Шта ће се догодити са аутентификацијом и лозинкама? Превод извештаја Јавелин „Стање јаке аутентификације“ са коментарима

Спојлер из наслова извештаја: „Употреба јаке аутентификације се повећава због претње од нових ризика и регулаторних захтева.“
Истраживачка компанија "Јавелин Стратеги & Ресеарцх" објавила је извештај "Тхе Стате оф Стронг Аутхентицатион 2019" ( Оригинал у пдф формату можете преузети овде). Овај извештај каже: колики проценат америчких и европских компанија користи лозинке (и зашто мало људи сада користи лозинке); зашто употреба двофакторске аутентификације засноване на криптографским токенима расте тако брзо; Зашто једнократни кодови послати СМС-ом нису безбедни.

Сви заинтересовани за садашњост, прошлост и будућност аутентификације у предузећима и потрошачким апликацијама су добродошли.

Од преводиоца

Авај, језик на коме је написан овај извештај је прилично „сув“ и формалан. А петострука употреба речи „аутентификација“ у једној краткој реченици није криве руке (или мозак) преводиоца, већ хир аутора. Када сам преводио са две опције – да читаоцима дам текст ближи оригиналу, или занимљивији, некада сам бирао прву, а некад другу. Али будите стрпљиви, драги читаоци, садржај извештаја је вредан тога.

Неки небитни и непотребни делови за причу су уклоњени, иначе већина не би могла да прође кроз цео текст. Они који желе да прочитају извештај „неограничен“ могу то да ураде на оригиналном језику пратећи везу.

Нажалост, аутори нису увек пажљиви са терминологијом. Тако се једнократне лозинке (Оне Тиме Пассворд - ОТП) понекад називају „лозинке“, а понекад „шифре“. Још је горе са методама аутентификације. Није увек лако за необученог читаоца да претпостави да су „провера аутентичности помоћу криптографских кључева“ и „јака аутентификација“ иста ствар. Покушао сам да уједначим појмове што је више могуће, а у самом извештају постоји фрагмент са њиховим описом.

Ипак, извештај се топло препоручује за читање јер садржи јединствене резултате истраживања и тачне закључке.

Све бројке и чињенице су представљене без најмањих промена, а ако се не слажете са њима, онда је боље да се расправљате не са преводиоцем, већ са ауторима извештаја. А ево и мојих коментара (изложених као цитати, и означених у тексту Италијан) су мој вредносни суд и радо ћу расправљати о сваком од њих (као и о квалитету превода).

Преглед

Данас су дигитални канали комуникације са купцима важнији него икада за предузећа. А унутар компаније, комуникација између запослених је више дигитално оријентисана него икада раније. А колико ће ове интеракције бити безбедне зависи од изабраног метода аутентификације корисника. Нападачи користе слабу аутентификацију за масовно хаковање корисничких налога. Као одговор, регулатори пооштравају стандарде како би приморали предузећа да боље заштите корисничке налоге и податке.

Претње које се односе на аутентификацију проширују се и ван потрошачких апликација; нападачи такође могу добити приступ апликацијама које раде унутар предузећа. Ова операција им омогућава да се лажно представљају као корпоративни корисници. Нападачи који користе приступне тачке са слабом аутентификацијом могу украсти податке и извршити друге лажне активности. На срећу, постоје мере за борбу против овога. Јака аутентификација ће помоћи да се значајно смањи ризик од напада од стране нападача, како на корисничке апликације тако и на пословне системе предузећа.

Ова студија испитује: како предузећа имплементирају аутентификацију за заштиту апликација крајњих корисника и пословних система предузећа; фактори које узимају у обзир при избору решења за аутентификацију; улогу коју јака аутентификација игра у њиховим организацијама; бенефиције које ове организације добијају.

Резиме

Главни налази

Од 2017. употреба јаке аутентификације је нагло порасла. Са све већим бројем рањивости које утичу на традиционална решења за аутентификацију, организације јачају своје способности за аутентификацију снажном аутентификацијом. Број организација које користе криптографску вишефакторску аутентификацију (МФА) се утростручио од 2017. за потрошачке апликације и повећао се за скоро 50% за пословне апликације. Најбржи раст се примећује код мобилне аутентификације због све веће доступности биометријске аутентификације.

