Az a baj, hogy valójában a Github MFA-ja is lófaszt ér. Ugyanis, egy fájl szerkesztése a repositoryban valójában nem privilegizált művelet, commit előtt nem kér MFA megerősítést, de a nap végén ezzel simán el lehet bármilyen kódban helyezni egy backdoort.
Review process, hello?! :D
A GitHub MFA-ja csak az ellen véd, hogy random új alkalmazásjelszavakat kiadjál vagy a feltört paraszt profilját átvésd.
Ezt írtam, hogy egyes privilegizált műveletekhez szükséges.
Az ő szempontjukból privilegizált műveleteket védik csak.
Azokat védik, amelyekkel komoly kárt lehet okozni. Egy commit nem komoly kár, felesleges lenne MFA mögé tenni minden egyes commit eseményt.
Namármost, egy Microsoft O365 esetén pl egy adathalász levél kiküldése sem lesz privilegizált művelet.
Miért kellene az legyen? A cél egy értelmes egyensúly a használhatóság és a megfelelő biztonság között.
Session hijackinggal ezek mind megtehetők anélkül, hogy az MFA egyáltalán képbe kerülne.
Nem olyan egyszerű a session hijacking, ha van ellene védelem. Önmagában az MFA csak akkor véd, ha privilegizált műveletet hajtana végre az user. És ez a cél, hogy jól és értelmesen keressük meg a privilegizált műveleteket.