MFA nije dovoljan: zašto vam treba MFA otporan na phishing

Zašto klasičan MFA pada na phishing

Problem nije u ideji drugog faktora, nego u tome što se kod može preneti. Napadač napravi lažnu stranicu za prijavu, vi unesete lozinku i kod, a on ih u realnom vremenu prosledi pravom servisu i uđe umesto vas. Ranjive su sve metode kod kojih čovek nešto prepisuje ili odobrava:

• SMS kod, najslabiji; podložan i preusmeravanju broja (SIM swap).
• Kod iz aplikacije (TOTP), bolji od SMS-a, ali se i dalje može „upecati".
• Push „odobri prijavu", ranjiv na zamaranje korisnika lažnim zahtevima dok neko ne klikne „odobri".

Sve ove metode dele istu slabost: ne proveravaju gde se zapravo prijavljujete.

Šta znači „otporan na phishing"

Phishing-otporan MFA vezuje prijavu za konkretnu adresu sajta i za uređaj. Ako adresa nije prava, prijava jednostavno ne radi, nema koda koji korisnik može greškom da da napadaču. Dve dominantne tehnologije:

• FIDO2 / sigurnosni ključevi, fizički USB/NFC ključ koji kriptografski potvrđuje i identitet i tačan sajt.
• Passkeys, isti princip, ugrađen u telefon ili računar, bez posebnog ključa.

Suština je u tome što tajna nikad ne napušta uređaj i vezana je za pravu adresu. Lažna stranica nema šta da ukrade.

Gde da počneš, a da ne paralizuješ firmu

Ne moraš sve odjednom. Redosled koji daje najveću zaštitu po uloženom trudu:

• Prvo administratori i privilegovani nalozi, oni su meta broj jedan.
• Zatim rukovodstvo i finansije, pristup novcu i osetljivim podacima.
• Pa ostatak firme, postepeno.

Za naloge koji još nisu prešli na ključeve, makar ukloni SMS kao metod i pređi na aplikaciju ili push sa dodatnom potvrdom (broj koji se mora ukucati, ne samo „odobri").

Tehnologija nije cela priča

Najjači MFA ne pomaže ako su procesi labavi:

• Definiši šta se radi kad zaposleni izgubi ključ ili telefon, bez „brze" zaobilaznice koju napadač može da zloupotrebi.
• Drži rezervni metod prijave (backup ključ ili kod) na sigurnom, da gubitak uređaja ne zaključa nalog.
• Obuči ljude da prepoznaju zamaranje push zahtevima, pravilo je jednostavno: ako nisi ti pokrenuo prijavu, nikad ne odobravaj.

Šta ovo znači za malu firmu

Sigurnosni ključevi i passkeys više nisu rezervisani za korporacije. Trošak je skroman u poređenju sa jednim uspešnim preuzimanjem naloga, a postavka za mali tim je pitanje dana, ne meseci. Realan cilj nije „100% odmah", nego: kritični nalozi na phishing-otpornom MFA, SMS izbačen svuda, i jasan plan za izgubljeni uređaj.

MFA koji imate je bolji nego ništa. Ali ako vam je na nalogu novac, podaci klijenata ili pristup celom sistemu, pitanje nije „imamo li MFA", nego „da li bi naš MFA preživeo dobro napravljenu lažnu prijavu". Za većinu firmi odgovor je danas „ne", i baš to treba popraviti.