Sicherheitslücke in Azure MFA geschlossen: Angreifer konnten Codes erraten

Microsoft Azure, die beliebte Cloud-Plattform des Tech-Giganten, bot bisher den Zugangsschutz durch Mehr-Faktor-Authentifizierung (MFA) an. Allerdings enthielt dieses System bis vor kurzem eine ernstzunehmende Schwachstelle, die es Angreifern ermöglichte, Verifikationscodes für MFA zu erraten und unberechtigt auf sensible Daten zuzugreifen.

Die IT-Forscher von Oasis haben diese Lücke in einem Blog-Beitrag öffentlich aufgedeckt und detailliert beschrieben. Ihr Vorgehen war bemerkenswert einfach: Durch das Erstellen einer Vielzahl parallel laufender Sessions und das automatisierte Ausprobieren verschiedener Verifikationscodes konnten sie innerhalb kürzester Zeit – rund eine Stunde – Millionen von möglichen Codekombinationen durchtesten.

Aufgrund fehlender Nutzerinteraktion und Warnmeldungen während des Prozesses blieb der Angriff für die Kontoinhaber unsichtbar.

Die Schwachstelle im Detail:

* Vielfältige Versuche: Die Forscher konnten bis zu zehn Fehlversuche pro Session zulassen, was es ermöglichte, parallel zahlreiche Versuche durchzuführen und so den Code-Raum effizient abzuarbeiten.
* Erweiterter Gültigkeitszeitraum: Während ein Verifikationscode in der Regel alle 30 Sekunden erneuert wird, tolerierte Microsoft eine längere Gültigkeit von etwa drei Minuten. Dies erlaubte deutlich mehr Versuche im Vergleich zu den Standard-Einstellungen und erhöhte die Erfolgschancen für Angreifer.
* Fehlende Grenzen: Oasis stieß auf keine technischen Hürden oder Limits, die dieses Vorgehen erschwert hätten. Innerhalb von 70 Minuten – über 24 Sessions hinweg – erreichten sie eine Wahrscheinlichkeit von über 50 Prozent, einen gültigen Code zu ermitteln.

Die Forscher betonten, dass dieser Angriff erfolgreich mehrfach nachgebildet wurde und ein ernstes Sicherheitsrisiko darstellte.

Microsoft reagiert: Nach Bekanntwerden des Problems reagierte Microsoft im Oktober mit einem finalen Fix. Die genauen Details der Lösung blieben vertraulich. Fest steht jedoch, dass ein deutlich strengeres Rate-Limit eingeführt wurde, um zukünftige Angriffe dieser Art zu verhindern.

Diese Episode unterstreicht die Wichtigkeit kontinuierlicher Sicherheitsüberprüfungen und Anpassungen in cloudbasierten Umgebungen. Sie zeigt auch, wie wichtig eine transparente Kommunikation zwischen Sicherheitsforschern und Technologieanbietern ist, um Schwachstellen zu beheben und Nutzer vor potenziellen Bedrohungen zu schützen.

Schlagwörter: Microsoft + MFA + Microsofts

Wie bewerten Sie den Schreibstil des Artikels?