Co stanie się z uwierzytelnianiem i hasłami? Tłumaczenie raportu Javelin „Stan silnego uwierzytelniania” z komentarzami

Spoiler from the report header "The number of cases using strong authentication has increased due to new risks and regulatory requirements."
The research company "Javelin Strategy & Research" published the report "The State of Strong Authentication 2019" ( the original in pdf format can be downloaded here). This report discusses: what percentage of American and European companies use passwords (and why few people use passwords now); why the use of two-factor authentication based on cryptographic tokens is rapidly increasing; why one-time codes sent via SMS are unsafe.

Everyone interested in the present, past, and future of authentication in enterprise and consumer applications is welcome.

Od tłumacza

Unfortunately, the language of this report is quite "dry" and formal. The five occurrences of the word "authentication" in one short sentence are not due to the translator's clumsiness, but rather a whim of the authors. When translating, I sometimes opted for a version that was closer to the original and sometimes for a more engaging text. But bear with me, dear readers, the content of the report is worth it.

Some minor and unnecessary parts for the narrative have been removed; otherwise, most readers would not manage to get through the entire text. Those wishing to read the report "uncut" can do so in the original language by following the link.

Unfortunately, the authors are not always careful with terminology. For instance, they sometimes call one-time passwords (One Time Password – OTP) "passwords" and sometimes "codes." The methods of authentication are even worse. It's not always clear to an unprepared reader that "authentication using cryptographic keys" and "strong authentication" refer to the same thing. I have tried to standardize these terms as much as possible; moreover, the report contains a section with their descriptions.

However, the report is highly recommended for reading, as it contains unique research results and correct conclusions.

Wszystkie liczby i fakty zostały podane bez najmniejszych zmian, i jeśli się z nimi nie zgadzasz, to lepiej nie dyskutować z tłumaczem, a z autorami raportu. A oto moje komentarze (opublikowane jako cytaty, a w tekście oznaczone kursywą) są moją oceną i chętnie o każdym z nich podyskutuję (jak i na temat jakości tłumaczenia).

Przegląd

W dzisiejszych czasach cyfrowe kanały komunikacji z klientami są dla firm ważniejsze niż kiedykolwiek. Również wewnątrz przedsiębiorstwa komunikacja między pracownikami bardziej niż kiedykolwiek wcześniej jest zorientowana na cyfrowe środowisko. Bezpieczeństwo tych interakcji zależy od wybranego sposobu autoryzacji użytkowników. Oszuści wykorzystują słabą autoryzację do masowych włamań na konta użytkowników. W odpowiedzi organy regulacyjne zaostrzają standardy, aby zmusić firmy do lepszej ochrony kont i danych użytkowników.

Zagrożenia związane z autoryzacją nie ograniczają się tylko do aplikacji konsumenckich; oszuści mogą uzyskać dostęp również do aplikacji działających wewnątrz przedsiębiorstwa. Takie operacje pozwalają im udawać użytkowników korporacyjnych. Oszuści, korzystając z punktów dostępowych z słabą autoryzacją, mogą kradnąć dane oraz podejmować inne działania oszukańcze. Na szczęście istnieją środki zaradcze. Ścisła autoryzacja znacząco pomoże zmniejszyć ryzyko ataku oszusta zarówno na aplikacje konsumenckie, jak i systemy biznesowe przedsiębiorstw.

Niniejsze badanie dotyczy: jak przedsiębiorstwa wdrażają autoryzację w celu ochrony aplikacji użytkowników oraz systemów biznesowych; czynników, które biorą pod uwagę przy wyborze rozwiązania do autoryzacji; roli, jaką ścisła autoryzacja odgrywa w ich organizacjach; korzyści, jakie te organizacje uzyskują.