Овде видимо илустрацију изреке „док гром не удари, човек се неће прекрстити“. Када су стручњаци упозорили на несигурност лозинки, нико није журио да примени двофакторску аутентификацију. Чим су хакери почели да краду лозинке, људи су почели да примењују двофакторску аутентификацију.

Истина, појединци много активније примењују 2ФА. Прво, лакше им је да смире своје страхове ослањајући се на биометријску аутентификацију уграђену у паметне телефоне, која је у ствари веома непоуздана. Организације треба да троше новац на куповину токена и обављају посао (у ствари, врло једноставан) да их имплементирају. И друго, само лењи људи нису писали о цурењу лозинки са сервиса као што су Фацебоок и Дропбок, али ни под којим околностима ЦИО-ови ових организација неће делити приче о томе како су лозинке украдене (и шта се потом догодило) у организацијама.

Они који не користе јаку аутентификацију потцењују ризик за своје пословање и клијенте. Неке организације које тренутно не користе снажну аутентификацију имају тенденцију да пријаве и лозинке виде као један од најефикаснијих и једноставних метода за аутентификацију корисника. Други не виде вредност дигиталне имовине коју поседују. На крају крајева, вреди узети у обзир да су сајбер криминалци заинтересовани за било какве потрошачке и пословне информације. Две трећине компанија које користе само лозинке за аутентификацију својих запослених то чине јер верују да су лозинке довољно добре за врсту информација које штите.

Међутим, лозинке су на путу ка гробу. Зависност од лозинки значајно је опала током прошле године и за потрошачке и за пословне апликације (са 44% на 31%, односно са 56% на 47%) пошто организације повећавају употребу традиционалне МФА и јаке аутентификације.
Али ако посматрамо ситуацију у целини, рањиви методи аутентификације и даље преовладавају. За аутентификацију корисника, око четвртине организација користи СМС ОТП (једнократна лозинка) заједно са безбедносним питањима. Као резултат тога, морају се применити додатне мере безбедности за заштиту од рањивости, што повећава трошкове. Употреба много безбеднијих метода аутентификације, као што су хардверски криптографски кључеви, користи се много ређе, у приближно 5% организација.

Регулаторно окружење које се развија обећава да ће убрзати усвајање јаке аутентификације за потрошачке апликације. Са увођењем ПСД2, као и новим правилима о заштити података у ЕУ и неколико америчких држава, попут Калифорније, компаније осећају врућину. Скоро 70% компанија се слаже да се суочавају са снажним регулаторним притиском да својим клијентима обезбеде снажну аутентификацију. Више од половине предузећа верује да у року од неколико година њихове методе аутентификације неће бити довољне да испуне регулаторне стандарде.

Јасно је видљива разлика у приступима руских и америчко-европских законодаваца заштити личних података корисника програма и услуга. Руси кажу: поштовани сервисери, радите шта хоћете и како хоћете, али ако вам админ споји базу, казнићемо вас. У иностранству кажу: морате спровести сет мера које неће дозволити оцедити базу. Зато се тамо спроводе захтеви за строгу двофакторску аутентификацију.
Истина, далеко је од чињенице да се наша законодавна машина једног дана неће опаметити и узети у обзир западна искуства. Онда се испоставља да сви морају хитно да имплементирају 2ФА, који је у складу са руским криптографским стандардима.

Успостављање снажног оквира за аутентификацију омогућава компанијама да преусмере свој фокус са испуњавања регулаторних захтева на задовољавање потреба купаца. За оне организације које још увек користе једноставне лозинке или примају кодове путем СМС-а, најважнији фактор при одабиру методе аутентификације биће усклађеност са регулаторним захтевима. Али оне компаније које већ користе снажну аутентификацију могу се фокусирати на одабир оних метода аутентикације које повећавају лојалност купаца.

Приликом одабира корпоративне методе аутентификације у оквиру предузећа, регулаторни захтеви више нису значајан фактор. У овом случају, лакоћа интеграције (32%) и цена (26%) су много важнији.

У ери пхисхинга, нападачи могу користити корпоративну е-пошту за превару да на превару добије приступ подацима, налозима (са одговарајућим правима приступа), па чак и да убеди запослене да изврше трансфер новца на његов рачун. Стога, корпоративна е-пошта и налози портала морају бити посебно добро заштићени.

