Door Anoniem: Als je MFA device of app nou gewoon een code displayed die je op het login scherm in moet tikken (in een 2e password veld bijvoorbeeld) dan is er niks aan de hand als men je MFA requests stuurt, want je hebt dan niks om ze in te tikken. Aanvankelijk dacht ik dat "Number Matching" in de Microsoft Authenticator app zo werkte, maar het is andersom - en dat is verstandiger. Want als de app een getal zou tonen dat de inlogger op de website moet invoeren, zou een aanvaller het getal (wat de echte gebruiker ziet in diens app) kunnen blijven gokken tot dat toevallig een keer klopt (met nog meer push-berichten als gevolg). Het is echter zo dat als de echte gebruiker of een aanvaller probeert in te loggen, de website een getal van 2 cijfers toont. De echte gebruiker krijgt een melding uit de MS Authenticator app op diens smartphone, en moet in de app die twee cijfers invoeren om in te kunnen loggen. Als het niet de echte gebruiker is die inlogt, weet die echte gebruiker niet wat er op het inlogscherm ...