Attacchi di downgrade FIDO, nuova minaccia per l’autenticazione

I ricercatori di Proofpoint hanno identificato un sofisticato attacco di downgrade che potrebbe aggirare l’autenticazione basata su FIDO, esponendo gli obiettivi a minacce “adversary-in-the-middle” (AiTM).
Queste alcune tra le principali evidenze riscontrate dai ricercatori:

• Utilizzando un “phishlet” dedicato, gli attaccanti potrebbero effettuare il downgrade dell’autenticazione basata su FIDO a metodi meno sicuri, esponendo gli obiettivi a minacce “adversary-in-the-middle” (AiTM).
• Questo attacco sfrutta una lacuna apparentemente insignificante nella funzionalità, dove non tutti i browser web supportano il metodo di autenticazione “passkey” (FIDO2) con Microsoft Entra ID, consentendo agli attaccanti di falsificare un “user agent” non supportato e forzare un metodo di autenticazione meno sicuro.
• Sebbene siano tecnicamente possibili, i ricercatori di Proofpoint non hanno ancora osservato attacchi di downgrade dell’autenticazione FIDO “in the wild”, con l’attenzione degli attaccanti che rimane su account con altri metodi MFA o senza metodi MFA.

Nonostante la mancanza di un utilizzo osservato da parte degli attori delle minacce, Proofpoint considera gli attacchi di downgrade dell’autenticazione FIDO come una significativa minaccia emergente. Questi attacchi potrebbero essere condotti da avversari sofisticati e APT (in particolare attori sponsorizzati da stati o hacker tecnicamente esperti).

Sottolineano i ricercatori Proofpoint: “È importante notare che le “passkey” basate su FIDO restino un metodo di autenticazione altamente raccomandato per proteggersi dal phishing di credenziali prevalente e dalle minacce di account takeover (ATO).”

Guardando al futuro, man mano che cresce la consapevolezza dei rischi posti dal phishing AiTM e sempre più organizzazioni adottano metodi di autenticazione “resistenti al phishing” come FIDO, gli attaccanti potrebbero tentare di evolvere le tattiche, le tecniche e le procedure (TTP) esistenti incorporando il downgrade dell’autenticazione FIDO nelle loro “kill chain”.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.