Какво ще стане с автентикацията и паролите? Превод на доклада Javelin „Състояние на строгата автентикация“ с коментари

Спойлер от заглавието на доклада „Броят на случаите на използване на силна автентикация нарасна поради заплахите от нови рискове и изискванията на регулаторите“.
Изследователската компания „Javelin Strategy & Research“ публикува доклад „Състоянието на силната автентикация 2019“ ( оригиналът в pdf формат може да бъде изтеглен тук). В този доклад се посочва: какъв процент от американските и европейските компании използват пароли (и защо паролите в момента не се използват много); защо толкова бързо нараства процентът на използване на двуфакторна автентикация, основана на криптографски токени; защо кодовете за еднократна употреба, изпращани по SMS, не са безопасни.

На всички, които се интересуват от темата за настоящето, миналото и бъдещето на автентикацията в предприятия и в потребителски приложения — добре дошли.

От преводача

За съжаление, езикът, на който е написан този доклад, е достатъчно „сух“ и формален. И петкратното използване на думата „автентикация“ в едно кратко изречение — не е индикация за неумение (или мозъчни ограничения) на преводача, а прищявка на авторите. При превода следвах два варианта — да дам на читателите текст, близък до оригинала, или по-интригуващ текст; понякога избирах първия, друг път — втория. Но търпете, скъпи читатели, съдържанието на доклада си заслужава.

Някои малозначителни и ненужни за разказа части бяха пропуснати, в противен случай повечето не биха успели да осилят целия текст. Желаещите да се запознаят с доклада „без редакции“, могат да го прочетат на оригиналния език, като последват линка.

За съжаление, авторите не винаги са прецизни с терминологията. Например, понякога еднократните пароли (One Time Password – OTP) наричат „пароли“, а друг път — „кодове“. С методите на автентикация е още по-лошо. Некомпетентният читател не винаги може да се досети, че „автентикация с помощта на криптографски ключове“ и „строга автентикация“ — всъщност означават едно и също. Стремях се да унифицирам термините, а в самия доклад има фрагмент с тяхното описание.

Въпреки това, докладът силно се препоръчва за прочит, защото съдържа уникални резултати от изследвания и правилни изводи.

Всички цифри и факти са приведени без никакви промени, и ако не сте съгласни с тях, по-добре оспорвайте не с преводача, а с авторите на доклада. А моите коментари (изградени като цитати, а в текста отбелязани с курсив) са мои оценъчни съждения и по всеки от тях ще бъда радостен да поспорим (както и по качеството на превода).

Преглед

В днешно време, за бизнеса, цифровите канали за комуникация с клиентите са по-важни от всякога. Вътре в предприятията, комуникацията между служителите също е все по-ориентирана към цифровата среда. Степента на безопасност на тези взаимодействия зависи от избрания метод за удостоверяване на потребителите. Злоумышлениците използват слаби методи за удостоверяване, за да извършат масови хакерски атаки на потребителските акаунти. В отговор на това, регулиращите органи затягат стандартите, за да принудят бизнеса да защитава по-добре акаунтите и данните на потребителите.

Заплахите, свързани с удостоверяването, не засягат само потребителските приложения; злоумышлениците могат да получат достъп и до приложения, работещи вътре в предприятието. Тази операция им позволява да се представят за корпоративни потребители. Злоумышлениците, използвайки точки за достъп със слабо удостоверяване, могат да откраднат данни и да извършат други измамни действия. За щастие, има мерки за борба с това. Строгото удостоверяване може значително да намали риска от атака от злоумышленици както към потребителските приложения, така и към бизнес системите на предприятията.

Тези проучвания разглеждат: как предприятията внедряват удостоверяване за защита на потребителските приложения и бизнес системите на предприятието; факторите, които те вземат предвид при избора на решение за удостоверяване; ролята, която строгото удостоверяване играе в техните организации; предимствата, които получават тези организации.

