So verbessern Unternehmen ihre MFA-Sicherheit Die Schwachstellen von MFA und wie man sie behebt

Für Cyberkriminelle stellt die Multifaktor-Authentifizierung (MFA) eine erhebliche Hürde dar. Doch sie haben inzwischen Wege gefunden, um diese zu umgehen. Unternehmen müssen daher zusätzliche Maßnahmen ergreifen, um ihre Sicherheit zu gewährleisten. Dazu gehören Bot-Abwehr und die Überwachung kontextbezogener Risiken.

Keine Frage: Die alleinige Authentifizierung mit Kennwort und Passwort hat versagt. Menschen können sich lange Zeichenketten nicht merken. Also nehmen sie Abkürzungen, wählen einfache und vorhersehbare Passwörter oder verwenden das gleiche Passwort für mehrere Anwendungen. Das hat bereits zu vielen Sicherheitsvorfällen geführt.

Der zunehmende Einsatz von MFA ist eine deutliche Verbesserung. Doch auch diese Lösung besitzt ihre Schwächen. So beobachten Security-Teams derzeit einen Anstieg von Angriffen auf MFA, unter anderem mit folgenden Techniken:

Echtzeit-Phishing-Proxys

Bei einem Echtzeit-Phishing-Proxy-Angriff (RTPP) verwenden Betrüger Phishing-Nachrichten, um Nutzer auf eine vom Angreifer kontrollierte Website zu locken. Diese sieht wie eine vertrauenswürdige Website aus und verleitet den Nutzer dazu, seine Anmeldedaten einzugeben sowie die Anfrage zur Authentifizierung mit dem zweiten Faktor zu bestätigen. Dies ist unabhängig davon, ob es sich um eine SMS-Nachricht oder eine Push-Benachrichtigung handelt. Der RTPP leitet die Anmeldedaten an die Zielanwendung weiter und verschafft sich Zugang.

MFA-Bombardierung

Bei MFA-Bombing-Angriffen senden Kriminelle an ihr Opfer mehrere betrügerische Anfragen nach dem Authentifizierungscode, bis es diesen aushändigt. Dies funktioniert am besten bei Authentifizierungs-Apps, die bei Push-Benachrichtigungen ein einfaches Akzeptieren über einen Button ermöglichen. Dies verleitet den Nutzer schneller dazu, bei einer Flut von Anfragen mit „ja“ zu antworten. Angreifer kombinieren manchmal MFA Bombing mit Social Engineering, damit Nutzer eher die Push-Benachrichtigung akzeptieren und Zugang gewähren.

Biometrisches Spoofing

Angreifer können sogar die biometrische Authentifizierung umgehen. Schließlich hinterlassen Menschen ihre Fingerabdrücke überall, auf fast jeder glatten Oberfläche, die sie berühren. Von dort lassen sie sich aufnehmen und mit Hilfe von 3D-Druckern oder Gummibärchen-Gelatine vervielfältigen. Sicherheitsforscher haben auch gezeigt, dass die Gesichts- und Stimmerkennung sowie der Iris-Scan gefälscht werden können. Zwar haben die Hersteller Techniken zum Schutz vor Spoofing entwickelt, wie Aktivitätsprüfungen, um Umgehungsversuche zu erkennen. Doch jedes biometrische Gerät lässt sich austricksen, wenn Angreifer ihre Techniken weiterentwickeln.

SIM-Austausch

Beim SIM-Swapping nutzen Betrüger die Möglichkeit von Dienstanbietern aus, eine Telefonnummer auf ein anderes Gerät zu übertragen. Der Betrüger sammelt zuerst persönliche Informationen über das Opfer. Damit veranlasst er einen Mitarbeiter des Kundendienstes, die Telefonnummer des Opfers auf die SIM-Karte des Betrügers zu übertragen. Anschließend erhält der Betrüger die für den legitimen Nutzer bestimmten Textnachrichten und kann so Einmalpasswörter abfangen und die MFA umgehen.

Die MFA-Sicherheit verbessern

Da MFA trotz ihrer Schwachstellen eine erhebliche Verbesserung gegenüber der reinen Passwortauthentifizierung darstellt, wird sie sich auf Dauer durchsetzen. Daher müssen Cybersecurity-Experten die Sicherheitslücken beseitigen.

Ein wichtiger erster Schritt ist dabei die Abwehr von Bots. Da viele Nutzer ihre Passwörter wiederverwenden, probieren Angreifer mit Hilfe von Bots gestohlene Anmeldedaten bei verschiedenen Online-Anwendungen aus. Mit dieser Technik, die von OWASP als Credential Stuffing definiert wird, lässt sich der erste Faktor der MFA überwinden. Angreifer setzen Bots auch bei RTPP-Angriffen ein, um Einmalpasswörter an die Zielseite weiterzuleiten, bevor sie ablaufen. MFA Bombing ist ebenfalls ein automatisierter Angriff, der auf Bots angewiesen ist. Mit einer effektiven Bot-Management-Lösung kann ein Sicherheitsteam den Angreifern ein wichtiges Instrument zur Umgehung von MFA aus der Hand nehmen.

Eine weitere Möglichkeit, die Schwachstellen von MFA zu reduzieren, ist die Berücksichtigung des kontextbezogenen Risikos. Dieses kann durch die IP-Adresse des Nutzers, den ISP, den Standort, die Tageszeit, das Gerät, die aufgerufene Funktion und das Verhalten bestimmt werden. Für jeden Bereich lässt sich ein Risikowert berechnen, während sich ein Nutzer durch die Anwendung klickt. Je höher die Punktzahl, desto strenger die Authentifizierungsanforderungen, die bis zur Sperrung eines Kontos führen können.

Die nächsten Schritte

Totgesagte leben länger – das gilt wohl auch für Passwörter. Aber der Hype um MFA als hundertprozentige Sicherheitslösung ist ebenfalls übertrieben. Cyberkriminelle werden immer wieder Möglichkeiten finden, neue Security-Maßnahmen zu umgehen. Daher müssen Unternehmen auch die Schwachstellen von MFA weiterhin analysieren und reduzieren.

Über den Autor: Stephan Schulz ist Senior Solutions Engineer bei F5.

(ID:49777319)