Multi-factor authenticatie (MFA) is een van de belangrijkste beveiligingsmaatregelen binnen cybersecurity en beschermt inmiddels ongeveer 70% van de werknemers in ondernemingen. Ondanks het succes leidt dit tot een ongewenst probleem: organisaties zien een geslaagde authenticatie vaak als onomstotelijk bewijs van iemands identiteit. Men gaat ervan uit dat wanneer iemand MFA heeft doorstaan, de identiteit ook daadwerkelijk is geverifieerd en niet is gecompromitteerd. Dit is echter niet per definitie waar.

Aanvallers richten zich steeds vaker op de processen rondom authenticatie, zoals inschrijving, accountherstel, helpdesks, apparaatregistratie en sessiebeheer. Zo kan een aanvaller een authenticator koppelen aan een verkeerde persoon of een geauthenticeerde sessie kapen. In deze gevallen functioneert MFA precies zoals bedoeld, maar krijgt een onbevoegde toch toegang. De vraag moet daarom verschuiven van "Heeft deze gebruiker MFA doorstaan?" naar "Hoe zeker zijn we dat dit nog steeds de legitieme persoon achter de identiteit is?".

Authenticatie betekent dat iemand controle heeft over de authenticators die aan een account zijn gekoppeld, terwijl identiteit verificatie vaststelt of deze persoon daadwerkelijk overeenkomt met de opgegeven identiteit. Dit onderscheid wordt expliciet gemaakt in de NIST Digital Identity Guidelines. Een voorbeeld is wanneer een aanvaller via social engineering een helpdesk weet te bewegen om de MFA van een medewerker te resetten en vervolgens een apparaat registreert dat onder zijn controle staat. De volgende login voldoet dan aan alle authenticatie-eisen, maar de identiteit is niet meer betrouwbaar. Daarom is identiteit verificatie cruciaal bij wachtwoordresets, MFA-herinschrijving, accountherstel, apparaatvervanging en het verhogen van toegangsrechten. Zwakke verificatie op deze punten kan MFA onderdeel maken van de infrastructuur van de aanvaller.

Organisaties denken vaak dat aanvallers buiten de authenticatiegrens staan en proberen deze te doorbreken, maar dit is een verouderd beeld. Aanvallers gebruiken phishing, social engineering, SIM-swapping, sessiekaping en accountherstelaanvallen om authenticatie te omzeilen. De harde realiteit is dat een aanvaller MFA kan passeren zonder te falen. Zelfs phishing-bestendige MFA elimineert niet alle risico’s op identiteitsmisbruik. De betrouwbaarheid van authenticatie hangt af van hoe authenticators oorspronkelijk aan identiteiten zijn gekoppeld, hoe ze vervangen kunnen worden en wat er gebeurt tijdens herstelprocessen. Een organisatie kan geavanceerde authenticatie aan de voorkant inzetten, maar een zwakkere beveiliging aan de zijkant laten, wat door aanvallers kan worden uitgebuit.

Daarnaast betekent een succesvolle MFA niet automatisch dat een identiteit betrouwbaar blijft. Authenticatie geeft vertrouwen op een moment in de tijd, terwijl identiteitsdreigingsdetectie kijkt naar wat er daarna met die identiteit gebeurt. Een medewerker kan zich bijvoorbeeld om 8:02 uur legitiem authenticeren, waarna de sessie kort daarna wordt gekaapt. De gecompromitteerde identiteit kan dan rechten escaleren of gevoelige data benaderen die de medewerker normaal niet gebruikt. De succesvolle MFA biedt dan weinig zekerheid over de legitimiteit van deze latere acties. Identiteitsrisico is dynamisch en een betrouwbare identiteit bij inloggen kan binnen minuten gecompromitteerd raken.

Organisaties moeten drie vragen onderscheiden: wie is deze persoon (identiteitsverificatie), kan deze persoon controle tonen over de vereiste authenticators (authenticatie, waarbij MFA zeer waardevol is) en gedraagt deze identiteit zich nog steeds legitiem (identiteitsdreigingsdetectie, die signalen en gedrag over tijd analyseert).