Podsumowanie

Główne wnioski

Od 2017 roku zdecydowanie wzrósł odsetek korzystania ze ścisłej autoryzacji. W obliczu rosnącej liczby luk w tradycyjnych rozwiązaniach do autoryzacji, organizacje wzmacniają swoje możliwości autoryzacji poprzez ścisłą autoryzację. Liczba organizacji korzystających z wieloskładnikowej autoryzacji z wykorzystaniem kryptografii (MFA) wzrosła trzykrotnie od 2017 roku dla aplikacji konsumenckich i prawie o 50% dla aplikacji korporacyjnych. Najszybszy wzrost obserwuje się w autoryzacji mobilnej z powodu rosnącej dostępności autoryzacji biometrycznej.

Tutaj widzimy ilustrację przysłowia „dopóki nie wstrząśnie piorun – mężczyzna się nie pokropi”. Kiedy eksperci ostrzegali o zawodności haseł, nikt nie spieszył się z wprowadzeniem uwierzytelniania dwuskładnikowego. Gdy hakerzy zaczęli kradnąć hasła – ludzie zaczęli wprowadzać uwierzytelnianie dwuskładnikowe.

Prawda jest taka, że osoby prywatne znacznie bardziej aktywnie wprowadzają 2FA. Po pierwsze, w ten sposób łatwiej uspokoić swoje obawy, polegając na wbudowanej w smartfony biometrycznej autoryzacji, która w rzeczywistości jest dość zawodna. Organizacjom natomiast potrzeba wydać pieniądze na zakup tokenów i przeprowadzić prace (które w rzeczywistości są dość proste) związane z ich wdrożeniem. Po drugie, o wyciekach haseł z serwisów takich jak Facebook i Dropbox nie wspomniał tylko leniwy, ale historie o tym, jak kradziono hasła (i co się działo dalej) w organizacjach, dyrektorzy IT tych organizacji nie podzielą się pod żadnym warunkiem.

Ci, którzy nie stosują ścisłej autoryzacji, niedoceniają ryzyka, jakie stwarzają dla biznesu i klientów. Niektóre organizacje, które obecnie nie stosują ścisłej autoryzacji, skłonne są postrzegać loginy i hasła jako jedną z najbardziej efektywnych i prostych metod uwierzytelniania użytkowników. Inne nie dostrzegają wartości cyfrowych aktywów, którymi dysponują. Należy mieć na uwadze, że cyberprzestępców interesuje każda informacja o konsumentach i działalności. Dwie trzecie firm, które wykorzystują jedynie hasła do uwierzytelniania swoich pracowników, robi to, ponieważ uważają, że hasła są wystarczająco dobre do zabezpieczania typu informacji, które chronią.

Niemniej jednak, hasła zmierzają ku „zagładzie”. W ciągu ostatniego roku zależność od haseł znacznie spadła, zarówno w aplikacjach konsumenckich, jak i korporacyjnych (z 44% do 31%, oraz z 56% do 47% odpowiednio), ponieważ organizacje rozszerzają stosowanie tradycyjnej MFA i ścisłej autoryzacji.
Jednakże, jeśli ocenić sytuację w całości, wciąż dominują podatne metody uwierzytelniania. Około jednej czwartej organizacji korzysta z SMS OTP (jednorazowy kod) w połączeniu z pytaniami sekretnymi do uwierzytelniania użytkowników. W rezultacie, aby chronić się przed podatnościami, konieczne jest wdrożenie dodatkowych środków ochrony, co zwiększa koszty. Zastosowanie znacznie bardziej niezawodnych metod uwierzytelniania, takich jak sprzętowe klucze kryptograficzne, ma miejsce znacznie rzadziej, zaledwie w około 5% organizacji.

Rozwijające się ramy regulacyjne obiecują przyspieszenie wdrażania ścisłej autoryzacji w aplikacjach dla konsumentów. Wraz z wprowadzeniem PSD2, a także nowych przepisów dotyczących ochrony danych w UE i w kilku stanach USA, takich jak Kalifornia, firmy odczuwają wzrastającą presję. Prawie 70% firm zgadza się, że spotykają się z silną presją regulacyjną, aby zapewnić ścisłą autoryzację dla swoich klientów. Ponad połowa przedsiębiorstw uważa, że w ciągu kilku lat ich metody uwierzytelniania nie będą wystarczające do spełnienia wymogów regulacyjnych.

