Dirk-jan Mollema, az Outsider Security cég kiberbiztonsági kutatója felfedezett egy token érvényesítési sebezhetőséget, amely lehetővé tette volna a teljes hozzáférés megszerzését bármely Entra ID tenanthoz.

Biztonsági kutatók egy új, kifinomult támadási módszert tártak fel, amely a hibrid Active Directory (AD) és Microsoft Entra ID rendszerek gyengeségeit használja ki azonosítási folyamatok megkerülésére és érzékeny adatok kinyerésére. A technikát Dirk-jan Mollema mutatta be a Black Hat USA 2025 konferencián, hangsúlyozva, hogy a módszer különösen azokra a szervezetekre jelent veszélyt, amelyek az on-premises AD-t Azure Entra ID-val szinkronizálják.

2024 vége óta több tízezer vállalati felhasználói fiók esett áldozatául egy újonnan felfedezett, szervezetten végrehajtott fiókátvételi kampánynak. A Proofpoint biztonsági kutatói azonosították a UNK_SneakyStrike névre keresztelt műveletet, amely során a támadók egy nyílt forráskódú eszközt, a TeamFiltration keretrendszert használták ki a Microsoft Entra ID (korábban Azure Active Directory) környezetek kompromittálásához.

A két faktorból az első faktor a már meglévő felhasználó és jelszó páros, ami továbbra is ugyanaz marad. A második faktor vagy email-en érkezik - ez az új szolgáltatás - vagy egy egyszer használatos jelszó (biztonságosabb), amelyet valamilyen módon elő kell tudni állítani. Az első megoldás természetesen aktív internet kapcsolatot igényel, hogy a levelet is megkapja a felhasználó. A második lehetőség szerinti kód előállítása nem igényel internet-kapcsolatot, de a regisztrációs folyamathoz szükség van internet elérésre.

A két faktoros hitelesítés mögött egy-egy titkos kulcs van, tehát a titkos kulcs és a pontos idő által előállítható az az (általában) hat számjegyből álló számsor, amely 30 másodpercenként megújul és a bejelentkezés második faktoraként biztosítja a biztonságosabb belépést.  Emiatt fontos, hogy az időalapú azonosító kódgeneráláshoz az okostelefon, a butatelefon, a számítógép, a tablet, a laptop rendszerórája mindig a pontos időre legyen beállítva.

Egyszerű beállítási lehetőség Android telefonon a magyar nyelven is elérhető Aegis Authenticator segítségével. A két faktorból az első faktor a már meglévő felhasználó és jelszó páros, ami továbbra is ugyanaz marad. A második faktor pedig egy 30 másodpercenként megújuló hat számjegyű egyszer használatos kód, amelyet az Aegis Authenticator fog adni. Ez a kódgenerálás internet kapcsolatot nem igényel, a telepítéshez viszont kell internet (WiFi), mert az alkalmazást le kell tölteni. Mivel állandóan változik, nem kell leírni.

A lényeg: Nem kell tőle tartani! A két faktorból az első faktor a már meglévő felhasználó és jelszó páros, ami továbbra is ugyanaz marad. A második faktor pedig egy egyszer használatos jelszó, amelyet valamilyen módon elő kell tudni állítani. A kód előállítása nem igényel internet-kapcsolatot, de a regisztrációs folyamathoz szükség van internet elérésre. Ezt a kibővített biztonságot nyújtó változatot nevezik Ügyfélkapu+-nak. A kétlépcsős azonosítás célja, hogy emelje az elektronikus azonosítás biztonsági szintjét és támogassa a biztonságtudatos felhasználókat. Ezeket a második faktorként szolgáló kódgeneráló eszközöket használhatja a Google, a Facebook és számos más eszköz biztonságosabb használatához. De készítse el a szükséges biztonsági mentéseket is. Könyvelők és adótanácsadók számára érdekes lehet, hogy a második faktor több eszközön is létezhet, így ők is be tudhatnak az Ügyfélkapu+-szal lépni, de a legjobb megoldás, ha meghatalmazással dolgozik a könyvelő vagy adótanácsadó a magánszemély, az egyéni vállalkozó vagy a cég ügyvezetője, mint megbízó által.

Lehetséges megoldások:

• Modern mobiltelefonon, vagy táblagép egy app segítségével – ez a legjobb megoldás;
• Számítógépen, notebookon egy program segítségével – ez egy megfelelő megoldás;
• Weboldalon – ez a legkevésbé jó megoldás;
• Régi mobiltelefonon – ez egy jó megoldás, ha J2ME kompatibilis mobiltelefonja van.