Non tutti gli schemi di autenticazione a due fattori sono uguali. Alcune forme di 2FA, come l'invio di un messaggio di testo, non sono sicure contro questo attacco. Altre forme di 2FA, come FIDO U2F, sono sicure contro questo attacco: sono state progettate deliberatamente con questo tipo di attacco in mente.

FIDO U2F fornisce due difese contro l'uomo-in-the- attacco medio:

1. Registrazione - L'utente registra il proprio dispositivo U2F con un particolare sito web ("origine"), come google.com . Quindi il dispositivo U2F risponderà solo alle richieste di autenticazione da un'origine registrata; se l'utente viene indotto con l'inganno a visitare goog1e.com (un sito di phishing), l'U2F non risponderà alla richiesta, poiché può vedere che proviene da un sito che non ha registrato in precedenza con.

2. ID canale e binding di origine - U2F utilizza l'estensione TLS Channel ID per prevenire attacchi man-in-the-middle e abilitare il dispositivo U2F per verificare che stia parlando con lo stesso sito web che l'utente sta visitando nel proprio browser web. Inoltre, il dispositivo U2F conosce l'origine con cui pensa di parlare e la sua risposta di autenticazione firmata include una firma sull'origine con cui pensa di parlare. Questo viene controllato dal server. Quindi, se l'utente è su goog1e.com e quella pagina richiede un'autenticazione U2F, la risposta del dispositivo U2F indica che la sua risposta è valida solo per la comunicazione con goog1e.com - se l'aggressore cerca di inoltrare questa risposta a google.com , Google può notare che qualcosa è andato storto, poiché nei dati firmati è presente il nome di dominio sbagliato.

Entrambe queste funzionalità implicano l'integrazione tra il dispositivo di autenticazione a due fattori U2F e il browser dell'utente. Questa integrazione consente al dispositivo di sapere quale nome di dominio (origine) sta visitando il browser e ciò consente al dispositivo di rilevare o prevenire attacchi di phishing e man-in-the-middle.

Ulteriori letture su questo meccanismo :

• Un estratto dalla specifica FIDO U2F, riguardante le difese contro gli attacchi MITM.

• Spiegazione di Yubico dei flussi di protocollo.

Fuori banda 2FA è l'approccio corretto. Ciò significa che hai un secondo fattore che non può essere phishing, come un certificato client o FIDO U2F. I codici o i modelli 2FA basati su SMS sono le opzioni 2FA più deboli perché sono in banda e, come hai descritto, possono essere phishing proprio come le credenziali.

Sono convenienti perché possono essere utilizzati da quasi chiunque, e sono certamente meglio di niente, ma la sicurezza che forniscono non dovrebbe mai essere confusa con la sicurezza fornita dalla 2FA fuori banda.

Questa è una delle situazioni in cui un gestore di password (nel browser) ti aiuterà.

Poiché un gestore di password memorizza le password in base al loro vero URL, non verrà compilato automaticamente nella pagina dell'aggressore, o addirittura dare suggerimenti. Oltre a non far trapelare il token della password in 2 passaggi, protegge anche la password dalla fuga.

Questa protezione funziona anche meglio se l'utente non conosce la propria password e può interagire solo tramite il gestore di password per inserire la password.

La conclusione è che se un utente malintenzionato può indurti a fornire tutte le credenziali, il gioco finisce. Non importa il numero di fattori coinvolti. Ci sono cose che possono aiutare a limitare l'esposizione, come timeout molto brevi per i token che rendono difficile per un attaccante ottenere e riutilizzare il token entro il limite di tempo. Tuttavia, i timeout hanno una protezione limitata poiché ottenere il giusto equilibrio può essere difficile, specialmente con 2FA `` falsi '', che è diventato così diffuso e dove devi consentire ritardi di cose come la consegna di SMS per prevenire problemi di usabilità (ho visto questo utilizzo internazionale servizi basati sui quali la consegna dell'SMS può essere più lenta e il token scade prima che tu possa riceverlo e inserirlo nel browser).

Molti dei sistemi chiamati 2FA non sono affatto 2FA - in realtà lo sono 2SA (autenticazione in due passaggi). Nella 2FA reale, i fattori sono qualcosa che conosci (password) e qualcosa che hai (token, spesso basato su hardware). Gli schemi che implicano un codice inviato tramite SMS NON sono 2FA, sono 2SA - in realtà non hai il token - ti viene inviato. Poiché è qualcosa che ti viene inviato, ci sono nuovi vettori di minacce, come il reindirizzamento del numero di cellulare ecc. Questa è una delle ragioni per cui il NIST ha deprecato i token basati su SMS come processo di autenticazione affidabile.

