根據Cisco DUO的一篇文章” Attack Vectors Decoded: Securing Organizations Against Identity-Based Threats” 說明攻擊者如何繞過MFA, 同時解釋為為甚麼Cisco DUO比其它身分驗證方法安全
以下是攻擊者如何利用身分驗證漏洞入侵組織的一些方法：
- MFA攔截：攻擊者會竊取透過簡訊（簡訊服務）或電子郵件傳送的一次性代碼，然後使用使用者的憑證和 MFA 代碼登入。
- 裝置註冊：攻擊者會使用竊取的憑證向 MFA 帳戶註冊新的詐騙裝置，以取得持續的存取權。
- MFA 請求產生：擁有竊取憑證的攻擊者會向信任的使用者發送重複的 MFA 請求，希望他們不小心授予存取權，或者讓真正的使用者屈服並接受請求，以停止 MFA 疲勞所造成的騷擾。
- 中間人攻擊 AiTM：攻擊者會竊取已驗證使用者的工作階段 Cookie，以冒充信任的使用者取得無限存取權，完全繞過 MFA。
許多這類策略也可能包含某種形式的社交工程，惡意行為者會在其中冒充員工或 IT 團隊，誘騙他人授予存取權。社交工程可能會發生在一般的網路釣魚攻擊中，或是在針對特定個人或公司使用社群媒體個人資訊發動的魚叉式網路釣魚攻擊中。最近，語音魚叉式網路釣魚攻擊有所增加，攻擊者可能會冒充員工致電 IT 服務台，以繞過公司的安全協定。
攻擊者可能會使用社交工程來誘騙使用者分享一次性密碼 (OTP) 以繞過 MFA 需求。如果封鎖 OTP 作為驗證選項，攻擊者可能會發送重複的 MFA 請求，這些請求會因 MFA 疲勞而被接受。一旦取得存取權，攻擊者就可以註冊其裝置、提升其權限並竊取敏感資料或將其勒索。
美國網路安全和基礎設施安全局 (CISA) 發現，90% 的攻擊都是從網路釣魚開始的。 隨著 AI 的興起，網路釣魚變得更加逼真可信。 員工需要非常警惕，才不會上當受騙，但期望他們成為網路專家是不公平的。
Duo 安全性討論
Duo 解決方案： 來源說明了 Duo 如何透過以下方式增強安全性：
- 現代化環境： 升級到 SAML 或 OIDC 等現代驗證協定，這些協定比舊版協定（如 LDAP 和 RADIUS）更安全。
- 提升驗證： 使用「已驗證推播請求」，要求使用者在存取裝置上輸入唯一代碼，以防止 MFA 攔截。
- 基於風險的驗證： 根據使用者裝置、位置和網路內容等因素調整驗證需求。
- 無密碼驗證： 使用 WebAuthn 標準和生物辨識或裝置 PIN 等因素消除密碼。
- 結合裝置和驗證安全性： 註冊所有裝置並建立裝置信任原則，以在攻擊者未經授權的裝置上阻止攻擊。
- 使用反應工具： 使用 Duo Trust Monitor 等工具分析驗證資料、偵測異常情況並採取行動以減輕威脅。
- Duo 的優勢： 來源強調，Duo 提供多層防禦、創新功能、與各種驗證器的相容性，以及基於風險的驗證和無密碼選項。 來源還提到，Duo 致力於在確保使用者生產力的同時增強安全性。