Резюме

Основни изводи

От 2017 година, процентът на използване на строго удостоверяване рязко се увеличи. С нарастващия брой уязвимости в традиционните решения за удостоверяване, организациите укрепват своите възможности за удостоверяване чрез строго удостоверяване. Броят на организациите, които използват многофакторно удостоверяване с помощта на криптография (MFA), се е утроил от 2017 г. за потребителски приложения и е нараснал с почти 50% за корпоративни приложения. Най-бързият растеж се наблюдава при мобилното удостоверяване поради нарастващата достъпност на биометричното удостоверяване.

Тук виждаме илюстрация на поговорката „докато гръм не гръмне – мъжът не се кръсти“. Когато експертите предупреждаваха за ненадеждността на паролите, никой не бързаше да внедри двуфакторна автентикация. След като хакерите започнали да крадат пароли – хората започнали да внедряват двуфакторна автентикация.

Истината е, че частните лица много по-активно внедряват 2ФА. От една страна, по-лесно им е да успокоят страховете си, разчитайки на вградената в смартфоните биометрична автентикация, която наистина е доста ненадеждна. За организациите обаче е необходимо да инвестират в закупуване на токени и да проведат работи (всъщност доста прости) по тяхното внедряване. И на всичкото отгоре, за течовете на пароли от услуги като Facebook и Dropbox не е писал само мързелив, но историйките за това как са крали паролите (и какво е станало след това) в организациите, ИТ директорите на тези организации не биха споделили никога.

Тези, които не използват строга автентикация, подценяват риска за бизнеса и клиентите си. Някои организации, които в момента не използват строга автентикация, са склонни да разглеждат логините и паролите като един от най-ефективните и лесни за използване методи за автентикация на потребителите. Други не виждат стойността на цифровите активи, които притежават. Все пак е важно да се има предвид, че киберпрестъпниците се интересуват от всякаква потребителска и бизнес информация. Две трети от компаниите, които използват само пароли за автентикация на своите служители, го правят, защото смятат, че паролите са достатъчно добри за типа информация, която защитават.

Все пак, паролите вървят към „могила“. През изминалата година зависимостта от паролите значително намаля, както за потребителски, така и за корпоративни приложения (от 44% на 31% и от 56% на 47% съответно), тъй като организациите разширяват приложението на традиционната MFA и строгата автентикация.
Но ако оценим ситуацията като цяло, уязвимите методи за удостоверяване все още преобладават. Около една четвърт от организациите използват SMS OTP (еднократна парола) за удостоверяване на потребителите заедно с тайни въпроси. В резултат на това, за да се предпазят от уязвимости, трябва да се внедрят допълнителни защитни средства, което увеличава разходите. Използването на много по-надеждни методи за удостоверяване, като апаратни криптографски ключове, е много рядко, около 5% от организациите.

Нарастващата нормативно-правна среда обещава да ускори внедряването на строги методи за удостоверяване за потребителските приложения. С въвеждането на PSD2 и новите правила за защита на данните в ЕС и редица щати в САЩ, като Калифорния, компаниите чувстват, че става напрегнато. Почти 70% от компаниите са съгласни, че изпитват силен регулаторен натиск за осигуряване на строги методи за удостоверяване за своите клиенти. Повече от половината предприятия смятат, че след няколко години техните методи за удостоверяване няма да бъдат достатъчни, за да отговарят на нормативните стандарти.

Ясно се забелязва разликата в подходите на руските и американо-европейските законодатели по отношение на защитата на личните данни на потребителите на програми и услуги. Руснаците казват: скъпи собственици на услуги, правете каквото искате, но ако вашият администратор изтече базата данни, ние ще ви накажем. В чужбина казват: трябва да внедрите комплекс от мерки, който не позволява изтичането на базата данни. Именно затова там активно се внедряват изисквания за наличие на строга двуфакторна автентикация.
Разбира се, далеч не е факт, че нашата законодателна машина в един прекрасен момент няма да се осъзнае и да вземе предвид западния опит. Ето тогава ще се окаже, че всеки трябва да внедри 2FA, съответстваща на руските криптографски стандарти, и то спешно.

