מה יקרה לאימות וסיסמאות? תרגום דוח Javelin "State of Strong Authentication" עם הערות

ספוילר מכותרת הדו"ח: "השימוש באימות חזק עולה עקב איום של סיכונים חדשים ודרישות רגולטוריות."
חברת המחקר "Javelin Strategy & Research" פרסמה את הדו"ח "The State of Strong Authentication 2019" ( את המקור בפורמט pdf ניתן להוריד כאן). דוח זה אומר: איזה אחוז מהחברות האמריקאיות והאירופיות משתמשות בסיסמאות (ומדוע מעט אנשים משתמשים בסיסמאות כעת); מדוע השימוש באימות דו-גורמי המבוסס על אסימונים קריפטוגרפיים גדל כל כך מהר; מדוע קודים חד פעמיים שנשלחים באמצעות SMS אינם מאובטחים.

כל מי שמתעניין בהווה, בעבר ובעתיד של אימות בארגונים ובאפליקציות צרכניות מוזמן.

מהמתרגם

למרבה הצער, השפה שבה כתוב הדו"ח הזה היא די "יבשה" ורשמית. והשימוש חמש פעמים במילה "אימות" במשפט קצר אחד אינו הידיים (או המוח) העקום של המתרגם, אלא גחמה של המחברים. כשמתרגמים משתי אפשרויות - לתת לקוראים טקסט קרוב יותר למקור, או מעניין יותר, בחרתי לפעמים בראשון, ולפעמים בשני. אבל היו סבלניים, קוראים יקרים, תוכן הדוח שווה את זה.

כמה קטעים לא חשובים ומיותרים לסיפור הוסרו, אחרת הרוב לא היה מצליח לעבור על הטקסט כולו. מי שמעוניין לקרוא את הדוח "לא חתוך" יכול לעשות זאת בשפת המקור על ידי לחיצה על הקישור.

למרבה הצער, מחברים לא תמיד זהירים בטרמינולוגיה. לפיכך, סיסמאות חד פעמיות (One Time Password - OTP) נקראות לפעמים "סיסמאות", ולפעמים "קודים". זה אפילו יותר גרוע עם שיטות אימות. לא תמיד קל לקורא חסר הכשרה לנחש ש"אימות באמצעות מפתחות קריפטוגרפיים" ו"אימות חזק" הם אותו דבר. השתדלתי לאחד את המונחים ככל האפשר, ובדו"ח עצמו יש קטע עם תיאורם.

עם זאת, הדוח מומלץ מאוד לקריאה מכיוון שהוא מכיל תוצאות מחקר ייחודיות ומסקנות נכונות.

כל הנתונים והעובדות מוצגים ללא כל שינוי, ואם אינך מסכים איתם, אז עדיף להתווכח לא עם המתרגם, אלא עם מחברי הדו"ח. והנה ההערות שלי (מובאות כציטוטים, ומסומנות בטקסט אִיטַלְקִית) הם השיפוט הערכי שלי ואשמח להתווכח על כל אחד מהם (כמו גם על איכות התרגום).

סקירה

כיום, ערוצי תקשורת דיגיטליים עם לקוחות חשובים מתמיד לעסקים. ובתוך החברה, התקשורת בין העובדים מכוונת דיגיטלית יותר מאי פעם. ועד כמה אינטראקציות אלו יהיו בטוחות תלוי בשיטה הנבחרת של אימות המשתמש. תוקפים משתמשים באימות חלש כדי לפרוץ באופן מסיבי לחשבונות משתמש. בתגובה, הרגולטורים מחמירים את התקנים כדי לאלץ עסקים להגן טוב יותר על חשבונות משתמשים ונתונים.

איומים הקשורים לאימות מתרחבים מעבר ליישומים של צרכנים; תוקפים יכולים גם לקבל גישה ליישומים הפועלים בתוך הארגון. פעולה זו מאפשרת להם להתחזות למשתמשים ארגוניים. תוקפים המשתמשים בנקודות גישה עם אימות חלש יכולים לגנוב נתונים ולבצע פעולות הונאה אחרות. למרבה המזל, ישנם אמצעים להילחם בזה. אימות חזק יעזור להפחית באופן משמעותי את הסיכון להתקפה על ידי תוקף, הן על יישומי צרכנים והן על מערכות עסקיות ארגוניות.

