Los investigadores de ciberseguridad han se\u00f1alado una vulnerabilidad de seguridad “cr\u00edtica” en la implementaci\u00f3n de autenticaci\u00f3n multifactor (MFA) de Microsoft que permite a un atacante eludir trivialmente la protecci\u00f3n y obtener acceso no autorizado a la cuenta de una v\u00edctima.<\/p>\n
“El bypass fue simple: tard\u00f3 alrededor de una hora en ejecutarse, no requiri\u00f3 interacci\u00f3n del usuario y no gener\u00f3 ninguna notificaci\u00f3n ni proporcion\u00f3 al titular de la cuenta ning\u00fan indicio de problema”, dijeron los investigadores de Oasis Security, Elad Luz y Tal Hason. dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n Tras una divulgaci\u00f3n responsable, el problema (con nombre en c\u00f3digo) AuthQuake<\/strong> \u2013 fue abordado por Microsoft en octubre de 2024.<\/p>\n Si bien el fabricante de Windows admite varias formas de autenticar usuarios<\/a> A trav\u00e9s de MFA, un m\u00e9todo implica ingresar un c\u00f3digo de seis d\u00edgitos desde una aplicaci\u00f3n de autenticaci\u00f3n despu\u00e9s de proporcionar las credenciales. Se permiten hasta 10 intentos fallidos consecutivos para una sola sesi\u00f3n.<\/p>\n La vulnerabilidad identificada por Oasis, en esencia, se refiere a la falta de l\u00edmite de velocidad y un intervalo de tiempo extendido al proporcionar y validar estos c\u00f3digos de un solo uso, lo que permite que un actor malicioso genere r\u00e1pidamente nuevas sesiones y enumere todas las posibles permutaciones del c\u00f3digo ( es decir, un mill\u00f3n) sin siquiera alertar a la v\u00edctima sobre los intentos fallidos de inicio de sesi\u00f3n.<\/p>\n Vale la pena se\u00f1alar en este punto que dichos c\u00f3digos est\u00e1n basados \u200b\u200ben el tiempo, tambi\u00e9n conocidos como contrase\u00f1as de un solo uso basadas en el tiempo (TOTP), en las que se generan utilizando la hora actual como fuente de aleatoriedad. Es m\u00e1s, los c\u00f3digos permanecen activos s\u00f3lo durante un per\u00edodo de unos 30 segundos, tras los cuales se rotan.<\/p>\n “Sin embargo, debido a posibles diferencias de tiempo y retrasos entre el validador y el usuario, se anima al validador a aceptar una ventana de tiempo mayor para el c\u00f3digo”, se\u00f1al\u00f3 Oasis. “En resumen, esto significa que un \u00fanico c\u00f3digo TOTP puede ser v\u00e1lido durante m\u00e1s de 30 segundos”.<\/p>\n En el caso de Microsoft, la empresa con sede en Nueva York descubri\u00f3 que el c\u00f3digo era v\u00e1lido hasta por 3 minutos, abriendo as\u00ed la puerta a un escenario en el que un atacante podr\u00eda aprovechar la ventana de tiempo extendida para iniciar m\u00e1s intentos de fuerza bruta. simult\u00e1neamente para descifrar el c\u00f3digo de seis d\u00edgitos.<\/p>\n “Es crucial introducir l\u00edmites a las tasas y asegurarse de que se implementen adecuadamente”, dijeron los investigadores. “Adem\u00e1s, los l\u00edmites de tasas pueden no ser suficientes; los intentos fallidos posteriores deber\u00edan provocar el bloqueo de la cuenta”.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/La-falla-de-Microsoft-MFA-AuthQuake-permitio-intentos-ilimitados-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n