Гоогле је ојачао своју безбедност имплементацијом јаке аутентификације. Пре више од две године, Гугл је објавио извештај о примени двофакторске аутентификације засноване на криптографским безбедносним кључевима користећи ФИДО У2Ф стандард, извештавајући о импресивним резултатима. Према наводима компаније, није изведен ниједан пхисхинг напад на више од 85 запослених.

Препоруке

Примените снажну аутентификацију за мобилне и онлајн апликације. Вишефакторска аутентификација заснована на криптографским кључевима пружа много бољу заштиту од хаковања од традиционалних МФА метода. Поред тога, употреба криптографских кључева је много погоднија јер нема потребе за коришћењем и преносом додатних информација - лозинки, једнократних лозинки или биометријских података са уређаја корисника на сервер за аутентификацију. Поред тога, стандардизовање протокола за аутентификацију чини много лакшом примену нових метода аутентификације чим постану доступне, смањујући трошкове имплементације и штитећи од софистициранијих шема преваре.

Припремите се за нестанак једнократних лозинки (ОТП). Рањивости својствене ОТП-овима постају све очигледније јер сајбер криминалци користе друштвени инжењеринг, клонирање паметних телефона и злонамерни софтвер да угрозе ова средства аутентификације. И ако ОТП у неким случајевима имају одређене предности, онда само са становишта универзалне доступности за све кориснике, али не и са становишта безбедности.

Немогуће је не приметити да је примање кодова путем СМС или Пусх обавештења, као и генерисање кодова помоћу програма за паметне телефоне, коришћење истих једнократних лозинки (ОТП) за које се од нас тражи да се припремимо за одбијање. Са техничке тачке гледишта, решење је врло исправно, јер је ретки преварант који не покушава да сазна једнократну лозинку од лаковерног корисника. Али мислим да ће се произвођачи оваквих система до последњег држати технологије која умире.

Користите снажну аутентификацију као маркетиншки алат за повећање поверења купаца. Јака аутентификација може учинити више од само побољшања стварне сигурности вашег пословања. Информисање клијената да ваше предузеће користи снажну аутентификацију може ојачати перцепцију јавности о безбедности тог пословања – што је важан фактор када постоји значајна потражња купаца за јаким методама аутентификације.

Спроведите детаљан инвентар и процену критичности корпоративних података и заштитите их према важности. Чак и подаци ниског ризика као што су контакт информације о клијентима (не, заиста, у извештају се каже „низак ризик“, веома је чудно да потцењују важност ових информација), може донети значајну вредност преварантима и проузроковати проблеме компанији.

Користите јаку аутентификацију предузећа. Бројни системи су најатрактивније мете за криминалце. То укључује интерне системе и системе повезане са Интернетом, као што су рачуноводствени програм или корпоративно складиште података. Јака аутентификација спречава нападаче да добију неовлашћени приступ, а такође омогућава да се тачно утврди који запослени је извршио злонамерну активност.

Шта је јака аутентификација?

Када се користи јака аутентикација, користи се неколико метода или фактора за проверу аутентичности корисника:

• Фактор знања: дељена тајна између корисника и субјекта који је провео аутентичност (као што су лозинке, одговори на безбедносна питања, итд.)
• Фактор власништва: уређај који има само корисник (на пример, мобилни уређај, криптографски кључ, итд.)
• Фактор интегритета: физичке (често биометријске) карактеристике корисника (на пример, отисак прста, шара шаренице, глас, понашање итд.)

Потреба за хаковањем више фактора у великој мери повећава вероватноћу неуспеха за нападаче, пошто заобилажење или обмањивање различитих фактора захтева коришћење више врста тактика хаковања, за сваки фактор посебно.

На пример, са 2ФА „лозинком + паметним телефоном“, нападач може да изврши аутентификацију гледајући корисничку лозинку и правећи тачну софтверску копију његовог паметног телефона. А ово је много теже него обична крађа лозинке.

Али ако се лозинка и криптографски токен користе за 2ФА, онда опција копирања овде не функционише - немогуће је дуплирати токен. Преварант ће морати крадом да украде токен од корисника. Ако корисник на време примети губитак и обавести администратора, токен ће бити блокиран и напори преваранта ће бити узалудни. Због тога фактор власништва захтева коришћење специјализованих безбедних уређаја (токена) уместо уређаја опште намене (паметних телефона).