מחקר זה בוחן: כיצד ארגונים מיישמים אימות כדי להגן על יישומי משתמש קצה ומערכות עסקיות ארגוניות; גורמים שהם לוקחים בחשבון בעת ​​בחירת פתרון אימות; התפקיד שממלא אימות חזק בארגונים שלהם; ההטבות שהארגונים הללו מקבלים.

תקציר

ממצאים עיקריים

מאז 2017, השימוש באימות חזק גדל בחדות. עם המספר ההולך וגדל של נקודות תורפה המשפיעות על פתרונות אימות מסורתיים, ארגונים מחזקים את יכולות האימות שלהם עם אימות חזק. מספר הארגונים המשתמשים באימות רב-גורמי קריפטוגרפי (MFA) גדל פי שלושה מאז 2017 עבור יישומי צרכנים וגדל בכמעט 50% עבור יישומים ארגוניים. הצמיחה המהירה ביותר ניכרת באימות נייד עקב הזמינות הגוברת של אימות ביומטרי.

כאן אנו רואים המחשה של האמרה "עד שלא יפגע הרעם, אדם לא יצלב את עצמו". כאשר מומחים הזהירו מפני חוסר האבטחה של סיסמאות, איש לא מיהר ליישם אימות דו-גורמי. ברגע שהאקרים החלו לגנוב סיסמאות, אנשים החלו ליישם אימות דו-גורמי.

נכון, אנשים מיישמים הרבה יותר את 2FA באופן פעיל. ראשית, קל להם יותר להרגיע את הפחדים שלהם על ידי הסתמכות על האימות הביומטרי המובנה בסמארטפונים, שהוא למעשה מאוד לא אמין. ארגונים צריכים להוציא כסף על רכישת אסימונים ולבצע עבודה (למעשה, פשוטה מאוד) כדי ליישם אותם. ושנית, רק עצלנים לא כתבו על דליפות סיסמאות משירותים כמו פייסבוק ודרופבוקס, אבל בשום פנים ואופן לא ישתפו מנהלי ה-CIO של הארגונים האלה סיפורים על איך נגנבו סיסמאות (ומה קרה אחר כך) בארגונים.

אלה שאינם משתמשים באימות חזק מזלזלים בסיכון שלהם לעסק וללקוחות שלהם. ארגונים מסוימים שאינם משתמשים כיום באימות חזק נוטים לראות בכניסות ובסיסמאות את אחת השיטות היעילות והקלות ביותר לאימות משתמשים. אחרים לא רואים את הערך של הנכסים הדיגיטליים שבבעלותם. אחרי הכל, כדאי לקחת בחשבון שפושעי רשת מתעניינים בכל מידע צרכני ועסקי. שני שלישים מהחברות שמשתמשות רק בסיסמאות כדי לאמת את העובדים שלהן עושות זאת משום שהן מאמינות שהסיסמאות מספיק טובות לסוג המידע שעליו הם מגינים.

עם זאת, סיסמאות בדרך לקבר. התלות בסיסמאות ירדה משמעותית במהלך השנה האחרונה הן עבור יישומים צרכניים והן עבור יישומים ארגוניים (מ-44% ל-31% ומ-56% ל-47%, בהתאמה), כאשר ארגונים מגבירים את השימוש שלהם ב-MFA מסורתי ובאימות חזק.
אבל אם נסתכל על המצב בכללותו, שיטות אימות פגיעות עדיין מנצחות. לצורך אימות משתמשים, כרבע מהארגונים משתמשים ב-SMS OTP (סיסמה חד פעמית) יחד עם שאלות אבטחה. כתוצאה מכך, יש ליישם אמצעי אבטחה נוספים כדי להגן מפני הפגיעות, מה שמגדיל את העלויות. השימוש בשיטות אימות הרבה יותר מאובטחות, כגון מפתחות הצפנה של חומרה, נמצא בשימוש הרבה פחות, בכ-5% מהארגונים.

