Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Un gruppo di ricercatori ha violato l’MFA di Microsoft in un’ora

Dic 12, 2024 Marina Londei Hacking, In evidenza, Minacce, News, RSS 0

Il team di sicurezza di Oasis ha scoperto una vulnerabilità critica nell’implementazione di Microsoft dell’MFA che consente a un attaccante di ottenere l’accesso all’account di un utente, comprese le email, i file di OneDrive, le chat di Teams e l’ambiente Azure Cloud.

Tal Hason, ricercatore del team, ha spiegato che realizzare l’exploit è stato molto semplice: il gruppo ci ha messo solo un’ora; inoltre, l’exploit non necessita dell’interazione utente e non ha generato alcun avviso di sicurezza per l’account.

Quando l’utente naviga sulla pagina di login dei servizi Microsoft, gli viene assegnato un identificatore di sessione. Tra i metodi MFA supportati da Microsoft, c’è anche l’uso di un’applicazione (un authenticator) che genera un codice di 6 cifre per completare il processo di login. Il meccanismo supporta fino a 10 tentativi per una singola sessione, poi blocca l’accesso.

I ricercatori di Oasis hanno creato in poco tempo nuove sessioni per gli account e liste di codici; il numero elevato di tentativi ha esaurito il numero di opzioni per un codice a 6 cifre (1 milione di possibilità). Il team ha eseguito numerosi tentativi contemporaneamente e per di più i proprietari degli account non hanno ricevuto alcun avviso per il numero di tentativi falliti.

Un altro aspetto da tenere in considerazione è che il codice TOTP generato è valido per più di 30 secondi, l’impostazione base per applicazioni di autenticazione di questo tipo. I test di Oasis hanno dimostrato che nel caso di Microsoft, la tolleranza era di circa 3 minuti per ogni singolo codice; ciò permette di eseguire un numero di tentativi 6 volte superiore alla norma.

“Dato il tasso consentito, avevamo il 3% di possibilità di indovinare il codice entro l’intervallo di tempo esteso“ ha spiegato Hason. “Dopo 24 sessioni di questo tipo (circa 70 minuti), un attaccante avrebbe già superato il 50% di probabilità di ottenere un codice valido“. Il team ha infatti applicato questo exploit con successo diverse volte.

Dopo la scoperta della falla, Oasis ha contattato subito Microsoft e le due compagnie hanno collaborato per risolvere il problema. “Anche se i dettagli specifici delle modifiche sono confidenziali, possiamo confermare che Microsoft ha introdotto un limite più stringente ch entra in gioco dopo un certo numero di tentativi falliti; il limite dura circa mezza giornata” ha spiegato Hason.

Il team ha infine ricordato le buone pratiche per proteggersi dagli attacchi di furto di account, a cominciare dall’abilitazione dell’MFA per tutti gli utenti, soprattutto quelli con accesso ai dati critici. Oltre a ciò, è necessario cambiare regolarmente la password e implementare meccanismi di alerting di accesso all’account che mettano in evidenza gli avvisi di accessi effettuati correttamente.

Condividi l'articolo