heise+ | Entra ID: Multi-Faktor-Authentifizierung gegen Session-Token-Diebstahl absichern

Die Multifaktor-Authentifizierung (MFA) sichert die Anmeldung über Microsofts Entra ID mit einem zweiten Faktor ab und gilt als Grundlage für Zero-Trust-Firmennetze, die auf Entra ID vertrauen. Die Verantwortung für den Einsatz von MFA liegt bei den Administratoren, die Bedingungen und Methoden festlegen müssen. Doch MFA wiegt Admins mitunter in falscher Sicherheit: Angreifer können ein Sitzungstoken abgreifen und dadurch Passwort und zweiten Faktor umgehen. Conditional Access bringt mehrere Kontrollen gegen einen solchen Replay-Angriff mit, aber jede davon hat eine dokumentierte Grenze.

MFA prüft den Anmeldevorgang, jedoch nicht, was mit dem Ergebnis dieses Vorgangs passiert. Nach erfolgreicher Anmeldung stellt Entra ID Tokens aus, in denen die erfüllten Bedingungen als Claims stehen, darunter der bestätigte zweite Faktor, die Geräte-ID für die Abfrage des Konformitätsstatus und die verwendete Authentifizierungsstärke.

Besitzt ein Angreifer ein solches Token, muss er weder das Passwort, noch den zweiten Faktor noch ein konformes Gerät vorweisen. Das Token selbst belegt gegenüber Entra ID, dass diese Prüfungen bereits stattgefunden haben. Administratoren müssen dagegen die Kontrollen in Entra ID verstärken. Der Artikel geht sie in der Reihenfolge durch, in der sie im Betrieb sinnvoll aufeinander aufbauen, nennt die Konfigurationspfade und zeigt für jede Schicht, was sie leistet und was nicht.