本記事では、認証要素の一種であるOneLogin Protectにプッシュ通知を送信しないことで、多要素認証（MFA）疲労攻撃を回避する方法をご紹介します。管理者はポリシーでプッシュ通知の送信を一括制御でき、停止時はOTPコードの手入力や生体認証が利用可能です。設定変更は即時反映され、ユーザー通知は不要です。
サイバー攻撃対策として、多要素認証（MFA）が広く普及しています。しかし、システムの脆弱性のみならず、ユーザーの誤操作を狙う攻撃も増加傾向にあります。本記事では、ユーザーの誤操作を悪用する「多要素認証疲労攻撃」とその対処法をご紹介します。
OneLoginアップデートによる多要素認証疲労攻撃への対処
OneLoginは、ユーザーポリシーの設定画面に Disable OneLogin Protect push notifications という項目を追加し、ユーザーがOneLogin Protectのプッシュ通知を有効または無効にできるようになりました。
目次
多要素認証疲労攻撃の流れ
- 攻撃者は、予め不正に入手したユーザー名とパスワードを入力します
- ユーザーにログインを承認するようプッシュ通知が送信されます
- ユーザーはプッシュ通知を無視または［× Deny］を選択して拒否しますが、攻撃者は何度もプッシュ通知を送信します
- ユーザーが誤って［✓ Accept］を選択し、プッシュ通知を承認した場合、攻撃者はMFAを突破することができます
このように、多要素認証疲労攻撃は人為的なミスを悪用するものであり、標的となったエンドユーザーが攻撃を受けていることに気付かずにプッシュ通知を承認してしまうリスクがあります。
この問題に対処するには、MFAの試行回数を制限する か、プッシュ通知を無効にする かのいずれかの対策が有効です。OneLoginは、OneLogin Protectのプッシュ通知を無効にする ポリシー設定を可能とするアップデートをリリースしました。
プッシュ通知の無効化
*プッシュ通知が無効化されてもエンドユーザーには通知されないため、設定変更前に社内で周知することを推奨します。
- OneLoginに管理者でログインし、管理 を開きます
- Security > Policies を開きます
- プッシュ通知を無効化するユーザーポリシーを選択します
-
MFA タブに移動し、Disable OneLogin Protect push notifications > Disable push notifications にチェックを入れ、［Save］をクリックします
プッシュ通知の無効化は以上です。設定は即時反映され、エンドユーザーによる操作は不要です。プッシュ通知が無効化されたポリシーが適用されているユーザーには、今後プッシュ通知が届かなくなります。
プッシュ通知を無効化した場合の認証操作
- プッシュ通知を無効化した場合、ユーザーはOneLogin Protectアプリに表示されているOTPコードを手入力します
OTP表示時の生体認証要求
- Security > Authentication Factors を開きます
-
OneLogin Protect を選択します
-
Enable biometric verification (requires 4.4 and up) にチェックを入れ、［Save］をクリックします
- OTPコードが表示されていない状態で Tap to unlock をタップすると生体認証が要求されます
プッシュ通知の再有効化
- OneLoginに管理者でログインし、管理 を開きます
- Security > Policies を開きます
- プッシュ通知を再有効化するユーザーポリシーを選択します
-
MFA タブに移動し、Disable OneLogin Protect push notifications > Disable push notifications のチェックを外し、［Save］をクリックします
プッシュ通知の再有効化は以上です。設定は即時反映され、エンドユーザーによる操作は不要です。