8월 14일 소식에 따르면 과학기술매체 bleepingcomputer는 8월 13일에게시보웬에 따르면, 보안 연구원들은 마이크로소프트 Entra ID의 FIDO 인증 메커니즘을 우회하여 사용자가 약한 인증 방식으로 로그인하도록 유도하고, 나아가 사용자가 브로커 피싱 공격의 위험에 직면할 수 있는 새로운 FIDO 다운그레이드 공격을 발견했다.
FIDO는 Fast Identity Online의 약자로, 계정 보안을 향상시키기 위해 암호 없는 인증을 구현하기 위한 개방형 표준입니다.Proofpoint의 보안 전문가들은 최근 FIDO 프로토콜 자체의 취약점이 아니라 브라우저의 User Agent 정보 (브라우저가 서버에 자신의 정보를 식별하는 문자열로 장치와 브라우저의 호환성을 판단하는 데 사용됨) 를 조작하여 공격하는 새로운 공격 방식을 공개했다.공격자는 User Agent를 FIDO가 지원되지 않는 환경으로 위장하여 FIDO 인증을 자동으로 해제하고 다른 인증 방법을 선택하라는 메시지를 표시합니다.
공격 프로세스는 일반적으로 낚시 링크에서 시작됩니다.사용자가 이 링크를 클릭하면 Evilginx와 같은 브로커 공격 프레임워크로 구성된 위조 로그인 페이지로 이동합니다.이 페이지는 실제 Entra ID 로그인 양식을 프록시했지만 공격자가 구성한 "phishlet" 모듈은 FIDO를 지원하지 않는 User Agent를 위조했습니다.시스템은 이 위조 정보를 감지하면 FIDO 기능을 비활성화하고 오류 프롬프트를 반환하여 사용자가 Microsoft 인증기 앱, 문자 메시지 인증 코드 또는 일회용 비밀번호 등 대체 인증 방식을 선택하도록 유도합니다.이러한 대체 방법의 검증 데이터는 전송 중에 공격자가 캡처할 수 있습니다.
사용자가 대체 인증을 완료하면 공격자는 프록시 서버를 통해 전체 로그인 자격 증명 및 세션 쿠키를 획득하고 로컬 브라우저로 가져와 사용자 계정을 완전히 인수할 수 있습니다.아직 실제로 이 공격 방식을 이용한 사례는 없지만, 관련 전문가들은 이런 공격이 고도로 목적성이 높은 고급 지속성 위협 장면에 적용되므로 기업과 사용자는 경각심을 가지고 시스템과 보안 소프트웨어를 정기적으로 업데이트하고 사용자의 보안 의식을 높이는 등 보안 조치를 강화하여 잠재적인 보안 위험에 대응해야 한다고 지적한다.