Widoczna jest znacząca różnica w podejściu rosyjskich i amerykańsko-europejskich ustawodawców do ochrony danych osobowych użytkowników programów i usług. Rosyjscy mówią: drodzy właściciele usług, róbcie co chcecie i jak chcecie, ale jeśli wasz administrator wycieknie bazę danych, to zostaniecie ukarani. Za granicą mówią: musicie wdrożyć zestaw środków, który nie pozwoli na wyciek bazy danych. Dlatego tam szeroko wprowadza się wymogi dotyczące posiadania ścisłej autoryzacji dwuskładnikowej.
Prawda jest taka, że nie ma pewności, iż nasza maszyna ustawodawcza pewnego dnia się nie przebudzi i nie uwzględni zachodniego doświadczenia. Wtedy okaże się, że wszyscy muszą wdrożyć 2FA zgodne z rosyjskimi standardami kryptograficznymi, i to pilnie.

Stworzenie solidnych podstaw autoryzacji pozwala firmom przesunąć nacisk z zaspokajania wymogów regulacyjnych na zaspokajanie potrzeb klientów. Dla organizacji, które wciąż używają prostych haseł lub otrzymują kody SMS, najważniejszym czynnikiem przy wyborze metody uwierzytelniania będą wymogi regulacyjne. Z kolei firmy, które już stosują rygorystyczne uwierzytelnienie, mogą skupić się na wyborze metod, które zwiększają lojalność klientów.

Przy wyborze metody uwierzytelniania w przedsiębiorstwie wymagania regulatorów przestają być decydującym czynnikiem. W tym przypadku dużo ważniejsza jest prostota integracji (32%) oraz koszt (26%).

W erze phishingu cyberprzestępcy mogą korzystać z firmowej poczty elektronicznej do oszustw, aby wprowadzić w błąd i uzyskać dostęp do danych, kont (z odpowiednimi uprawnieniami), a nawet przekonać pracowników do dokonania przelewu na swoje konto. Dlatego konta e-mailowe i portale korporacyjne muszą być szczególnie dobrze chronione.

Google wzmocnił swoje bezpieczeństwo, wprowadzając rygorystyczne uwierzytelnienie. Ponad dwa lata temu Google opublikował raport na temat wdrożenia dwuetapowego uwierzytelnienia opartego na kluczach kryptograficznych standardu FIDO U2F, informując o imponujących wynikach. Według firmy, przeciwko ponad 85 000 pracowników nie przeprowadzono żadnej próby phishingowej.

Zalecenia

Wdrażaj rygorystyczne uwierzytelnienie dla aplikacji mobilnych i online. Uwierzytelnienie wieloskładnikowe oparte na kluczach kryptograficznych znacznie lepiej chroni przed włamaniami niż tradycyjne metody MFA. Co więcej, korzystanie z kluczy kryptograficznych jest znacznie wygodniejsze, ponieważ nie trzeba używać i przekazywać dodatkowych informacji — haseł, jednorazowych kodów czy danych biometrycznych z urządzenia użytkownika do serwera uwierzytelniającego. Dodatkowo standaryzacja protokołów uwierzytelniania znacznie ułatwia wdrażanie nowych metod uwierzytelniania w miarę ich pojawiania się, obniżając koszty użytkowania i chroniąc przed coraz bardziej złożonymi schematami oszukańczymi.

Przygotuj się na koniec jednorazowych haseł (OTP). Wrażliwości związane z OTP stają się coraz bardziej oczywiste, gdy przestępcy korzystają z inżynierii społecznej, klonowania smartfonów i złośliwego oprogramowania, aby skompromitować te metody uwierzytelniania. Choć OTP mają pewne zalety, to jedynie w kontekście uniwersalnej dostępności dla wszystkich użytkowników, a nie z perspektywy bezpieczeństwa.

Nie można nie zauważyć, że otrzymywanie kodów przez SMS lub powiadomienia Push, a także generowanie kodów za pomocą aplikacji na smartfony to właśnie to, co nazywamy jednorazowymi hasłami (OTP), na które musimy się przygotować na ich zachodzenie w niesławę. Technicznie jest to bardzo dobry krok, ponieważ mało który oszust nie stara się wydobyć jednorazowego hasła od naiwnego użytkownika. Myślę jednak, że producenci tych systemów będą trzymać się umierającej technologii do ostatniego momentu.