Коришћење сва три фактора учиниће овај метод аутентификације прилично скупим за примену и прилично незгодним за коришћење. Стога се обично користе два од три фактора.

Детаљније су описани принципи двофакторске аутентификације овде, у блоку „Како функционише двофакторска аутентификација“.

Важно је напоменути да бар један од фактора аутентификације који се користи у јакој аутентификацији мора да користи криптографију јавног кључа.

Јака аутентификација пружа много јачу заштиту од једнофакторске аутентификације засноване на класичним лозинкама и традиционалном МФА. Лозинке се могу шпијунирати или пресрести помоћу кејлогера, пхисхинг сајтова или напада друштвеног инжењеринга (где је жртва преварена да открије своју лозинку). Штавише, власник лозинке неће знати ништа о крађи. Традиционални МФА (укључујући ОТП кодове, везивање за паметни телефон или СИМ картицу) се такође може прилично лако хаковати, пошто није заснован на криптографији јавног кључа (Иначе, има много примера када су, користећи исте технике друштвеног инжењеринга, преваранти наговарали кориснике да им дају једнократну лозинку).

На срећу, употреба јаке аутентификације и традиционалног МФА добија на снази у апликацијама за потрошаче и предузећа од прошле године. Употреба јаке аутентификације у потрошачким апликацијама је расла посебно брзо. Ако га је 2017. користило само 5% компанија, онда је 2018. већ три пута више – 16%. Ово се може објаснити повећаном доступношћу токена који подржавају алгоритме криптографије јавног кључа (ПКЦ). Поред тога, повећан притисак европских регулатора након усвајања нових правила о заштити података као што су ПСД2 и ГДПР имао је снажан ефекат чак и ван Европе (укључујући и Русију).

Хајде да ближе погледамо ове бројке. Као што видимо, проценат приватних лица који користе вишефакторску аутентификацију порастао је за импресивних 11% током године. И то се очигледно догодило на рачун љубитеља лозинки, пошто се број оних који верују у безбедност Пусх обавештења, СМС-а и биометрије није променио.

Али са двофакторском аутентификацијом за корпоративну употребу, ствари нису тако добре. Прво, према извештају, само 5% запослених је пребачено са аутентификације лозинке на токене. И друго, број оних који користе алтернативне МФА опције у корпоративном окружењу порастао је за 4%.

Покушаћу да глумим аналитичара и дам своје тумачење. У центру дигиталног света појединачних корисника је паметни телефон. Стога није ни чудо што већина користи могућности које им уређај пружа – биометријску аутентификацију, СМС и Пусх обавештења, као и једнократне лозинке које генеришу апликације на самом паметном телефону. Људи обично не размишљају о сигурности и поузданости када користе алате на које су навикли.

Због тога проценат корисника примитивних „традиционалних“ фактора аутентификације остаје непромењен. Али они који су раније користили лозинке схватају колико ризикују и при избору новог фактора аутентификације одлучују се за најновију и најсигурнију опцију – криптографски токен.

Што се тиче корпоративног тржишта, важно је разумети у који систем се спроводи аутентификација. Ако је пријављивање на Виндовс домен имплементирано, онда се користе криптографски токени. Могућности за њихово коришћење за 2ФА су већ уграђене у Виндовс и Линук, али алтернативне опције су дуге и тешке за имплементацију. Толико о миграцији од 5% са лозинки на токене.

А имплементација 2ФА у корпоративни информациони систем у великој мери зависи од квалификација програмера. А програмерима је много лакше да узму готове модуле за генерисање једнократних лозинки него да разумеју рад криптографских алгоритама. И као резултат тога, чак и апликације које су невероватно критичне за безбедност као што су системи за једнократну пријаву или системи за управљање привилегованим приступом користе ОТП као други фактор.

Многе рањивости у традиционалним методама аутентификације

Док се многе организације и даље ослањају на застареле једнофакторске системе, рањивости у традиционалној вишефакторској аутентификацији постају све очигледније. Једнократне лозинке, обично дужине од шест до осам знакова, које се испоручују путем СМС-а, остају најчешћи облик аутентификације (осим фактора лозинке, наравно). А када се у популарној штампи помињу речи „провера аутентичности у два фактора“ или „верификација у два корака“, оне се скоро увек односе на СМС аутентификацију једнократне лозинке.

