Какво ще се случи с автентификацията и паролите? Превод на отчета на Javelin „Състояние на строгата автентификация” с коментари

Заглавие отчета «Броят на случаите на строга автентикация се увеличи поради заплахите от нови рискове и изискванията на регулаторите».
Изследователската компания «Javelin Strategy & Research» публикува отчета «Състояние на строгата автентикация 2019» ( оригиналът в PDF формат може да бъде изтеглен тук). В този отчет се посочва: какъв процент от американските и европейските компании използват пароли (и защо сега малко хора използват пароли); защо процентът на използване на двуфакторна автентикация на базата на криптографски токени нараства толкова бързо; защо еднократните кодове, изпращани по SMS, не са безопасни.

На всички, които се интересуват от темата за настоящето, миналото и бъдещето на автентикацията в предприятията и потребителските приложения — добре дошли.

От преводача

Уви, но езикът, на който е написан този отчет, е доста «сух» и формален. И петкратно повторение на термина «автентикация» в едно кратко изречение не е израз на некадърност (или глупост) на преводача, а каприз на авторите. При превода между двата варианта — да дам на читателите текст, по-близък до оригинала, или по-интересен, понякога избирах първия, а понякога втория. Но търпете, скъпи читатели, съдържанието на отчета си заслужава.

Някои маловажни и ненужни за разказа части бяха отстранени, иначе повечето няма да успеят да осилят целия текст. Желаещите да се запознаят с отчета «без цензура», могат да го направят на езика на оригинала, като последват линка.

За съжаление, авторите не винаги са прецизни с терминологията. Например, еднократните пароли (One Time Password – OTP) понякога наричат «пароли», а понякога «кодове». С методите на автентикация положението е още по-лошо. На неподготвения читател не винаги му е лесно да се досети, че «автентикация с използване на криптографски ключове» и «строга автентикация» са едно и също. Опитах се да унифицирам термините максимално, а и в самия отчет има фрагмент с тяхното описание.

Все пак отчетът е силно препоръчителен за четене, защото съдържа уникални резултати от изследвания и правилни изводи.

Всички цифри и факти са представени без най-малки промени, и ако не сте съгласни с тях, е по-добре да не спорите с преводача, а с авторите на доклада. А ето и моите коментари (форматирани като цитати, а в текста отбелязани курсив) са моята оценка и по всеки от тях с удоволствие бих спорил (както и по качеството на превода).

Преглед

В днешно време цифровите комуникационни канали с клиентите са по-важни от всякога за бизнеса. Вътре в предприятието комуникацията между служителите е по-ориентирана към цифровата среда, отколкото когато и да било. И безопасността на тези взаимодействия зависи от избрания метод за удостоверяване на потребителите. Злоумышлениците използват слаба идентификация, за да извършат масови атаки срещу потребителски акаунти. В отговор, регулаторните органи затягат стандартите, за да накарат бизнеса да защитава по-добре акаунтите и данните на потребителите.

Заплахите, свързани с удостоверяването, не се разпространяват само на потребителските приложения; злоумышлениците могат да получат достъп и до приложения, работещи вътре в предприятията. Такава операция им позволява да се представят за корпоративни потребители. Злоумышлениците, използвайки точки за достъп със слаба идентификация, могат да откраднат данни и да извършват други измамни действия. За щастие, има мерки за борба с това. Строгото удостоверяване ще помогне значително да намали риска от атака на злоумышленник, както на потребителски приложения, така и на бизнес системи на предприятия.

В това проучване се разглежда: как предприятията внедряват удостоверяване за защита на потребителските приложения и бизнес системи; факторите, които взимат предвид при избора на решение за удостоверяване; ролята, която строгото удостоверяване играе в техните организации; предимствата, които тези организации получават.