Wykorzystaj ścisłe uwierzytelnienie jako narzędzie marketingowe do zwiększenia zaufania klientów. Ścisłe uwierzytelnienie może nie tylko poprawić rzeczywiste bezpieczeństwo Twojego biznesu. Informowanie klientów, że Twój biznes korzysta ze ścisłego uwierzytelnienia, może wzmocnić publiczny wizerunek bezpieczeństwa tej firmy - kluczowy czynnik, gdy istnieje znaczne zapotrzebowanie klientów na wiarygodne metody uwierzytelniania.

Dokładnie zinwentaryzuj i ocen ważność danych korporacyjnych oraz zabezpiecz je zgodnie z ich znaczeniem. Nawet dane o niskim poziomie ryzyka, takie jak dane kontaktowe klientów (nie, w rzeczy samej, w raporcie to jest napisane „low-risk”, bardzo dziwne, że nie doceniają znaczenia tych informacji), mogą przynieść oszustom znaczną wartość i stać się przyczyną problemów dla firmy.

Wdróż ścisłe uwierzytelnienie w przedsiębiorstwie. Oprócz tego niektóre systemy stanowią najbardziej atrakcyjne cele dla przestępców. Należą do nich takie wewnętrzne i podłączone do Internetu systemy, jak programy księgowe czy magazyny danych korporacyjnych. Ścisłe uwierzytelnienie uniemożliwia cyberprzestępcom uzyskanie nieautoryzowanego dostępu oraz dokładnie ustala, który z pracowników dokonał działań mających na celu szkodę.

Czym jest ścisła autoryzacja?

W przypadku stosowania ścisłej autoryzacji do weryfikacji tożsamości użytkownika wykorzystuje się kilka metod lub czynników:

• Czynnik wiedzy: wspólny sekret między użytkownikiem a podmiotem weryfikującym (np. hasła, odpowiedzi na pytania zabezpieczające itp.)
• Czynnik posiadania: urządzenie, które posiada wyłącznie użytkownik (np. urządzenie mobilne, klucz kryptograficzny itp.)
• Czynnik nieodłączności: fizyczne (często biometryczne) cechy użytkownika (np. odcisk palca, wzór tęczówki, głos, zachowanie itp.)

Potrzeba złamania kilku czynników znacznie zwiększa prawdopodobieństwo niepowodzenia dla napastników, ponieważ obejście lub oszustwo różnych czynników wymaga zastosowania wielu różnych taktyk włamania, dla każdego czynnika osobno.

Na przykład, w przypadku 2FA "hasło + smartfon" napastnik może wykonać autoryzację, podglądając hasło użytkownika i tworząc dokładną programową kopię jego smartfona. To znacznie trudniejsze niż po prostu skradzenie hasła.

Jednak jeśli w 2FA używane jest hasło i klucz kryptograficzny, opcja z kopiowaniem tutaj nie działa – nie można zduplikować tokena. Oszust musi potajemnie ukraść token od użytkownika. Jeśli użytkownik na czas zauważy zniknięcie i powiadomi administratora, token zostanie zablokowany, a wysiłki oszusta będą daremne. Dlatego w przypadku czynnika posiadania należy używać specjalistycznych, zabezpieczonych urządzeń (tokenów), a nie urządzeń ogólnego przeznaczenia (smartfonów).

Wykorzystanie wszystkich trzech czynników uczyni tę metodę autoryzacji dość kosztowną przy wdrożeniu i dość niewygodną w użyciu. Dlatego zazwyczaj stosuje się dwa czynniki z trzech.

Zasady dwuskładnikowej autoryzacji opisano bardziej szczegółowo tutaj, w sekcji „Jak działa dwuskładnikowa autoryzacja”.

Ważne jest, aby przynajmniej jeden z czynników autoryzacji stosowanych w ścisłej autoryzacji korzystał z kryptografii opartej na kluczu publicznym.