Създаването на надеждна основа за удостоверяване позволява на компаниите да преместят акцента от удовлетворяването на нормативните изисквания към удовлетворяване на нуждите на клиентите. За организациите, които все още използват обикновени пароли или получават кодове чрез SMS, най-важният фактор при избора на метод за удостоверяване ще бъде съответствието с нормативните изисквания. А компаниите, които вече прилагат строга аутентификация, могат да се фокусират върху избор на методи за удостоверяване, които увеличават лоялността на клиентите.

При избора на метод за корпоративна аутентификация в рамките на предприятието, изискванията на регулаторите вече не са значим фактор. В този случай много по-важни са простотата на интеграцията (32%) и цената (26%).

В епохата на фишинга, извършителите могат да използват корпоративен имейл за измама, за да получат достъп до данни, акаунти (с съответните права за достъп) и дори да убедят служителите да извършат паричен трансфер към тяхна сметка. Следователно, акаунтите на корпоративни имейли и портали трябва да бъдат особено добре защитени.

Google засили своята защита, внедрявайки строга аутентификация. Преди повече от две години Google публикува доклад за внедряването на двуфакторна аутентификация на базата на криптографски ключове за сигурност по стандарта FIDO U2F, съобщавайки за впечатляващи резултати. Според компанията, не е имало нито една фишинг атака срещу повече от 85 000 служители.

Препоръки

Внедрете строга аутентификация за мобилни и онлайн приложения. Многофакторната аутентификация на базата на криптографски ключове предлага много по-надеждна защита срещу хакерски атаки в сравнение с традиционните методи на MFA. Освен това, използването на криптографски ключове е много по-удобно, тъй като не е необходимо да се използва и предава допълнителна информация - пароли, еднократни пароли или биометрични данни от устройството на потребителя към сървъра за аутентификация. Освен това, стандартизацията на протоколите за аутентификация позволява много по-лесното внедряване на нови методи за аутентификация с времето, което намалява разходите за използване и защитава от по-сложни схеми за измама.

Пригответе се за залеза на еднократните пароли (OTP). Уязвимостите, присъщи за OTP, стават все по-очевидни, в условия на киберпрестъпност, при която престъпниците използват социална инженерия, клониране на смартфони и зловреден софтуер, за да компрометират тези средства за автентикация. И въпреки че OTP в някои случаи предлагат определени предимства, те са само от гледна точка на универсалността за всички потребители, но не и от гледна точка на сигурността.

Не може да се игнорира, че получаването на кодове чрез SMS или Push-уведомления, както и генерирането на кодове с помощта на приложения за смартфони, всъщност е използването на същите еднократни пароли (OTP), за които ни предлагат да се подготвим за залез. Технически погледнато, решението е правилно, тъй като рядък измамник не се опитва да измъкне еднократна парола от доверчив потребител. Но мисля, че производителите на подобни системи ще се хванат за умирящата технология до последно.

Използвайте строгата автентикация като маркетингов инструмент за повишаване на доверието на клиентите. Строгата автентикация може не само да подобри фактическата сигурност на вашия бизнес. Информирането на клиентите, че вашият бизнес използва строга автентикация, може да засили общественото възприятие за сигурността на този бизнес — важен фактор, когато съществува значителен клиентски интерес към надеждни методи за автентикация.

Направете задълбочен инвентар и оценка на важността на корпоративните данни и ги защитете според тяхната важност. Дори данни с нисък риск, като контактна информация на клиенти (не, наистина, в отчета е написано “low-risk”, много странно е, че подценяват важността на тази информация), могат да донесат значителна стойност на измамниците и да доведат до проблеми за компанията.

Използвайте строгата автентикация в предприятието. Някои системи представляват най-привлекателни цели за престъпниците. Те включват вътрешни и свързани с интернет системи, като счетоводна програма или корпоративно хранилище на данни. Строгата автентикация не позволява на нарушителите да получат неоснователен достъп и също така позволява точно да се установи кой от служителите е извършил злонамерена дейност.