Резюме

Основни изводи

От 2017 година рязко се увеличи процентът на използване на строго удостоверяване. С увеличаването на броя на уязвимостите, засягащи традиционните решения за аутентификация, организациите подобряват своите аутентификационни способности с помощта на стриктна аутентификация. Броят на организациите, използващи многофакторна аутентификация с криптография (MFA), се е утроил от 2017 година за потребителските приложения и е нараснал с почти 50% за корпоративните приложения. Най-бързият растеж се наблюдава в мобилната аутентификация заради увеличаващата се достъпност на биометричната аутентификация.

Тук виждаме илюстрация на поговорката "докато гръм не удари - мъжът не се кръсти". Когато експертите предупреждаваха за ненадеждността на паролите, никой не бързаше да внедрява двуфакторна аутентификация. Веднага щом хакерите започнаха да крадат пароли – хората започнаха да внедряват двуфакторна аутентификация.

Истината е, че частните лица значително по-активно прилагат 2ФА. От една страна, така им е по-лесно да успокоят страховете си, разчитайки на вградената в смартфоните биометрична аутентификация, която на практика е много ненадеждна. На организациите обаче им е необходимо да инвестират в закупуването на токени и да провеждат (на практика доста прости) действия за тяхното внедряване. А от друга страна, за изтичането на пароли от услуги като Facebook и Dropbox не е написал само мързеливият, но директорите на информационни технологии на тези организации не споделят историите за кражба на пароли (и какво е последвало) при никакви условия.

Тези, които не използват стриктна аутентификация, подценяват риска за бизнеса и клиентите си. Някои организации, които в момента не използват стриктна аутентификация, са склонни да разглеждат логините и паролите като един от най-ефективните и лесни за използване методи за аутентикация на потребителите. Други не виждат стойността на дигиталните активи, които притежават. Трябва да се има предвид, че киберпрестъпниците се интересуват от всякаква потребителска и бизнес информация. Две трети от компаниите, които използват само пароли за аутентификация на своите служители, правят това, защото смятат, че паролите са достатъчно добри за типа информация, който защитават.

Независимо от това, паролите са на път "към гроба". През изминалата година зависимостта от пароли значително намаля, както за потребителски, така и за корпоративни приложения (от 44% до 31% и от 56% до 47% съответно), тъй като организациите разширяват използването на традиционна MFA и строга автентикация.
Но ако оценим ситуацията в цялост, уязвимите методи за автентикация все още преобладават. При потребителската автентикация около една четвърт от организациите използват SMS OTP (еднократна парола) в комбинация с тайни въпроси. В резултат на това за защита от уязвимост е необходимо внедряване на допълнителни мерки за защита, което увеличава разходите. Използването на много по-надеждни методи за автентикация, като хардуерни криптографски ключове, се прилага много по-рядко, около 5% от организациите.

Развиващата се нормативно-правна среда обещава да ускори внедряването на строга автентикация за потребителски приложения. С въвеждането на PSD2, както и новите правила за защита на данните в ЕС и редица щати в САЩ, като Калифорния, компаниите усещат, че става горещо. Почти 70% от компаниите съгласни, че срещат силен регулаторен натиск за осигуряване на строга автентикация за своите клиенти. Повече от половината предприятия смятат, че след няколко години техните методи на автентикация няма да бъдат достатъчни за спазване на нормативните стандарти.

Добре се забелязва разликата в подходите между руски и американо-европейски законодатели по защита на личните данни на потребителите на програми и услуги. Руски законодатели казват: скъпи собственици на услуги, правете каквото искате, но ако ваш администратор изтече базата, ние ще ви накажем. В чужбина казват: вие трябва да внедрите комплекс от мерки, който няма да позволи да предотврати изтичането на база данни. Именно затова там се внедряват изисквания за наличие на строга двуфакторна автентикация.
Истината е, че не е сигурно, че нашата законодателна система в един момент няма да се осъзнае и да вземе предвид западния опит. Тогава ще се окаже, че всички трябва да внедрят 2ФА, съответстваща на руските криптографски стандарти, и то спешно.

