Forscher umgehen Microsofts Multi-Faktor-Authentifizierung mit Brute-Force-Methode

MÜNCHEN (IT BOLTWISE) – Forscher von Oasis Security haben eine gefährliche Schwachstelle in Microsofts Multi-Faktor-Authentifizierung entdeckt.

Sicherheitsforscher von Oasis Security haben eine Methode entwickelt, um die Multi-Faktor-Authentifizierung (MFA) von Microsoft-Diensten wie Outlook, Onedrive und Teams zu umgehen. Der Angriff basiert auf Brute-Force-Angriffen gegen die 6-stelligen TOTP-Codes (Time-based One-time Passwords), die bei der Anmeldung als zusätzlicher Schutzfaktor genutzt werden.

Die Methode nutzt die Tatsache aus, dass TOTP-Codes nicht sofort nach Ablauf ihrer empfohlenen Gültigkeit ungültig werden. Bei Microsoft blieben diese Codes bis zu drei Minuten gültig, was den Angreifern ein Zeitfenster für systematische Versuche bot. Je Sitzung waren bis zu zehn Fehleingaben erlaubt, jedoch konnten die Forscher diese Einschränkung durch parallele Sitzungen umgehen, was eine Vielzahl von Eingabeversuchen ermöglichte.

Die Wahrscheinlichkeit, einen gültigen Code innerhalb eines dreiminütigen Zeitraums zu erraten, lag laut Bericht bei drei Prozent. Bei aufeinanderfolgenden Angriffen stieg diese Wahrscheinlichkeit auf über 50 Prozent. Kontobesitzer erhielten während des Angriffs keine Warnungen über die hohe Anzahl fehlgeschlagener Versuche, was die Angriffsstrategie unauffällig und besonders gefährlich machte.

Microsoft hat auf die Berichte reagiert und seit Oktober 2023 eine dauerhafte Lösung implementiert, die ein strengeres Ratenlimit umfasst. Details zu den genauen Änderungen wurden nicht veröffentlicht.