Какво е строга автентикация?

При използването на строга автентикация за проверка на автентичността на потребителя се използват няколко метода или фактора:

• Фактор на знанието: обща тайна между потребителя и субекта на проверка на автентичността (например, пароли, отговори на тайни въпроси и т.н.)
• Фактор на притежание: устройство, което притежава само потребителят (например, мобилно устройство, криптографски ключ и т.н.)
• Фактор на неотменимост: физически (често биометрични) характеристики на потребителя (например, отпечатък от пръст, рисунка на ириса на окото, глас, поведение и т.н.)

Необходимостта да се преодолеят няколко фактора значително увеличава вероятността за неуспех на злонамерените лица, тъй като заобикалянето или измамата на различни фактори изисква използването на няколко типа тактики за хакване, за всеки фактор поотделно.

Например, при 2FA "парола + смартфон" злонамерените лица могат да извършат автентикация, като надникнат в паролата на потребителя и направят точна софтуерна копия на неговия смартфон. А това е много по-трудно, отколкото просто да се открадне паролата.

Но ако за 2FA се използва парола и криптографски токен, тогава вариантът с копиране не работи тук – дублирането на токена е невъзможно. Злоумишленикът ще трябва незабелязано да открадне токена от потребителя. Ако потребителят навреме забележи липсата и уведоми администратора, токенът ще бъде блокиран и усилията на мошенника ще останат напразни. Именно затова за фактора на притежание трябва да се използват специализирани защитени устройства (токени), а не устройства от общо предназначение (смартфони).

Използването на всички три фактора ще направи метода на автентикация доста скъп при внедряване и достатъчно неудобен при използване. Затова обикновено се използват два фактора от трите.

По-подробно принципите на двуфакторната автентикация са описани тук, в блока „Как работи двуфакторната автентикация“.

Важно е да се отбележи, че поне един от факторите за автентикация, прилаган при строгата автентикация, трябва да използва криптография на основата на публичен ключ.

Строга автентикация предлага много по-сериозна защита, отколкото еднофакторна автентикация на базата на класически пароли и традиционно многфакторно удостоверяване. Паролите могат да бъдат подслушани или прихванати с помощта на кейлогъри, фишинг сайтове или атаки, основани на социална инженерия (когато измамената жертва сама предаде своята парола). Освен това, собственикът на паролата не ще научи за кражбата. Традиционното многфакторно удостоверяване (включващо OTP кодове, свързаност с мобилен телефон или SIM карта) също може да бъде сравнително лесно хакнато, тъй като не е основано на криптография с открит ключ.Между другото, има множество примери, в които с помощта на техники от същата социална инженерия измамниците убеждавали потребителите да им съобщят еднократната парола.).

Щастливи сме, че от миналата година използването на строга автентикация и традиционно многфакторно удостоверяване набира инерция както в потребителските, така и в корпоративните приложения. Използването на строга автентикация в потребителските приложения нарасна особено бързо. Ако през 2017 година само 5% от компаниите я използваха, то през 2018 година вече тройно повече – 16%. Това може да се обясни с увеличената достъпност на токени, поддържащи алгоритми за криптография с открит ключ. Освен това, засиленото натиска от европейските регулатори след приемането на новите правила за защита на информацията, като PSD2 и GDPR, оказа силен ефект дори извън Европа.включително и в Русия.).

Нека да разгледаме тези цифри по-внимателно. Както виждаме, процентът на индивидуалните потребители, използващи многфакторна автентикация, за една година е нараснал с внушителните 11%. И това се е случило очевидно за сметка на любителите на пароли, тъй като цифрите на тези, които вярват в безопасността на Push известия, SMS и биометрия, не са се променили.

Обаче, със ситуацията при двуфакторната автентикация за корпоративна употреба всичко не е толкова добре. Първо, според доклада, само 5% от служителите са преминали от паролна автентикация на токени. И второ, нарасна с 4% числото на тези, които в корпоративна среда използват алтернативни варианти на многфакторно удостоверяване.

