Mis juhtub autentimise ja paroolidega? Tõlkimine Javelini aruandest "Range autentimise olek" koos kommentaaridega

Raporti pealkirja spikker „Tugeva autentimise kasutamise juhtumid on langenud uute riskide ja regulaatorite nõudmiste tõttu”.
Uuringufirma „Javelin Strategy & Research” on avaldanud aruande „Tugeva autentimise seisund 2019” ( originaali pdf-vormingus saab alla laadida siit). Selles aruandes käsitletakse, kui suur protsent Ameerika ja Euroopa ettevõtetest kasutab paroole (ja miks kasutatakse täna väga hästi paroole); miks kasvab kiiresti kahe faktoriga autentimise osakaal, mis põhineb krüptograafilistel tokenitel; miks on SMS-iga saadetud ühekordsed koodid ebaohutud.

Kõik, keda huvitab autentimise tõeline, minevik ja tulevik ettevõtetes ja kasutaja rakendustes - tere tulemast.

Tõlkijalt

Kahjuks on see aruanne kirjutatud üsna „kuivas” ja formaalses keeles. Ja sõna „autentimine” kordamine viies lühikeses lauses pole mitte tõlkija ebatäpsuste, vaid autorite nõudmine. Tõlkes kahe variandi vahel - anda lugejatele lähemal originaalile või huvitavam kõrvale, olen mõnikord valinud esimese, mõnikord teise. Kuid palun, head lugejad, kannatage, aruande sisu on seda väärt.

Mõned ebaolulised ja jutustamiseks mitte vajalikud osad on välja jäetud, muidu ei suudaks enamik täielikku teksti läbi lugeda. Soovijad saavad tuttavaks aruande „ilma kärbeteta” originaalkeeles, minnes linki.

Kahjuks pole autorid terminoloogias alati täpsed. Näiteks ühekordsed paroolid (One Time Password - OTP) nimetavad nad mõnikord „paroolideks” ja mõnikord „koodideks”. Autentimismeetoditega on asjad veel hullemad. Kvalifitseerimata lugejal pole alati lihtne mõista, et „krüptograafiliste võtmete kasutamise autentimine” ja „range autentimine” on sama asi. Olen püüdnud termineid maksimaalselt ühtlustada, pealegi on aruandes lahknevusi nende kirjeldamiseks.

Sellegipoolest on aruanne kindlasti soovitatav lugeda, kuna see sisaldab ainulaadseid uurimistulemusi ja õigeid järeldusi.

Kõik numbrid ja faktid on esitatud muutumatult ning kui te nendega ei nõustu, siis on parem vaielda mitte tõlkijaga, vaid raporti autoritega. Siin on minu kommentaarid (kujundatud kui tsitaadid ja tekstis märgitud kursiivis) on minu subjektiivne hinnang ja igaühega neist olen ma valmis vaidlema (nagu ka tõlke kvaliteedi osas).

Ülevaade

Tänapäeval on ettevõtte jaoks digitaalsete suhtlemiskanali olulisus suurem kui kunagi varem. Ent ka ettevõtte sees on töötajate vaheline kommunikatsioon suunatud rohkem digitaalses keskkonnas kui kunagi varem. Ja kui turvalised need suhtlemised on, sõltub valitud kasutaja autentimise viisist. Küberkurjategijad kasutavad nõrku autentimismeetodeid, et massiliselt kasutajakontosid häkkida. Vastuseks sellele karmistavad regulatiivorganid standardeid, et sundida ettevõtteid paremini kaitsma kasutajakontosid ja andmeid.

Autentimisega seotud ohud ei piirdu ainult tarbija rakendustega; küberkurjategijad võivad pääseda ligi ka ettevõtte sees töötavale rakendusele. Selline tegevus võimaldab neil end esitada ettevõtte kasutajatena. Küberkurjategijad, kes kasutavad nõrga autentimisega juurdepääsupunkte, saavad varastada andmeid ja teostada muid petuskeeme. Õnneks on sellele vastu võitlemiseks meetmeid. Rangem autentimine aitab oluliselt vähendada rünnaku riski nii tarbija rakenduste kui ka ettevõtte ärisüsteemide osas.

