تامین‌کنندگان خارجی MFA مخرب می‌توانند هنگام ورود گذرواژه‌ها را سرقت کنند
محققان امنیتی روشی را توضیح داده‌اند که به نفوذگرانی با دسترسی ممتاز امکان می‌دهد یک تامین‌کننده خارجی MFA جعلی ثبت کنند و گذرواژه کاربران را در جریان تلاش‌های ورود قانونی سرقت کنند — گزارش بر اساس مطلب منتشرشده در BleepingComputer است.
خلاصه خبر
بر اساس گزارش منتشرشده در BleepingComputer، محققان امنیتی حمله‌ای را توصیف کرده‌اند که به نفوذگرانی با دسترسی ممتاز اجازه می‌دهد یک «تامین‌کننده خارجی MFA» (external MFA provider) مخرب ثبت کنند و در فرایند ورود کاربر، گذرواژه‌های او را سرقت کنند. این سرقت در قالب تلاش‌های ورود قانونی رخ می‌دهد و به‌همین‌خاطر می‌تواند کشف‌پذیری را کاهش دهد.
اطلاعات پایه
این بازنویسی بر اساس مطلب اصلی در BleepingComputer انجام شده است و جزئیاتی بیش از آنچه در منبع ذکر شده بیان نشده است. نام CVE یا نسخه‌های نرم‌افزاری دیگری در ورودی اولیه ارائه نشده است، بنابراین هیچ‌یک را افزوده یا حدس نزده‌ایم.
پیامدها و تحلیل مختصر
- اگر گزارش صحیح باشد، این حمله نشان می‌دهد که داشتن «دسترسی ممتاز» به سامانه‌های احراز هویت می‌تواند امکان ایجاد مؤلفه‌های مخرب در زنجیره احراز هویت را فراهم کند که حتی هنگام ورود قانونی نیز اطلاعات حساس را به سرقت می‌برند.
- چنین حمله‌ای می‌تواند اعتماد به فرایندهای MFA را تضعیف کند، زیرا MFA معمولاً به‌عنوان لایه‌ای فراتر از گذرواژه تصور می‌شود؛ اما در این حالت، خود یک مولفهٔ مخرب می‌تواند نقطهٔ آسیب‌پذیر باشد.
توصیه‌های عملی (کلی)
- محدودسازی و سخت‌گیری بر حساب‌های دارای دسترسی ممتاز و اعمال اصل حداقل دسترسی.
- نظارت و ثبت تغییرات در تنظیمات احراز هویت و ثبت تامین‌کنندگان خارجی MFA، و بررسی سریع هر ثبت یا تغییر غیرمعمول.
- فرآیندهای ارزیابی و تایید تامین‌کنندگان MFA خارجی پیش از اعطای دسترسی عملیاتی.
- در صورت هرگونه شک یا شواهد نفوذ، بررسی خط‌مشی‌های ورود، بازنشانی اعتبارنامه‌ها و حسابرسی دسترسی‌ها.
نتیجه‌گیری
این هشدار نشان می‌دهد که حفاظت موثر در حوزهٔ احراز هویت تنها به لایه‌های فنی محدود نیست و مدیریت دسترسی، حاکمیت تغییرات، و ارزیابی تامین‌کنندگان خارجی باید جزو ارکان دفاعی باشند. اطلاعات گزارش‌شده در این مطلب برگرفته از گزارش BleepingComputer است و جزئیات فنی اضافی در ورودی اولیه ارائه نشده است.