Standardowy phishing działa, ponieważ współdzielone sekrety — hasła, kody jednorazowe, zatwierdzenia push — można wprowadzić na witrynie imitującej lub przez nią przekazać. Metody odporne na phishing kryptograficznie wiążą uwierzytelnienie z prawidłowym źródłem (origin) i weryfikują użytkownika po stronie urządzenia, usuwając przekazywalny sekret.
Najważniejsze punkty
Priorytet wysokiej wartościAdministratorzy, pracownicy finansów, kierownictwo i pracownicy zdalni narażeni na ukierunkowany phishing korzystają najbardziej; wdrażaj według ryzyka, nie tylko wygody.
Rejestracja i odzyskiwanieUtrata urządzenia, jego wymiana i odzyskiwanie konta muszą być równie silne jak metoda logowania, inaczej odzyskiwanie staje się słabym punktem.
Istotne ograniczenieOdporność na phishing chroni zdarzenie uwierzytelnienia, a nie sesję po nim. Kradzież tokenów, złośliwe granty OAuth, kompromitacja punktu końcowego i socjotechnika wobec odzyskiwania lub personelu wsparcia pozostają możliwe.