Bẫy danh tính MFA: Khi xác thực tạo ra cảm giác an toàn giả tạo

Xác thực đa yếu tố (MFA) đã trở thành một trong những biện pháp kiểm soát an ninh mạng quan trọng nhất, bảo vệ khoảng 70% người dùng trong môi trường doanh nghiệp. Tuy nhiên, chính sự thành công này lại tạo ra một vấn đề không lường trước: nhiều tổ chức đang coi việc vượt qua MFA như bằng chứng xác thực danh tính người dùng, dẫn đến những lỗ hổng nghiêm trọng trong chiến lược bảo mật tổng thể.

Chiến lược bảo mật danh tính

Xác thực không phải là xác minh danh tính

Nhiều chuyên gia an ninh mạng đang mắc phải một sai lầm khái niệm cơ bản: xác thực (authentication) chỉ chứng minh rằng một người kiểm soát được các yếu tố xác thực gắn với tài khoản, trong khi xác minh danh tính (identity verification) mới là quá trình xác định người đó có đúng là danh tính họ tuyên bố hay không. Bộ tiêu chuẩn NIST Digital Identity Guidelines đã phân biệt rõ ràng hai khái niệm này.

Hãy tưởng tượng kịch bản này: kẻ tấn công dùng kỹ thuật social engineering thao túng bộ phận help desk để đặt lại MFA của một nhân viên, sau đó đăng ký thiết bị của chính mình vào tài khoản. Ở lần đăng nhập tiếp theo, mọi yêu cầu xác thực đều được đáp ứng - mật khẩu đúng, yếu tố thứ hai hợp lệ. Nhưng thực chất, quá trình xác minh danh tính đã thất bại hoàn toàn.

Khi kẻ tấn công vượt qua MFA

Quan niệm truyền thống về an ninh mạng thường hình dung kẻ tấn công ở bên ngoài hàng rào bảo mật, cố gắng đột nhập. Tuy nhiên, thực tế ngày nay đã thay đổi. Tội phạm mạng có thể sử dụng phishing, social engineering, SIM swapping, đánh cắp phiên làm việc (session theft) và tấn công vào quy trình khôi phục tài khoản. Điều đáng lo ngại là kẻ tấn công có thể không thất bại trong quá trình xác thực - chúng có thể vượt qua một cách hoàn hảo.

Ngay cả MFA kháng phishing tiên tiến cũng không loại bỏ được mọi rủi ro danh tính. Xác thực vẫn phụ thuộc vào cách các yếu tố xác thực được gắn với danh tính ban đầu, cách chúng có thể được thay thế và những gì xảy ra trong quá trình khôi phục. Một tổ chức có thể triển khai MFA phức tạp ở cửa trước nhưng lại bỏ ngỏ cửa sau - nơi kẻ tấn công có thể khai thác quy trình xác minh danh tính yếu kém để vô hiệu hóa các biện pháp bảo vệ đó.

MFA không phải là phát hiện mối đe dọa danh tính

Có một sự nhầm lẫn phổ biến khác: cho rằng MFA thành công đồng nghĩa danh tính vẫn đáng tin cậy sau đó. Nhưng xác thực chỉ thiết lập niềm tin tại một thời điểm cụ thể. Một nhân viên có thể xác thực hợp lệ lúc 8:02 sáng, nhưng phiên làm việc có thể bị chiếm quyền chỉ vài phút sau đó. Danh tính bị xâm phạm này sau đó có thể leo thang đặc quyền hoặc truy cập dữ liệu nhạy cảm chưa từng được đụng tới. Sự kiện MFA thành công ban đầu không cung cấp bất kỳ đảm bảo nào cho các hoạt động sau đó.

Ba câu hỏi cần phân biệt rõ ràng

Các tổ chức cần phân biệt ba câu hỏi riêng biệt trong quy trình bảo mật danh tính:

• Người này là ai? - Câu hỏi này thuộc về xác minh danh tính (identity verification), thiết lập niềm tin vào con người đằng sau danh tính.
• Người này có thể chứng minh quyền kiểm soát các yếu tố xác thực cần thiết không? - Câu hỏi này thuộc về xác thực, nơi MFA đóng vai trò vô cùng quan trọng.
• Danh tính này có tiếp tục hành xử hợp pháp không? - Câu hỏi này thuộc về phát hiện mối đe dọa danh tính, sử dụng các tín hiệu và hành vi theo thời gian.

Đây là ba biện pháp kiểm soát bổ sung cho nhau, không thể thay thế lẫn nhau.

Niềm tin danh tính cần có vòng đời

Cách tiếp cận đúng đắn nên coi niềm tin danh tính là một quá trình động, không phải trạng thái tĩnh. Tại thời điểm đăng ký, tổ chức thiết lập niềm tin rằng một danh tính thuộc về một người cụ thể. Khi xác thực, họ kiểm tra quyền kiểm soát các yếu tố xác thực. Sau khi đăng nhập, các tín hiệu rủi ro mới như thay đổi thiết bị, truy cập bất thường, leo thang đặc quyền cần tiếp tục cập nhật mức độ tin cậy.

Các tương tác có rủi ro cao nên yêu cầu xác minh danh tính lại, bao gồm: đặt lại thông tin xác thực, đăng ký yếu tố xác thực mới, hoặc cấp quyền quản trị.

Chuyên gia bảo mật Torsten George

MFA có một mô tả công việc cụ thể

Điều này không hề làm giảm giá trị của MFA. Xác thực mạnh, kháng phishing vẫn là yếu tố thiết yếu. Vấn đề bắt đầu khi các tổ chức yêu cầu MFA trả lời những câu hỏi mà nó không thể trả lời. MFA không thể phát hiện việc thao túng quy trình khôi phục tài khoản. Nó không thể xác định liệu người đăng ký yếu tố xác thực có được xác minh danh tính đúng cách hay không. Nó cũng không thể phát hiện một phiên xác thực đã bị chiếm quyền sau đó.

Xác minh danh tính xác định bạn là ai. Xác thực xác định quyền kiểm soát các yếu tố xác thực. Phát hiện mối đe dọa danh tính xác định liệu danh tính đó có còn đáng tin cậy theo thời gian hay không.

Việc nhầm lẫn MFA với câu trả lời cho cả ba câu hỏi có thể khiến tổ chức tự tin xác thực chính những kẻ tấn công mà họ đang cố gắng ngăn chặn.

Bài viết được chuyển thể và phân tích từ bài viết gốc của Dr. Torsten George trên SecurityWeek - chuyên gia an ninh mạng với hơn 30 năm kinh nghiệm trong lĩnh vực bảo mật toàn cầu.