Tous les schémas d'authentification à deux facteurs ne sont pas identiques. Certaines formes de 2FA, telles que l'envoi d'un message texte, ne sont pas protégées contre cette attaque. D'autres formes de 2FA, telles que FIDO U2F, sont sécurisées contre cette attaque - elles ont été délibérément conçues avec ce type d'attaque à l'esprit.

FIDO U2F fournit deux défenses contre l'homme-dans-le- attaque intermédiaire:

1. Inscription - L'utilisateur enregistre son appareil U2F avec un site Web particulier ("origine"), tel que google.com . Ensuite, le dispositif U2F ne répondra qu'aux demandes d'authentification provenant d'une origine enregistrée; si l'utilisateur est amené à visiter goog1e.com (un site de phishing), l'U2F ne répondra pas à la demande, car il peut voir qu'il provient d'un site qu'il n'a pas été précédemment enregistré avec.

2. ID de canal et liaison d'origine - U2F utilise l'extension d'ID de canal TLS pour empêcher les attaques man-in-the-middle et activez l'appareil U2F pour vérifier qu'il communique avec le même site Web que celui que l'utilisateur visite dans son navigateur Web. De plus, le périphérique U2F sait à quelle origine il pense parler et sa réponse d'authentification signée inclut une signature sur l'origine à laquelle il pense parler. Ceci est vérifié par le serveur. Ainsi, si l'utilisateur est sur goog1e.com et que cette page demande une authentification U2F, la réponse de l'appareil U2F indique que sa réponse n'est bonne que pour la communication avec goog1e.com - si l'attaquant tente de relayer cette réponse à google.com , Google peut remarquer que quelque chose ne va pas, car le mauvais nom de domaine est présent dans les données signées.

Ces deux fonctionnalités impliquent l'intégration entre le dispositif d'authentification à deux facteurs U2F et le navigateur de l'utilisateur. Cette intégration permet à l'appareil de savoir quel nom de domaine (origine) le navigateur visite, et cela permet à l'appareil de détecter ou d'empêcher le phishing et les attaques de type "man-in-the-middle".

En savoir plus sur ce mécanisme :

• Un extrait de la spécification FIDO U2F, concernant les défenses contre les attaques MITM.

• Explication de Yubico sur les flux de protocole.

Hors bande, 2FA est la bonne approche. Cela signifie que vous avez un deuxième facteur qui ne peut pas être hameçonné, comme un certificat client ou FIDO U2F. Les codes ou les modèles 2FA basés sur SMS sont les options 2FA les plus faibles car ils sont dans la bande et, comme vous l'avez décrit, peuvent être hameçonnés tout comme les informations d'identification.

Ils sont pratiques car ils peuvent être utilisés par presque tout le monde, et ils sont certainement meilleurs que rien, mais la sécurité qu'ils fournissent ne doit jamais être confondue avec la sécurité fournie par 2FA hors bande.

C'est l'une des situations dans lesquelles un gestionnaire de mots de passe (dans le navigateur) vous aidera.

Étant donné qu'un gestionnaire de mots de passe stocke les mots de passe par leur URL réelle, il ne se remplira pas automatiquement dans la page de l'attaquant, ni même faire des suggestions. En plus de ne pas divulguer le jeton de mot de passe en 2 étapes, il protège également le mot de passe contre toute fuite.

Cette protection fonctionne encore mieux si l'utilisateur ne connaît pas son propre mot de passe et ne peut interagir que via le gestionnaire de mots de passe pour remplir le mot de passe.

En fin de compte, si un attaquant peut vous tromper en fournissant toutes les informations d'identification, alors la partie est terminée. Peu importe le nombre de facteurs impliqués. Il y a des choses qui peuvent aider à limiter l'exposition, comme des délais d'expiration très courts pour les jetons qui empêchent un attaquant d'obtenir et de réutiliser le jeton dans le délai imparti. Cependant, les délais d'attente ont une protection limitée car il peut être difficile de trouver le bon équilibre, en particulier avec le `` faux '' 2FA, qui est devenu si répandu et où vous devez autoriser des retards de choses comme la livraison de SMS pour éviter les problèmes d'utilisabilité (j'ai vu cela en utilisant international services basés sur des services où la livraison des SMS peut être plus lente et le jeton expire avant que vous puissiez le recevoir et le saisir dans le navigateur).