הסביבה הרגולטורית המתפתחת מבטיחה להאיץ את האימוץ של אימות חזק עבור יישומי צרכנים. עם הצגת PSD2, כמו גם כללי הגנת מידע חדשים באיחוד האירופי ובכמה מדינות בארה"ב כמו קליפורניה, חברות מרגישות את החום. כמעט 70% מהחברות מסכימות שהן מתמודדות עם לחץ רגולטורי חזק לספק אימות חזק ללקוחותיהן. יותר ממחצית מהמפעלים מאמינים שתוך שנים ספורות שיטות האימות שלהם לא יספיקו לעמוד בסטנדרטים הרגולטוריים.

ההבדל בין הגישות של המחוקקים הרוסים והאמריקאים-אירופיים להגנה על נתונים אישיים של משתמשי תוכניות ושירותים ניכר בבירור. הרוסים אומרים: בעלי שירות יקרים, תעשו מה שאתם רוצים ואיך שאתם רוצים, אבל אם המנהל שלכם ימזג את מסד הנתונים, אנחנו נעניש אתכם. אומרים בחו"ל: אתה חייב ליישם מערכת של אמצעים ש לא יאפשר לנקז את הבסיס. לכן מיושמות שם דרישות לאימות דו-גורמי קפדנית.
נכון, זה רחוק מלהיות עובדה שמכונה החקיקה שלנו יום אחד לא תתעשת ותביא בחשבון את הניסיון המערבי. ואז מתברר שכולם צריכים ליישם את 2FA, שתואם את תקני ההצפנה הרוסיים, ובדחיפות.

הקמת מסגרת אימות חזקה מאפשרת לחברות להעביר את המיקוד שלהן מעמידה בדרישות הרגולטוריות לעמידה בצרכי הלקוחות. עבור אותם ארגונים שעדיין משתמשים בסיסמאות פשוטות או מקבלים קודים באמצעות SMS, הגורם החשוב ביותר בבחירת שיטת אימות יהיה עמידה בדרישות הרגולטוריות. אבל אותן חברות שכבר משתמשות באימות חזק יכולות להתמקד בבחירת שיטות האימות שמגבירות את נאמנות הלקוחות.

כאשר בוחרים בשיטת אימות ארגוני בתוך ארגון, דרישות רגולטוריות כבר לא מהוות גורם משמעותי. במקרה זה, קלות האינטגרציה (32%) והעלות (26%) חשובות הרבה יותר.

בעידן של פישינג, תוקפים יכולים להשתמש בדוא"ל ארגוני כדי להונאה להשיג במרמה גישה לנתונים, חשבונות (עם זכויות גישה מתאימות), ואפילו לשכנע עובדים לבצע העברה כספית לחשבונו. לכן, חשבונות דוא"ל ופורטל ארגוניים חייבים להיות מוגנים במיוחד.

גוגל חיזקה את האבטחה שלה על ידי הטמעת אימות חזק. לפני יותר משנתיים פרסמה גוגל דוח על הטמעת אימות דו-גורמי המבוסס על מפתחות אבטחה קריפטוגרפיים באמצעות תקן FIDO U2F, ודיווחה על תוצאות מרשימות. לטענת החברה, אף מתקפת פישינג לא בוצעה נגד יותר מ-85 עובדים.

המלצות

הטמעת אימות חזק עבור יישומים ניידים ומקוונים. אימות רב-גורמי המבוסס על מפתחות קריפטוגרפיים מספק הגנה טובה בהרבה מפני פריצה מאשר שיטות MFA מסורתיות. בנוסף, השימוש במפתחות הצפנה הרבה יותר נוח מכיוון שאין צורך להשתמש ולהעביר מידע נוסף - סיסמאות, סיסמאות חד פעמיות או נתונים ביומטריים מהמכשיר של המשתמש לשרת האימות. בנוסף, סטנדרטיזציה של פרוטוקולי אימות מקלה בהרבה על הטמעת שיטות אימות חדשות כאשר הן הופכות לזמינות, מפחיתה את עלויות ההטמעה והגנה מפני תוכניות הונאה מתוחכמות יותר.

