如何解决双因素和多因素身份认证的大问题
但是有一个大问题：很普遍地，人们把短信作为第二个因素。这就把电话号码变成了数字身份设备——这个角色被设计得很糟糕。如果有人丢失了智能手机或智能手机被盗，他们也无法获得身份验证信息。更糟糕的是，攻击者可以将电话号码转移给另一个人，这个人将会收到身份验证请求信息。以下是如何处理2FA和MFA的电话问题：
双因素和多因素认证的原理
这两种预防措施都可以使用多个“身份验证因素”，这些因素可能是用户知道的、拥有的或者是属于他们自身的一部分（比如指纹）。
其中最常见的组合之一是用户名和密码（用户知道的东西），再加上通过短信发送到用户智能手机（用户拥有的东西）里的消息、链接或代码。
但也还有其他的因素，身份验证因素可以是个人识别码、个人相关的（例如，母亲的娘家姓）、钥匙链、您的脸或许多其他因素。
现实生活中的多因素身份验证
它每天使用一百万次。用户会忘记密码，或选择更改密码。或者他们从不同的地点访问网站，或者使用不同的设备按固定时间表检查用户访问网站。因为，该网站会通过短信向用户的手机发送代码、链接或密码。
这样做的问题在于，它假设只有原始的、真实的用户才能访问与文本配对的电话号码。这是一个糟糕的假设。
在过去，人们认为只有原始的签名者才能按照他们的方式书写签名。这是一个很好的假设。当我们假设只有真实用户才能拥有注册人的人脸或指纹时，这也是一个很好的假设。但是只拥有一个电话号码？不太可能。
事实证明，威胁行为者可以找出无线提供商网站上的哪些电话号码是“回收的”号码——曾经使用过的但现在被弃用了。然后，它们可以与在暗网上出售的泄露的登录凭证相匹配。通过访问电话号码，他们可以通过重置密码（用他们的新号码确认）来劫持账户。
循环使用电话号码的问题
普林斯顿大学的研究人员抽样了两家美国无线运营商提供的259个电话号码。他们发现，其中171个与各个网站上的当前账户相匹配，100个与网络上泄露的登录凭证相匹配。
有趣的是，研究人员还注意到电话公司以连续号码块的形式提供新号码。但会以非连续的块显示回收的数字，揭示了它们以前被使用过的事实。据研究人员称，攻击者可以自动发现这些数字。
研究人员还监测了200个回收的号码。在一周内，他们发现大约10%的人收到了针对上一个机主的隐私或安全相关信息。
普林斯顿大学的研究直接指出了依赖电话号码的2FA和MFA网络安全的巨大漏洞。但事实也是如此。
此外，一名为 TwoFactorAuth.org的众包项目发现，近三分之一（30%）通过短信使用2FA。（大约40%的用户支持身份验证应用程序。）
超越短信代码
基于文本的身份验证不会在某人的号码更改时失败。网络犯罪分子可以使用任意数量的专用无线系统拦截短信。攻击者可以欺骗、勒索或贿赂电话公司的员工，将电话号码转移到网络犯罪分子的SIM卡（称为SIM交换）。基于短信的代码也可以通过网络钓鱼工具获得。
底线是，电话号码可以分配给多个人。攻击者（或意外事故）可以将手机与机主分开。他们可以拦截文本或以其他方式侵入消息传递。因此，由于多种原因，包括短信在内的2FA或MFA远不如许多其他方法安全。
那么MFA的密码元素怎么样呢？
换句话说，在所有可用于多因素认证的因素中，目前最常见的是1)用户名/密码；以及2）文本。
短信和智能手机是不安全的方法已经够糟糕了，但用户名和密码也是如此。太多的用户在多个网站重复使用他们的弱密码，威胁行为者窃取了太多的这些密码，并在暗网上提供给其他网络罪犯。
提高2FA安全性和MAF的关键是要求使用强大的密码和使用密码管理器。接下来，禁止基于文本的身份验证，转而采用更安全的方式，比如身份验证应用程序。有了这些，您将会拥有第一道防线。
来源网站：securityintelligence.com 沃通WoTrus原创翻译整理，转载请注明来源
