[論文レビュー] How effective is multifactor authentication at deterring cyberattacks?

Lucas Augusto Meyer, Sergio Calvo Romero+4 more|arXiv (Cornell University)|May 1, 2023

Privacy, Security, and Data Protection被引用数 5

ひとこと要約

本研究では、Microsoft Azure Active Directoryにおける不審なログイン試行のベンチマーク・マルチプライヤー法と手動レビューを用いて、商用アカウントのセキュリティを強化するための多要素認証（MFA）の有効性を評価している。MFAは全体で99.22%のリスク低減を達成しており、漏洩した資格情報が存在する状況でも98.56%のリスク低減を示している。また、Microsoft Authenticatorのような専用アプリはSMSよりも優れた性能を示している。

ABSTRACT

This study investigates the effectiveness of multifactor authentication (MFA) in protecting commercial accounts from unauthorized access, with an additional focus on accounts with known credential leaks. We employ the benchmark-multiplier method, coupled with manual account review, to evaluate the security performance of various MFA methods in a large dataset of Microsoft Azure Active Directory users exhibiting suspicious activity. Our findings reveal that MFA implementation offers outstanding protection, with over 99.99% of MFA-enabled accounts remaining secure during the investigation period. Moreover, MFA reduces the risk of compromise by 99.22% across the entire population and by 98.56% in cases of leaked credentials. We further demonstrate that dedicated MFA applications, such as Microsoft Authenticator, outperform SMS-based authentication, though both methods provide significantly enhanced security compared to not using MFA. Based on these results, we strongly advocate for the default implementation of MFA in commercial accounts to increase security and mitigate unauthorized access risks.

研究の動機と目的

• 商用アカウントへの不正アクセスから保護するための多要素認証（MFA）の実世界における有効性を評価すること。
• 大規模なエンタープライズ環境において、SMSとMicrosoft Authenticatorのような専用アプリの間でMFAのセキュリティ性能を比較すること。
• ユーザー資格情報が事前に漏洩している状況におけるMFAの有効性を評価すること。
• 統計的に信頼性の高いサンプリング手法を用いて、商用ワークロードにおけるMFAが提供するリスク低減を定量化すること。
• MFAの高い保護効果を実証的根拠に基づき、商用アカウントにおけるデフォルトMFA有効化を提言すること。

提案手法

• 大規模なMicrosoft Azure Active Directoryユーザー集団におけるアカウント侵害の総数を推定するために、ベンチマーク・マルチプライヤー法を採用した。
• 不審な活動が検出された1,525件の代表的サンプルを用いて、集団レベルの侵害率を推定した。
• 侵害アカウントと全アカウントの比率における非線形性を補正するためのバイアス補正推定技術を適用した。
• 各カテゴリごとに1,000回のモンテカルロシミュレーションを実施し、推定侵害率の95%信頼区間を算出した。
• 既知の資格情報漏洩が確認された128,000件のアカウントを手動でレビューし、実際の攻撃状況下でのMFA有効性を検証した。
• 予防効果と類似した式を用いてリスク低減率を算出した：1 -（MFA有効時における侵害率 / MFA無効時における侵害率）

実験結果

リサーチクエスチョン

• RQ1 実世界のエンタープライズ環境において、多要素認証（MFA）は商用アカウントへの不正アクセスをどれほど効果的に防止できるか？
• RQ2 自動攻撃および標的型攻撃に対して、SMSとMicrosoft Authenticatorのような専用モバイルアプリの間でMFAの相対的有効性はどの程度か？
• RQ3 データ漏洩の原因で資格情報が事前に暴露されたアカウントにおいて、MFAはどれほど効果的に保護できるか？
• RQ4 MFAは、商用アカウント全体の集団において、侵害リスクをどの程度低減するか？
• RQ5 MFAが有効になっていれば保護されていたと考えられる侵害アカウントの割合はどの程度か？

主な発見

• MFAは、商用アカウント全体の集団において、侵害リスクを99.22%低減している。
• 既知の資格情報漏洩が発生したアカウントにおいても、MFAは侵害リスクを98.56%低減しており、高いリスク下でも強固な耐性を示している。
• 調査期間中にMFAが有効なアカウントの99.99%以上が安全のままであり、観察された脅威環境下ではほぼ完全な保護が達成されている。
• Microsoft Authenticatorのような専用MFAアプリケーションは、0.97–0.99%の失敗率を示しており、SMSの1.66%の失敗率を大きく上回っている。
• 資格情報漏洩アカウントに対する攻撃防止において、SMSベースのMFAはMicrosoft Authenticatorに比べ40.8%効果が低いことが判明した。
• 侵害アカウントのうちMFAが無効だった割合は99.17%であり、MFAが実際の侵害シナリオにおいて主要な保護制御であることを裏付けている。