היכונו לדעיכת סיסמאות חד פעמיות (OTP). הפגיעויות הגלומות ב-OTP הופכות ברורות יותר ויותר כאשר פושעי סייבר משתמשים בהנדסה חברתית, שיבוט סמארטפונים ותוכנות זדוניות כדי לסכן את אמצעי האימות הללו. ואם ל-OTP במקרים מסוימים יש יתרונות מסוימים, אז רק מנקודת המבט של זמינות אוניברסלית לכל המשתמשים, אבל לא מנקודת מבט של אבטחה.

אי אפשר שלא לשים לב שקבלת קודים באמצעות SMS או הודעות Push, כמו גם הפקת קודים באמצעות תוכנות לסמארטפונים, היא שימוש באותן סיסמאות חד פעמיות (OTP) שלגביהן אנו מתבקשים להתכונן לירידה. מבחינה טכנית הפתרון נכון מאוד, כי מדובר ברמאי נדיר שלא מנסה לברר את הסיסמה החד-פעמית ממשתמש פתי. אבל אני חושב שיצרנים של מערכות כאלה ייצמדו לטכנולוגיה הגוססת עד הסוף.

השתמש באימות חזק ככלי שיווקי להגברת אמון הלקוחות. אימות חזק יכול לעשות יותר מאשר רק לשפר את האבטחה בפועל של העסק שלך. יידוע לקוחות שהעסק שלך משתמש באימות חזק יכול לחזק את התפיסה הציבורית לגבי האבטחה של אותו עסק - גורם חשוב כאשר יש דרישה משמעותית של לקוחות לשיטות אימות חזקות.

בצעו בדיקת מלאי והערכת קריטיות יסודית של הנתונים הארגוניים והגן עליהם בהתאם לחשיבותם. אפילו נתונים בסיכון נמוך כגון פרטי קשר של לקוחות (לא, באמת, הדוח אומר "סיכון נמוך", זה מאוד מוזר שהם מזלזלים בחשיבות המידע הזה), יכול להביא ערך משמעותי לרמאים ולגרום לבעיות לחברה.

השתמש באימות ארגוני חזק. מספר מערכות הן המטרות האטרקטיביות ביותר עבור פושעים. אלה כוללים מערכות פנימיות ומקושרות לאינטרנט כגון תוכנית הנהלת חשבונות או מחסן נתונים ארגוני. אימות חזק מונע מהתוקפים לקבל גישה לא מורשית, וגם מאפשר לקבוע במדויק איזה עובד ביצע את הפעילות הזדונית.

מהו אימות חזק?

בעת שימוש באימות חזק, נעשה שימוש במספר שיטות או גורמים לאימות האותנטיות של המשתמש:

• גורם ידע: סוד משותף בין המשתמש לנושא המאומת של המשתמש (כגון סיסמאות, תשובות לשאלות אבטחה וכו')
• גורם בעלות: מכשיר שיש רק למשתמש (לדוגמה, מכשיר נייד, מפתח קריפטוגרפי וכו')
• גורם יושרה: מאפיינים פיזיים (לעתים קרובות ביומטריים) של המשתמש (לדוגמה, טביעת אצבע, דפוס קשתית, קול, התנהגות וכו')

הצורך לפרוץ למספר גורמים מגדיל מאוד את הסיכוי לכישלון לתוקפים, שכן עקיפת או הטעיה של גורמים שונים מצריכה שימוש במספר סוגים של טקטיקות פריצה, עבור כל גורם בנפרד.

לדוגמה, עם 2FA "סיסמה + סמארטפון", תוקף יכול לבצע אימות על ידי הסתכלות על הסיסמה של המשתמש ויצירת עותק תוכנה מדויק של הטלפון החכם שלו. וזה הרבה יותר קשה מאשר פשוט לגנוב סיסמה.

אבל אם משתמשים בסיסמה וטוקן קריפטוגרפי עבור 2FA, אז אפשרות ההעתקה לא עובדת כאן - אי אפשר לשכפל את האסימון. הרמאי יצטרך לגנוב בגניבה את האסימון מהמשתמש. אם המשתמש יבחין באובדן בזמן ויודיע למנהל, האסימון ייחסם ומאמצי הרמאי יהיו לשווא. זו הסיבה שגורם הבעלות דורש שימוש במכשירים מאובטחים מיוחדים (אסימונים) ולא במכשירים לשימוש כללי (סמארטפונים).

