Wenn ich Ihre Frage richtig verstehe, besteht der Angriff, den Sie vorschlagen, darin, Kennwörter gegen einen Server wie diesen zu erzwingen. Sobald der MFA-Bildschirm angezeigt wird, versuchen Sie es mit diesem Kennwort auf anderen Websites, auf denen dieser Benutzer Konten hat am.

Dies ist eine großartige Frage! Guter Fund! Sie scheinen jedoch zwei Punkte zu übersehen:

1. Dies ist nicht schwächer als kein MFA, das auch das richtige Passwort bestätigt ... indem Sie es zulassen.

2. Kein vernünftiger Hacker wird versuchen, ein Passwort brutal gegen einen Live-Server zu erzwingen, wodurch die Rate normalerweise auf 5 Vermutungen pro Sekunde begrenzt wird. Oder verfügen Sie bei großen Anbietern wie GMail oder Outlook über komplexe Betrugserkennungssysteme, die verdächtige Aktivitäten automatisch per IP blockieren. 99,999 ...% der Zeit wird das Brute-Forcing von Passwörtern gegen Passwort-Hashes durchgeführt, die direkt aus der Datenbank gestohlen wurden, auf der Sie (m | b) Illusionen von Passwörtern pro Sekunde erraten können.

ol >

Obwohl ich Ihnen zustimme, dass hier möglicherweise Daten verloren gehen, ist das Risiko meines Erachtens minimal und wird durch die Unannehmlichkeiten des Benutzers, mit seinem OTP-Anhänger herumzufummeln, nur um herauszufinden, dass sie Tippfehler machen, bei weitem aufgewogen Das Kennwort.

---

Adresskommentare aktualisieren, da dies zu einer heißen Netzwerkfrage geworden ist:

Es gibt zwei Arten der Multi-Faktor-Authentifizierung (auch bekannt als "2FA" oder "MFA"), über die wirklich separat nachgedacht werden muss:

1. SMS oder Push-Benachrichtigung 2FA : Wenn Sie zum Auf dem 2FA-Bildschirm wird ein Code an Ihr Gerät gesendet, den Sie eingeben müssen. Für viele Benutzer ist dies wahrscheinlich der einzige 2FA-Typ, dem Sie ausgesetzt waren. Der in der Frage beschriebene Angriff funktioniert in diesem Fall nicht, da der Benutzer einen 2FA-Code erhält, den er nicht angefordert hat, und weiß, dass etwas nicht stimmt. Darüber hinaus ist es in diesem Fall schädlich, den 2FA-Schritt auszuführen, unabhängig davon, ob das Kennwort korrekt ist, weil:

   • Ein Angreifer kann möglicherweise dazu führen, dass der Benutzer eine riesige monatliche Daten- / SMS-Rechnung erhält oder sein Gerät abstürzt, indem er seinen Speicher mit Benachrichtigungen füllt.
   • Es leckt auch, welche Benutzer 2FA aktiviert haben und welche einfache Ziele sind.

"Offline" 2FA mit Codegenerator-Token, Apps oder Smartcards / USB-Sticks mit aktiviertem öffentlichen Schlüssel (siehe Abbildung) unten). Dies ist die Art von 2FA, die Regierung, Militär und Unternehmen verwenden. Während es für Endbenutzer weniger sichtbar ist, ist es aufgrund des Werts der zu schützenden Daten bei weitem der wichtigere Typ von 2FA. In diesem Fall gibt es keine "integrierte" Benachrichtigung an den Benutzer, wenn ein Angreifer zu seinem 2FA-Bildschirm gelangt. Und normalerweise müssen alle Benutzer 2FA verwenden, sodass es nicht schadet, wenn bekannt ist, welcher Benutzer 2FA aktiviert hat, da es sich um alle handelt.

ol>

Stellen Sie sich dieses Szenario für Fall 2 vor: Ein Unternehmens-VPN, das sich über dem Windows Active Directory befindet. Öffentlich ausgerichtete VPNs werden den ganzen Tag von Kennwortschätzern eingeschlagen, sodass diese Protokolle nichts Ungewöhnliches sind. Wenn ich jedoch das Kennwort des Benutzers auf dem 2FA-Bildschirm des VPN bestätigen lassen kann, kann ich zu seinem Laptop gehen und mich sicher anmelden, dass das Windows-Konto nicht gesperrt wird - was vom Benutzer / der IT sicherlich bemerkt wird. Die Frage weist korrekt auf eine Sicherheitslücke hin, die das Muster "Auf den 2FA-Bildschirm gelangt und nichts eingegeben / etwas Falsches eingegeben hat" auf jeden Fall als schwerwiegender als Ihr Standard "Falscher Benutzername / Passwort" kennzeichnen und den Endbenutzer benachrichtigen sollte Ziehen Sie ihr Passwort zurück.