Con rispetto. alla domanda specifica dei PO, l'unica protezione affidabile è quella di poter rilevare la pagina di phishing. Google ha rilasciato un'estensione di Chrome per provare ad aiutare con questo. L'estensione ti avviserà se rileva che stai fornendo le tue credenziali Google a una pagina che non è una pagina Google.

Il grosso problema è che abbiamo passato anni a insegnare alle persone a cercare il "lucchetto verde" negli URL per garantire che la pagina sia legittima. Sfortunatamente, sforzi come Lets Encrypt hanno ora reso facile ottenere certificati verificati dal dominio, quindi molte di queste pagine di phishing ora avranno il lucchetto verde. Questo non vuol dire che il problema sia dovuto a Lets Encrypt: questa è un'ottima iniziativa. Il problema è in parte dovuto alle debolezze dell'infrastruttura PKI, ma principalmente alla consapevolezza e alla comprensione degli utenti. In generale, le persone non capiscono PKI e come verificare che un certificato sia legittimo per il sito e che il sito sia il sito che pensano che sia. A peggiorare le cose, anche se capisci, i passaggi / il tempo necessari per eseguire tale verifica sono spesso scomodi o semplicemente troppo difficili, quindi le persone non lo fanno. La situazione è peggiorata dai cattivi attori della mannaia che trovano il modo di far sembrare le cose legittime: ad esempio, un recente exploit utilizza punti deboli nel modo in cui i browser visualizzano gli URL ei caratteri Unicode per generare un URL che viene visualizzato nella barra degli indirizzi in un modo che a lo sguardo sembra corretto, ma i caratteri effettivi nell'URL specificano un sito di phishing. L'utente guarda la barra degli indirizzi, vede un lucchetto verde e guarda l'URL che sembra corretto (il tuo cervello riempirà anche le cose per rendere migliore la corrispondenza!) E accetta la pagina come legittima. Non noti alcuno spazio bianco aggiuntivo tra i caratteri o forme di carattere dall'aspetto leggermente strano.

Allora come ci proteggiamo da questo. Sfortunatamente, non esiste un unico "fai questo e sarai al sicuro". Alcuni gestori di password possono essere d'aiuto in quanto forniranno le credenziali solo se l'URL è corretto, non utilizzare mai URL nei messaggi di posta elettronica: digitateli sempre da soli o utilizzate un segnalibro creato da voi. presumi che a un certo punto sarai ingannato e adotterai pratiche che limiteranno il danno quando si verifica cioè password diverse per ogni sito, usa 2FA basato su hardware quando possibile, in realtà fai clic sul pulsante dei dettagli del certificato per i siti "di alto valore" e guarda cosa dice e a chi è registrato il certificato, assicurati che il tuo sistema abbia tutti gli aggiornamenti e utilizzi la versione del browser più recente ecc., Sii sospettoso per natura e ricorda che la grande minaccia è l'ingegneria sociale, quindi fai molta attenzione a tutto ciò che fa pressione di agire in base alla paura, alla colpa, ai premi o alla punizione. Questi sono motivatori molto efficaci e gli attori delle minacce fanno affidamento su di loro. Le campagne di phishing sono diventate molto più sofisticate nella loro implementazione, ma fondamentalmente si basano ancora sulla manipolazione emotiva: una promessa di qualcosa di meraviglioso o una minaccia di qualcosa di terribile.

Infine, se sei tentato di commentare a causa della mia menzione di gestori di password, per favore non farlo. Sì, ci sono rischi con i gestori di password e sì, alcuni sono peggiori di altri. Tuttavia, in generale, un buon gestore di password utilizzato correttamente di solito fornirà una maggiore protezione per l'utente medio rispetto al loro attuale processo di gestione delle password. Sì, se il gestore delle password viene compromesso, tutte le tue password vengono compromesse. Tuttavia, molte persone trovano la gestione delle password troppo difficile e utilizzano comunque la stessa password, spesso debole, su ogni sito. Una volta che un sito viene compromesso, tutti i relativi siti vengono compromessi. Ovviamente, se comprendi la tecnologia e comprendi password, hashing, ecc., Probabilmente puoi trovare una soluzione più sicura, ma non sei il pubblico dei gestori di password. Pensa a come i tuoi genitori o nonni affrontano la gestione delle password e quanto bene individuano i siti di phishing o comprendono i certificati, quindi pensa a quanto facilmente possono gestire la tua gestione delle password basata su GPG personalizzata tramite cfile o sincronizzazione.

