Bei einem Cloud-E-Mail-Dienst mit Multi-Faktor-Authentifizierung wurde ein Mitarbeiter auf eine täuschend echte Anmeldeseite gelockt und gab Passwort und Einmalpasswort ein. Der Angreifer nutzte diese Seite als Relais zum echten Dienst, stahl das nach der Anmeldung ausgestellte Session-Cookie und gab sich als der Mitarbeiter aus. Welche Beschreibung dieses Angriffs und der Gegenmaßnahmen ist am besten geeignet?

Antwort: C. Das gestohlene Cookie steht für einen Zustand mit abgeschlossener Multi-Faktor-Authentifizierung; daher wird die Sitzung sofort ungültig gemacht, und Authentifizierung wie Passkeys, kürzere Sitzungen und die Erkennung ungewöhnlicher Nutzung werden kombiniert

Nach erfolgreicher Authentifizierung stellt der Dienst ein Token wie ein Session-Cookie aus und behandelt nachfolgende Anfragen allein anhand des Tokens als vom berechtigten Benutzer stammend. Wird das Token durch Phishing mit Weiterleitung (AiTM) oder durch Malware zum Informationsdiebstahl auf dem Endgerät gestohlen, kann sich der Angreifer daher im Zustand abgeschlossener Multi-Faktor-Authentifizierung als der Benutzer ausgeben. Wird der Schaden bemerkt, genügt es nicht, das Passwort zu ändern; die bereits ausgestellten Sitzungen müssen ungültig gemacht werden. Zur Vorbeugung werden phishingresistente Authentifizierung wie Passkeys, die an die Domain des Verbindungsziels gebunden sind, kürzere Gültigkeitsdauern von Sitzungen und erneute Authentifizierung oder Nutzungsbeschränkungen bei Änderungen von Ort oder Endgerät kombiniert.