Adgangskoden alene holder ikke
Adgangskoder bliver lækket, genbrugt og franarret. Milliarder af loginoplysninger fra tidligere datalæk handles frit, og phishing er bygget til at høste flere. Bruges den samme kode flere steder, åbner ét læk mange døre.
MFA bryder kæden. Selv med den rigtige kode mangler angriberen den anden faktor.
Derfor optræder MFA i stort set alle leverandørspørgeskemaer, cyberforsikringer og NIS2-relaterede kontrolkataloger. Billigt, veldokumenteret, og det virker.
Fra svageste til stærkeste faktor
Ikke alle faktorer er lige stærke. Her er de fra svagest til stærkest.
- SMS-koder. Bedre end ingenting, men sårbare over for SIM-swapping og aflytning. Brug dem kun, hvor der ikke er andet.
- Autenticator-apps. Tidsbaserede engangskoder fra en app. Et solidt mellemniveau, men koden kan stadig phishes på en falsk loginside.
- Push-godkendelse. Bekvemt, men sårbart over for MFA-træthed. Nummermatching, hvor man indtaster et tal fra loginskærmen, reducerer risikoen.
- FIDO2, passkeys og hardwarenøgler. Kryptografisk bundet til det rigtige domæne, så en falsk loginside ikke kan høste noget. Det er den, I vil have på administratorer og økonomifunktion.
Hvor skal MFA slås til først?
Prioritér efter, hvad der sker, hvis kontoen bliver overtaget.
- Alt internetvendt. Mail, VPN og fjernadgang. Det er de hyppigste indgange til både ransomware og CEO-fraud.
- Administratorkonti. Globale admins, domæneadgang, hostingpaneler og DNS. Her bør faktoren være phishing-resistent.
- Økonomi- og lønsystemer samt netbank.
- Resten af organisationen, gerne med passkeys, der samtidig er nemmere i hverdagen end koder.
Husk bagdørene. Gamle protokoller som IMAP og POP med basic auth kan omgå MFA fuldstændigt og skal slås fra. Vi har set flere miljøer, hvor MFA var rullet ud overalt, og angriberen bare loggede ind gennem den kanal, ingen havde tænkt på.
Begrænsningerne
MFA er ikke usårligt. Angribere bruger realtids-phishingproxyer, der videresender både kode og engangskode. De stjæler session-cookies efter et gennemført login. Og de bombarderer brugere med push-anmodninger, til nogen trykker godkend.
Konsekvensen er ikke at droppe MFA, men at vælge phishing-resistente faktorer til de vigtigste konti, overvåge unormale logins, og kombinere MFA med adgangsstyring og detektion. Unormale logins er præcis det, systemovervågning er sat i verden for at fange.