De nombreux systèmes appelés 2FA ne sont pas vraiment 2FA du tout - ils le sont en fait 2SA (authentification en deux étapes). Dans le vrai 2FA, les facteurs sont quelque chose que vous connaissez (mot de passe) et quelque chose que vous avez (jeton, souvent basé sur le matériel). Les schémas qui impliquent un code envoyé par SMS ne sont PAS 2FA, ils sont 2SA - vous n'avez pas réellement le jeton - il vous est envoyé. Comme c'est quelque chose qui vous est envoyé, il existe de nouveaux vecteurs de menace, comme la redirection du numéro de téléphone portable, etc. C'est l'une des raisons pour lesquelles le NIST a désapprouvé les jetons basés sur SMS comme processus d'authentification fiable.

Avec respect à la question spécifique des OP, la seule protection fiable est de pouvoir détecter la page de phishing. Google a publié une extension Chrome pour essayer de vous aider. L'extension vous avertira si elle détecte que vous fournissez vos informations d'identification Google à une page qui n'est pas une page Google.

Le gros problème est que nous avons passé des années à enseigner aux gens à rechercher le "cadenas vert" dans les URL afin de garantir que la page est légitime. Malheureusement, des efforts tels que Lets Encrypt ont maintenant facilité l'obtention de certificats de domaine vérifiés, de sorte que beaucoup de ces pages de phishing auront désormais le cadenas vert. Cela ne veut pas dire que le problème est dû à Lets Encrypt - c'est une très bonne initiative. Le problème est en partie dû aux faiblesses de l'infrastructure PKI, mais principalement à la sensibilisation et à la compréhension des utilisateurs. En général, les gens ne comprennent pas PKI et comment vérifier qu'un certificat est légitime pour le site et que le site est le site qu'ils pensent être. Pour aggraver les choses, même si vous comprenez, les étapes / temps nécessaires pour effectuer cette vérification sont souvent peu pratiques ou tout simplement trop difficiles, donc les gens ne le font pas. La situation est aggravée par les mauvais acteurs qui trouvent des moyens de rendre les choses légitimes - par exemple, un exploit récent utilise des faiblesses dans la façon dont les navigateurs affichent les URL et les caractères Unicode pour générer une URL qui s'affiche dans la barre d'adresse d'une manière qui, à un glance semble correct, mais les caractères réels de l'URL indiquent un site de phishing. L'utilisateur regarde la barre d'adresse, voit un cadenas vert et jette un coup d'œil à l'URL qui semble correcte (votre cerveau remplira même les choses pour que la correspondance soit meilleure!) Et accepte la page comme légitime. Vous ne remarquez pas d'espaces supplémentaires entre les caractères ni de formes de caractères légèrement étranges.

Alors, comment nous protégeons-nous contre cela? Malheureusement, il n'y a pas un seul "faites ceci et vous serez en sécurité". Certains gestionnaires de mots de passe peuvent vous aider car ils ne fourniront les informations d'identification que si l'URL est correcte, n'utilisez jamais d'URL dans les messages électroniques - saisissez-la toujours vous-même ou utilisez un signet que vous avez créé. Supposons qu'à un moment donné, vous serez dupé et adopterez des pratiques qui limiteront les dommages quand ils se produiront, c'est-à-dire des mots de passe différents pour chaque site, utilisez le 2FA basé sur le matériel lorsque cela est possible, cliquez sur le bouton des détails du certificat pour les sites à «haute valeur» et regardez ce que il dit et à qui le certificat est enregistré, assurez-vous que votre système dispose de toutes les mises à jour et que vous utilisez la version de navigateur la plus récente, etc., soyez méfiant par nature et rappelez-vous que la grande menace est l'ingénierie sociale, alors méfiez-vous de tout ce qui exerce des pressions vous devez agir sur la base de la peur, de la culpabilité, des récompenses ou des punitions. Ce sont des motivateurs très efficaces et les acteurs de la menace comptent sur eux. Les campagnes de phishing sont devenues beaucoup plus sophistiquées dans leur mise en œuvre, mais au fond, elles reposent toujours sur la manipulation émotionnelle - une promesse de quelque chose de merveilleux ou une menace de quelque chose de terrible.

Enfin, si vous êtes tenté de commenter en raison de ma mention des gestionnaires de mots de passe, veuillez ne pas le faire. Oui, il y a des risques avec les gestionnaires de mots de passe et oui, certains sont pires que d'autres. Cependant, en général, un bon gestionnaire de mots de passe utilisé correctement fournira généralement plus de protection à l'utilisateur moyen que son processus actuel de gestion des mots de passe. Oui, si le gestionnaire de mots de passe est compromis, alors tous vos mots de passe sont compromis. Cependant, de nombreuses personnes trouvent la gestion des mots de passe trop difficile et utilisent de toute façon le même mot de passe, souvent faible, sur tous les sites. Une fois qu'un site est compromis, tous ses sites sont compromis. Évidemment, si vous comprenez la technologie et que vous comprenez les mots de passe, le hachage, etc., vous pouvez probablement trouver une solution plus sécurisée, mais vous n'êtes pas le public des gestionnaires de mots de passe. Pensez à la manière dont vos parents ou grands-parents gèrent la gestion des mots de passe et à quel point ils détectent les sites de phishing ou comprennent les certificats, puis réfléchissez à la facilité avec laquelle ils peuvent gérer votre gestion de mot de passe GPG personnalisée via cfile ou synchronisation.

