ข้อบกพร่องใน Microsoft Authenticator ทำให้บัญชี MFA ถูกเขียนทับและผู้ใช้ถูกล็อกเอาต์

 (csoonline.com)
2 คะแนน โดย GN⁺ 2024-08-18 | 1 ความคิดเห็น | แชร์ทาง WhatsApp

ปัญหาของ Microsoft Authenticator

  • Microsoft Authenticator มีปัญหาเขียนทับบัญชีเดิมเมื่อเพิ่มบัญชีใหม่ด้วย QR code
  • ส่งผลให้ผู้ใช้ไม่สามารถเข้าถึงบัญชีได้และเกิดความไม่สะดวกอย่างมาก
  • สาเหตุของปัญหาคือ Microsoft Authenticator ใช้เพียงชื่อผู้ใช้ในการระบุบัญชี
  • แอปอื่นอย่าง Google Authenticator หลีกเลี่ยงปัญหานี้ด้วยการเพิ่มชื่อผู้ออกให้กับบัญชี

ความร้ายแรงของปัญหา

  • Microsoft Authenticator จะเขียนทับบัญชีที่มีชื่อผู้ใช้เดียวกัน ซึ่งมักเกิดขึ้นเมื่อใช้อีเมลเป็นชื่อผู้ใช้
  • เมื่อเกิดการเขียนทับ ก็ยากที่จะรู้ว่าบัญชีใดถูกเขียนทับไป
  • ผู้ใช้มักจะเพิ่งรู้ตัวเมื่อพยายามใช้งานบัญชีนั้นในภายหลัง

วิธีแก้ไข

  • วิธีที่ง่ายที่สุดคือใช้งานแอปยืนยันตัวตนอื่น
  • อีกทางหนึ่งคือป้อนโค้ดด้วยตนเองแทนการสแกน QR code
  • ปัญหานี้มีมาตั้งแต่ Microsoft Authenticator เปิดตัวในปี 2016

เสียงร้องเรียนจากผู้ใช้

  • มีการร้องเรียนเกี่ยวกับปัญหานี้มาตั้งแต่ปี 2020 แต่ Microsoft ยังไม่ได้แก้ไข
  • วิธีป้อนข้อมูลด้วยตนเองไม่มีประสิทธิภาพในสภาพแวดล้อมองค์กร

กรณีของ Brett Randall

  • Brett Randall ที่ปรึกษาไอทีชาวออสเตรเลีย ได้โพสต์ถึงปัญหานี้บน LinkedIn เมื่อไม่นานมานี้
  • เขาอธิบายว่าเมื่อสแกน QR code นั้น Microsoft Authenticator จะเขียนทับคีย์ TOTP ของแอปพลิเคชันอื่น
  • แอปยืนยันตัวตนอื่นจะรวมชื่อผู้ออกและป้ายกำกับเพื่อสร้าง ID ที่ไม่ซ้ำกัน แต่ Microsoft ใช้เพียงป้ายกำกับเท่านั้น

ความเห็นจากผู้เชี่ยวชาญ

  • ผู้เชี่ยวชาญด้านความปลอดภัยและไอทีหลายคนสามารถทำให้ปัญหานี้เกิดซ้ำได้
  • Tim Erlin รองประธานฝ่ายผลิตภัณฑ์ของ Wallarm ระบุว่าปัญหานี้ทำให้ผู้ใช้ถูกล็อกเอาต์ และถือเป็นข้อบกพร่องด้านการออกแบบ
  • David Meltzer ประธานเจ้าหน้าที่ฝ่ายผลิตภัณฑ์ของ Netography เคยประสบปัญหานี้ด้วยตนเองและมองว่าเป็นบั๊ก

ท่าทีของ Microsoft

  • Microsoft มองว่าปัญหานี้เป็นฟีเจอร์ และโยนความผิดไปที่ผู้ใช้หรือผู้ออก
  • Microsoft อ้างว่ามีข้อความถามยืนยันผู้ใช้ว่าจะเขียนทับการตั้งค่าบัญชีหรือไม่
  • อย่างไรก็ตาม ข้อความดังกล่าวมีลักษณะชวนให้ผู้ใช้ดำเนินการเขียนทับต่อ

ข้อเสนอแนะแนวทางแก้

  • Brett Randall เสนอว่าควรตรวจสอบ otpauth ของทุกแอปพลิเคชัน หรือไม่ก็ Microsoft ต้องแก้ปัญหานี้
  • จากการทดสอบแอปยืนยันตัวตน 14 ตัว พบว่ามีเพียง Microsoft Authenticator ที่ประสบปัญหานี้

