सभी MFA बराबर नहीं होते: फ़िशिंग-प्रतिरोधी प्रमाणीकरण की ओर बढ़ना

संक्षेप में: SMS और पुश-आधारित MFA अब भी थोक हमलों को रोकते हैं, पर आधुनिक फ़िशिंग किट उन्हें मात दे देती हैं। पासकी और हार्डवेयर key जैसे फ़िशिंग-प्रतिरोधी कारक उस अंतर को बंद करते हैं जो वन-टाइम कोड खुला छोड़ देते हैं।

MFA ने बार ऊँचा किया — फिर हमलावर ढल गए

मल्टी-फ़ैक्टर ऑथेंटिकेशन ने क्रेडेंशियल-स्टफ़िंग की सफलता को नाटकीय रूप से घटाया, और वह जीत असली है। पर हमलावर रियल-टाइम फ़िशिंग-प्रॉक्सी और MFA-थकान वाले हमलों की ओर बढ़ गए, जो वन-टाइम कोड बटोरते हैं या उपयोगकर्ता को पुश-प्रॉम्प्ट से तब तक थकाते हैं जब तक वह एक स्वीकार न कर दे।

कमज़ोरी है साझा सीक्रेट: कोई भी कारक जिसे उपयोगकर्ता पढ़ और दोबारा टाइप कर सकता है, हमलावर रिले कर सकता है।

फ़िशिंग-प्रतिरोधी का असल मतलब क्या है

• क्रेडेंशियल मूल-डोमेन से बंधे होते हैं, ताकि कोई नक़ली-दिखने वाला डोमेन उन्हें रिले न कर सके।
• उपयोगकर्ता द्वारा कॉपी किए गए किसी कोड के बजाय क्रिप्टोग्राफ़िक स्वामित्व-प्रमाण।
• पासकी और FIDO2 हार्डवेयर key सबसे मज़बूत व्यापक रूप से उपलब्ध विकल्पों के रूप में।
• पुश और SMS केवल फ़ॉलबैक के रूप में रखे जाएँ, विशेषाधिकार-प्राप्त एक्सेस के लिए कभी एकमात्र कारक के रूप में नहीं।

एक व्यावहारिक रोलआउट

आपको पूरा समंदर उबालने की ज़रूरत नहीं है। सबसे ज़्यादा मायने रखने वाले खातों से शुरू करें — प्रशासक, फ़ाइनेंस, और कोई भी जो बदलाव स्वीकृत कर सकता है — और वहाँ पहले फ़िशिंग-प्रतिरोधी कारक अनिवार्य करें। जैसे-जैसे एनरोलमेंट टूलिंग और डिवाइस-सपोर्ट आगे बढ़े, कवरेज बढ़ाएँ।

KENSAI की पॉस्चर-जाँचें आपको यह देखने में मदद करती हैं कि कमज़ोर ऑथेंटिकेशन अब भी कहाँ संवेदनशील एक्सेस को गेट करता है, ताकि रोलआउट अंदाज़े के बजाय असल जोखिम को लक्षित करे।

उपयोगकर्ताओं को बाधित किए बिना इसे रोल आउट करना

पासकी और हार्डवेयर सिक्योरिटी key जैसे फ़िशिंग-प्रतिरोधी तरीक़े उन हमलों को मात देते हैं जिन्हें पुश-नोटिफ़िकेशन और वन-टाइम कोड नहीं दे सकते, क्योंकि किसी नक़ली पेज के पकड़ने के लिए कोई साझा सीक्रेट होता ही नहीं। यह माइग्रेशन जितना टेक्नोलॉजी का है उतना ही चेंज-मैनेजमेंट का भी है।

सबसे ज़्यादा जोखिम वाले खातों से शुरू करें, प्रशासकों और उन सभी से जो पैसे या डेटा हिला सकते हैं, फिर लहरों में कवरेज बढ़ाएँ। हर उपयोगकर्ता के लिए एक बैकअप key रजिस्टर करें, एक जाँची-परखी रिकवरी-राह तय करें जो ख़ुद भी फ़िशिंग-प्रतिरोधी हो, और अपनाव को मापें ताकि कमज़ोर फ़ॉलबैक तरीक़ों को अंदाज़े के बजाय भरोसे के साथ बंद किया जा सके।

निष्कर्ष

MFA ज़रूरी है पर अब अकेले पर्याप्त नहीं। फ़िशिंग-प्रतिरोधी कारक रिले-योग्य सीक्रेट हटा देते हैं, और उन्हें पहले उच्च-विशेषाधिकार खातों में रोल आउट करना सबसे तेज़ी से सबसे ज़्यादा जोखिम घटाता है।