마이크로소프트 애저 다중인증 매커니즘에서 심각한 우회 취약점 발견돼

마이크로소프트 애저 다중인증 매커니즘에서 심각한 우회 취약점 발견돼

마이크로소프트 애저 다중인증 매커니즘에서 심각한 우회 취약점 발견돼

 

• 취약점 개요
  • MS 다중인증 환경에서 우회 취약점 발견, 4억 개 이상의 유료 계정이 위협받을 가능성 있음
  • 취약점을 악용하면 다중인증 단계를 우회해 MS 계정(아웃룩, 원드라이브, 팀즈, 애저 클라우드 등)에 무단 접근 가능
• 취약점 세부 내용
  • 로그인 시 10회의 실패 허용 이후 새로운 세션 생성 및 시도 가능
  • 시간 기반 일회용 비밀번호(Time-Based One-Time Password, TOTP)가 3분 동안 유효
    • 일반적인 30초 간격 생성 방식보다 훨씬 긴 유효 시간 제공
    • 여러 세션을 동시에 생성하면 공격자가 최대 70분간 인증 코드 추측 가능
  • 실험 결과, 공격 성공 확률이 50% 이상으로 상승
• MS의 대응 조치
  • 로그인 시도 실패에 대한 속도 제한 강화
  • 일정 실패 수 초과 시 제한 조치 지속 시간 반나절로 연장
  • MS 측의 내부 조치로 현재는 문제 해결 상태
• 안전한 계정 보호를 위한 권장 사항
  • 다중인증 활성화
    • 완벽하지는 않으나 비밀번호 기반 계정보다 훨씬 강력한 보호 제공
  • 크리덴셜 유출 상황 모니터링
    • 비밀번호나 인증 코드가 유출되었는지 정기적으로 확인
  • 로그인 실패 경고 활성화
    • 실패 시 알림을 설정해 계정 접근 시도를 빠르게 감지
• 결론
  • 다중인증은 강력한 보호 수단이나 그 자체로 100% 안전하지 않음
  • 다중인증 시스템도 적절한 관리와 보완이 필요
  • 사용자는 알림 설정 및 계정 보호 습관을 통해 보안 위험을 최소화해야 함