สรุปโดย GN⁺

  • Microsoft Authenticator มีปัญหาเขียนทับบัญชีเดิมเมื่อเพิ่มบัญชีใหม่
  • ปัญหานี้สร้างความไม่สะดวกอย่างมากทั้งต่อผู้ใช้และองค์กร ขณะที่แอปยืนยันตัวตนอื่นสามารถหลีกเลี่ยงได้
  • Microsoft ไม่ได้แก้ปัญหานี้ และกลับโยนความผิดไปที่ผู้ใช้หรือผู้ออก
  • แนะนำให้ใช้แอปยืนยันตัวตนอื่นเพื่อหลีกเลี่ยงปัญหานี้

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-08-18
ความเห็นจาก Hacker News

  • เหตุผลที่เลือกใช้ Microsoft Authenticator คือ Microsoft บังคับให้ต้องใช้

    • ไม่อนุญาตให้ใช้แอป OTP อื่น และไม่มีเครื่องมือให้ผู้ดูแลระบบปิดการใช้งานสิ่งนี้ได้
    • QR โค้ดไม่ใช่ TOTP มาตรฐาน จึงทำให้ไคลเอนต์อื่นปฏิเสธ
    • จะได้ QR โค้ด TOTP จริงก็ต่อเมื่อเข้าไปผ่านลิงก์ "ใช้แอปอื่น" เท่านั้น

  • ปัญหาด้านความปลอดภัยและการใช้งานเป็นปัญหาใหญ่

    • ผู้ใช้ต้องเจอกับความไม่สะดวกมากมาย เช่น รอบการเปลี่ยนรหัสผ่าน กฎรหัสผ่านที่ซับซ้อน และข้อกำหนดรหัสผ่านที่ไม่ได้มีการจัดทำเอกสาร
    • มีการรั่วไหลของข้อมูลเกิดขึ้นบ่อยครั้งจากช่องโหว่ของระบบความปลอดภัยเอง

  • อีเมลที่ได้รับจาก Microsoft ดูเหมือนฟิชชิง

    • ได้รับอีเมลให้เปิดใช้งาน MFA แต่จริง ๆ แล้วไม่ได้ดูแลองค์กรใดที่เกี่ยวข้องกับ Microsoft
    • ในอีเมลไม่มีชื่อหรือชื่อองค์กร มีเพียง UUID เท่านั้น

  • มีข้อสงสัยเกี่ยวกับการที่ Microsoft Authenticator จัดเก็บรายการโดยอิงตามเลเบล

    • ไม่มีการสร้างคีย์ภายใน และหากเว็บไซต์ไม่ได้ใส่ข้อมูลในฟิลด์ผู้ออกให้ ก็จะเกิดปัญหา
    • ทำให้น่าสงสัยว่าภายใน Microsoft เองได้ใช้งาน Authenticator จริงหรือไม่

  • เคยมีประสบการณ์สูญเสียการเข้าถึงบัญชี GitHub เพราะบั๊กของ Safari

    • Safari เคยมีบั๊กที่เขียนทับรหัสผ่านโดยไม่มีการเตือน
    • ตอนนี้แก้ไขแล้ว แต่ยังคงมีบั๊กที่แยกความแตกต่างของซับโดเมนไม่ได้

  • ปัญหาการเข้าถึงบัญชี Google

    • หลังจากเปลี่ยนประเทศและคอมพิวเตอร์ ก็ไม่สามารถเข้าถึงบัญชี Google ได้
    • แม้จะใช้อีเมลสำหรับกู้คืนก็ยังแก้ปัญหาไม่ได้
    • สถานการณ์ที่ต้องจำที่อยู่อีเมลสำหรับกู้คืนราวกับเป็นรหัสผ่านนั้นไม่สะดวก

  • คำวิจารณ์ต่อการเลือกบริการของ Microsoft

    • Microsoft ผลักภาระความรับผิดชอบไปให้ผู้ใช้และไคลเอนต์
    • ระบบนิเวศของ Windows ซับซ้อนและใช้งานยากขึ้น
    • มีการเพิ่มฟีเจอร์ใหม่ใน MS Teams แต่ปัญหาเดิม ๆ ก็ยังไม่ได้รับการแก้ไข

  • สามารถใช้หลายบัญชีที่มีชื่อผู้ใช้เดียวกันได้

    • อาจเป็นข้อบกพร่องด้านการออกแบบ แต่สามารถใช้ชื่อผู้ใช้เดียวกันบนเว็บไซต์อื่นได้

  • การสร้างบัญชี Hotmail ไม่เป็นมิตรกับผู้พิการทางสายตา

  • ปัญหาที่ Microsoft Authenticator ติดตามตำแหน่ง

    • การติดตามตำแหน่งถูกมองว่าเป็นปัญหาที่ใหญ่กว่า