Microsoft’tan SMS ile doğrulama kodu uyarısı

Microsoft, kullanıcıları SMS ve sesli aramalarla gönderilen tek seferlik kodlar gibi telefon tabanlı çok faktörlü kimlik doğrulama (MFA) çözümlerini terk etmeye ve bunun yerine bunları uygulama tabanlı kimlik doğrulayıcılar ve güvenlik anahtarları gibi daha yeni MFA teknolojileriyle değiştirmeye çağırıyor.

Uyarı, Microsoft’ta Kimlik Güvenliği Direktörü Alex Weinert’ten geldi. Weinert, Microsoft’un dahili istatistiklerine atıfta bulunarak, çok faktörlü kimlik doğrulamayı (MFA) etkinleştiren kullanıcıların Microsoft hesaplarına yönelik otomatik saldırıların yaklaşık %99,9’unu engellediğini söyledi.

Ancak Weinert, kullanıcıların birden çok MFA çözümü arasında seçim yapması gerekiyorsa, telefon tabanlı MFA’dan uzak durmaları gerektiğini söylüyor. Microsoft yöneticisi, MFA ile ilgili değil, bugün telefon ağlarının durumuyla ilgili bilinen birkaç güvenlik sorunundan bahsediyor. Weinert, hem SMS hem de sesli aramaların açık metin olarak iletildiğini ve yazılım tanımlı radyolar, FEMTO hücreleri veya SS7 dinleme hizmetleri gibi teknikler ve araçlar kullanılarak belirlenen saldırganlar tarafından kolayca yakalanabileceğini söylüyor.

SMS tabanlı tek seferlik kodlar, açık kaynak ve Modlishka, CredSniper veya Evilginx gibi kolayca bulunabilen kimlik avı araçları aracılığıyla kimlik avına da açıktır. Ayrıca, telefon ağı çalışanları, SIM değiştirme olarak bilinen saldırılarda kandırma amaçlı kullanabilir ve bu da saldırganların kurbanları adına MFA tek seferlik kodlar almasına olanak tanır.

Bunların yanı sıra, telefon ağları da değişen düzenlemeler, kesinti süreleri ve performans sorunlarına maruz kalıyor ve bunların tümü genel olarak MFA mekanizmasının kullanılabilirliğini etkiliyor ve bu da kullanıcıların acil durumlarda hesaplarında kimlik doğrulamasını engelliyor.

SMS VE SESLİ ARAMALAR BUGÜN EN GÜVENSİZ MFA YÖNTEMİDİR

Weinert’e göre, bunların tümü SMS ve çağrı tabanlı MFA’yı “bugün mevcut olan MFA yöntemlerinin en güvensizi” yapıyor.

Genel olarak MFA’nın benimsenmesi arttıkça, daha fazla kullanıcının hesapları için MFA’yı benimsemesiyle saldırganlar, MFA yöntemlerini kırmakla daha fazla ilgilenecekler ve SMS ve ses tabanlı MFA doğal olarak büyük ölçüde benimsenmesi nedeniyle birincil hedefleri haline geliyor.

Weinert, kullanıcıların, varsa hesapları için daha güçlü bir MFA mekanizması etkinleştirmesi gerektiğini ve Microsoft’un Authenticator MFA uygulamasını iyi bir başlangıç noktası olarak önerdiğini söylüyor. Ancak kullanıcılar en iyisini istiyorsa, Weinert’in geçen yıl yayınladığı bir blog gönderisinde en iyi MFA çözümü olarak derecelendirdiği donanım güvenlik anahtarlarını kullanmaları gerekiyor.