Veel mõni aasta tagasi peeti sisselogimisel küsitavat SMS-koodi heaks turvasammuks ja paljud ettevõtted võtsidki selle kasutusele just sellisel kujul: parool pluss kuuekohaline kood telefonis. Täna peavad pangad, Microsoft ja küberturvalisuse asutused SMS-i mitmefaktorilise autentimise (MFA) nõrgimaks vormiks ning soovitavad sellest loobuda.
Põhjus on lihtne: ründajad on õppinud SMS-koodist mööda minema kahel viisil, mis ei nõua ei suuri ressursse ega sügavaid tehnilisi teadmisi. Samal ajal on tekkinud meetodid, mis peavad vastu ka siis, kui töötaja sisestab koodi ise võltslehele.
Selles artiklis selgitame, miks SMS enam ei piisa, kuidas teised MFA meetodid erinevad, kuidas Microsoft Entra ID võimaldab nõuda tugevamaid meetodeid ainult seal, kus seda vaja on, ja kuidas üle minna ilma kaootilise esmaspäevahommikuta.
Kaks viisi, kuidas SMS-koodist mööda minnakse
SIM-kaardi vahetus
Ründaja pöördub mobiilioperaatori poole, esinedes teie töötajana. Tal on nimi, isikukood (sageli mujalt veebilehtedelt lekkinud) ja usutav lugu kaotatud telefonist. Operaator väljastab sama numbriga uue SIM-kaardi. Sellest hetkest läheb iga SMS-kood ründajale, töötaja telefon aga lihtsalt kaotab ühenduse, mida märgatakse sageli alles mitme tunni pärast. Operaatorid on seda protseduuri karmistanud, kuid risk püsib, eriti kui töötaja kasutab isiklikku numbrit, mida ettevõte ei kontrolli.
Õngitsuse vahendusserver
Veelgi levinum meetod. Töötaja saab e-kirja lingiga lehele, mis näeb välja täpselt nagu Microsoft 365 sisselogimine. See ei ole koopia, vaid vahendaja (proxy): kõik, mida töötaja sisestab, edastab leht reaalajas päris Microsofti serverisse ja toob vastused tagasi. Töötaja sisestab parooli ja see edastatakse. Ta saab SMS-koodi ja sisestab selle ning ka see edastatakse. Microsoft väljastab sessioonitõendi ja ründaja võtab selle endale. Töötaja näeb, et sisselogimine õnnestus, ega kahtlusta midagi.
On oluline mõista, et teine meetod läheb mööda mitte ainult SMS-ist, vaid ka rakenduse koodidest ja lihtsast push-kinnitusest. Iga meetod, mida saab vahendajale edasi anda, on haavatav.
Meetodid nõrgimast tugevaimani
- SMS-kood. Haavatav mõlema meetodi vastu. Ainus eelis on see, et rakendust pole vaja.
- Rakenduse kood (TOTP, näiteks Microsoft Authenticator). Kaitseb SIM-kaardi vahetuse eest, kuid mitte õngitsuse vahendusserveri eest, sest töötaja saab koodi sisestada võltslehele.
- Push number matching’uga. Rakendus näitab ekraanil kahte numbrit sellest kohast, kuhu sisse logite, ja palub need telefonis sisestada. See kaitseb kogemata kinnitamise eest, kui ründaja saadab kümneid päringuid lootuses, et töötaja vajutab ühele, kuid vahendusserveri stsenaariumis edastatakse number samuti.
- FIDO2 ja passkey’d. Füüsiline USB- või NFC-võti või telefonis hoitav passkey. Krüptograafiline vastus on seotud lehe tegeliku aadressiga, nii et võltsdomeeni puhul võti lihtsalt ei vasta. See on ainus õngitsuskindel meetod ja Microsoft nimetab seda just nii (phishing-resistant).
Praktikas on ettevõtte realistlik eesmärk Authenticator number matching’uga kõigile ning FIDO2 või passkey’d neile, kelle kontod on kõige väärtuslikumad: administraatorid, juhid ja rahandustöötajad.
Sageli küsitakse, kas töötajad nõustuvad Authenticatori isiklikule telefonile paigaldama. Meie kogemuse järgi nõustuvad peaaegu kõik, kui selgitada, et rakendus ei näe telefoni muid andmeid ja ettevõte ei halda selle kaudu telefoni. Neile, kes keelduvad, jääb füüsiline FIDO2 võti: sellel pole akut ega uuendatavat tarkvara ning see maksab vähem kui üks seisakupäev.
Entra ID tingimuslik juurdepääs: rangus seal, kus seda vaja on
FIDO2 võtme nõudmine iga kord, kui keegi Teamsi vestluse avab, on ebapraktiline ja töötajad hakkavad peagi selle ümber teid otsima. Microsoft Entra ID tingimuslik juurdepääs võimaldab kehtestada reeglid, millal iga meetodit nõutakse.
