Σε αυτόν τον οδηγό
Το MFA μειώνει δραστικά τον κίνδυνο κλοπής λογαριασμού, αλλά δεν είναι όλα τα MFA methods εξίσου ανθεκτικά στο phishing. Passkeys/FIDO2 και άλλες phishing-resistant μέθοδοι, μαζί με Conditional Access, managed devices και όπου υποστηρίζεται token protection, δημιουργούν ισχυρότερο μοντέλο πρόσβασης από ένα απλό push notification ή OTP.
Γιατί το κλασικό MFA μπορεί να παρακαμφθεί
Σε adversary-in-the-middle επιθέσεις, ο χρήστης μπορεί να οδηγηθεί σε ψεύτικη σελίδα sign-in που προωθεί σε πραγματικό authentication flow και επιχειρεί να υποκλέψει credentials ή session tokens. Έτσι, το πρόβλημα δεν είναι ότι «το MFA δεν λειτουργεί», αλλά ότι ο επιτιθέμενος προσπαθεί να κλέψει το αποτέλεσμα μιας επιτυχημένης αυθεντικοποίησης.
Για αυτό οι σύγχρονες οδηγίες ασφάλειας δίνουν έμφαση σε phishing-resistant authentication και defense in depth.
Τι σημαίνει phishing-resistant MFA
Μέθοδοι όπως FIDO2/passkeys και Windows Hello for Business βασίζονται σε κρυπτογραφικά credentials δεμένα με τον πραγματικό ιστότοπο ή/και τη συσκευή. Δεν ζητούν από τον χρήστη να πληκτρολογήσει έναν κωδικό μιας χρήσης σε μια σελίδα που μπορεί να είναι ψεύτικη.
Η Microsoft προτείνει phishing-resistant authentication ιδιαίτερα για privileged/admin accounts και υποστηρίζει σταδιακή εφαρμογή με Authentication Strengths και Conditional Access.
Το Conditional Access αποφασίζει πότε επιτρέπεται η πρόσβαση
Η ταυτότητα είναι μόνο ένα σήμα. Μπορεί να συνδυαστεί με κατάσταση συσκευής, location/risk signals, εφαρμογή και ρόλο χρήστη. Έτσι μια επιχείρηση μπορεί, για παράδειγμα, να απαιτεί ισχυρότερη μέθοδο για administrators ή πρόσβαση σε ευαίσθητα resources.
Η σωστή υλοποίηση ξεκινά σε report-only ή pilot mode και περιλαμβάνει emergency/break-glass λογαριασμούς ώστε ένα λάθος policy να μη μπλοκάρει όλους τους διαχειριστές.
Και μετά το sign-in; Προστασία session tokens
Ακόμη και με ισχυρό authentication, οι attackers στρέφονται στην κλοπή tokens. Η Microsoft διαθέτει Token Protection για υποστηριζόμενα σενάρια, ώστε συγκεκριμένα tokens να είναι δεμένα με τη συσκευή από την οποία εκδόθηκαν. Δεν είναι πανάκεια και πρέπει να εφαρμόζεται μέσα σε συνολική πολιτική endpoint και identity security.
Ένα πρακτικό πλάνο αναβάθμισης
- Ξεκινήστε από administrators και άλλους υψηλού κινδύνου λογαριασμούς.
- Καταγράψτε σημερινές μεθόδους MFA και παλιές/legacy εφαρμογές.
- Ενεργοποιήστε phishing-resistant methods σε pilot group.
- Δοκιμάστε Conditional Access σε report-only πριν την επιβολή.
- Διατηρήστε ελεγχόμενους emergency access λογαριασμούς.
- Συνδέστε identity policy με endpoint compliance και monitoring.
Συχνές ερωτήσεις
Είναι ασφαλές το SMS MFA;
Είναι καλύτερο από password-only, αλλά δεν θεωρείται phishing-resistant. Για πιο κρίσιμους λογαριασμούς προτιμώνται ισχυρότερες μέθοδοι όπως passkeys/FIDO2 ή Windows Hello for Business, ανάλογα με το περιβάλλον.
Τι είναι passkey;
Είναι credential βασισμένο σε public-key cryptography. Ο χρήστης μπορεί να συνδέεται χωρίς παραδοσιακό password και το credential είναι σχεδιασμένο ώστε να μην μπορεί να χρησιμοποιηθεί εύκολα σε phishing site.
Να ενεργοποιήσω Conditional Access για όλους αμέσως;
Καλύτερα όχι χωρίς pilot. Οι πολιτικές πρόσβασης πρέπει να δοκιμάζονται σταδιακά, με report-only όπου είναι διαθέσιμο, και με σχέδιο emergency access.
Σχετικές υπηρεσίες και οδηγοί
Συζητήστε το επόμενο βήμα με την UniLoud
Ζητήστε έλεγχο της σημερινής πρόσβασης στο Microsoft 365. Θα χαρτογραφήσουμε MFA methods, privileged accounts, Conditional Access και συσκευές πριν προτείνουμε σταδιακή ενίσχυση.