Amazon bắt buộc các tài khoản AWS 'root' phải thực hiện xác thực đa yếu tố (MFA) vào giữa năm 2024

Xác thực đa yếu tố giúp tăng thêm một lớp bảo mật để ngăn chặn truy cập trái phép, ngay cả khi kẻ tấn công đánh cắp thông tin xác thực của tài khoản.

Amazon đã cung cấp khóa bảo mật MFA miễn phí cho khách hàng AWS đủ điều kiện tại Hoa Kỳ kể từ năm 2021 và bổ sung thêm các tùy chọn MFA linh hoạt hơn trên nền tảng vào tháng 11 năm 2022, cho phép đăng ký tối đa 8 thiết bị MFA cho mỗi tài khoản.

Việc không sử dụng MFA để bảo vệ tài sản đám mây có thể dẫn đến truy cập trái phép, xâm phạm dữ liệu nhạy cảm được lưu trữ trong dịch vụ AWS, mất tính khả dụng của dịch vụ do sửa đổi cài đặt có mục đích hoặc xóa tài nguyên thiết yếu, v.v.

Amazon đã quyết định cách tiếp cận đơn giản nhất để giảm thiểu những rủi ro này và giảm bề mặt tấn công trên AWS sẽ là thực thi MFA, bắt đầu từ nhóm người dùng quan trọng nhất.

Thông báo của Amazon cho biết: “Bắt đầu từ giữa năm 2024, khách hàng đăng nhập vào Bảng điều khiển quản lý AWS bằng người dùng root của tài khoản quản lý AWS Organs sẽ được yêu cầu kích hoạt MFA để tiếp tục”.

"Những khách hàng phải kích hoạt MFA sẽ được thông báo về thay đổi sắp tới thông qua nhiều kênh, bao gồm cả lời nhắc khi họ đăng nhập vào bảng điều khiển."

Amazon cũng cho biết yêu cầu này sẽ được mở rộng sang các tài khoản bổ sung và các tình huống sử dụng khi họ phát hành các tính năng mới giúp việc áp dụng và quản lý MFA trên quy mô lớn dễ dàng hơn.

Cuối cùng, Amazon khuyến nghị khách hàng nên chọn các công nghệ MFA chống lừa đảo như khóa bảo mật, mặc dù các ứng dụng xác thực MFA khác vẫn hoạt động.

Các khóa bảo mật tuân theo tiêu chuẩn FIDO U2F hoặc FIDO2/WebAuthn vốn có khả năng chống lại các cuộc tấn công proxy ngược và tấn công man-in-the-middle đang gia tăng hiện nay.

Trong quá trình xác thực, khóa bảo mật sẽ phản hồi các thách thức do máy chủ gửi bằng khóa riêng đồng thời kiểm tra nguồn gốc của trang web.

Nếu không khớp về nguồn gốc, có thể là do một cuộc tấn công proxy ngược, thì khóa sẽ không xác nhận vào thử thách, ngăn chặn việc chặn các bí mật có giá trị.

Để biết thêm thông tin về hỗ trợ MFA trên AWS và hướng dẫn thiết lập biện pháp bảo vệ cho tài khoản của bạn, hãy xem trang hướng dẫn sử dụng của Amazon.

Nguồn: bleepingcomputer.com