Τεχνικές παράκαμψης ελέγχου ταυτότητας πολλών παραγόντων και στρατηγικές αντιμετώπισης
| datacite.contributor.RelatedPerson | Βλάχος, Κυριάκος | |
| datacite.contributor.RelatedPerson | Νικολετσέας, Σωτήριος | |
| datacite.contributor.Supervisor | Σκλάβος, Νικόλαος | |
| dc.contributor.author | Σταμέλος, Χαρίλαος-Παναγιώτης | |
| dc.contributor.other | Stamelos, Charilaos-Panagiotis | |
| dc.date.accessioned | 2026-07-17T05:04:08Z | |
| dc.date.available | 2026-07-17T05:04:08Z | |
| dc.date.issued | 2026-07-16 | |
| dc.degree | graduateThesis | |
| dc.description.abstract | Η αυθεντικοποίηση πολλαπλών παραγόντων (Multi-Factor Authentication - MFA) αποτελεί σημαντικό μηχανισμό ενίσχυσης της ασφάλειας, καθώς μειώνει τον κίνδυνο μη εξουσιοδοτημένης πρόσβασης σε πληροφοριακά συστήματα και ψηφιακές υπηρεσίες. Ωστόσο, η ύπαρξη MFA δεν εξαλείφει πλήρως τις απειλές, καθώς σύγχρονες τεχνικές επίθεσης δεν στοχεύουν απαραίτητα μόνο τον ίδιο τον πρόσθετο παράγοντα αυθεντικοποίησης, αλλά τη συνολική ροή πρόσβασης, τη συνεδρία, τα διακριτικά πρόσβασης, τις διαδικασίες ανάκτησης και την ανθρώπινη συμπεριφορά. Η παρούσα διπλωματική εργασία εξετάζει θεωρητικά και τεχνικά βασικές τεχνικές παράκαμψης μηχανισμών MFA, με έμφαση σε επιθέσεις ηλεκτρονικού ψαρέματος, κοινωνικής μηχανικής, κατάχρησης ειδοποιήσεων έγκρισης, αδυναμιών ανάκτησης λογαριασμού, υποκλοπής συνεδρίας και επιθέσεων τύπου Adversary-in-the-Middle (AitM) και Browser-in-the-Middle (BitM). Στο πλαίσιο της εργασίας παρουσιάζεται μοντέλο απειλών για περιβάλλοντα MFA, το οποίο αναδεικνύει τα βασικά σημεία κινδύνου της διαδικασίας αυθεντικοποίησης και συνδέεται με τις τεχνικές παράκαμψης που εξετάζονται. Επιπλέον, πραγματοποιήθηκε ελεγχόμενη πειραματική προσομοίωση με πραγματική ροή αυθεντικοποίησης και λογαριασμό δοκιμής, με σκοπό την κατανόηση της συμπεριφοράς της ροής σύνδεσης και των στοιχείων που δημιουργούνται μετά την επιτυχή αυθεντικοποίηση. Η προσομοίωση εστίασε αρχικά σε παραδοσιακό μηχανισμό MFA με χρήση κωδικού μιας χρήσης (One-Time Password - OTP) και στη δυνατότητα παρατήρησης διαπιστευτηρίων και στοιχείων συνεδρίας μέσω ενδιάμεσου μηχανισμού τύπου reverse proxy. Συμπληρωματικά, εξετάστηκε σενάριο χρήσης κλειδιού πρόσβασης (passkey) στο πλαίσιο FIDO2/WebAuthn, ώστε να αποτιμηθεί η συμπεριφορά μηχανισμού αυθεντικοποίησης που βασίζεται σε δέσμευση στην προέλευση (origin binding) και χαρακτηρίζεται ως περισσότερο ανθεκτικός στο ηλεκτρονικό ψάρεμα. Περαιτέρω, η εργασία εξετάζει τη σημασία της ήδη αυθεντικοποιημένης συνεδρίας (session) μέσα από συμπληρωματικά σενάρια που αφορούν τη χρήση στοιχείων συνεδρίας από διαφορετικό περιβάλλον πρόσβασης και την πρόσβαση σε κρίσιμες λειτουργίες ασφάλειας λογαριασμού. Τα ευρήματα δείχνουν ότι η προστασία ενός περιβάλλοντος MFA δεν πρέπει να περιορίζεται μόνο στο στάδιο της αρχικής αυθεντικοποίησης, αλλά να επεκτείνεται στη διαχείριση της συνεδρίας, στην προστασία των διακριτικών, στην απαίτηση πρόσθετης επαλήθευσης για ευαίσθητες ενέργειες και στην εφαρμογή πολιτικών πρόσβασης υπό όρους. Τέλος, αναλύονται στρατηγικές αντιμετώπισης και άμυνας, όπως η πολυεπίπεδη άμυνα (defense-in-depth), η ανίχνευση επιθέσεων τύπου Adversary-in-the-Middle (AitM), η αξιοποίηση συστημάτων Security Information and Event Management (SIEM) και Security Orchestration, Automation and Response (SOAR), η προστασία συνεδρίας, οι μηχανισμοί MFA ανθεκτικοί στο ηλεκτρονικό ψάρεμα (phishing-resistant), η εκπαίδευση χρηστών και ο περιορισμός προνομίων μέσω προσεγγίσεων όπως Privileged Identity Management (PIM) και Just-in-Time (JIT) πρόσβαση. Συμπερασματικά, η εργασία καταλήγει ότι το MFA πρέπει να αντιμετωπίζεται ως μέρος ενός ευρύτερου οικοσυστήματος ασφάλειας και όχι ως μεμονωμένη λύση. Η αποτελεσματική προστασία απέναντι σε σύγχρονες τεχνικές παράκαμψης απαιτεί συνδυασμό ισχυρών μηχανισμών αυθεντικοποίησης, προστασίας συνεδρίας, δυναμικών πολιτικών πρόσβασης, ανίχνευσης ύποπτης συμπεριφοράς και ελέγχων σε κρίσιμες λειτουργίες μετά την επιτυχή σύνδεση. Με αυτόν τον τρόπο, η ασφάλεια μετατοπίζεται από την απλή επαλήθευση της ταυτότητας σε μια συνολική προσέγγιση προστασίας της ροής πρόσβασης, της συνεδρίας, των διακριτικών και των ενεργειών που εκτελούνται μετά την αυθεντικοποίηση. | |