Ich denke, das ist kein Problem. Bei der Multi-Faktor-Authentifizierung geht es nicht darum, zu verhindern, dass jemand Ihr Passwort errät, sondern dass sich jemand in Ihren Konten anmeldet.

Jetzt hat der Cracker möglicherweise Zugriff auf alle Benutzerkonten im Internet, von denen viele wahrscheinlich keine MFA implementiert haben, sodass der Benutzer vollständig anfällig für Angriffe ist.

Ein Angreifer wird nicht versuchen, ein Passwort bei Google zu erraten, das er nicht auch für die Bank, Facebook oder ähnliches versuchen wird. Nur weil jetzt bekannt gegeben wurde, dass es sich um ein gültiges Passwort handelt, ist der Angreifer der Gefährdung anderer Konten nicht näher gekommen. Das erratene Passwort musste aus einer Krippe mit Vermutungen mit hoher Wahrscheinlichkeit stammen, da eine echte Brute Force auf einem Live-System niemals funktionieren wird.

Wenn Sie nachweisen könnten, dass Websites mit 2FA schlechtere Anti-Vermutungs-Algorithmen haben (I. Ich wette, sie sind mindestens genauso gut, wenn nicht sogar besser.) Im Vergleich zu Websites, die keine 2FA anbieten, wäre Ihr Punkt gültig, da ein Angreifer einen missbrauchen und sich zum anderen drehen könnte. In der Realität ist es wahrscheinlich, dass das Gegenteil der Fall ist. Gleichzeitig investieren Websites, die in 2FA investieren, auch in Anti-Ratesysteme.

Theoretisch ist dies eine Möglichkeit (vorausgesetzt, die Site, die 2FA implementiert, verfügt über keinerlei Ratenbegrenzung oder Betrugserkennung, wie in den anderen Antworten dargelegt).

In der Praxis Es gibt auch den Usability-Faktor, über den man nachdenken muss. Stellen Sie sich vor, Sie haben ein Anmeldeformular erstellt, das einen Benutzer bei jedem Anmeldeversuch zur Eingabe von 2FA auffordert, dem Benutzer nur mitteilt, dass der Versuch nach dem 2FA-Schritt nicht erfolgreich war, und ihm nie mitteilt, ob das Kennwort oder das 2FA-Token ungültig war.

2FA ist anfangs schon ein großer Schmerz im Nacken - jedes Mal, wenn ich mich anmelde, muss ich nicht nur meinen Benutzernamen und mein Passwort eingeben, sondern auch mein Telefon (das sich möglicherweise in einem anderen Raum befindet) finden, es entsperren, Gehen Sie zu meinem Startbildschirm, suchen Sie meine 2FA-App und suchen Sie die richtige Site in der Liste. Dann ist der Code zwangsläufig fünf Sekunden nach Ablauf, sodass ich entweder warten muss, bis ein neuer Code angezeigt wird, oder versuchen muss, ihn sehr schnell einzugeben, bevor er abläuft.

(2FA-Systeme, die Die Verwendung von SMS oder Push-Benachrichtigungen ist in dieser Hinsicht besser, da sie auf meiner Smartwatch angezeigt werden - oder im Fall eines Benutzers, der keine Smartwatch besitzt, auf dessen Sperrbildschirm. In dem von uns in Betracht gezogenen Schema wäre dies jedoch der Fall Erlauben Sie einem Benutzer, mich mit endlosen Benachrichtigungen / SMS zu ärgern, solange er meinen Benutzernamen kennt, da er mein Passwort nicht richtig eingeben muss, um einen 2FA-Versuch auszulösen. Ich habe auch gehört, dass in einigen Ländern Telefonanbieter Ihnen Gebühren berechnen Für den Empfang von SMS-Nachrichten wäre dies an diesen Orten für Benutzer sogar noch schlimmer.)

Wenn Sie Ihre Benutzer dazu bringen, all dies zweimal durchzugehen, wenn sie ihr Passwort falsch eingeben, Der gesamte Prozess wird viel schmerzhafter, und Sie haben möglicherweise sogar weniger Leute, die 2FA verwenden, was Ihre Benutzer weniger sicherer macht n Durchschnitt.