MODIFICA : Nel rileggere la mia risposta, non sono sicuro di aver sottolineato abbastanza che il vero 2FA è sempre più disponibile e molti dei provider che attualmente supportano il 2SA meno sicuro con codici SMS supportano anche 2FA molto più sicuro, in molti casi utilizzando U2F ( come menzionato in altre risposte). I "tasti" hardware di Yubico o duo (e altri) sono economici e facili da configurare / utilizzare. La mia unica raccomandazione è che se decidi di seguire il percorso token / chiave hardware, assicurati di ottenere due chiavi, registrale entrambe e metti via una chiave in un luogo sicuro. Ne ho uno che porto con me e uno che tengo in una cassaforte a casa. Il ripristino da una chiave persa / danneggiata non è facile come recuperare da una password dimenticata, quindi è meglio evitare di entrare in quella situazione per quanto possibile.

Come sottolineato nei commenti, questo non è un buon modo per fare le cose.

Invertire completamente il test.

In questo caso ti fidi che il telefono cellulare dell'utente sia "sicuro", quindi usalo per autenticarlo. Quando l'utente tenta di accedere al sito Web, si solleva una richiesta per telefono affinché accetti questo accesso (tramite notifica push idealmente direttamente all'applicazione, non sms o e-mail poiché possono essere facilmente violati). "Sembra che tu stia effettuando l'accesso da IP x.y.z / geolocalizzazione foobar - desideri continuare?"

Inoltre, puoi chiedere loro di fornire un certificato che esiste sul telefono, ma non sul computer. In questo modo l '"attaccante" non può accedere a queste informazioni semplicemente riuscendo a reindirizzare l'utente al sito sbagliato.

Questo attacco è noto come phishing . Tutta la sicurezza del mondo non servirà a nulla se puoi ingannare un utente finale facendogli cedere volontariamente le credenziali.

Le mitigazioni contro il phishing includono:

1. I server di posta elettronica possono ripulire le email alla ricerca di collegamenti a siti di phishing noti.

2. I client di posta spesso disabilitano i collegamenti per impostazione predefinita e forniscono un avviso quando vengono abilitati.

3. Gli utenti dovrebbero evitare di fare clic sui collegamenti trovati nelle e-mail. Spesso è più sicuro digitare l'indirizzo.

4. Gli utenti non dovrebbero mai accedere a un sito sensibile (ad esempio un sito bancario) tramite un collegamento da qualsiasi luogo. Utilizza un segnalibro o digitalo.

5. Contrariamente a una credenza comune, gli utenti dovrebbero utilizzare gestori di password per i siti sensibili. Un gestore di password non ti consentirà di fornire una password al sito sbagliato.

Oltre alle altre risposte, questo tipo di attacco può essere ostacolato se il sito si autentica per l ' utente in modo che l'utente abbia l'abitudine di ottenere un segnale più forte che stanno immettendo le credenziali su una pagina autentica, anche se non utilizzano un gestore di password o non prestano la massima attenzione all'URL. Questa operazione viene in genere eseguita con una immagine di sicurezza selezionata dall'utente (da un ampio insieme di opzioni) più una stringa di testo impostata dall'utente. Viene presentato dopo l'inserimento del nome utente ma prima della password (che viene suddivisa in due pagine). Non è completamente infallibile (devi impedire agli aggressori di ottenere l'immagine / la stringa con una semplice richiesta in blocco), ma è progettato per contrastare il phishing e rende un po 'più difficile il phishing di successo. Se gli aggressori tentano di recuperare le immagini / stringhe di sicurezza, queste richieste possono anche dare al fornitore di servizi autentico un suggerimento che qualcosa non va e fornire alcune informazioni forensi sulla provenienza di tali richieste.

Che funzioni nella pratica o meno è una questione diversa e le prove di un documento del 2007 suggeriscono no, almeno per la maggior parte degli utenti.