Pendahuluan

Organisasi harus memprioritaskan keamanan siber untuk melindungi data sensitif dari penjahat dunia maya. Salah satu mekanisme pertahanan penting yang telah mendapatkan popularitas adalah Otentikasi Multi-Faktor (MFA). MFA menambahkan lapisan keamanan ekstra dengan mengharuskan pengguna untuk memberikan dua atau lebih faktor otentikasi, seperti kata sandi, Verifikasi SMS, biometrik, atau token, untuk mengakses akun atau sistem.
Sementara MFA secara signifikan meningkatkan keamanan, penyerang cyber terus mengembangkan taktik mereka untuk melewati lapisan perlindungan tambahan ini. Pada artikel ini, kita akan mengeksplorasi evolusi MFA, berbagai teknik yang digunakan peretas untuk melewatinya, dan strategi efektif untuk mencegah serangan cyber.

Evolusi MFA

Memahami Dasar-Dasar MFA

Sebelum mempelajari teknik bypass, penting untuk memahami dasar-dasar MFA. MFA atau 2FA adalah metode perlindungan akun yang menggabungkan beberapa faktor otentikasi untuk memverifikasi identitas pengguna.
Faktor-faktor ini terbagi dalam tiga kategori: faktor pengetahuan, faktor kepemilikan, dan faktor inheren. Faktor pengetahuan termasuk kata sandi atau jawaban atas pertanyaan keamanan, faktor kepemilikan melibatkan token fisik atau perangkat seluler, dan faktor inheren mencakup biometrik seperti sidik jari atau pengenalan wajah.

Efektivitas MFA

MFA telah terbukti menjadi mekanisme pertahanan yang efektif terhadap serangan cyber. Dengan mewajibkan beberapa faktor otentikasi, MFA mengurangi risiko akses tidak sah ke data sensitif. Ini bertindak sebagai penghalang antara penjahat dunia maya dan informasi berharga, mengurangi kemungkinan serangan yang berhasil. MFA disebut sebagai masa depan otentikasi OTP.
Namun, ketika peretas menjadi lebih canggih, mereka telah merancang teknik untuk melewati MFA, menggarisbawahi perlunya langkah-langkah keamanan yang ditingkatkan.

Teknik yang Digunakan Peretas untuk Melewati MFA

1. Rekayasa Sosia: Memanipulasi Kerentanan Manusia

Rekayasa sosial tetap menjadi salah satu teknik paling umum yang digunakan oleh peretas untuk melewati MFA. Dengan mengeksploitasi kerentanan manusia, penjahat dunia maya menipu pengguna untuk mengungkapkan informasi sensitif atau memberikan akses yang tidak sah. Serangan phishing, di mana penyerang menyamar sebagai entitas yang sah untuk menipu pengguna, adalah bentuk rekayasa sosial yang umum. Serangan ini dapat melibatkan pengiriman email yang menipu atau menyiapkan situs web palsu untuk mengelabui pengguna agar memasukkan kredentif login atau kode otentikasi mereka. Pemompaan SMS Ini juga merupakan teknik yang digunakan penyerang.

2. Kelelahan MFA: Memanfaatkan Kesabaran Pengguna

Teknik lain yang digunakan oleh peretas adalah kelelahan MFA. Ini melibatkan membombardir pengguna dengan rentetan permintaan MFA, melemahkan mereka secara psikologis atau mengandalkan memori otot untuk menyetujui permintaan login. Dengan memanfaatkan ketidaksabaran pengguna, penjahat dunia maya dapat mengelabui mereka agar secara tidak sengaja memberikan akses ke akun mereka, melewati MFA dalam prosesnya.

3. Peretasan SIM: Mengkompromikan Nomor Telepon

Peretasan SIM adalah teknik di mana peretas mendapatkan akses tidak sah ke kartu SIM korban, memungkinkan mereka mencegat kata sandi satu kali (OTP) yang dihasilkan SMS. Dengan mengambil kendali atas nomor telepon korban, penyerang dapat menerima dan menggunakan OTP untuk mengotentikasi diri mereka sendiri dan melewati MFA. Teknik ini menyoroti kerentanan faktor otentikasi berbasis SMS dan pentingnya mengeksplorasi metode MFA alternatif yang lebih aman.

4. Pencurian Token: Mengeksploitasi Cookie Sesi atau Token

Peretas dapat menargetkan cookie sesi atau token yang disimpan di perangkat pengguna untuk menipu browser web dan melewati MFA. Dengan mencuri token ini, penyerang dapat menyamar sebagai pengguna yang sah dan mendapatkan akses tidak sah ke informasi sensitif tanpa perlu memberikan faktor otentikasi yang diperlukan. Teknik ini menekankan perlunya manajemen sesi yang kuat dan penyimpanan token otentikasi yang aman.

