مدیران امنیت و SOC مدت‌هاست که فعال‌سازی MFA (احراز هویت چندعاملی) را به عنوان حیاتی‌ترین توصیه برای امنیت هویت معرفی کرده‌اند. اگرچه MFA اکثریت قریب به اتفاق حملات مبتنی بر رمز عبور را متوقف می‌کند، اما گزارش‌های حوادث دو سال اخیر الگوی نگران‌کننده‌ای را نشان می‌دهند: کاربر MFA را با موفقیت طی کرده، اما مهاجم همچنان توانسته است وارد سیستم شود.
MFA یک کنترل واحد نیست، بلکه یک دسته‌بندی است
اشتباه رایج این است که MFA را به عنوان یک ویژگی امنیتی واحد در نظر بگیریم. در واقع MFA دسته‌ای از روش‌های احراز هویت است که در برابر حملات مختلف، رفتارهای متفاوتی دارند. کدهای SMS، رمزهای یک‌بار مصرف (OTP)، تاییدیه Push و Passkeyهای FIDO2 همگی در دسته‌بندی MFA قرار می‌گیرند، اما تنها یکی از آن‌ها به‌گونه‌ای طراحی شده که در برابر صفحات جعلی (Phishing) مقاوم باشد.
چهار روش رایج عبور از MFA
- حملات Adversary-in-the-Middle (AiTM): در این روش، مهاجم یک Reverse Proxy بین کاربر و سایت واقعی (مانند login.microsoftonline.com) قرار می‌دهد. کاربر MFA را تکمیل می‌کند، اما چون کد OTP یا Push به وب‌سایت متصل نیست، مهاجم می‌تواند Session Cookie را سرقت کرده و بدون نیاز به احراز هویت مجدد، وارد حساب شود.
- خستگی MFA و مهندسی اجتماعی: حملاتی مانند Push Bombing یا جعل هویت پشتیبانی IT برای متقاعد کردن کاربر به تایید درخواست‌های ورود.
- SIM Swap و شنود تلفنی: تکیه بر SMS و تماس صوتی به دلیل ضعف‌های شبکه SS7 و فرآیندهای انسانی اپراتورها، ریسک بالایی دارد.
- فیشینگ کد دستگاه (Device Code Phishing): مهاجم یک جریان OAuth قانونی را شروع کرده و کد آن را برای قربانی می‌فرستد. کاربر در سایت واقعی مایکروسافت احراز هویت می‌کند، اما توکن‌ها به دستگاه مهاجم ارسال می‌شود.
مفهوم مقاومت در برابر فیشینگ (Phishing-Resistant)
یک روش Phishing-resistant دارای یک ویژگی اساسی است: اعتبارنامه (Credential) به‌صورت رمزنگاری‌شده به مبدأ سرویس قانونی متصل است. در استاندارد FIDO2/WebAuthn، مرورگر (و نه کاربر) به Authenticator می‌گوید چه سایتی درخواست دسترسی دارد. بنابراین، یک Passkey ثبت شده برای login.microsoft.com هرگز به یک سایت جعلی پاسخ نمی‌دهد.
زمان‌بندی تغییرات مایکروسافت (۲۰۲۶-۲۰۲۷)
مایکروسافت به‌طور فعال در حال حذف روش‌های مبتنی بر تلفن در Entra ID است:
- سپتامبر ۲۰۲۶: Passkeyها به عنوان پیش‌فرض فعال شدند.
- فوریه ۲۰۲۷: ارسال SMS و تماس صوتی توسط مایکروسافت برای تمامی کاربران (به جز مدیران جهانی و کاربران خارجی) متوقف می‌شود. کاربرانی که تنها روش MFA آن‌ها SMS/Voice باشد، هنگام ورود با پیام اجباری برای ثبت Passkey مواجه می‌شوند.
- جولای ۲۰۲۷: این محدودیت برای مدیران جهانی (Global Admins) نیز اعمال خواهد شد.
توصیه‌های عملیاتی برای مدیران امنیت
برای ارتقای سطح امنیت هویت، موارد زیر را دنبال کنید:
- تغییر معیار موفقیت: به جای بررسی درصد «ثبت MFA»، درصد «ثبت و استفاده از روش‌های Phishing-resistant» را رصد کنید.
- اولویت‌بندی: پیاده‌سازی Passkeyها را از مدیران (Admins) شروع کنید، زیرا باارزش‌ترین اهداف هستند.
- مسدودسازی Device Code Flow: این جریان را از طریق Conditional Access مسدود کنید، زیرا Passkeyها به‌تنهایی جلوی این نوع حمله را نمی‌گیرند.
- برنامه‌ریزی برای بازیابی (Recovery): پیش از اجباری کردن Passkey، فرآیند جایگزینی در صورت گم شدن دستگاه را تعریف کنید تا عملیات متوقف نشود.
