Многофакторная аутентификация заметно усложняет взлом аккаунта, но не закрывает все пути для атаки. Злоумышленникам часто не нужно ломать TOTP или WebAuthn напрямую: достаточно найти ошибку в проверке одноразового кода, восстановлении доступа или настройках второго фактора.
Основные способы обхода MFA разберут 29 октября в 19:00 МСК на открытом онлайн-практикуме CyberED по защите MFA. В программу вошли типовые уязвимости веб-приложений и примеры из публичных bug bounty-отчётов.
Одна из распространённых ошибок возникает, когда приложение недостаточно строго проверяет результат аутентификации и позволяет манипулировать ответом сервера или статус-кодом. Другой риск связан с OTP: при отсутствии ограничения числа попыток короткий код можно перебрать, а повторное использование или слабая привязка к сессии упрощают обход защиты.
Проблемы встречаются и в многошаговых операциях. Race condition может нарушить последовательность запросов при включении, подтверждении или отключении MFA. Отдельно проверять необходимо альтернативные способы входа, включая сброс пароля, OAuth и SSO. Если такой маршрут не требует второго фактора, атакующий может обойти основную схему авторизации.
Настройки MFA также требуют дополнительной защиты. Уязвимости IDOR и CSRF, а также возможность отключить второй фактор без повторного ввода пароля или OTP способны дать злоумышленнику контроль над учётной записью.
Практикум проведёт Кирилл Николаев, лид команды пентестеров и специалист по веб-безопасности. Разбор рассчитан на специалистов по информационной безопасности, разработчиков, AppSec-инженеров, пентестеров и bug bounty-исследователей. Участие проходит онлайн по регистрации.