Създаването на надеждна основа за автентикация позволява на компаниите да преместят акцента от удовлетворението на нормативните изисквания към удовлетворението на нуждите на клиентите. За организациите, които все още използват прости пароли или получават кодове по SMS, най-важният фактор при избора на метод за автентикация ще бъде съответствието с нормативните изисквания. А компаниите, които вече използват строга автентикация, могат да се фокусират върху избора на методи, които увеличават лоялността на клиентите.

При избора на метод за корпоративна автентикация в рамките на предприятието изискванията на регулаторите вече не са значим фактор. В този случай много по-важни са простотата на интеграция (32%) и цената (26%).

В ерата на фишинга злонамерените лица могат да използват корпоративна електронна поща за измама, за да получат достъп до данни, учетни записи (с подходящите права за достъп) и дори да убедят служителите да извършат паричен превод на тяхна сметка. Следователно счетоводните записи на корпоративната поща и порталите трябва да бъдат особено добре защитени.

Google засили своята защита, внедрявайки строга автентикация. Преди повече от две години Google публикува доклад за внедряването на двуфакторна автентикация на базата на криптографски ключове за сигурност по стандарта FIDO U2F, съобщавайки за впечатляващи резултати. Според компанията не е имало нито една фишинг атака срещу повече от 85 000 служители.

Препоръки

Внедрявайте строга автентикация за мобилни и онлайн приложения. Многофакторната автентикация на базата на криптографски ключове осигурява много по-надеждна защита срещу хакерски атаки в сравнение с традиционните методи на MFA. Освен това използването на криптографски ключове е много по-удобно, тъй като не е необходимо да се използват и предават допълнителна информация — пароли, еднократни пароли или биометрични данни от устройството на потребителя на сървъра за автентикация. Освен това стандартизацията на протоколите за автентикация позволява много по-лесно внедряване на нови методи за автентикация, когато се появят, като намалява разходите за използване и защитава от по-сложни схеми за измама.

Подгответе се за залеза на еднократните пароли (OTP). Уязвимостите, свързани с OTP, стават все по-очевидни, в условия, при които киберпрестъпниците използват социална инженерия, клониране на смартфони и злонамерен софтуер, за да компрометират тези средства за удостоверяване. И макар че OTP в определени случаи имат известни предимства, то те са само от гледна точка на универсалната достъпност за всички потребители, но не и от гледна точка на сигурността.

Не можем да не забележим, че получаването на кодове чрез SMS или Push известия, както и генерирането на кодове с помощта на приложения за смартфони — именно това е използването на онези еднократни пароли (OTP), за които ни предлагат да се подготвим за залез. От техническа гледна точка решението е изключително правилно, защото рядко мошеник не се опитва да извлече еднократна парола от доверчив потребител. Но мисля, че производителите на подобни системи ще се хванат за умиращата технология до последно.

Използвайте строгото удостоверяване като маркетингов инструмент за повишаване на доверието на клиентите. Строгото удостоверяване не само може да подобри фактическата безопасност на вашия бизнес. Информирането на клиентите, че вашият бизнес използва строго удостоверяване, може да укрепи общественото възприятие за сигурността на този бизнес — важен фактор, когато съществува значителен търсене на надеждни методи за удостоверяване.

Извършете внимателна инвентаризация и оценка на важността на корпоративните данни и ги защитете в съответствие с важността. Дори данните с нисък рисков профил, като контактна информация на клиентите (не, наистина в отчета е написано “low-risk”, наистина е странно, че подценяват важността на тази информация), могат да донесат значителна стойност на мошениците и да причинят проблеми на компанията.

Използвайте строго удостоверяване на предприятието. Някои системи са най-привлекателни цели за престъпниците. Те включват на вътрешни и свързани с интернет системи, като счетоводна програма или хранилище на корпоративни данни. Строгото удостоверяване не позволява на злонамерените лица да получат неоторизиран достъп и също така позволява точно установяване на това кой точно от служителите е извършил злонамерена дейност.