Ścisła autoryzacja oferuje znacznie poważniejszą ochronę niż jednofazowa autoryzacja oparta na tradycyjnych hasłach i konwencjonalnym MFA. Hasła można podejrzeć lub przechwycić za pomocą keyloggerów, phishingowych stron internetowych lub ataków opartych na inżynierii społecznej (kiedy oszukana ofiara sama przekazuje swoje hasło). Warto dodać, że właściciel hasła nie będzie miał pojęcia o kradzieży. Tradycyjne MFA (obejmujące kody OTP, powiązanie z telefonem smartfonem lub kartą SIM) również można dość łatwo złamać, ponieważ nie opiera się na kryptografii klucza publicznego.zresztą, istnieje wiele przykładów, kiedy za pomocą tych samych technik inżynierii społecznej oszuści przekonali użytkowników do podania im jednorazowego hasła.).

Na szczęście, od ubiegłego roku stosowanie ścisłej autoryzacji i tradycyjnego MFA zyskuje na znaczeniu zarówno w aplikacjach konsumenckich, jak i korporacyjnych. Wzrost zastosowania ścisłej autoryzacji w aplikacjach konsumenckich był szczególnie szybki. W 2017 roku korzystało z niej zaledwie 5% firm, podczas gdy w 2018 roku już trzy razy więcej – 16%. Można to wyjaśnić zwiększoną dostępnością tokenów obsługujących algorytmy kryptografii klucza publicznego (Public Key Cryptography - PKC). Dodatkowo, zaostrzenie presji europejskich regulacji po wprowadzeniu nowych przepisów dotyczących ochrony informacji, takich jak PSD2 i RODO, miało silny wpływ nawet poza Europą.w tym także w Rosji.).

Przyjrzyjmy się tym danym nieco bliżej. Jak widzimy, procent osób prywatnych korzystających z wieloetapowej autoryzacji wzrósł w ciągu roku o imponujące 11%. I stało się to wyraźnie kosztem miłośników haseł, ponieważ liczby osób, które wierzą w bezpieczeństwo powiadomień Push, SMS i biometrii nie zmieniły się.

A oto z dwuetapową autoryzacją w zastosowaniach korporacyjnych nie jest tak różowo. Po pierwsze, według raportu, zaledwie 5% pracowników zostało przeniesionych z autoryzacji opartej na hasłach na tokeny. Po drugie, liczba tych, którzy w środowisku korporacyjnym stosują alternatywne opcje MFA wzrosła o 4%.

Spróbuję wczuć się w rolę analityka i przedstawię swoje wnioski. W centrum cyfrowego świata indywidualnych użytkowników znajduje się smartfon. Dlatego nic dziwnego, że większość korzysta z możliwości, jakie daje im to urządzenie – biometrycznej autoryzacji, SMS-ów i powiadomień Push oraz jednorazowych haseł generowanych przez aplikacje na samym smartfonie. O bezpieczeństwie i niezawodności korzystania z znanych im narzędzi użytkownicy zazwyczaj nie myślą.

Właśnie dlatego odsetek użytkowników prymitywnych „tradycyjnych” czynników autoryzacji pozostaje niezmienny. Z kolei ci, którzy wcześniej używali haseł, rozumieją, jak mogą być narażeni na ryzyko, i przy wyborze nowego czynnika autoryzacji decydują się na najnowszą i najbezpieczniejszą opcję – token kryptograficzny.

Jeśli chodzi o rynek korporacyjny, to ważne jest zrozumienie, w jakim systemie realizowana jest autoryzacja. Jeśli logowanie do domeny Windows, to używane są tokeny kryptograficzne. Możliwości ich wykorzystania w 2FA są już zawarte zarówno w Windows, jak i w Linuxie, a alternatywne rozwiązania wdraża się długo i skomplikowanie. Oto migracja 5% z haseł na tokeny.