שימוש בכל שלושת הגורמים יהפוך את שיטת האימות הזו ליקרה למדי ליישום ודי לא נוחה לשימוש. לכן, בדרך כלל משתמשים בשניים מתוך שלושה גורמים.

העקרונות של אימות דו-גורמי מתוארים ביתר פירוט כאן, בגוש "כיצד עובד אימות דו-גורמי".

חשוב לציין שלפחות אחד מגורמי האימות המשמשים באימות חזק חייב להשתמש בקריפטוגרפיה של מפתח ציבורי.

אימות חזק מספק הגנה חזקה הרבה יותר מאשר אימות חד-גורם המבוסס על סיסמאות קלאסיות ו-MFA מסורתי. ניתן לרגל אחר סיסמאות או ליירט אותן באמצעות מפתחות, אתרי דיוג או התקפות של הנדסה חברתית (כאשר הקורבן מרומה לחשוף את הסיסמה שלו). יתרה מכך, בעל הסיסמה לא יידע דבר על הגניבה. MFA מסורתי (כולל קודי OTP, קשירה לסמארטפון או כרטיס SIM) ניתן גם לפרוץ די בקלות, מכיוון שהוא אינו מבוסס על הצפנת מפתח ציבורי (אגב, ישנן דוגמאות רבות שבהן, באמצעות אותן טכניקות הנדסה חברתית, רמאים שכנעו משתמשים לתת להם סיסמה חד פעמית).

למרבה המזל, השימוש באימות חזק וב-MFA מסורתי צובר אחיזה ביישומים צרכניים וארגוניים מאז השנה שעברה. השימוש באימות חזק ביישומי צרכנים גדל במהירות במיוחד. אם ב-2017 רק 5% מהחברות השתמשו בו, אז ב-2018 זה כבר היה פי שלושה - 16%. ניתן להסביר זאת על ידי הזמינות המוגברת של אסימונים התומכים באלגוריתמים של קריפטוגרפיה של מפתחות ציבוריים (PKC). בנוסף, לחץ מוגבר מצד הרגולטורים האירופיים בעקבות אימוץ כללי הגנת מידע חדשים כגון PSD2 ו-GDPR השפיע חזק גם מחוץ לאירופה (כולל ברוסיה).

בואו נסתכל מקרוב על המספרים הללו. כפי שאנו יכולים לראות, אחוז האנשים הפרטיים המשתמשים באימות רב-גורמי גדל ב-11% מרשים במהלך השנה. וזה קרה בבירור על חשבון אוהבי הסיסמאות, שכן המספרים של אלה שמאמינים באבטחת הודעות Push, SMS וביומטריה לא השתנו.

אבל עם אימות דו-גורמי לשימוש ארגוני, הדברים לא כל כך טובים. ראשית, על פי הדיווח, רק 5% מהעובדים הועברו מאימות סיסמה לאסימונים. ושנית, מספר המשתמשים באפשרויות MFA חלופיות בסביבה ארגונית גדל ב-4%.

אני אנסה לשחק אנליסט ולתת את הפרשנות שלי. במרכז העולם הדיגיטלי של משתמשים בודדים עומד הסמארטפון. לכן, אין זה פלא שהרוב משתמש ביכולות שהמכשיר מספק להם - אימות ביומטרי, הודעות SMS ו-Push וכן סיסמאות חד פעמיות שנוצרות מאפליקציות בסמארטפון עצמו. אנשים בדרך כלל לא חושבים על בטיחות ואמינות כשהם משתמשים בכלים שהם רגילים אליהם.

זו הסיבה שאחוז המשתמשים בגורמי אימות "מסורתיים" פרימיטיביים נותר ללא שינוי. אבל מי שהשתמש בעבר בסיסמאות מבין כמה הוא מסתכן, וכאשר בוחר גורם אימות חדש, הוא בוחר באפשרות החדשה והבטוחה ביותר - אסימון קריפטוגרפי.

באשר לשוק הארגוני, חשוב להבין לאיזו מערכת מתבצע אימות מערכת. אם מיושמת כניסה לדומיין של Windows, אזי נעשה שימוש באסימוני קריפטוגרפיים. האפשרויות לשימוש בהם עבור 2FA כבר מובנות גם ב-Windows וגם בלינוקס, אבל אפשרויות חלופיות ארוכות וקשות ליישום. עד כאן ההעברה של 5% מסיסמאות לאסימונים.