MODIFIER : En relisant ma réponse, je ne suis pas sûr d'avoir suffisamment insisté sur le fait que le vrai 2FA est de plus en plus disponible et que de nombreux fournisseurs qui prennent actuellement en charge le 2SA moins sécurisé avec des codes SMS prennent également en charge un 2FA beaucoup plus sécurisé, utilisant dans de nombreux cas U2F ( comme mentionné dans d'autres réponses). Les «touches» matérielles de Yubico ou duo (et autres) sont bon marché et faciles à installer / utiliser. Ma seule recommandation est que si vous décidez d'emprunter la route du jeton / clé matériel, assurez-vous d'obtenir deux clés, enregistrez-les toutes les deux et rangez une clé dans un endroit sécurisé. J'en ai un que j'emporte avec moi et un que j'ai dans un coffre-fort à la maison. La récupération d'une clé perdue / endommagée n'est pas aussi simple que la récupération d'un mot de passe oublié, vous voulez donc éviter autant que possible de vous retrouver dans cette situation.

Comme indiqué dans les commentaires, ce n'est pas une bonne façon de faire les choses.

Inversez complètement le test.

Dans ce cas, vous êtes sûr que le téléphone mobile de l'utilisateur est «sûr», utilisez-le pour les authentifier. Lorsque l'utilisateur tente de se connecter au site Web, vous faites une demande au téléphone pour qu'il accepte cette connexion (via une notification push, idéalement directement à l'application, pas par sms ou par courrier électronique, car ceux-ci peuvent facilement être violés). "Vous semblez vous connecter depuis IP x.y.z / geolocation foobar - voulez-vous continuer?"

Vous pouvez également leur demander de fournir un certificat qui existe sur le téléphone, mais pas sur l'ordinateur. De cette façon, «l'attaquant» ne peut pas accéder à ces informations simplement en réussissant à rediriger l'utilisateur vers le mauvais site.

Cette attaque est appelée phishing . Toute la sécurité dans le monde ne servira à rien si vous pouvez tromper un utilisateur final en lui donnant volontairement ses informations d'identification.

Les mesures d'atténuation contre le phishing incluent:

1. Les serveurs de messagerie peuvent nettoyer les e-mails à la recherche de liens vers des sites de phishing connus.

2. Les clients de messagerie désactivent souvent les liens par défaut et fournissent un avertissement lors de l'activation.

3. Les utilisateurs doivent éviter de cliquer sur les liens trouvés dans les e-mails. Il est souvent plus sûr de saisir l'adresse.

4. Les utilisateurs ne doivent jamais accéder à un site sensible (par exemple, un site bancaire) via un lien depuis n'importe où. Utilisez un signet ou saisissez-le.

5. Contrairement à certaines idées reçues, les utilisateurs devraient utiliser des gestionnaires de mots de passe pour les sites sensibles. Un gestionnaire de mots de passe ne vous permettra pas de fournir un mot de passe au mauvais site.

En complément des autres réponses, ce type d'attaque peut être entravé si le site s'authentifie auprès de l ' utilisateur de sorte que l'utilisateur a l'habitude d'obtenir un un signal plus fort indiquant qu'ils entrent des informations d'identification sur une page authentique, même s'ils n'utilisent pas de gestionnaire de mots de passe ou ne prêtent pas une attention toute particulière à l'URL. Cela se fait généralement avec une image de sécurité sélectionnée par l'utilisateur (à partir d'un grand ensemble d'options) plus une chaîne de texte définie par l'utilisateur. Il est présenté après la saisie du nom d'utilisateur mais avant le mot de passe (qui se répartit sur deux pages). Ce n'est pas totalement infaillible (vous devez empêcher les attaquants d'obtenir l'image / la chaîne par une simple requête en masse), mais il est conçu pour lutter contre le phishing, et cela rend le phishing réussi un peu plus difficile à réussir. Si les attaquants tentent de récupérer des images / chaînes de sécurité, ces demandes peuvent également indiquer au fournisseur de services authentique que quelque chose ne va pas et fournir des informations médico-légales sur l'origine de ces demandes.

La question de savoir si cela fonctionne dans la pratique ou non est une autre question, et les preuves d'un article de 2007 suggèrent pas, du moins pour la plupart des utilisateurs.