Овде је аутор мало погрешио. Испорука једнократних лозинки путем СМС-а никада није била двофакторска аутентификација. Ово је у свом најчистијем облику друга фаза аутентификације у два корака, где је прва фаза унос ваше пријаве и лозинке.

У 2016. години, Национални институт за стандарде и технологију (НИСТ) је ажурирао своја правила за аутентификацију како би елиминисао употребу једнократних лозинки послатих путем СМС-а. Међутим, ова правила су значајно ублажена након протеста индустрије.

Дакле, хајде да пратимо заплет. Амерички регулатор с правом препознаје да застарела технологија није у стању да обезбеди безбедност корисника и уводи нове стандарде. Стандарди дизајнирани да заштите кориснике онлајн и мобилних апликација (укључујући банкарске). Индустрија израчунава колико ће новца морати да потроши на куповину заиста поузданих криптографских токена, редизајн апликација, постављање инфраструктуре јавног кључа и „диже се на задњим ногама“. С једне стране, корисници су били уверени у поузданост једнократних лозинки, а са друге стране, напади на НИСТ. Као резултат тога, стандард је омекшан, а број хакова и крађе лозинки (и новца из банкарских апликација) нагло се повећао. Али индустрија није морала да издваја новац.

Од тада, инхерентне слабости СМС ОТП-а постале су очигледније. Преваранти користе различите методе да компромитују СМС поруке:

• Дуплицирање СИМ картице. Нападачи креирају копију СИМ-а (уз помоћ запослених мобилног оператера или самостално, користећи посебан софтвер и хардвер). Као резултат тога, нападач добија СМС са једнократном лозинком. У једном посебно познатом случају, хакери су чак успели да компромитују АТ&Т налог инвеститора криптовалута Мајкла Турпина и украду скоро 24 милиона долара у криптовалутама. Као резултат тога, Турпин је изјавио да је АТ&Т крив због слабих мера верификације које су довеле до дуплирања СИМ картице.
  

  Невероватна логика. Дакле, заиста је само АТ&Т крив? Не, несумњиво је кривица мобилног оператера што су продавци у продавници комуникација издали дупликат СИМ картице. Шта је са системом за аутентификацију размене криптовалута? Зашто нису користили јаке криптографске токене? Да ли је било штета трошити новац на имплементацију? Није ли сам Мајкл крив? Зашто није инсистирао на промени механизма аутентификације или користио само оне размене које имплементирају двофакторску аутентификацију засновану на криптографским токенима?

  Увођење заиста поузданих метода аутентификације одлаже се управо зато што корисници показују невероватну непажњу пре хаковања, а након тога за своје проблеме окривљују било кога и било шта осим древних и „пропуштајућих“ технологија за аутентификацију

• Злонамерних програма. Једна од најранијих функција мобилног малвера била је пресретање и прослеђивање текстуалних порука нападачима. Такође, напади човек у претраживачу и човек у средини могу пресрести једнократне лозинке када се унесу на заражене лаптопове или десктоп уређаје.
  

  Када апликација Сбербанк на вашем паметном телефону трепери зеленом иконом у статусној траци, она такође тражи „малвер“ на вашем телефону. Циљ овог догађаја је да се непоуздано окружење за извршавање типичног паметног телефона претвори у, барем на неки начин, поуздано.
  Иначе, паметни телефон, као потпуно неповерљив уређај на коме се све може урадити, је још један разлог да се користи за аутентификацију само хардверски токени, који су заштићени и без вируса и тројанаца.

• Социјални инжењеринг. Када преваранти знају да су жртви омогућене ОТП-ове путем СМС-а, могу директно да контактирају жртву, представљајући се као организација од поверења као што је њихова банка или кредитна унија, како би преварили жртву да пружи код који је управо добио.
  

  Лично сам се много пута сусрео са овом врстом преваре, на пример, када покушавам да продам нешто на популарном онлајн бувљаку. И сам сам се ругао преваранту који је покушао да ме превари до миле воље. Али, авај, редовно читам у вестима како још једна жртва преваранта „није помислила“, дала потврдни код и изгубила велику суму. А све је то зато што банка једноставно не жели да се бави имплементацијом криптографских токена у својим апликацијама. На крају крајева, ако се нешто деси, клијенти су „сами криви“.

