SDU IT
Udfasnings af svage MFA-metoder – SMS og voice-callback
I forbindelse med optimering af sikkerheden på ansattes identiteter og minimering af risikoen for identitetstyveri, er der fjernet SMS-koder og voice-callback som en godkendt login-metode.
Udfasnings af svage MFA-metoder – SMS og voice-callback
I forbindelse med optimering af sikkerheden på ansattes identiteter og minimering af risikoen for identitetstyveri, har SDU IT med godkendelse fra UID (udvalget for information og databeskyttel-se), fjernet SMS-koder og voice-callback som en godkendt login-metode. Dette skyldes SMS- og voice-callback teknologien anses for at være usikker og let at bryde.
Det betyder at SMS fremadrettet ikke kan bruges i forbindelse med MFA (Multi Factor Autentifica-tion). Det anbefales at bruge Authenticator App på telefonen. Sidder du på en SDU-computer med Windows Hello konfigureret, vil computeren også fungere som en faktor (for godkendelse).
Da SMS ikke længere er tilgængelig skal du bruge en af de andre løsninger du har opsat.
Undtagelse: Enkelte brugere har kun opsat SMS og ikke andre metoder til MFA. Disse vil en kort periode være undtaget, men vil blive kontakte direkte af SDU IT for at få vejledning og hjælp til opsætning af en sikker MFA-metode.
Har du spørgsmål, problemer med brug eller opsætning af MFA, kontakt Servicedesken.
Tekniske detaljer:
Typiske angrebsmetoder mod SMS og Voice-Callback MFA-faktorerne
SIM Swapping:
Beskrivelse: Angribere bruger social engineering til at overbevise mobiloperatører om at overføre et offers telefonnummer til et SIM-kort, de kontrollerer.
Konsekvens: Dette giver angriberen mulighed for at modtage alle SMS-beskeder, herunder MFA-koder, og dermed få adgang til offerets konti.
SS7 Angreb:
Beskrivelse: Angribere udnytter svagheder i Signaling System 7 (SS7)-protokollen.
Konsekvens: Dette gør det muligt for angriberen at aflytte og omdirigere SMS-beskeder, herunder MFA-koder.
Phishing og Social Engineering:
Beskrivelse: Angribere sender falske beskeder eller foretager opkald for at narre brugerne til at afsløre deres MFA-koder.
Konsekvens: Brugere afslører deres MFA-koder direkte til angriberen.
Voice Phishing (Vishing):
Beskrivelse: Angribere ringer til ofre og udgiver sig for at være fra en betroet orga-nisation for at få dem til at afsløre deres MFA-koder.
Konsekvens: Angriberen får direkte adgang til offerets konti og systemer.
Man-in-the-Middle (MitM) og Adversary-in-the-Middle (AitM) Angreb:
Beskrivelse: Angribere opsnapper kommunikation mellem brugeren og tjenesten.
Konsekvens: Dette kan føre til kompromittering af brugerkonti.