Wdrożenie 2FA w korporacyjnych systemach informacyjnych w dużej mierze zależy od kwalifikacji deweloperów. A deweloperom znacznie łatwiej jest wziąć gotowe moduły do generowania jednorazowych haseł niż zagłębiać się w działanie algorytmów kryptograficznych. W rezultacie nawet aplikacje niezwykle krytyczne pod względem bezpieczeństwa, takie jak systemy Single Sign-On lub Privileged Access Management, używają OTP jako drugiego czynnika.

Wielu luk w tradycyjnych metodach autoryzacji

Mimo że wiele organizacji pozostaje zależnych od przestarzałych systemów jednofaktorowych, luki w tradycyjnej wielofunkcyjnej autoryzacji stają się coraz bardziej oczywiste. Jednorazowe hasła zazwyczaj o długości od sześciu do ośmiu znaków, dostarczane za pośrednictwem SMS-ów, pozostają najczęściej stosowaną formą autoryzacji (oczywiście oprócz czynnika znajomości hasła). A gdy w popularnej prasie pojawiają się słowa „dwufazowa autoryzacja” lub „dwustopniowa weryfikacja”, prawie zawsze odnoszą się one do autoryzacji za pomocą jednorazowych haseł SMS.

Autor w tym miejscu się myli. Wysyłka jednorazowych haseł za pomocą SMS nigdy nie była dwuetapową weryfikacją. To czysty drugi etap weryfikacji dwuetapowej, gdzie pierwszym etapem jest wprowadzenie loginu i hasła.

W 2016 roku Krajowy Instytut Standaryzacji i Technologii (NIST) zaktualizował swoje zasady dotyczące weryfikacji, aby wykluczyć użycie jednorazowych haseł wysyłanych za pośrednictwem SMS. Jednak zasady te zostały znacznie złagodzone po protestach w branży.

Zatem śledzimy fabułę. Amerykański regulator słusznie zauważa, że przestarzała technologia nie jest w stanie zapewnić bezpieczeństwa użytkowników i wprowadza nowe standardy. Standardy, które mają na celu ochronę użytkowników aplikacji internetowych i mobilnych (w tym bankowych). Branża zastanawia się, ile pieniędzy będzie musiała wydać na zakup naprawdę wiarygodnych tokenów kryptograficznych, na przebudowę aplikacji i wdrożenie infrastruktury kluczy publicznych, a "stawia się na nogi". Z jednej strony użytkowników przekonywano o niezawodności jednorazowych haseł, a z drugiej strony odbywały się ataki na NIST. W rezultacie standard złagodzono, a liczba włamań, kradzieży haseł (i pieniędzy z aplikacji bankowych) gwałtownie wzrosła. Przemysłowi nie musiało się natomiast wydawać pieniędzy.

Od tego czasu słabości związane z SMS OTP stały się bardziej oczywiste. Oszuści wykorzystują różne metody do kompromitacji wiadomości SMS:

• Duplikacja karty SIM. Przestępcy tworzą kopię karty SIM (przy pomocy pracowników operatora komórkowego lub samodzielnie, za pomocą specjalnego oprogramowania i sprzętu). W jednym z szczególnie znanych przypadków hakerzy nawet zdołali skompromitować konto AT&T inwestora kryptowalutowego Michaela Terpina i ukraść prawie 24 miliony dolarów w kryptowalutach. W wyniku czego Terpin stwierdził, że AT&T było winne z powodu słabych środków weryfikacji prowadzących do duplikacji karty SIM.
  

  Zadziwiająca logika. Czyli to prawda, że tylko AT&T jest winne? Nie, odpowiedzialność mobilnego operatora polega na tym, że sprzedawcy w salonie sprzedaży wydali duplikat karty SIM, to bezdyskusyjne. A co z systemem uwierzytelniania giełdy kryptowalut? Dlaczego nie użyli solidnych tokenów kryptograficznych? Żal było pieniędzy na wdrożenie? A sam Michael nie jest winny? Dlaczego nie nalegał na zmianę mechanizmu uwierzytelniania lub nie korzystał tylko z giełd, które wdrażają dwuetapowe uwierzytelnianie oparte na tokenach kryptograficznych?