Selles uuringus käsitletakse: kuidas ettevõtted rakendavad autentimist kasutajarakenduste ja ettevõtte ärisüsteemide kaitsmiseks; tegurid, mida nad arvestavad autentimislahenduse valimisel; range autentimise roll, mida see nende organisatsioonides mängib; ja eelised, mida need organisatsioonid saavad.

Elulookirjeldus

Peamised järeldused

Alates 2017. aastast on rangete autentimismeetodite kasutamise protsent järsult tõusnud. Kuna arukate haavatavuste arv, mis mõjutavad traditsioonilisi autentimislahendusi, suureneb, tugevdatakse organisatsioonide autentimisvõimet tugeva autentimisega. Organisatsioonide arv, kes kasutavad krüptograafiaga mitme teguri autentimist (MFA), on alates 2017. aastast enam kui kolmekordistunud tarbijate seas ja ettevõtte rakendustes pea 50% suurenenud. Kiireim kasv on mobiilse autentimise vallas, mida soodustab biomeetrilise autentimise kasvav kättesaadavus.

Siin näeme vanasõna illustreerimist „kui äikest ei kõla, siis mees ei risti end“. Kui eksperdid hoiatavad paroolide ebakindluse eest, siis ei kiirusta keegi kahe faktoriga autentimist rakendama. Kuid kohe kui häkkerid hakkasid paroole varastama, hakkasid inimesed kahekordset autentimist kasutama.

Tõsi, eraisikud rakendavad 2FA tunduvalt aktiivsemalt. Esiteks, see aitab neil oma hirme rahustada, toetudes nutitelefonidesse sisseehitatud biomeetrilisele autentimisele, mis tegelikult on üsna ebausaldusväärne. Organisatsioonid peavad seevastu investeerima tokenitesse ja tegema (tegelikult üsna lihtsaid) rakendamisprotseduure. Teiseks, paroolide lekked teenustest nagu Facebook ja Dropbox pole ainult nõrkade mure, kuid lood sellest, kuidas paroolid organisatsioonides varastati (ja mis edasi juhtus), ei jaga need organisatsioonide IT-juhid mingil juhul.

Need, kes ei kasuta tugevat autentimist, alahindavad oma äririske ja kliente. Mõned organisatsioonid, kes praegu ei kasuta tugevat autentimist, peavad logisid ja paroole üheks efektiivsemaks ja kasutajasõbralikumaks viieks kasutajate autentimiseks. Teised ei näe omaniku digitaalsete varade väärtust. On oluline arvestada, et küberkurjategijatele on huvi mistahes tarbijate ja äriteabe vastu. Kaks kolmandikku ettevõtetest, kes kasutavad oma töötajate autentimiseks ainult paroole, teevad seda, kuna arvavad, et paroolid on piisavalt head nõnda kaitstava teabe tüübi jaoks.

Kuid siiski, paroolid on teel „hauda“. Eelmise aasta jooksul on sõltuvus paroolidest märgatavalt vähenenud nii tarbijarakendustes kui ka ettevõtte rakendustes (44% -lt 31% -le ja 56% -lt 47% -le vastavalt), kuna organisatsioonid laiendavad traditsioonilise MFA ja range autentimise rakendamist.
Kuid kui vaadata olukorda tervikuna, siis haavatavad autentimise viisid domineerivad endiselt. Ligikaudu neljandik organisatsioonidest kasutab kasutaja autentimiseks SMS OTP-d (ühekordne parool) koos salajaste küsimustega. Tulemuseks on see, et haavatavust kaitsmiseks tuleb rakendada täiendavaid kaitsemeetmeid, mis suurendavad kulusid. Kaugeltki usaldusväärsemate autentimismeetodite kasutamine, nagu riistvaralised krüptograafilised võtmed, on palju harvem, vaid umbes 5% organisatsioonidest.

