به گزارش کارگروه امنیت سایبربان؛ شرکت مایکروسافت در اقدامی جدید ویژگی تطبیق عدد را به برنامه احراز هویت چندعاملی خود به نام احراز هویت مایکروسافت (Microsoft Authenticator) اضافه کرده است.
این ویژگی پیشرفته جدید به‌طورکلی در برنامه احراز هویت مایکروسافت بدین‌صورت طراحی‌شده است که به مقابله با حملاتی که در این برنامه متکی بر هرزنامه‌های اعلان هستند، کمک کند.
محققان در اوایل سال جاری به‌اصطلاح «حملات خسته‌کننده احراز هویت مایکروسافت» را بر روی کاربران آفیس 365 مشاهده کردند که در آن مهاجمان مکرراً اعلان‌های احراز هویت مایکروسافت را فعال می‌کنند درحالی‌که سعی می‌کنند با یک رمز عبور هک شده وارد حساب قربانی شوند. مهاجم امیدوار است که در برخی مواقع قربانی فرسوده شده یا حواسش به‌اندازه کافی توسط اعلان‌ها پرت شده باشد که به‌طور تصادفی تلاش برای ورود به سیستم را تأیید کند.
با فعال بودن تطبیق اعداد، برنامه احراز هویت از کاربر می‌خواهد تا هنگام تأیید درخواست احراز هویت مایکروسافت به‌جای زدن «تأیید»، شماره نمایش داده شده در صفحه ورود را تایپ کند. این یک ویژگی مفید برای ادمین هایی است که کاربران آن‌ها توسط این حمله به احراز هویت مایکروسافت دستگیر شده‌اند.
به گفته الکس واینرت، معاون مدیر امنیت هویت مایکروسافت، در حال حاضر، مدیران می‌توانند ویژگی تطبیق عدد را در احراز هویت فعال کنند، اما مایکروسافت در فوریه 2023 آن را برای همه کاربران احراز هویت به‌صورت پیش‌فرض قرار خواهد داد.
مدیران همچنین می‌توانند از پیکربندی احراز هویت برای استفاده از زمینه مکان و زمینه برنامه برای جلوگیری از تأیید تصادفی استفاده کنند.
مایکروسافت دستورالعمل‌هایی را برای پیکربندی تطبیق عدد منتشر کرده است که می‌تواند توسط گروه یا فیلترهای دیگر فعال شود و خاطرنشان می‌کند که تطبیق عدد در اعلان‌های اپل واچ پشتیبانی نمی‌شود. پس‌ازاینکه ویژگی تطبیق عدد به‌صورت پیش‌فرض بر روی برنامه احراز هویت کامل شد، کنترل‌های ارائه‌شده توسط سرپرست حذف خواهند شد.
همچنین، اکنون برنامه احراز هویت در سیستم‌عامل آی او اس از ویژگی (ATS) استفاده می‌کند؛ یک ویژگی امنیتی که اپل در نسخه 9 این سیستم‌عامل در سال 2015 برای برقراری اتصالات امن از طریق اینترنت معرفی کرده است. بااین‌حال، ATS باید توسط توسعه‌دهندگان برنامه فعال شود و محققان در سال 2019 دریافتند که 67٪ از 30 هزار برنامه اسکن شده، دارای ATS کاملاً غیرفعال بوده‌اند.