Какво е строгата автентикация?

При използване на строгата автентикация за удостоверяване на потребителя се използват няколко метода или фактора:

• Фактор на знанието: обща тайна между потребителя и субекта на удостоверяването (например, пароли, отговори на тайни въпроси и т.н.)
• Фактор на притежанието: устройство, което притежава само потребителят (например, мобилно устройство, криптографски ключ и т.н.)
• Фактор на неотменимостта: физически (често биометрични) характеристики на потребителя (например, отпечатък от пръст, рисунък на роговицата на окото, глас, поведение и т.н.)

Необходимостта да бъдат пробити няколко фактора значително увеличава вероятността за неуспех за злонамерените, тъй като обходът или измамата с различни фактори изисква използването на няколко типа техники за пробив, за всеки фактор поотделно.

Например, при 2FA "парола + смартфон" злонамереният може да извърши удостоверяване, подслушвайки паролата на потребителя и правейки точна софтуерна копия на неговия смартфон. А това е много по-сложно, отколкото просто да откраднеш паролата.

Но ако за 2FA се използва парола и криптографски токен, то опцията с копирането тук не работи – дублирането на токена е невъзможно. На мошеникът ще му е необходимо незабелязано да открадне токена от потребителя. Ако потребителят навреме забележи отсъствие и уведоми администратора, токенът ще бъде блокиран и усилията на мошеника ще бъдат напразни. Именно затова за фактора на притежание трябва да се използват специализирани защитени устройства (токени), а не устройства за общо предназначение (смартфони).

Използването на всичките три фактора ще направи този метод на удостоверяване достатъчно скъп при внедряване и доста неудобен при използване. Затова обикновено се използват два фактора от трите.

По-подробно принципите на двуфакторната автентикация са описани тук., в блока "Как работи двуфакторната автентикация".

Важно е да се отбележи, че поне един от факторите за автентикация, използвани при строгата автентикация, трябва да използва криптография на базата на публичен ключ.

Строгата автентикация предлага много по-сериозна защита в сравнение с еднофакторната автентикация, основаваща се на класически пароли и традиционния MFA. Паролите могат да бъдат подслушани или прихванати с помощта на кейлогъри, фишинг сайтове или атаки, основани на социална инженерия (когато измамената жертва сама съобщава паролата си). Освен това, собственикът на паролата не подозира нищо за факта на кражба. Традиционният MFA (включващ OTP кодове, свързване със смартфон или SIM карта), също може да бъде сравнително лесно хакнат, тъй като не се основава на криптография с публичен ключ.Между другото, има множество примери, когато с помощта на техники на същата социална инженерия измамниците убеждават потребителите да им съобщят еднократната парола.).

За щастие, от миналата година използването на строга автентикация и традиционен MFA набира популярност както в потребителски, така и в корпоративни приложения. Използването на строга автентикация в потребителските приложения нараства особено бързо. Ако през 2017 година само 5% от компаниите я използваха, то през 2018 година вече три пъти повече – 16%. Това може да се обясни с по-достъпните токени, поддържащи алгоритми за криптография с публичен ключ (Public Key Cryptography — PKC). Освен това, засиленото натиск на европейските регулатори след приемането на новите правила за защита на информацията, като PSD2 и GDPR, оказа силен ефект дори извън Европа.включително в Русия.).

Нека да разгледаме тези цифри по-внимателно. Както виждаме, процентът на частните лица, използващи многофакторна автентикация, е нараснал с внушителните 11% за година. И това определено се дължи на любителите на паролите, тъй като цифрите на тези, които вярват в сигурността на Push уведомления, SMS и биометрия, не са се променили.

А с двуфакторната автентикация за корпоративно приложение нещата не са толкова добри. Първо, според доклада, само 5% от служителите са преминали от паролна автентикация на токени. И второ, нарасна с 4% броят на тези, които в корпоративна среда използват алтернативни опции за MFA.