Arenev õiguslik keskkond lubab kiirendada range autentimise rakendamist tarbijarakendustes. PSD2 ja uute Euroopa Liidu andmekaitse eeskirjade ning mitme Ameerika osariigi, sealhulgas California, seaduste kehtestamisega tunnevad ettevõtted, et surve kasvas. Peaaegu 70% ettevõtetest nõustuvad, et nad tunnevad tugevat regulatiivset survet, et tagada oma klientidele range autentimine. Üle poole ettevõtetest usub, et mõne aasta pärast ei ole nende autentimismeetodid piisavad vastavuse tagamiseks regulatiivsetele standarditele.

On selgelt märgatav erinevus Venemaa ja Ameerika-Euroopa seadusandjate lähenemisviisides kasutajate isikuandmete kaitsmisele. Venemaa seadusandjad ütlevad: kallid teenusepakkujad, tehke, mida tahate, kuid kui teie admin kontrollib andmebaasi, siis karistame teid. Välismaal öeldakse: te peate rakendama meetmeid, mis keeravad andmebaasi häkkimise. Seepärast kehtestatakse seal laialdaselt ranged nõuded kahe faktoriga autentimise olemasolule.
Tõsi, pole sugugi kindel, et meie seadusandlik masin ei taipa ühel kaunil hetkel lääne kogemust arvesse võtta. Siis selgub, et kõigil on hädasti vaja rakendada 2FA, mis vastab Venemaa krüptograafilistele standarditele.

Usaldusväärse autentimise aluse loomine võimaldab ettevõtetel keskenduda regulatiivsete nõuete täitmiselt klientide vajaduste rahuldamisele. Organisatsioonidele, kes kasutavad veel lihtsaid paroole või SMS-koode, on autentimismeetodi valimisel kõige olulisemaks teguriks regulatiivsete nõuete täitmine. Need ettevõtted, kes on juba rakendanud ranget autentimist, saavad aga keskenduda autentimismeetodite valikule, mis suurendavad klientide lojaalsust.

Ettevõtte sisemise autentimismeetodi valimisel ei ole regulatiivide nõuded enam määravad. Sel juhul on palju olulisem integratsiooni lihtsus (32%) ja maksumus (26%).

Phishing'u ajastul saavad küberkurjid kasutada ettevõtte e-postit ka petmiseks, et pettusega pääseda ligi andmetele, kontodele (koos vastava juurdepääsuga) ja isegi veenda töötajaid tegema rahakandmisi oma arvele. Seetõttu peavad ettevõtte e-posti ja portaalide kontod olema eriti hästi kaitstud.

Google on oma kaitset tugevdanud, rakendades ranget autentimist. Üle kahe aasta tagasi avaldas Google aruande kahefaasilise autentimise rakendamisest krüptograafiliste turvavõtmete põhjal standardile FIDO U2F, tuues välja muljetavaldavad tulemused. Ettevõtte andmetel ei ole rohkem kui 85 000 töötaja suhtes toimunud ühtegi phishing'u rünnakut.

Soovitused

Käitage ranget autentimist mobiili- ja veebirakendustes. Krüptograafiliste võtmete põhine mitmefaktoriline autentimine kaitseb palju paremini häkkerite eest kui traditsioonilised MFA meetodid. Lisaks on krüptograafiliste võtmete kasutamine palju mugavam, kuna ei ole vaja edastada ega kasutada lisainformatsiooni — paroole, ühekordseid paroole või biomeetrilisi andmeid kasutaja seadmel autentimise serverisse. Lisaks võimaldab autentimise protokollide standardiseerimine uute autentimismeetodite rakendamist lihtsalt, vähendades kasutuskulusid ja kaitstes keerukamate petuskeemide eest.

Valmistuge ühekordsete paroolide (OTP) kadumiseks. OTP haavat, mille tõttu küberkurjategijad kasutavad sotsiaalset inseneeriat, nutitelefonide kloonimist ja pahavara nende autentimismeetodite kompromiteerimiseks, muutuvad üha silmatorkavamaks. Ja kuigi OTP-l on teatud olukordades teatud eelised, on need vaid universaalse kättesaadavuse osas kõigile kasutajatele, kuid mitte turvalisuse aspektist.