Strategi untuk Memperkuat MFA dan Mencegah Serangan Cyber

Sementara peretas terus mengembangkan metode inovatif untuk melewati MFA, organisasi dapat menerapkan strategi yang efektif untuk memperkuat postur keamanan mereka dan mengurangi risiko yang terkait dengan serangan ini. Berikut adalah beberapa praktik yang direkomendasikan:

1. Mendidik Pengguna dan Memberikan Informasi Transparan

Untuk meningkatkan efektivitas MFA, organisasi harus mendidik pengguna tentang pentingnya praktik otentikasi yang kuat dan potensi risiko serangan rekayasa sosial.
Saat menyajikan pemberitahuan MFA, berikan pengguna informasi yang cukup tentang permintaan, termasuk detail tentang sumber, tujuan, dan konsekuensi potensial. Komunikasi transparan memberdayakan pengguna untuk membuat keputusan berdasarkan informasi dan meningkatkan kewaspadaan mereka terhadap upaya phishing.

2. Menerapkan Praktik Pemrograman Aman

Saat mengembangkan metode MFA, vendor harus memprioritaskan praktik pemrograman yang aman. Ini termasuk melakukan tinjauan kode menyeluruh, pengujian penetrasi internal dan eksternal, dan partisipasi dalam program bug bounty.
Dengan mengadopsi siklus pengembangan yang aman, organisasi dapat mengidentifikasi dan mengatasi potensi kerentanan sebelum dapat dieksploitasi oleh penyerang cyber. Penting juga untuk membuat dan berbagi model ancaman yang menguraikan vektor serangan potensial dan memberikan wawasan tentang strategi mitigasi.

Padahal, ada tips untuk memaksimalkan efisiensi metode otentikasi sesederhana OTP.

3. Tetapkan Default Aman dan Sembunyikan Rahasia

Untuk meminimalkan risiko serangan bypass MFA, organisasi harus menetapkan default aman untuk sistem MFA mereka. Ini termasuk menonaktifkan protokol yang lebih lama dan rentan dan mengaktifkan mekanisme penutupan gagal untuk mencegah akses yang tidak sah jika terjadi kesalahan atau pengecualian. Selain itu, organisasi tidak boleh menyimpan rahasia otentikasi dalam teks biasa.
Sebaliknya, mereka harus menggunakan metode enkripsi aman, seperti tokenisasi atau enkripsi homomorfik, untuk menyembunyikan atau mengubah rahasia, membuatnya tidak berguna bagi penyerang bahkan jika terjadi pelanggaran yang berhasil.

4. Menerapkan Mekanisme Perlindungan Brute-Force

Untuk memerangi serangan brute-force, organisasi harus memberlakukan penguncian akun setelah beberapa upaya login gagal. Menerapkan mekanisme pembatasan kecepatan atau pelambatan yang ketat dapat mencegah peretas berulang kali mencoba masuk dalam waktu singkat. Dengan menerapkan perlindungan ini, organisasi dapat secara signifikan mengurangi tingkat keberhasilan serangan brute-force dan mencegah penjahat dunia maya menargetkan sistem mereka.

5. Jelajahi Alternatif untuk Otentikasi Berbasis SMS

Mengingat kerentanan yang terkait dengan Otentikasi berbasis SMS, organisasi harus mempertimbangkan untuk mengadopsi metode MFA alternatif. Otentikasi biometrik, seperti sidik jari atau pengenalan wajah, menawarkan tingkat keamanan yang lebih tinggi dan lebih tahan terhadap serangan. Selain itu, token perangkat keras atau aplikasi otentikator dapat memberikan opsi MFA yang aman dan nyaman. Organisasi harus mengevaluasi kebutuhan keamanan spesifik mereka dan memilih metode MFA yang selaras dengan toleransi risiko dan persyaratan pengguna mereka.

Bahkan saat mengimplementasikan SMS OTPOleh karena itu, kita harus selalu mengambil langkah-langkah untuk Pencegahan penipuan SMS OTP.

Serangan Bypass MFA

1. Sistem TI Uber dilanggar melalui serangan kelelahan MFA. Tidak ada data sensitif yang dicuri tetapi itu menjadi mimpi buruk PR bagi Uber.
2. Kode sumber pribadi diunduh dari Github Slack. Mereka menggunakan token karyawan curian yang mereka peroleh secara ilegal untuk melewati pertahanan MFA dan mendapatkan akses.
3. Twilio menjadi korban dari Serangan pemompaan SMS pada tahun 2022 terutama menargetkan pelanggan UKM mereka

Kesimpulan

Karena ancaman cyber terus berkembang, organisasi harus tetap berada di depan untuk melindungi data berharga mereka. Sementara MFA adalah langkah keamanan yang efektif, penyerang cyber terus mengembangkan teknik baru untuk melewatinya. Dengan menerapkan strategi seperti mendidik pengguna, merangkul praktik pemrograman yang aman, menetapkan default yang aman, menyembunyikan rahasia, dan menerapkan mekanisme perlindungan brute-force, organisasi dapat memperkuat pertahanan MFA mereka dan melindungi terhadap serangan cyber.
Sangat penting untuk mengadopsi pendekatan multi-lapis terhadap keamanan, menggabungkan MFA dengan langkah-langkah keamanan kuat lainnya, untuk menciptakan pertahanan komprehensif terhadap ancaman cyber yang terus berkembang.