Ще се опитам да играя ролята на аналитик и ще дам своето тълкуване. В центъра на цифровия свят на индивидуалните потребители стои смартфонът. Затова не е учудващо, че повечето използват възможностите, които им предлага устройството – биометрична аутентикация, SMS и Push известия, както и еднократни пароли, генерирани от приложения на самия смартфон. За сигурността и надеждността при използване на познатите инструменти, хората обикновено не се замислят.

Точно затова процентът на потребителите на примитивни "традиционни" фактори за аутентикация остава непроменен. Обаче тези, които преди са използвали пароли, разбират колко сериозно рискуват и при избора на нов фактор за аутентикация се спират на най-новия и безопасен вариант – криптографски токен.

Що се отнася до корпоративния пазар, важно е да разберем в коя система се осъществява аутентификацията. Ако се извършва вход в домейн Windows, се използват криптографски токени. Възможностите за тяхната употреба за 2FA вече са заложени както в Windows, така и в Linux, а внедряването на алтернативни варианти е бавно и сложно. Ето ви и миграция от 5% от пароли към токени.

А реализирането на 2FA в корпоративната информационна система до голяма степен зависи от квалификацията на разработчиците. И на разработчиците е много по-лесно да вземат готови модули за генериране на еднократни пароли, отколкото да се запознаят с работата на криптографските алгоритми. В резултат дори невероятно критични към сигурността приложения, като системите Single Sign-On или Privileged Access Management, използват OTP като втори фактор.

Множество уязвимости в традиционните методи за аутентикация

Въпреки че много организации продължават да зависим от остарели еднофакторни системи, уязвимостите в традиционната многофакторна аутентикация стават все по-очевидни. Еднократните пароли, обикновено дълги от шест до осем символа и доставяни чрез SMS, остават най-разпространената форма на аутентикация (разбира се, освен фактора на познание на паролата). И когато в популярната преса се споменават термини като "двуфакторна аутентикация" или "двустепенна проверка", те почти винаги се отнасят до аутентикация с помощта на еднократни SMS пароли.

Тук авторът малко греши. Доставката на еднократни пароли чрез SMS никога не е била двуфакторна автентикация. Това е чисто вторият етап на двустепенна автентикация, където първият етап е въвеждането на име и парола.

През 2016 г. Националният институт за стандарти и технологии (NIST) актуализира своите правила за автентикация, за да изключи използването на еднократни пароли, изпратени чрез SMS. Въпреки това, тези правила бяха значително смекчени след протести в индустрията.

И така, следим сюжета. Американският регулатор справедливо признава, че остарялата технология не може да осигури безопасността на потребителите и въвежда нови стандарти. Стандарти, предназначени да защитят потребителите в онлайн и мобилни приложения (включително банкови). Индустрията изчислява колко средства ще трябва да се отделят за закупуването на наистина надеждни криптографски токени, за преизграждането на приложения, за разгръщането на инфраструктура на публични ключове и "изправя се на крака". От една страна, потребителите бяха убеждавани в надеждността на еднократните пароли, а от друга страна, имаше атаки срещу NIST. В резултат стандартът беше смекчен, а броят на хакванията, кражбите на пароли (и пари от банкови приложения) рязко нарасна. Затова индустрията не беше принудена да харчи много.

Оттогава слабостите, присъщи на SMS OTP, станаха по-очевидни. Престъпниците използват различни методи за компрометиране на SMS съобщенията:

• Дублиране на SIM карта. Престъпниците създават копие на SIM (с помощта на служители на мобилния оператор, или сами, с помощта на специален софтуер и хардуер)). В един особено известен случай, хакери дори успяха да компрометират профила на AT&T на инвеститора в криптовалути Майкъл Терпин и да откраднат почти 24 милиона долара в криптовалути. В следствие на което Терпин заяви, че AT&T е виновен заради слабите мерки за проверка, довели до дублирането на SIM картата.
  