| dc.description.translatedabstract | Multi-Factor Authentication (MFA) is an important security mechanism for strengthening access protection, as it reduces the risk of unauthorized access to information systems and digital services. However, the presence of MFA does not fully eliminate security threats, since modern attack techniques do not necessarily target only the additional authentication factor itself, but the overall access flow, the session, access tokens, account recovery procedures, and user behavior. This thesis examines, both theoretically and technically, key techniques for bypassing MFA mechanisms, with emphasis on phishing attacks, social engineering, abuse of approval notifications, weaknesses in account recovery processes, session hijacking, and Adversary-in-the-Middle (AitM) and Browser-in-the-Middle (BitM) attacks. As part of the study, a threat model for MFA environments is presented, highlighting the main risk points in the authentication process and connecting them to the bypass techniques examined. In addition, a controlled experimental simulation was conducted using a real authentication flow and a test account, with the aim of understanding the behavior of the sign-in flow and the elements created after successful authentication. The simulation initially focused on a traditional MFA mechanism based on One-Time Passwords (OTP) MFA mechanism and on the possibility of observing credentials and session-related elements through an intermediate reverse proxy mechanism. Complementarily, a passkey-based scenario within the FIDO2/WebAuthn framework was examined in order to evaluate the behavior of an authentication mechanism based on origin binding and considered more resistant to phishing. Furthermore, the thesis examines the importance of an already authenticated session through complementary scenarios involving the use of session elements from a different access environment and access to critical account security functions. The findings show that the protection of an MFA environment should not be limited only to the initial authentication stage, but should extend to session management, token protection, the requirement for additional verification for sensitive actions, and the enforcement of conditional access policies. Finally, mitigation and defense strategies are analyzed, including defense-in-depth, AitM attack detection, the use of Security Information and Event Management (SIEM) and Security Orchestration, Automation and Response (SOAR), session protection, phishing-resistant MFA mechanisms, user awareness training, and privilege limitation through approaches such as Privileged Identity Management (PIM) and Just-in-Time (JIT) access. In conclusion, this thesis argues that MFA should be treated as part of a broader security ecosystem rather than as a standalone solution. Effective protection against modern MFA bypass techniques requires a combination of strong authentication mechanisms, session protection, dynamic access policies, suspicious behavior detection, and controls over critical actions performed after successful sign-in. In this way, security shifts from simple identity verification toward a more comprehensive approach that protects the access flow, the session, the tokens, and the actions performed after authentication. | |
| dc.identifier.uri | https://hdl.handle.net/10889/32589 | |
| dc.language.iso | el | |
| dc.rights | Attribution 3.0 Greece | en |
| dc.rights.uri | http://creativecommons.org/licenses/by/3.0/gr/ | |
| dc.subject | Αυθεντικοποίηση πολλαπλών παραγόντων | |
| dc.subject | Επιθέσεις ηλεκτρονικού ψαρέματος | |
| dc.subject.alternative | Multi-factor authentication (MFA) | |
| dc.subject.alternative | Adversary-in-the-middle (AitM) | |
| dc.subject.alternative | FIDO2/WebAuthn | |
| dc.subject.alternative | Session hijacking | |
| dc.title | Τεχνικές παράκαμψης ελέγχου ταυτότητας πολλών παραγόντων και στρατηγικές αντιμετώπισης | |
| dc.title.alternative | Multi-factor authentication bypass techniques and mitigation strategies |
Files
Original bundle
1 - 1 of 1
Loading...
- Name:
- ΣΤΑΜΕΛΟΣ_ΧΑΡΙΛΑΟΣ_ΠΑΝΑΓΙΩΤΗΣ-1090076-ΔΙΠΛΩΜΑΤΙΚΗ.pdf
- Size:
- 1.93 MB
- Format:
- Adobe Portable Document Format
License bundle
1 - 1 of 1
No Thumbnail Available
- Name:
- license.txt
- Size:
- 5.02 KB
- Format:
- Item-specific license agreed upon to submission
- Description: