Peneliti Proofpoint menemukan serangan downgrade FIDO pada Microsoft Entra ID dengan memalsukan user agent yang tidak mendukung FIDO.
Teknik ini menggunakan phishlet khusus di Evilginx untuk memaksa pengguna beralih ke metode otentikasi yang lebih lemah.
Metode otentikasi lemah seperti kode SMS atau Microsoft Authenticator dapat dicegat oleh serangan AiTM untuk mengambil cookie sesi.
Meskipun bukan kerentanan FIDO itu sendiri, celah implementasi ini memungkinkan terjadinya bypass keamanan.
Belum ada laporan serangan ini di dunia nyata, namun risiko tinggi terutama untuk serangan terarah.
Mitigasi yang disarankan meliputi menonaktifkan metode fallback dan menambahkan pemeriksaan saat proses otentikasi berganti.
FIDO passkeys tetap phishing-resistant, tetapi serangan downgrade memperlihatkan pentingnya memperkuat implementasi.
Get notified when new stories are published for "Berita Peretas 🇮🇩 Bahasa Indonesia"