MFA nije dovoljan: zašto vam treba MFA otporan na phishing

Zašto klasičan MFA pada na phishing

Problem nije u ideji drugog faktora, nego u tome što se kod može preneti. Napadač napravi lažnu stranicu za prijavu, vi unesete lozinku i kod, a on ih u realnom vremenu prosledi pravom servisu i uđe umesto vas. Ranjive su sve metode kod kojih čovek nešto prepisuje ili odobrava:

• SMS kod — najslabiji; podložan i preusmeravanju broja (SIM swap).
• Kod iz aplikacije (TOTP) — bolji od SMS-a, ali se i dalje može „upecati".
• Push „odobri prijavu" — ranjiv na zamaranje korisnika lažnim zahtevima dok neko ne klikne „odobri".

Sve ove metode dele istu slabost: ne proveravaju gde se zapravo prijavljujete.

Šta znači „otporan na phishing"

Phishing-otporan MFA vezuje prijavu za konkretnu adresu sajta i za uređaj. Ako adresa nije prava, prijava jednostavno ne radi — nema koda koji korisnik može greškom da da napadaču. Dve dominantne tehnologije:

• FIDO2 / sigurnosni ključevi — fizički USB/NFC ključ koji kriptografski potvrđuje i identitet i tačan sajt.
• Passkeys — isti princip, ugrađen u telefon ili računar, bez posebnog ključa.

Suština je u tome što tajna nikad ne napušta uređaj i vezana je za pravu adresu. Lažna stranica nema šta da ukrade.

Gde da počneš, a da ne paralizuješ firmu

Ne moraš sve odjednom. Redosled koji daje najveću zaštitu po uloženom trudu:

• Prvo administratori i privilegovani nalozi — oni su meta broj jedan.
• Zatim rukovodstvo i finansije — pristup novcu i osetljivim podacima.
• Pa ostatak firme, postepeno.

Za naloge koji još nisu prešli na ključeve, makar ukloni SMS kao metod i pređi na aplikaciju ili push sa dodatnom potvrdom (broj koji se mora ukucati, ne samo „odobri").

Tehnologija nije cela priča

Najjači MFA ne pomaže ako su procesi labavi:

• Definiši šta se radi kad zaposleni izgubi ključ ili telefon — bez „brze" zaobilaznice koju napadač može da zloupotrebi.
• Drži rezervni metod prijave (backup ključ ili kod) na sigurnom, da gubitak uređaja ne zaključa nalog.
• Obuči ljude da prepoznaju zamaranje push zahtevima — pravilo je jednostavno: ako nisi ti pokrenuo prijavu, nikad ne odobravaj.

Šta ovo znači za malu firmu

Sigurnosni ključevi i passkeys više nisu rezervisani za korporacije. Trošak je skroman u poređenju sa jednim uspešnim preuzimanjem naloga, a postavka za mali tim je pitanje dana, ne meseci. Realan cilj nije „100% odmah", nego: kritični nalozi na phishing-otpornom MFA, SMS izbačen svuda, i jasan plan za izgubljeni uređaj.

MFA koji imate je bolji nego ništa. Ali ako vam je na nalogu novac, podaci klijenata ili pristup celom sistemu, pitanje nije „imamo li MFA" — nego „da li bi naš MFA preživeo dobro napravljenu lažnu prijavu". Za većinu firmi odgovor je danas „ne", i baš to treba popraviti.