Ще опитам да играя в анализатор и ще дам своето тълкувание. В центъра на цифровия свят на индивидуалните потребители се намира смартфонът. Затова не е чудно, че повечето използват онези възможности, които им предоставя устройството – биометрична аутентификация, SMS и Push-уведомления, а също и еднократни пароли, генерирани от приложения на самия смартфон. За безопасността и надеждността при използването на познатите им инструменти хората обикновено не се замислят.

Точно затова процентът на потребителите на примитивни "традиционни" фактори на аутентификация остава непроменен. Вместо това, тези, които преди са използвали пароли, разбират колко силно рискуват и при избора на нов фактор за аутентификация спират на най-новото и безопасно решение – криптографски токен.

Що се отнася до корпоративния пазар, важно е да се разбере в коя система се извършва аутентификацията. Ако се реализира вход в домейн Windows, се използват криптографски токени. Възможностите за тяхното използване за 2ФА вече са заложени и в Windows и в Linux, а алтернативните варианти са дълги и сложни за реализиране. Ето ви и миграцията на 5% от пароли към токени.

Реализацията на 2ФА в корпоративната информационна система зависи в голяма степен от квалификацията на разработчиците. И на разработчиците им е много по-лесно да вземат готови модули за генериране на еднократни пароли, отколкото да разбират как работят криптографските алгоритми. В резултат на това дори изключително критични за безопасността приложения, като системи за Single Sign-On или Privileged Access Management, използват OTP като втори фактор.

Множество уязвимости в традиционните методи на аутентификация

Въпреки че много организации остават зависими от остарели еднофакторни системи, уязвимостите в традиционната многофакторна аутентификация стават все по-очевидни. Еднократните пароли, които обикновено имат между шест и осем символа и се доставят по SMS, остават най-разпространената форма на аутентификация (разбира се, освен фактора знание на паролата). И ако в популярната преса се споменават думите "двуфакторна аутентификация" или "двуетапна проверка", те почти винаги се отнасят до аутентификация, осъществявана чрез еднократни SMS-пароли.

Тук авторът малко греши. Доставката на еднократни пароли чрез SMS никога не е била двуфакторна автентикация. Това е чисто вторият етап на двустепенната автентикация, където първият етап е въвеждането на потребителското име и парола.

През 2016 година Националният институт за стандарти и технологии (NIST) актуализира своите правила за автентикация, за да изключи използването на еднократни пароли, изпращани чрез SMS. Въпреки това, тези правила бяха съществено смекчени след протестите в индустрията.

И така, следим сюжета. Американският регулатор справедливо признава, че остарялата технология не може да осигури безопасност за потребителите и въвежда нови стандарти. Стандарти, предназначени да защитят потребителите на онлайн и мобилни приложения (включително банкови). Индустрията обмисля колко пари ще трябва да похарчи за покупката на наистина надеждни криптографски токени, за преработка на приложенията, за разгръщане на инфраструктура за публични ключове и "се изправя на крака". От една страна, потребителите бяха убеждавани в надеждността на еднократните пароли, а от друга страна, имаше атаки срещу NIST. В резултат стандартите бяха смекчени, а броят на хакванията и кражбата на пароли (и пари от банкови приложения) рязко нарасна. Затова индустрията не трябваше да се разорява.

Оттогава слабостите, характерни за SMS OTP, станаха по-очевидни. Мошениците използват различни методи за компрометиране на SMS съобщения:

• Копиране на SIM карта. Мошениците създават копие на SIM (чрез служители на мобилния оператор или самостоятелно, с помощта на специален софтуер и хардуер). В резултат на това мошениците получават SMS с еднократна парола. В един особено известен случай хакерите дори успяха да компрометират акаунта на AT&T на инвеститора в криптовалути Майкъл Търпин и да откраднат почти 24 милиона долара в криптовалути. В резултат на което Търпин заяви, че AT&T е виновен заради слабите проверки, довели до копирането на SIM картата.
  