  Wdrożenie naprawdę niezawodnych metod uwierzytelniania opóźnia się właśnie dlatego, że przed włamaniem użytkownicy wykazują zadziwiającą lekkomyślność, a potem obwiniają o swoje kłopoty każdego i wszystko, tylko nie przestarzałe i "dziurawe" technologie uwierzytelniania.

• Złośliwe oprogramowanie (malware). Jedną z najwcześniejszych funkcji mobilnych złośliwych programów było przechwytywanie i przesyłanie wiadomości tekstowych do przestępców. Ataki "człowiek w przeglądarce" (man-in-the-browser) oraz "człowiek pośredni" (man-in-the-middle) mogą przechwytywać jednorazowe hasła, gdy są wprowadzane na zainfekowanych laptopach lub komputerach stacjonarnych.
  

  Kiedy aplikacja Sberbanku na twoim smartfonie miga zieloną ikoną w pasku statusu — między innymi szuka "złośliwych" programów na twoim telefonie. Celem tego działania jest przekształcenie nieznanego środowiska wykonawczego typowego smartfona w, chociaż w pewnym stopniu, środowisko w pełni zaufane.
  Warto dodać, że smartfon, jako absolutnie nieznane urządzenie, na którym może działać wszystko, to kolejny powód, by korzystać do uwierzytelniania tylko sprzętowych tokenów, które są zabezpieczone i wolne od wirusów i trojanów.

• Inżynieria społeczna. Gdy oszuści wiedzą, że ofiara ma włączone jednorazowe hasła SMS, mogą skontaktować się bezpośrednio z ofiarą, podszywając się pod zaufaną organizację, taką jak jej bank czy związek kredytowy, aby oszukać ofiarę i zmusić ją do podania właśnie otrzymanego kodu.
  

  Z tym rodzajem oszustwa osobiście spotykałem się wielokrotnie, na przykład próbując coś sprzedać na popularnym serwisie ogłoszeniowym. Osobiście z lubością poniewierałem oszustem, który próbował mnie wykiwać. Ale niestety regularnie czytam w wiadomościach o kolejnej ofierze oszustów, która "nie pomyślała", przekazała kod weryfikacyjny i straciła dużą sumę. A to wszystko dlatego, że bank po prostu nie chce zająć się wprowadzeniem tokenów kryptograficznych do swoich aplikacji. W końcu, jeśli coś się stanie, to klienci "sami są winni".

Chociaż alternatywne metody dostarczania jednorazowych haseł mogą złagodzić niektóre luki w tej metodzie uwierzytelniania, pozostałe luki wciąż pozostają. Autonomiczne aplikacje do generowania kodów są najlepszą ochroną przed przechwytywaniem, ponieważ nawet złośliwe oprogramowanie rzadko może bezpośrednio współdziałać z generatorem kodu (serio? autor raportu zapomniał o zdalnym zarządzaniu?), ale OTP wciąż mogą być przechwycone podczas wprowadzania w przeglądarkę (na przykład, korzystając z keyloggera), przez zhakowaną aplikację mobilną; mogą być również uzyskane bezpośrednio od użytkownika za pomocą inżynierii społecznej.
Wykorzystanie różnych narzędzi do oceny ryzyka, takich jak rozpoznawanie urządzeń (wykrywanie prób dokonywania operacji z urządzeń, które nie należą do legalnego użytkownika), geolokalizacja (użytkownik, który właśnie znajdował się w Moskwie, próbuje wykonać operację z Nowosibirska) i analiza behawioralna ma ogromne znaczenie w eliminacji luk, ale żadne z rozwiązań nie jest panaceum. W każdej sytuacji i dla każdego typu danych należy starannie ocenić ryzyko i wybrać odpowiednią technologię uwierzytelniania.

Żadne rozwiązanie do uwierzytelnienia nie jest panaceum.

Rysunek 2. Tabela opcji uwierzytelniania

W drugiej części publikacji czeka nas to, co najciekawsze — liczby i fakty, na których opierają się wnioski i rekomendacje przedstawione w części pierwszej. Osobno zostanie omówiona autoryzacja w aplikacjach użytkowników i w systemach korporacyjnych.

Do zobaczenia!

Źródło: habr.com