Ei saa märkamatuks jääda, et SMS- või Push-teavituste kaudu koodide saamine ja koodide genereerimine nutitelefonide rakendustega ongi need ühekordsed paroolid (OTP), mille loojad soovitavad meil valmuda languse jaoks. Tehniliselt on see lahendus väga õige, sest harva proovib petja mitte välja uurida ühekordset parooli usaldusväärselt kasutajalt. Kuid ma arvan, et selliste süsteemide tootjad hakkavad viimase hetkeni kinni hoidma surevast tehnoloogiast.

Kasutage ranget autentimist turundusinstrumendina klientide usalduse suurendamiseks. Range autentimine võib mitte ainult parandada teie ettevõtte tegelikku turvalisust. Klientide teavitamine teie ettevõtte rangest autentimisest võib tugevdada avalikku arusaama selle ettevõtte turvalisusest — oluline tegur, kui klientide nõudlus usaldusväärsete autentimismeetodite järele on suur.

Tehke põhjalik inventuur ja hindake ettevõtte andmete tähtsust ning kaitske neid vastavalt tähtsusele. Isegi madala riski tasemega andmed, nagu kliendi kontaktteave (ei, tõepoolest, raportis on öeldud “low-risk”, on väga kummaline, et alahindavad selle teabe tähtsust), võivad petjatele tuua märkimisväärset väärtust ja põhjustada ettevõttele probleeme.

Kasutage ettevõttes ranget autentimist. Mitmed süsteemid on kurjategijate jaoks kõige atraktiivsemad sihtmärgid. Nendeks on sellised sise- ja internetti ühendatud süsteemid nagu raamatupidamisprogramm või ettevõtte andmehoidla. Range autentimine takistab kurjategijatel volitamata juurdepääsu ning võimaldab täpselt kindlaks teha, kes töötajatest on kuritarvitanud.

Mis on range autentimine?

Range autentimise kasutamisel kasutaja tuvastamiseks kasutatakse mitmeid meetodeid või faktoreid:

• Teadmiste tegur: üldine saladus kasutaja ja autentimisobjekti vahel (näiteks paroolid, vastused salajastele küsimustele jne)
• Omandi tegur: seade, mis kuulub ainult kasutajale (näiteks nutitelefon, krüptograafiline võti jne)
• Ainulaadsuse tegur: füüsilised (tihti biometrilised) omadused kasutajast (näiteks sõrmejälg, iirise muster, hääl, käitumine jne)

Mitme teguri rikkumine suurendab oluliselt ebaõnnestumise tõenäosust pahatahtlike isikute jaoks, kuna erinevate tegurite ületamine või petmine nõuab mitme tüüpi häkkimise taktika kasutamist, mis on vajalik iga teguri jaoks eraldi.

Näiteks 2FA puhul 'parool + nutitelefon' saab ründaja autentida, jälgides kasutaja parooli ja tehes täpse tarkvarakopeerimise tema nutitelefonist. See on palju keerulisem kui lihtsalt parooli varastamine.

Kuid kui 2FA-s kasutatakse parooli ja krüptograafilist tokenit, siis kopeerimise variant siin ei tööta – tokeni kopeerimine on võimatu. Pettur peab salaja kasutajalt tokeni ära varastama. Kui kasutaja märkab varguse aegsasti ja teavitab administraatorit, siis token blokeeritakse ja peturi pingutused lähevad asjata. Seetõttu peab omandi teguri puhul kasutama spetsialiseeritud kaitstud seadmeid (tokenid), mitte tavalisi seadmeid (nutitelefonid).

Kolme teguri kasutamine muudab autentimismeetodi rakendamisel piisavalt kulukaks ja kasutamisel ebamugavaks. Seetõttu kasutatakse tavaliselt kahte tegurit kolmest.

Kaksifaktorilise autentimise printsiipide kohta on lähemalt kirjeldatud siin, jaotises „Kuidas kahe teguri autentimine töötab”.