  Забележителна логика. Тоест, виновен ли е само AT&T? Не, вината на мобилния оператор е, че продавачите в магазина за мобилни услуги са издали дубликат на SIM картата, безспорно. А какво ще кажем за системата на борсата за криптовалути? Защо не използваха надеждни криптографски токени? Нямаше достатъчно средства за внедряване? А самият Майкъл не е виновен? Защо не настоя за смяна на механизма на аутентификация или не използва само борси, които реализират двуфакторна аутентификация на базата на криптографски токени?

  Внедряването на наистина надеждни методи за аутентификация се бави именно заради това, че преди хакерските атаки потребителите проявяват удивителна безгрижица, а след това – обвиняват за нещастието си когото и каквото угодно, освен остарелите и "дупчиви" технологии за аутентификация.

• Зловредни програми (malware). Една от най-ранните функции на мобилните зловредни програми беше прихващането и изпращането на текстови съобщения към нападателите. Освен това, атаките "човек в браузъра" (man-in-the-browser) и "човек между" (man-in-the-middle) могат да прихващат еднократни пароли, когато се въвеждат на компрометирани лаптопи или настолни компютри.
  

  Когато приложението на Сбербанк на вашия смартфон мига със зелена икона в статусния ред – то също така търси "зловредни" на вашия телефон. Целта на това мероприятие е да превърне недоверената среда на стандартния смартфон в, макар и в известна степен, доверена.
  Между другото, смартфонът, като абсолютно недоверено устройство, на което може да се изпълнява всичко, е още една причина да се използват само хардуерни токени, които са защитени и лишени от вируси и троянски коне.

• Социална инженерия. Когато мошениците знаят, че жертвата има включени еднократни пароли по SMS, те могат директно да се свържат с жертвата, представяйки се за доверена организация, като нейна банка или кредитен съюз, за да измамят жертвата и я накарат да предостави току-що получен код.
  

  С това вид мошеничество съм се сблъсквал многократно лично, например, при опит да продам нещо на популярна интернет платформа за обяви. Аз наистина се забавлявах с мошеник, който се опитваше да ме измами. Но за съжаление, редовно чета в новините как поредната жертва на измамниците „не е помислила“, е съобщила код за потвърждение и е загубила голяма сума. И всичко това, защото на банката просто не й се иска да се ангажира с внедряването на криптографски токени в своите приложения. Все пак, ако нещо се случи, клиентите „са виновни сами“.

Въпреки че алтернативните методи за доставка на еднократни пароли могат да облекчат някои уязвимости в този метод на удостоверяване, други уязвимости остават в сила. Автономните приложения за генериране на код са най-добрата защита срещу прихващане, тъй като дори зловредните програми почти не могат да взаимодействат директно с генератора на код (сериозно? авторът на отчета забрави за дистанционно управление?), но OTP все още могат да бъдат прихванати при въвеждане в браузъра (например, използвайки кейлоггер), чрез хакнато мобилно приложение; те също могат да бъдат получени директно от потребителя чрез социална инжинерия.
Използването на множество инструменти за оценка на риска, като разпознаване на устройства (идентифициране на опити за извършване на операции от устройства, които не принадлежат на легитимния потребител), геолокация (потребител, който току-що е бил в Москва, опитва да извърши операция от Новосибирск) и поведенческа аналитика, е от голямо значение за премахване на уязвимости, но нито едно решение не е панацея. За всяка ситуация и тип данни е необходимо внимателно да се оценят рисковете и да се избере коя технология за удостоверяване трябва да се използва.

Нито едно решение за удостоверяване не е панацея

Фигура 2. Таблица с варианти за удостоверяване

Във втората част на публикацията ни очакват най-вкусните детайли – цифри и факти, на които се основават изводите и препоръките от първата част. Ще бъде разгледано удостоверяването в потребителски приложения и корпоративни системи.

До виждане!

Източник: habr.com