  Впечатляющая логика. То есть, действительно, только AT&T виноват? Нет, вина мобильного оператора в том, что продавцы в торговой точке выдали дубликат SIM-карты, безусловно. А как насчет системы аутентификации криптобиржи? Почему они не использовали надежные криптографические токены? Не хватало денег на внедрение? А сам Майкл не виноват? Почему он не настоял на изменении механизма аутентификации или не работал только с теми криптобиржами, которые используют двухфакторную аутентификацию на основе криптографических токенов?

  Внедрение по-настоящему надежных методов аутентификации задерживается именно из-за того, что до взлома пользователи проявляют поразительную беспечность, а после – винят в своих проблемах кого угодно, кроме устаревших и «дырявых» технологий аутентификации.

• Вредоносные программы (malware). Одной из самых ранних функций мобильных вредоносных программ был перехват и пересылка текстовых сообщений злоумышленникам. Также атаки «человек в браузере» (man-in-the-browser) и «человек посередине» (man-in-the-middle) могут перехватывать одноразовые пароли, когда они вводятся на зараженных ноутбуках или настольных компьютерах.
  

  Когда приложение Сбербанка на вашем смартфоне мигает зеленым значком в статусной строке, оно также ищет «зловреды» на вашем телефоне. Цель этого процесса — превратить недоверенное окружение обычного смартфона в хотя бы частично доверенное.
  Кстати, смартфон, как абсолютно недоверенное устройство, на котором может выполняться все что угодно — это еще одна причина использовать для аутентификации только аппаратные токены, которые защищены и лишены вирусов и троянов.

• Социальная инженерия. Когда мошенникам известно, что у жертвы включены одноразовые пароли по SMS, они могут напрямую связаться с жертвой, выдавая себя за доверенную организацию, такую как ее банк или кредитный союз, чтобы обмануть жертву и заставить ее предоставить только что полученный код.
  

  Лично съм се сблъсквал с този вид измама многократно, например, когато се опитвах да продам нещо на популярния онлайн базар. Аз самият се подиграх на измамника, който се опита да ме заблуди. Но за съжаление, редовно чета новини как поредната жертва на измамници "не е помислила", е съобщила код за потвърждение и е загубила голяма сума. И всичко това, защото на банката просто не ѝ се иска да се замесва с внедряването на криптографски токени в своите приложения. Нали ако нещо се случи, клиентите "са си виновни".

Въпреки че алтернативните методи за доставка на еднократни пароли могат да смекчат някои уязвимости в този метод на аутентификация, други уязвимости остават валидни. Автономните приложения за генериране на код са най-добрата защита срещу прихващане, тъй като дори злонамереният софтуер практически не може да взаимодейства директно с генератора на код (наистина? авторът на доклада забрави за отдалеченото управление?), но OTP все пак могат да бъдат прихванати при въвеждане в браузъра (например, използвайки клавиатурен шпион), чрез хакнато мобилно приложение; също така могат да бъдат получени директно от потребителя чрез социална инженерия.
Използването на множество инструменти за оценка на риска, като разпознаване на устройства (разкриване на опити за извършване на операции от устройства, които не принадлежат на легитимния потребител), геолокация (потребител, който току-що е бил в Москва, опитва да извърши операция от Новосибирск) и поведенческа аналитика, е от голямо значение за премахването на уязвимостите, но нито едно от решенията не е панацея. За всяка ситуация и тип данни е необходимо внимателно да се оценяват рисковете и да се избере коя технология за аутентификация да бъде използвана.

Нито едно решение за аутентификация не е панацея

Фигура 2. Таблица с варианти на аутентификация

Във втората част на публикацията ни очакват най-интересните неща — цифрите и фактите, на които се основават изводите и препоръките от първата част. Ще бъде разгледана отделно автентикацията в потребителските приложения и в корпоративните системи.

До скоро!

Източник: habr.com