Док алтернативне методе испоруке ОТП-а могу ублажити неке од рањивости у овом методу аутентификације, друге рањивости остају. Самосталне апликације за генерисање кода су најбоља заштита од прислушкивања, јер чак и злонамерни софтвер тешко може да ступи у директну интеракцију са генератором кода (озбиљно? Да ли је аутор извештаја заборавио на даљинско управљање?), али ОТП-ови и даље могу бити пресретнути када се унесу у претраживач (на пример коришћењем кеилоггер-а), преко хаковане мобилне апликације; а може се добити и директно од корисника коришћењем друштвеног инжењеринга.
Коришћење више алата за процену ризика као што је препознавање уређаја (откривање покушаја обављања трансакција са уређаја који не припадају легалном кориснику), геолокација (корисник који је управо био у Москви покушава да изврши операцију из Новосибирска) и бихејвиорална аналитика су важне за решавање рањивости, али ниједно решење није решење за све. За сваку ситуацију и врсту података потребно је пажљиво проценити ризике и изабрати коју технологију аутентификације треба користити.

Ниједно решење за аутентификацију није панацеја

Слика 2. Табела опција аутентификације

Аутентикација	Faktor	Опис	Кључне рањивости
Лозинка или ПИН	Знање	Фиксна вредност, која може укључивати слова, бројеве и низ других знакова	Може се пресрести, шпијунирати, украсти, покупити или хаковати
Провера аутентичности заснована на знању	Знање	Питања на која одговоре може знати само правни корисник	Може се пресрести, покупити, добити методама друштвеног инжењеринга
ОТП хардвера (пример)	поседовање	Посебан уређај који генерише једнократне лозинке	Шифра се може пресретнути и поновити, или уређај може бити украден
ОТП-ови софтвера	поседовање	Апликација (мобилна, доступна преко претраживача или слање кодова е-поштом) која генерише једнократне лозинке	Шифра се може пресретнути и поновити, или уређај може бити украден
СМС ОТП	поседовање	Једнократна лозинка се испоручује путем СМС текстуалне поруке	Код може бити пресретнут и поновљен, или паметни телефон или СИМ картица могу бити украдени, или СИМ картица може бити дуплирана
паметне картице (пример)	поседовање	Картица која садржи криптографски чип и безбедну кључну меморију која користи инфраструктуру јавног кључа за аутентификацију	Може бити физички украден (али нападач неће моћи да користи уређај без познавања ПИН кода; у случају неколико нетачних покушаја уноса, уређај ће бити блокиран)
Безбедносни кључеви - токени (пример, други пример)	поседовање	УСБ уређај који садржи криптографски чип и безбедну кључну меморију која користи инфраструктуру јавног кључа за аутентификацију	Може бити физички украден (али нападач неће моћи да користи уређај без познавања ПИН кода; у случају неколико нетачних покушаја уноса, уређај ће бити блокиран)
Повезивање са уређајем	поседовање	Процес који креира профил, често користећи ЈаваСцрипт, или користећи маркере као што су колачићи и Фласх дељени објекти како би се осигурало да се користи одређени уређај	Токени могу бити украдени (копирани), а карактеристике легалног уређаја може имитирати нападач на свом уређају
Понашање	Инхерентност	Анализира како корисник комуницира са уређајем или програмом	Понашање се може имитирати
Отисци прстију	Инхерентност	Сачувани отисци прстију се пореде са оним снимљеним оптички или електронски	Слика се може украсти и користити за аутентификацију
Скенирање очију	Инхерентност	Упоређује карактеристике ока, као што је шара шаренице, са новим оптичким скенирањем	Слика се може украсти и користити за аутентификацију
Препознавање лица	Инхерентност	Карактеристике лица се пореде са новим оптичким скенирањем	Слика се може украсти и користити за аутентификацију
Препознавање гласа	Инхерентност	Карактеристике снимљеног узорка гласа се пореде са новим узорцима	Запис се може украсти и користити за аутентификацију или емулирати

У другом делу публикације очекује нас оно најукусније - бројке и чињенице, на којима се заснивају закључци и препоруке дате у првом делу. О аутентификацији у корисничким апликацијама иу корпоративним системима биће речи одвојено.

Видимо се ускоро!

Извор: ввв.хабр.цом