Oluline on märkida, et vähemalt üks range autentimise teguritest peab kasutama avaliku võtme krüptograafiat.

Rangeeritud autentimine pakub palju tõhusamat kaitset kui traditsioonilised paroolipõhised ja tavalised MFA lahendused. Salasõnu saab varastada või kuulata nuhkvara, võltsitud veebilehtede või sotsiaalsetele manipulatsioonidele tuginevate rünnakute kaudu (kus petetud ohver annab oma salasõna vabatahtlikult). Samal ajal ei pruugi salasõna omanik isegi kahtlustada, et see on varastatud. Traditsiooniline MFA (mis hõlmab OTP koode, nutitelefoni või SIM-kaardi sidumist) on samuti suhteliselt kergesti häkitav, kuna ei põhine avaliku võtme krüptograafial.Ühtlasi on palju näiteid, kus sotsiaalsete manipulatsioonide tehnikate kaudu on petised veennud kasutajaid andma neile ühekordse parooli.).

Käesolevates tingimustes on ranged autentimisviisid ning traditsiooniline MFA viimase aasta jooksul nii tarbijate kui ka ärirakendustes kiiresti populaarsust kogunud. Ranged autentimisviiside kasutamine tarbijarakendustes on kasvanud eriti kiiresti. Kui 2017. aastal kasutas seda vaid 5% ettevõtetest, siis 2018. aastal juba kolmandiku võrra rohkem – 16%. Seda võib seletada avaliku võtme krüptograafiat toetavate tokenite suurema kättesaadavusega. Lisaks on Euroopa regulaatorite südamevalud, pärast uute andmekaitse põhimõtete nagu PSD2 ja GDPR vastuvõtmist, avaldanud tugevat mõju isegi Euroopa piiridest väljas.sh Venemaal.).

Vaadakem neid numbreid veidi lähemalt. Nagu näeme, on aastaga kasvanud nende isikute protsent, kes kasutavad mitmeastmelist autentimist, muljetavaldavad 11%. See on toimunud selgelt paroolide kasutajate arvelt, kuna need, kes usuvad Push-teavituste, SMS-i ja biometria ohutusse, ei ole muutunud.

Kaksifaktoriline autentimine ettevõtluse jaoks ei ole aga nõnda hea. Esiteks, raporti järgi oli vaid 5% töötajatest viidud parooliautentimise pealt tokenitele. Teiseks, 4% võrra on kasvanud nende hulk, kes kasutavad ettevõtluses alternatiivseid MFA variatsioone.

Ma proovin analüütikaks mängida ja annan oma tõlgenduse. Individuaalsete kasutajate digitaalsete maailmade keskmes on nutitelefon. Seetõttu pole üllatav, et enamik kasutab selle seadme pakutavaid võimalusi – biomeetrilist autentimist, SMS- ja Push-teateid ning ka ühekordseid paroole, mis on genereeritud rakendustes nutitelefonis. Inimesed ei mõtle tavaliselt oma harjumuspäraste tööriistade kasutamise turvalisusele ja usaldusväärsusele.

Just seetõttu jääb primitiivsete "traditsiooniliste" autentimistegurite kasutajate protsent muutumatuks. Kuid need, kes on varem kasutanud paroole, mõistavad, kui suures riskis nad on, ja valides uut autentimistegurit, eelistavad nad kõige uuemat ja turvalisemat varianti – krüptograafilist tokenit.

Mis puutub ettevõtte turgu, siis on oluline mõista, millisesse süsteemi autentimine toimub. Kui toimub sisenemine Windowsi domeeni, kasutatakse krüptograafilisi tokeneid. Nende võimalused 2FA jaoks on juba olemas nii Windowsis kui ka Linuxis, samas kui alternatiivsete variantide rakendamine on aeganõudev ja keeruline. Siin on 5% migratsioon parooleelt tokenitele.

Ja 2FA rakendamine ettevõtte infosüsteemis sõltub väga palju arendajate kvalifikatsioonist. Arendajatel on palju lihtsam võtta valmis mooduleid ühekordsete paroolide genereerimiseks, kui segadusse ajada krüptograafiliste algoritmide tööga. Seetõttu kasutavad isegi äärmiselt turvakriitilised rakendused, nagu Single Sign-On või Privileged Access Management, OTP-d teise teguri näitena.