והיישום של 2FA במערכת מידע ארגונית תלוי מאוד בכישורי המפתחים. והרבה יותר קל למפתחים לקחת מודולים מוכנים להפקת סיסמאות חד פעמיות מאשר להבין את פעולתם של אלגוריתמים קריפטוגרפיים. וכתוצאה מכך, אפילו יישומים קריטיים להפליא כמו כניסה יחידה או מערכות ניהול גישה מורשות משתמשות ב-OTP כגורם שני.

נקודות תורפה רבות בשיטות אימות מסורתיות

בעוד שארגונים רבים נשארים תלויים במערכות מדור קודם, נקודות תורפה באימות רב-גורמי מסורתי הופכות בולטות יותר ויותר. סיסמאות חד-פעמיות, בדרך כלל באורך של שישה עד שמונה תווים, הנמסרות באמצעות SMS, נשארות הצורה הנפוצה ביותר של אימות (מלבד גורם הסיסמה, כמובן). וכאשר המילים "אימות דו-שלבי" או "אימות דו-שלבי" מוזכרות בעיתונות הפופולרית, הן כמעט תמיד מתייחסות לאימות סיסמה חד-פעמית ב-SMS.

כאן המחבר קצת טועה. מסירת סיסמאות חד פעמיות באמצעות SMS מעולם לא הייתה אימות דו-שלבי. זהו בצורתו הטהורה ביותר השלב השני של אימות דו-שלבי, כאשר השלב הראשון הוא הזנת המשתמש והסיסמה שלך.

בשנת 2016, המכון הלאומי לתקנים וטכנולוגיה (NIST) עדכן את כללי האימות שלו כדי לבטל את השימוש בסיסמאות חד פעמיות שנשלחות באמצעות SMS. עם זאת, הכללים הללו הוקלו באופן משמעותי בעקבות מחאות התעשייה.

אז בואו נעקוב אחר העלילה. הרגולטור האמריקאי מכיר בצדק בכך שטכנולוגיה מיושנת אינה מסוגלת להבטיח את בטיחות המשתמש ומציג תקנים חדשים. תקנים שנועדו להגן על משתמשי יישומים מקוונים וניידים (כולל בנקאיים). התעשייה מחשבת כמה כסף היא תצטרך להוציא על רכישת אסימוני קריפטוגרפיים אמינים באמת, עיצוב מחדש של יישומים, פריסת תשתית מפתח ציבורי ו"עולה על רגליה האחוריות". מצד אחד, המשתמשים השתכנעו באמינותן של סיסמאות חד-פעמיות, ומצד שני היו התקפות על NIST. כתוצאה מכך, התקן רוכך, ומספר הפריצות וגניבת סיסמאות (וכספים מאפליקציות בנקאיות) גדל בחדות. אבל התעשייה לא הייתה צריכה להוציא כסף.

מאז, החולשות המובנות של SMS OTP הפכו ברורות יותר. רמאים משתמשים בשיטות שונות כדי להתפשר על הודעות SMS:

• שכפול כרטיס SIM. תוקפים יוצרים עותק של ה-SIM (בעזרת עובדי מפעיל סלולרי, או באופן עצמאי, באמצעות תוכנה וחומרה מיוחדים). כתוצאה מכך, התוקף מקבל הודעת SMS עם סיסמה חד פעמית. במקרה אחד מפורסם במיוחד, האקרים הצליחו אפילו להתפשר על חשבון AT&T של משקיע המטבעות הקריפטו מייקל טרפין, ולגנוב כמעט 24 מיליון דולר במטבעות קריפטוגרפיים. כתוצאה מכך, טורפין הצהיר כי AT&T אשמה בשל אמצעי אימות חלשים שהובילו לשכפול כרטיס ה-SIM.
  

