Vēl pirms dažiem gadiem SMS kods pieteikšanās brīdī tika uzskatīts par labu drošības soli, un daudzi uzņēmumi to ieviesa tieši tādā veidā: parole un sešciparu kods tālrunī. Šodien bankas, Microsoft un kiberdrošības iestādes SMS uzskata par vājāko daudzfaktoru autentifikācijas (MFA) veidu un iesaka no tā atteikties.
Iemesls ir vienkāršs: uzbrucēji ir iemācījušies apiet SMS kodu divos veidos, kuriem nav vajadzīgi lieli resursi vai dziļas tehniskas zināšanas. Tajā pašā laikā ir parādījušās metodes, kas iztur arī tad, ja darbinieks pats ieraksta kodu viltotā lapā.
Šajā rakstā skaidrojam, kāpēc SMS vairs nepietiek, kā atšķiras citas MFA metodes, kā Microsoft Entra ID ļauj prasīt stiprākas metodes tikai tur, kur tas vajadzīgs, un kā pāriet bez haotiskas pirmdienas rīta.
Divi veidi, kā tiek apiets SMS kods
SIM kartes apmaiņa
Uzbrucējs sazinās ar mobilo sakaru operatoru, uzdodoties par jūsu darbinieku. Viņam ir vārds, personas kods (bieži nopludināts no citām vietnēm) un pārliecinošs stāsts par pazaudētu tālruni. Operators izsniedz jaunu SIM karti ar to pašu numuru. No šī brīža visi SMS kodi nonāk pie uzbrucēja, bet darbinieka tālrunim vienkārši pazūd savienojums, ko bieži pamana tikai pēc vairākām stundām. Operatori šo procedūru ir pastiprinājuši, taču risks saglabājas, īpaši tad, ja darbinieks izmanto personīgo numuru, ko uzņēmums nekontrolē.
Pikšķerēšanas starpniekserveris
Vēl izplatītāks paņēmiens. Darbinieks saņem e-pastu ar saiti uz lapu, kas izskatās tieši kā Microsoft 365 pieteikšanās. Tā nav kopija, bet starpnieks (starpniekserveris): visu, ko darbinieks ievada, lapa reāllaikā nodod īstajam Microsoft serverim un atdod atbildes. Darbinieks ievada paroli, un tā tiek pārsūtīta tālāk. Viņš saņem SMS kodu un ievada to, un arī tas tiek pārsūtīts. Microsoft izsniedz sesijas marķieri, un uzbrucējs to paņem. Darbinieks redz, ka pieteikšanās izdevās, un nenojauš neko.
Svarīgi saprast, ka otrais paņēmiens apiet ne tikai SMS, bet arī lietotnes kodus un vienkāršu push apstiprinājumu. Jebkura metode, ko var pārsūtīt starpniekam, ir ievainojama.
Metodes no vājākās līdz stiprākajai
- SMS kods. Ievainojams abos veidos. Tā vienīgā priekšrocība ir tāda, ka nav vajadzīga lietotne.
- Lietotnes kods (TOTP, piemēram, Microsoft Authenticator). Pasargā no SIM kartes apmaiņas, bet ne no pikšķerēšanas starpniekservera, jo darbinieks var ievadīt kodu viltotā lapā.
- Push apstiprinājums ar skaitļu sasaisti. Lietotne parāda divus ciparus ekrānā, kurā jūs piesakāties, un lūdz tos ievadīt tālrunī. Tas pasargā no nejaušas apstiprināšanas, kad uzbrucējs nosūta desmitiem pieprasījumu, cerot, ka darbinieks kādu apstiprinās, taču starpniekservera scenārijā skaitlis tāpat tiek pārsūtīts.
- FIDO2 un piekļuves atslēgas (passkeys). Fiziska USB vai NFC atslēga vai tālrunī glabāta piekļuves atslēga. Kriptogrāfiskā atbilde ir piesaistīta lapas īstajai adresei, tāpēc viltotam domēnam atslēga vienkārši neatbildēs. Tā ir vienīgā metode, kas iztur pikšķerēšanas starpniekserveri, un Microsoft to dēvē par pret pikšķerēšanu izturīgu.
Praksē uzņēmuma reālistiskais mērķis ir Authenticator ar skaitļu sasaisti visiem un FIDO2 vai piekļuves atslēgas tiem, kuru konti ir vērtīgākie: administratoriem, vadībai un finanšu darbiniekiem.
Bieži tiek jautāts, vai darbinieki piekritīs uzstādīt Authenticator personīgajā tālrunī. Mūsu pieredzē piekrīt gandrīz visi, ja paskaidro, ka lietotne neredz citus tālruņa datus un ka uzņēmums ar tās palīdzību tālruni nepārvalda. Tiem, kas atsakās, paliek fiziska FIDO2 atslēga: tai nav baterijas un nav jāatjaunina programmatūra, un tā maksā mazāk nekā viena dīkstāves diena.
Entra ID nosacījumu piekļuve: stingrība tur, kur tā vajadzīga
Prasīt FIDO2 atslēgu katru reizi, kad kāds atver Teams tērzēšanu, nav praktiski, un darbinieki drīz sāks meklēt veidus, kā to apiet. Microsoft Entra ID nosacījumu piekļuve ļauj noteikt, kad katra metode ir obligāta.