Tavapäraste autentimismeetodite rohked haavatavused

Malatus kadu arvavad, et paljud organisatsioonid jäävad sõltuvaks vananenud ühekordsest süsteemist, muutuvad traditsioonilise mitmeastmelise autentimise haavatavused üha ilmsemaks. Ühekordsed paroolid, mis on tavaliselt pikad kuuest kaheksas sümbolist ja saadetud SMS-iga, jäävad kõige levinumaks autentimisvormiks (loomulikult peale parooliteadlikkuse tegurit). Ja kui populaarses meedias mainitakse sõnu "kahefaktorne autentimine" või "kaheastmeline kontroll", viidatakse tavaliselt ühekordsetele SMS-paroolidele.

Siin autor teeb veidi vea. Ühekordsete paroolide saatmine SMS-iga pole kunagi olnud mitme faktori autentimine. See on puhtalt teise etapi kaheastmelise autentimise osa, kus esimene etapp on sisselogimisnimi ja parooli sisestamine.

2016. aastal uuendas Ameerika Ühendriikide Rahvuslik Standardite ja Tehnoloogia Instituut (NIST) oma autentimise reegleid, et välistada ühekordsete paroolide kasutamine, mis saadeti SMS-iga. Kuid need reeglid muutusid pärast tööstuse proteste oluliselt leebemaks.

Nii et jälgime sündmusi. Ameerika regulaator tunnistab õigustatult, et vananenud tehnoloogia ei suuda tagada kasutajate turvalisust ning kehtestab uusi standardeid. Standardid, mis on mõeldud interneti ja mobiilirakenduste (sealhulgas pangarakenduste) kasutajate kaitsmiseks. Tööstus mõtleb, kui palju raha tuleb kulutada tõeliselt usaldusväärsete krüptograafiliste tokenite ostmiseks, rakenduste ümberkujundamiseks ja avalike võtmete infrastruktuuri rakendamiseks, ja „sest tõuseb mäss”. Ühelt poolt veeti kasutajaid ühekordsete paroolide usaldusväärsuses, teisalt toimusid rünnakud NIST-i vastu. Tulemuseks oli standardite leebemaks muutmine, samas kui häkkimise, paroolide varguse (ja raha varguse pangarakendustest) arv tõusis järsult. Kuid tööstusele ei tulnud palju raha välja käia.

Selle ajaga on SMS OTP-de nõrkused muutunud veelgi ilmsemaks. Petturid kasutavad erinevaid meetodeid SMS-sõnumite kompromiteerimiseks:

• SIM-kaardi dubleerimine. Kurjategijad loovad SIM-i koopia (kasutades mobiilioperaatori töötajaid või iseseisvalt spetsiaalse tarkvara ja riistvara abil). Tulemuseks on see, et kurjategijale saadetakse SMS ühekordse parooliga. Ühes eriti tuntud juhtumis suutis häkkerite rühm isegi kompromiteerida AT&T krüptovaluuta investor Michael Terpini konto ja varastada peaaegu 24 miljonit dollarit krüptovaluutas. Selle tulemusena teatas Terpin, et AT&T oli süüdi nõrkade kontrollimeetmete tõttu, mis viisid SIM-kaardi dubleerimiseni.
  

  Hämmastav loogika. Kas tõesti on süüdi ainult AT&T? Jah, mobiilioperaatori süü on selles, et sidekeskuse müüjad andsid välja sim-kaardi duplikaadi. Aga kuidas on lood krüptovaluutaturu autentimissüsteemiga? Miks nad ei kasutanud usaldusväärseid krüptograafilisi tokeneid? Raha rakenduse jaoks oli kahju? Kas ka Michael ei ole süüdi? Miks ta ei nõudnud autentimismehhanismi muutmist või ei kasutanud ainult neid turge, mis rakendavad krüptograafiliste tokenitega kahefaktorilist autentimist?