  היגיון מדהים. אז זו באמת רק אשמתה של AT&T? לא, זו ללא ספק אשמת מפעילת הסלולר שאנשי המכירות בחנות התקשורת הנפיקו כרטיס סים כפול. מה לגבי מערכת אימות החלפת מטבעות קריפטוגרפיים? למה הם לא השתמשו באסימוני קריפטוגרפיים חזקים? האם חבל להוציא כסף על יישום? האם מייקל עצמו לא אשם? מדוע הוא לא התעקש לשנות את מנגנון האימות או להשתמש רק בבורסות המיישמות אימות דו-גורמי המבוסס על אסימונים קריפטוגרפיים?

  הכנסת שיטות אימות מהימנות באמת מתעכבת בדיוק בגלל שמשתמשים מגלים חוסר זהירות מדהים לפני הפריצה, ולאחר מכן הם מאשימים את הצרות שלהם על כל אחד וכל דבר אחר מלבד טכנולוגיות אימות עתיקות ו"דולפות"

• תוכנה זדונית. אחת התפקידים המוקדמים ביותר של תוכנות זדוניות ניידות הייתה ליירט ולהעביר הודעות טקסט לתוקפים. כמו כן, התקפות איש בדפדפן ואדם באמצע יכולות ליירט סיסמאות חד פעמיות כאשר הן מוזנות במחשבים ניידים או מכשירי שולחן עבודה נגועים.
  

  כאשר אפליקציית Sberbank בסמארטפון שלך מהבהבת בסמל ירוק בשורת המצב, היא גם מחפשת "תוכנה זדונית" בטלפון שלך. המטרה של האירוע הזה היא להפוך את סביבת הביצוע הלא מהימנה של סמארטפון טיפוסי, לפחות באיזשהו אופן, לסביבת ביצוע מהימנה.
  אגב, סמארטפון, כמכשיר לא מהימן לחלוטין שאפשר לעשות בו הכל, הוא עוד סיבה להשתמש בו לאימות אסימוני חומרה בלבד, המוגנים וללא וירוסים וסוסים טרויאניים.

• הנדסה חברתית. כאשר הרמאים יודעים שלקורבן יש OTPs מופעלים באמצעות SMS, הם יכולים ליצור קשר ישירות עם הקורבן, להתחזות לארגון מהימן כמו הבנק או איגוד האשראי שלהם, כדי להערים על הקורבן לספק את הקוד שזה עתה קיבל.
  

  אני אישית נתקלתי בסוג זה של הונאה פעמים רבות, למשל, כשניסיתי למכור משהו בשוק פשפשים מקוון פופולרי. אני עצמי צחקתי על הנוכל שניסה לשטות בי כאוות נפשי. אבל אבוי, אני קורא בקביעות בחדשות איך עוד קורבן של רמאים "לא חשב", נתן את קוד האישור והפסיד סכום גדול. וכל זה בגלל שהבנק פשוט לא רוצה להתעסק ביישום אסימונים קריפטוגרפיים באפליקציות שלו. אחרי הכל, אם משהו קורה, הלקוחות "יש להאשים את עצמם".

בעוד ששיטות אספקת OTP חלופיות עשויות להפחית חלק מהחולשות בשיטת אימות זו, פגיעויות אחרות נשארות. יישומי יצירת קוד עצמאיים הם ההגנה הטובה ביותר מפני האזנה, מכיוון שאפילו תוכנות זדוניות בקושי יכולות לקיים אינטראקציה ישירה עם מחולל הקוד (ברצינות? האם מחבר הדו"ח שכח מהשליטה מרחוק?), אך עדיין ניתן ליירט הודעות OTP כשהן מוזנות לדפדפן (למשל באמצעות keylogger), דרך אפליקציה סלולרית שנפרצה; וניתן לקבל גם ישירות מהמשתמש באמצעות הנדסה חברתית.
שימוש בכלים מרובים להערכת סיכונים כגון זיהוי מכשירים (איתור ניסיונות לבצע עסקאות ממכשירים שאינם שייכים למשתמש חוקי), מיקום גיאוגרפי (משתמש שזה עתה היה במוסקבה מנסה לבצע ניתוח מנובוסיבירסק) וניתוח התנהגות חשובים לטיפול בנקודות תורפה, אבל אף אחד מהפתרונות אינו תרופת פלא. עבור כל מצב וסוג נתונים, יש צורך להעריך היטב את הסיכונים ולבחור באיזו טכנולוגיית אימות יש להשתמש.