Tipiski noteikumi, ko ieviešam klientiem:
- no uzņēmuma pārvaldīta, politikām atbilstoša datora: MFA reizi dažās dienās;
- no nezināmas ierīces vai citas valsts: MFA katru reizi un tikai pret pikšķerēšanu izturīga metode;
- administratoru lomām: vienmēr FIDO2 vai piekļuves atslēga;
- novecojušu protokolu (POP, IMAP, SMTP ar paroli) bloķēšana, jo tie MFA neatbalsta vispār;
- riskantas pieteikšanās bloķēšana (piemēram, no divām valstīm vienas stundas laikā) ar obligātu paroles maiņu.
Noteikumi tiek iestatīti centralizēti un attiecas uz Microsoft 365, Azure un jebkuru lietojumprogrammu, kas pieslēgta caur Entra ID. To aprakstām Microsoft Entra ID pakalpojuma lapā, bet plašāku e-pasta un kontu aizsardzību – aprakstā Microsoft 365 drošība.
Kā ieviest bez haosa
Lielākais risks MFA ieviešanā nav tehnoloģija, bet pirmdienas rīts, kad 80 darbinieki nevar pieteikties un visi zvana vienlaikus. Mūsu praksē pāreja notiek šādi:
- Inventarizācija. Kurš lieto SMS, kurš Authenticator, kurš neko. Entra ID atskaites to parāda dažu minūšu laikā.
- Pilots. Pirmie pāriet IT komanda un 5 līdz 10 darbinieki no dažādām nodaļām. Tieši šeit kļūst skaidrs, kuras lietojumprogrammas nav saderīgas.
- Reģistrācijas kampaņa. Entra ID var parādīt darbiniekam atgādinājumu pieteikšanās brīdī iestatīt Authenticator, ar iespēju atlikt uz dažām dienām. Lielākajai daļai pietiek ar nedēļu.
- Vienas lappuses instrukcija un saskaņoti laiki, kad palīdzības dienestā ir papildu dežuranti. Katram darbiniekam jāzina, kam zvanīt, ja pazaudēts tālrunis.
- Pāreja nodaļu pēc nodaļas, nevis visam uzņēmumam uzreiz. Pirmā ir finanšu nodaļa, jo tās risks ir lielākais.
- Pagaidu piekļuves caurlaide (Temporary Access Pass) jaunajiem darbiniekiem un tiem, kas pazaudējuši tālruni, lai nebūtu jāatgriež SMS „uz laiku”.
Pēdējais solis bieži tiek izlaists, un „pagaidu” SMS paliek uz gadu.
Ko darīt ar novecojušām sistēmām
Ne visas sistēmas atbalsta MFA: sena grāmatvedības lietojumprogramma, VPN iekārta bez modernajiem protokoliem, ražošanas sistēma ar lokālu kontu. Iespējas:
- Pārvietot piekļuvi aiz Entra ID. Daudzas lietojumprogrammas var pieslēgt caur SAML vai OIDC, pat ja tām nav savas MFA, un tad MFA veic Entra ID, pirms ielaiž lietotāju.
- Pirms sistēmas ielikt VPN ar MFA. Ja pati sistēma ir sasniedzama tikai no iekšējā tīkla un tīklā var iekļūt tikai caur VPN ar otro faktoru, rezultāts ir praktiski tāds pats. Tieši tā darbojas mūsu ERP mitināšana: grāmatvedības sistēmai piekļūst caur VPN ar 2FA, kas ir iekļauts pakalpojumā.
- Izolēt. Ja sistēma neder nevienai no iespējām, ierobežojiet piekļuvi konkrētām ierīcēm un reģistrējiet pieteikšanās, līdz sistēma tiek aizstāta.
- Pievienot risku reģistram. NIS2 un DORA kontekstā ir svarīgi ne tikai ieviest, bet arī dokumentēt, kāpēc viena sistēma uz laiku ir izņēmums un kad tas tiks novērsts.
Kuru no šiem risinājumiem izvēlēties, lemjam pēc tā, cik cilvēku sistēmu izmanto un kādi dati tajā glabājas. Grāmatvedības sistēmai ar katra darbinieka algu izolācijas nepietiek; iekšējai darba laika uzskaites izklājlapai ar to pietiek, līdz tā tiek aizstāta.
No kā sākt
- Entra ID atskaitē pārbaudiet, cik kontu joprojām izmanto SMS kā vienīgo otro faktoru.
- Izslēdziet novecojušos protokolus. Tā ir viena izmaiņa, kas aizver lielu daļu uzbrukumu.
- Pasūtiet FIDO2 atslēgas administratoriem un finanšu darbiniekiem; tie ir nelieli izdevumi, salīdzinot ar vienu veiksmīgu uzbrukumu.
- Izveidojiet nosacījumu piekļuves noteikumus pilota grupai un nedēļu vērojiet, kas salūzt.
- Ja jums nav, kas to administrē, pāreju un pastāvīgo uzturēšanu veicam kā daļu no IT apkopes, tostarp palīdzības dienestu gadījumā, ja darbinieks ir pazaudējis tālruni.