Bei Systemen, bei denen 2FA / MFA "optional" ist, wie z. B. Google Mail oder Outlook.com, muss der Dienst den Aufwand für die Verwendung der 2-Faktor-Methode und die Sicherheit, die er für seine Site bringt, ausgleichen >. In einer perfekten Welt hätten Benutzer eindeutige, komplexe Passwörter für jede Site und verwenden immer 2FA, wenn verfügbar, aber in der realen Welt haben Sie Recht - Benutzer haben auf einem Dutzend Sites dasselbe Passwort und einen 2-Faktor Ein Mechanismus, der das Konto nicht automatisch sperrt und den Benutzer nach einigen ungültigen Anmeldeversuchen in einem relativ kleinen Fenster benachrichtigt, kann dazu führen, dass der Angreifer geduldig einige wahrscheinliche Vermutungen anstellt, bis er zur 2FA-Eingabeaufforderung gelangt Ich weiß, dass sie eine gültige Kombination aus Benutzername und Passwort haben. Bei all den öffentlich zugänglichen Kompromissen bei der Kennwortdatenbank auf großen Websites (wie z. B. LinkedIn), die Ihre E-Mail-Adresse als Login verwenden, kann ein Angreifer das Kennwort eines Benutzers relativ einfach logisch erraten, wenn der Benutzer sich nicht die Mühe gemacht hat, andere Websites zu aktualisieren , aber nur der, der "geknackt" wurde.

Für sicherheitskritische Apps (wie eine von mehreren, an denen ich arbeite) erfordert die Anmeldeaufforderung gleichzeitig Benutzername, Kennwort und 2-Faktor-Wert und es handelt sich um eine "Alles oder Nichts" -Authentifizierung. und wir sagen Ihnen nicht, WARUM Ihre Anmeldung fehlgeschlagen ist, es sei denn, Ihr Passwort ist abgelaufen (vorausgesetzt, Sie haben das richtige Passwort eingegeben, aber Sie müssen es nur ändern und mit einem anderen 2FA-Wert erneut eingeben, um tatsächlich Zugriff zu erhalten zur Bewerbung). Diese Anwendung hat eine "unverlierbare" Benutzerbasis und die 2FA wird von der Richtlinie benötigt, sodass sie nicht direkt mit den im OP erwähnten "2FA-optionalen" Sites vergleichbar ist.

Grundsätzlich stimme ich jedoch den obigen Kommentaren zu, dass ein "Token-on-Demand" sicherer ist als ein "Offline" -Token (wie RSA oder Google Authenticator), wenn Sie die 2-Schritt-Authentifizierung durchführen, weil Der Benutzer wird sofort wissen, dass jemand aufgrund unerwarteter SMS-Nachrichten, entweder "falsches Passwort" oder einer gültigen 2-Faktor-Zeichenfolge, versucht, auf sein Konto zuzugreifen, falls der Angreifer es richtig macht. Wenn die Site NUR bei erfolgreicher Anmeldung den SMS-2-Faktor-Wert sendet, ist dies für den von Ihnen genannten Punkt nutzlos, wenn der Benutzer informiert wird, BEVOR der Angreifer tatsächlich das richtige Kennwort erhält. Der Benutzer würde die gültige 2-Faktor-Zeichenfolge nur erhalten, wenn der Angreifer das richtige Kennwort hatte. Zu diesem Zeitpunkt ist es wahrscheinlich zu spät, und der Angreifer versucht bereits, dieselben Kombinationen aus Benutzername und Kennwort auf anderen Websites ohne 2FA zu verwenden, und der Benutzer muss sich an einem Computer befinden und verschlüsseln, um jedes Kennwort auf jeder Website zu ändern Sie verwenden es auf, was, wenn sie überall dasselbe Passwort wiederverwenden, so gut wie unmöglich ist, weil sie sich nicht an alle erinnern.

Letztendlich liegt es an der individuellen Implementierung, wie schädlich ein 2FA für andere Sites sein kann, die vom selben Benutzer verwendet werden. Im besten Fall handelt es sich um ein All-in-One-Login, wie ich es beschrieben habe, bei dem der Angreifer auch irgendwie sein 2FA-Gerät oder seine "magische Zeichenfolge" (Initialisierungstoken für etwas wie Google Authenticator) haben müsste, und wenn er das auch hat ist der Benutzer bereits gut kompromittiert.