שום פתרון אימות אינו תרופת פלא

איור 2. טבלת אפשרויות אימות

אימות	גורם	תיאור	נקודות תורפה מרכזיות
סיסמה או PIN	ידע	ערך קבוע, שיכול לכלול אותיות, מספרים ועוד מספר תווים	ניתן ליירט, לרגל, לגנוב, לאסוף או לפרוץ
אימות מבוסס ידע	ידע	שואל את התשובות שרק משתמש חוקי יכול לדעת	ניתן ליירט, לאסוף, להשיג בשיטות הנדסה חברתית
חומרה OTP (דוגמה)	רְשׁוּת	מכשיר מיוחד שמייצר סיסמאות חד פעמיות	ייתכן שהקוד יירטו ויחזור על עצמו, או שהמכשיר ייגנב
OTPs של תוכנה	רְשׁוּת	אפליקציה (נייד, נגיש דרך דפדפן או שליחת קודים בדואר אלקטרוני) שמייצר סיסמאות חד פעמיות	ייתכן שהקוד יירטו ויחזור על עצמו, או שהמכשיר ייגנב
SMS OTP	רְשׁוּת	סיסמה חד פעמית נמסרת באמצעות הודעת טקסט SMS	הקוד עשוי להיות מיירט וחוזר על עצמו, או שהסמארטפון או כרטיס ה-SIM ייגנבו, או שכרטיס ה-SIM ישוכפל
כרטיסים חכמים (דוגמה)	רְשׁוּת	כרטיס המכיל שבב קריפטוגרפי וזיכרון מפתח מאובטח המשתמש בתשתית מפתח ציבורי לצורך אימות	עלול להיגנב פיזית (אך תוקף לא יוכל להשתמש במכשיר מבלי לדעת את קוד ה-PIN; במקרה של מספר ניסיונות קלט שגויים, המכשיר ייחסם)
מפתחות אבטחה - אסימונים (דוגמה, דוגמה אחרת)	רְשׁוּת	התקן USB המכיל שבב קריפטוגרפי וזיכרון מפתח מאובטח המשתמש בתשתית מפתח ציבורי לצורך אימות	ניתן לגנוב פיזית (אך תוקף לא יוכל להשתמש במכשיר ללא ידיעת קוד ה-PIN; במקרה של מספר ניסיונות כניסה שגויים, המכשיר ייחסם)
קישור למכשיר	רְשׁוּת	התהליך שיוצר פרופיל, לרוב באמצעות JavaScript, או שימוש בסמנים כגון קובצי Cookie ו-Flash Shared Objects כדי להבטיח שמשתמשים במכשיר ספציפי	ניתן לגנוב (להעתיק) אסימונים, ואפשר לחקות את המאפיינים של מכשיר חוקי על ידי תוקף במכשיר שלו
התנהגות	אינהרנטיות	מנתח כיצד המשתמש מקיים אינטראקציה עם מכשיר או תוכנית	ניתן לחקות התנהגות
טביעות אצבע	אינהרנטיות	טביעות אצבע מאוחסנות מושוות לאלו שנלכדו בצורה אופטית או אלקטרונית	ניתן לגנוב את התמונה ולהשתמש בה לצורך אימות
סריקת עיניים	אינהרנטיות	משווה מאפייני עיניים, כגון דפוס קשתית, עם סריקות אופטיות חדשות	ניתן לגנוב את התמונה ולהשתמש בה לצורך אימות
זיהוי פנים	אינהרנטיות	מאפייני הפנים מושווים לסריקות אופטיות חדשות	ניתן לגנוב את התמונה ולהשתמש בה לצורך אימות
זיהוי קולי	אינהרנטיות	המאפיינים של דגימת הקול המוקלטת מושווים לדגימות חדשות	ניתן לגנוב את הרשומה ולהשתמש בה לאימות, או לחקות אותה

בחלקו השני של הפרסום מחכים לנו הדברים הטעימים ביותר - מספרים ועובדות, שעליהם מבוססות המסקנות וההמלצות שניתנו בחלק הראשון. אימות ביישומי משתמש ובמערכות ארגוניות יידון בנפרד.

להתראות בקרוב!

מקור: www.habr.com