Tüüpilised reeglid, mille klientidele juurutame:
- ettevõtte hallatud, poliitikatele vastavast arvutist: MFA kord paari päeva jooksul;
- tundmatust seadmest või teisest riigist: MFA iga kord ja ainult õngitsuskindel meetod;
- administraatorirollide puhul: alati FIDO2 või passkey;
- vanade protokollide (POP, IMAP, SMTP parooliga) blokeerimine, sest need ei toeta MFA-d üldse;
- riskantse sisselogimise (näiteks kahest riigist ühe tunni jooksul) blokeerimine koos kohustusliku parooli vahetusega.
Reeglid seatakse tsentraalselt ja need kehtivad Microsoft 365-le, Azure’ile ning igale Entra ID kaudu ühendatud rakendusele. Kirjeldame seda teenuse Microsoft Entra ID lehel ning posti ja kontode laiemat kaitset kirjelduses Microsoft 365 turvalisus.
Kuidas juurutada ilma kaoseta
MFA juurutamise suurim risk ei ole tehnoloogia, vaid esmaspäevahommik, mil 80 töötajat ei saa sisse logida ja helistavad kõik korraga. Meie praktikas kulgeb üleminek nii:
- Inventuur. Kes kasutab SMS-i, kes Authenticatorit, kes mitte midagi. Entra ID aruanded näitavad seda mõne minutiga.
- Pilootrühm. Esimesena lähevad üle IT-meeskond ja 5–10 töötajat eri osakondadest. Siin selgub, millised rakendused ei ühildu.
- Registreerimiskampaania. Entra ID saab sisselogimisel näidata töötajale meeldetuletust Authenticatori seadistamiseks, võimalusega see paariks päevaks edasi lükata. Enamikule piisab nädalast.
- Ühelehekülgne juhend ja kokkulepitud ajad, mil kasutajatoes on lisapersonal valves. Iga töötaja peab teadma, kellele helistada, kui ta telefoni kaotab.
- Üleminek osakond osakonna kaupa, mitte kogu ettevõttes korraga. Rahandus läheb esimesena, sest selle risk on suurim.
- Temporary Access Pass uutele töötajatele ja neile, kes telefoni kaotasid, et te ei peaks SMS-i „ajutiselt“ tagasi tooma.
Viimane samm jäetakse sageli vahele ja „ajutine“ SMS jääb aastaks.
Mida teha vanade süsteemidega
Kõik süsteemid ei toeta MFA-d: vana raamatupidamisrakendus, tänapäevaste protokollideta VPN-seade, kohaliku kontoga tootmissüsteem. Võimalused:
- Tõsta juurdepääs Entra ID taha. Paljusid rakendusi saab ühendada SAML-i või OIDC kaudu isegi siis, kui neil endil MFA-d pole, ja siis teeb MFA enne kasutaja sisselaskmist Entra ID.
- Panna süsteemi ette MFA-ga VPN. Kui süsteem ise on kättesaadav ainult sisevõrgust ja sisevõrku pääseb ainult teise faktoriga VPN-i kaudu, on tulemus praktiliselt sama. Täpselt nii töötab meie ERP-majutus: raamatupidamissüsteemi poole pöördutakse 2FA-ga VPN-i kaudu, mis kuulub teenuse hinna sisse.
- Isoleerida. Kui süsteem ei sobi kummagi variandiga, piirake juurdepääs kindlate seadmetega ja logige sisselogimised, kuni süsteem asendatakse.
- Lisada riskiregistrisse. NIS2 ja DORA kontekstis on oluline mitte ainult juurutada, vaid ka dokumenteerida, miks üks süsteem on ajutiselt erand ja millal see kaotatakse.
Milline neist väljapääsudest sobib, otsustame selle järgi, kui paljud inimesed süsteemi kasutavad ja milliseid andmeid see sisaldab. Raamatupidamissüsteemi puhul, kus on iga töötaja palk, isoleerimisest ei piisa; sisemise tööaja arvestuse tabeli puhul piisab sellest, kuni see asendatakse.
Kust alustada
- Vaadake Entra ID aruandest, kui paljud kontod kasutavad SMS-i ainsa teise faktorina.
- Lülitage vanad protokollid välja. See on üks muudatus, mis sulgeb suure osa rünnetest.
- Tellige FIDO2 võtmed administraatoritele ja rahandustöötajatele; see on väike investeering võrreldes ühe õnnestunud rünnakuga.
- Looge tingimusliku juurdepääsu reeglid pilootrühmale ja jälgige nädal aega, mis katki läheb.
- Kui teil pole kedagi, kes seda haldaks, teeme üleminekut ja pidevat hooldust osana IT-hooldusest, sealhulgas kasutajatuge juhuks, kui töötaja on telefoni kaotanud.
