Η Microsoft καλεί τους χρήστες να εγκαταλείψουν τις λύσεις ελέγχου ταυτότητας πολλαπλών παραγόντων (MFA) που πραγματοποιούνται μέσω τηλεφώνου, όπως τους κωδικούς μιας χρήσης που αποστέλλονται μέσω SMS και φωνητικών κλήσεων και να τις αντικαταστήσουν με νεότερες τεχνολογίες MFA, όπως authenticators που βασίζονται σε εφαρμογές και κλειδιά ασφαλείας.
Η προειδοποίηση προέρχεται από τον Alex Weinert, διευθυντή του Identity Security της Microsoft. Τον τελευταίο χρόνο, ο Weinert εκ μέρους της Microsoft, προέτρεπε τους χρήστες να ενεργοποιήσουν το MFA στους online λογαριασμούς τους.
Αναφερόμενος στα εσωτερικά στατιστικά στοιχεία της Microsoft, ο Weinert είπε σε μια δημοσίευση σε ένα blog πέρυσι ότι οι χρήστες που ενεργοποίησαν τον έλεγχο ταυτότητας πολλών παραγόντων (MFA) κατέληξαν στο να αποκλείουν περίπου το 99,9% των αυτοματοποιημένων επιθέσεων εναντίον των λογαριασμών τους στην Microsoft.
Αλλά στην ανάρτηση που κυκλοφόρησε σήμερα, ο Weinert λέει ότι εάν οι χρήστες πρέπει να επιλέξουν, θα πρέπει να μείνουν μακριά από τον έλεγχο ταυτοποίησης πολλαπλών παραγόντων (MFA) που γίνεται μέσω τηλεφώνου.
Ghost: Εξάρθρωση της πλατφόρμας κρυπτογραφημένων επικοινωνιών
Ο ειδικός της Microsoft αναφέρει ότι τα τηλεφωνικά δίκτυα έχουν πολλά ζητήματα ασφαλείας.
Ο Weinert λέει ότι τόσο τα SMS όσο και οι φωνητικές κλήσεις μεταδίδονται σε cleartext και μπορούν εύκολα να υποκλαπούν από καθορισμένους εισβολείς, χρησιμοποιώντας τεχνικές και εργαλεία όπως τα SDR, τα cells FEMTO ή οι υπηρεσίες παρεμβολής SS7.
Οι κωδικοί μιας χρήσης που βασίζονται σε SMS μπορούν επίσης να υποκλαπούν μέσω ανοιχτού κώδικα και εύκολα διαθέσιμων εργαλείων phishing, όπως το Modlishka, το CredSniper ή το Evilginx.
Επιπλέον, μια πολύ γνωστή μέθοδος είναι το SIM swapping το οποίο επιτρέπει στους εισβολείς να λαμβάνουν τους κωδικούς MFA για λογαριασμό των θυμάτων τους.
Επιπλέον, τα τηλεφωνικά δίκτυα εκτίθενται επίσης σε μεταβαλλόμενους κανονισμούς, χρόνους διακοπής λειτουργίας και προβλήματα απόδοσης, τα οποία επηρεάζουν συνολικά τη διαθεσιμότητα του μηχανισμού MFA.
Τα μηνύματα και οι φωνητικές κλήσεις δεν είναι ασφαλή
Όλα αυτά καθιστούν το MFA που γίνεται μέσω SMS ή κλήσεων ως το λιγότερο ασφαλές από τις διαθέσιμες μεθόδους MFA που κυκλοφορούν σήμερα”, σύμφωνα με τον Weinert.
Ο Weinert λέει ότι οι χρήστες πρέπει να ενεργοποιήσουν έναν ισχυρότερο μηχανισμό MFA για τους λογαριασμούς τους, εάν είναι διαθέσιμος, συνιστώντας την εφαρμογή Authenticator MFA της Microsoft.
Αλλά αν οι χρήστες θέλουν την καλύτερη δυνατή επιλογή, θα πρέπει να επιλέξουν τα κλειδιά ασφαλείας hardware, τα οποία ο Weinert κατέταξε ως την καλύτερη λύση MFA σε μια ανάρτηση σε ένα blog που δημοσίευσε πέρυσι.
Υστερόγραφο: Αυτό σημαίνει ότι οι χρήστες πρέπει να απενεργοποιήσουν την ταυτοποίηση μέσω SMS ή φωνητικών κλήσεων που έχουν στους λογαριασμούς τους. Η ταυτοποίηση μέσω SMS είναι καλύτερη από την καθόλου ταυτοποίηση.
 που πραγματοποιούνται μέσω...){kind=link}