Bypass OTP/MFA/2FA

web hacking

La 2FA (Autenticación de Dos Factores), la MFA (Autenticación Multifactor) y la OTP (One-Time Password) son mecanismos de seguridad que se utilizan para mejorar la seguridad de las cuentas, más allá de un simple nombre de usuario y contraseña. La 2FA requiere dos factores distintos para la autenticación, mientras que la MFA requiere al menos dos y puede requerir más. La OTP es un tipo específico de factor que se utiliza a menudo en la 2FA, donde se genera un código único de un solo uso que se utiliza para iniciar sesión. cuando hablamos de bypass de OTP/MFA y 2FA nos referimos a técnicas y vulnerabilidades lógicas en contra de estos sistemas de seguridad, permitiéndonos evitarlas o romper la lógica totalmente.

Conceptos

MFA (Autenticación Multifactor):

Un término más amplio que describe cualquier proceso de autenticación que requiera más de un factor de verificación. Se trata de combinar diferentes tipos de verificación para comprobar la identidad de un usuario.

2FA (Autenticación de Dos Factores):

Un tipo específico de MFA que requiere exactamente dos factores distintos para la verificación. Estos factores pueden ser algo que sabes (como una contraseña), algo que tienes (como un teléfono o un token de seguridad) o algo que eres (como un escáner biométrico). Contraseña de un solo uso

(OTP):

Un código que solo se puede usar una vez para iniciar sesión o realizar una transacción, generalmente generado y enviado a través de un dispositivo móvil o una aplicación de autenticación. Las OTP se utilizan comúnmente como uno de los factores de la A2F o la AMF.

2FA bypass por arrastre de cookies

en algunas webs, cuando entras a la ventana de autenticación en 2 factores es posible que te arrastre la cookie del usuario al que quieres acceder, entonces gracias a una falla así, si nos intentamos dirigir al directorio donde se supone que esta el perfil del usuario tendríamos acceso a este mismo.

2FA bypass por generación insegura de códigos

en una web, al interceptar el 2fa imagina un parametro como:

userToVerify

en este parámetro se indica el usuario del que se genera el código 2FA, pero se comparte de forma insegura lo que permite generar el código de cualquier usuario, esto significa que podrías generar un código y utilizarlo para saltarte el 2fa.

2FA bypass por ataques de fuerza bruta

si el sitio cuenta con medidas deficientes de seguridad contra ataques de fuerza bruta o sin rate limit puedes hacer fuerza bruta del código de autenticación