Uwierzytelnianie wieloskładnikowe (MFA) to o wiele bezpieczniejsza metoda uwierzytelniania niż same hasło, jednak Microsoft podkreśla, że nie każde MFA jest bezpieczne. W rzeczywistości użytkownicy mogą otrzymać groźne powiadomienia MFA spreparowane przez atakujących. Miliony takich podejrzanych powiadomień zablokowała już aplikacja Microsoft Authenticator.
Poprzez implementację dopasowywania liczb skutecznie powstrzymaliśmy przestępców przeprowadzających ataki typu "MFA fatigue attack". Choć jest to bardzo skuteczne, atakujący próbujący tych metod mogą nadal denerwować użytkowników, a monity Authenticatora — choć niezwykle pomocne, gdy użytkownik próbuje się zalogować — mogą stanowić "haczyk" dla phishingu społecznościowego, jeśli zostaną wywołane przez hakera. W odpowiedzi na to podjęliśmy dodatkowe kroki, aby zapewnić użytkownikom satysfakcję i bezpieczeństwo, wstrzymując wyskakujące powiadomienia Authenticatora, gdy żądanie jest nietypowe. Wdrażanie tych zmian zakończono pod koniec września i pomyślnie zmniejszyliśmy liczbę powiadomień, które w przeciwnym razie byłyby niewarte uwagi. Od rozpoczęcia wdrożenia zatrzymaliśmy ponad 6 milionów powiadomień bezhasłowych i powiadomień MFA. W zdecydowanej większości były to powiadomienia inicjowane przez hakerów, nieprzynoszące żadnej wartości klientom.
— Alex Weinert, VP Director of Identity Security, Microsoft
Od czasu uruchomienia tej funkcjonalności powiadomienia Authenticatora są zatrzymywane, gdy żądanie wiąże się z potencjalnym ryzykiem, np. kiedy pochodzi z nieznanego miejsca lub prezentuje inne anomalie. To podejście znacząco zmniejsza niedogodności użytkownika, eliminując nieistotne monity o uwierzytelnienie. Kiedy powiadomienie jest akceptowalne, użytkownicy zobaczą je normalnie na swoim urządzeniu mobilnym:
Kiedy jednak zdarzenie żądania loginu wygląda na ryzykowne, standardowe powiadomienie nie jest wysyłane do użytkownika. Zamiast tego otrzymuje on instrukcję: "Otwórz swoją aplikację Authenticator i wprowadź pokazywany numer, aby się zalogować". Nie ma przy tym korespondującego powiadomienia wyświetlanego na telefonie.
Dopiero po otwarciu aplikacji Authenticator żądanie jest widoczne i użytkownik może podjąć odpowiednie działanie:
Microsoft wyjaśnia, że powiadomienia nie są usuwane, a jedynie wstrzymywane, i pozostają dalej dostępne w aplikacji. Jeśli użytkownik trafi na autentyczne żądanie z niezwykłego źródła, nadal może otrzymać powiadomienie, otwierając Authenticatora. Aplikacja służy jako repozytorium dla wszystkich powiadomień związanych z uwierzytelnianiem, a użytkownicy mogą korzystać z niej, aby sprawdzać również te przegapione.
Microsoft Authenticator na Androida i OS pobierzesz bezpłatnie ze Sklepu Play i Apple App Store.
341f31d.png)