  Tõeliselt usaldusväärsete autentimismeetodite rakendamine viibib just seetõttu, et enne häkkimist näitavad kasutajad hämmastavat hooletust, aga pärast - süüdistavad nad oma õnnetustes kõike ja kõiki, välja arvatud vanad ja "auklikud" autentimise tehnoloogiad.

• Kuritarvitussüsteemid (malware). Üks varasematest mobiilsete kuritarvitussüsteemide funktsioonidest oli tekstisõnumite pealtkuulamine ja edastamine kurjategijatele. Samuti võivad rünnakud "in-browser" (in-browser) ja "in-the-middle" (in-the-middle) pealtkuulata ühekordseid paroole, kui neid sisestatakse nakatatud sülearvutites või lauaarvutites.
  

  Kui Sberbanki rakendus teie nutitelefonis vilgub rohelise ikooniga staatuseribal, siis see otsib ka "kahjulikke" tarkvarasid teie telefonis. Selle tegevuse eesmärk on muuta usaldamatut keskkonda tüüpilises nutitelefonis vähemalt mingil määral usaldatavaks.
  Muide, nutitelefon kui täiesti usaldamatu seade, kus võib toimuda kõik, on veel üks põhjus, miks kasutada autentimiseks ainult riistvaralisi tokeneid, mis on kaitstud ja viirusetuks.

• Sotsiaalne inseneritehnika. Kui petised teavad, et ohvril on aktiveeritud ühekordsed paroolid SMS-is, saavad nad otse ohvriga ühendust võtta, esinedes usaldusväärse organisatsioonina, nagu näiteks tema pank või krediidiühing, et petta ohvrit ja sundida teda andma just saadud koodi.
  

  Selle tüüpi petuskeemidega olen isiklikult korduvalt kokku puutunud, näiteks proovides midagi müüa populaarsetel veebihangete-platvormidel. Ma olen naljatledes petjast üle olnud, kes üritas mind petta. Kahjuks loen aga regulaarselt uudiseid, kus järgmine petuskeemi ohver 'ei mõelnud', edastas kinnituskoodi ja kaotas suuri summasid. Kõik see juhtub seetõttu, et pank ei soovi oma rakendustes krüptograafiliste tokenite kasutuselevõtuga tegeleda. Lõppude lõpuks on, kui midagi juhtub, klientide 'enda süü'.

Kuigi alternatiivsed meetodid ühekordsete paroolide edastamiseks võivad leevendada mõningaid haavatavusi selles autentimise meetodis, jäävad teised haavatavused endiselt jõusse. Iseseisvad koodi genereerimise rakendused on parim kaitse pealtkuulamise vastu, kuna isegi pahavara ei saa praktiliselt otse koodigeneraatoriga suhelda (tõsiselt? aruande autor unustas kaugjuhtimise?), kuid OTP-sid saab siiski pealt kuulata, kui need sisestatakse brauserisse (näiteks kasutades klahviloggerit), läbi häkitud mobiilirakenduse; samuti võib neid saada otse kasutajalt sotsiaalse inseneritehnika abil.
Mitme riskihindamisvahendi kasutamine, nagu seadmete tuvastamine (tegevuste proovide tuvastamine, mis ei kuulu seaduslikule kasutajale), geolokatsioon (kasutaja, kes just oli Moskvas, üritab tehingut teha Novosibirskist) ja käitumisanalüüs, on oluline haavatavuste eemaldamiseks, kuid ükski lahendus ei ole imerohi. Iga olukorda ja andmetüüpi tuleb hoolikalt hinnata ja valida, millist autentimistehnoloogiat kasutada.

Ükski autentimislahendus ei ole imerohi

Joonis 2. Autentimisvõimaluste tabel

Artikli teises osas ootab meid kõige maitsvam — numbrid ja faktid, mille alusel põhinevad esimeses osas esitatud järeldused ja soovitused. Eraldi vaadatakse autentimist kasutajarakendustes ja ettevõttesüsteemides.

Kohtumiseni!

Allikas: habr.com