но и най-вече в условията на принудителна работа от вкъщи днес, компаниите са изложени на огромни рискове, свързани с това, че към техните мрежи се свързват често необезопасени крайни точки от различни региони и страни. Мислете като хакер и не си задавайте въпроса „дали“, а „кога“ ще станете жертва на атака (независимо, че може никога да не ви се случи). Винаги подсигурявайте най-важните си регистрации с MFA. А вече какъв метод ще изберете за това, зависи изцяло от вас.