Тъжната истина за синьото: Защо проверката не значи сигурност

Нещата, дето ме вкарват в нерви

Има една тема, дето не ми дава мира. Не е хакерът с качулката от филмите. Не е някаква сложна дупка в сигурността. Това е нещо много по-просто и безкрайно по-опасно: мисленето, че проверката на самоличност е същото като проверка на автентичност.

Попаднах на едно доста притеснително казусче наскоро и не мога да го избия от главата си. Една компания — да я наречем типичен среден бизнес — претърпя не една, не две, а ТРИ отделни инцидента за четири месеца. Най-забавното (и най-тревожното): нито един не включваше пробиване на мрежи или експлойти. Всеки път нападателят просто се преструваше на някого, когото компанията вече познаваше.

Това е... доста притеснително, когато се замислиш.

Паролата беше перфектна. Човекът — не.

Ето какво е проблемът с традиционната сигурност: ние третираме удостоверяването като ключалка и ключ. Въведи правилната парола, премини проверката за многофакторно удостоверяване (MFA) — и си вътре. Но какво става, ако ключалката работи точно както трябва, а човекът, който минава през нея, просто... не е този, за когото се представя?

Случаите, за които говоря, показаха три различни варианта на този проблем. Първо, имаше CFO, който получи обаждане от "IT поддръжка" за съмнителна активност по акаунта му. Телефонният номер показваше вътрешен номер. Обаждащият се знаеше MFA доставчика на компанията. Знаеше, че CFO-то пътува (защото беше публикувал за това в социалните мрежи, разбира се — всички го правим). Дори имаше информация от стари течове на данни, дето се въртят в даркнета.

Всичко, което им трябваше, беше той да прочете обратно код за потвърждение. И той го направи.

Само след двадесет минути някой използваше имейла му, за да иска спешни плащания. Единствената причина парите да не се преместиха? Един бдителен специалист по плащания се усъмни и директно се обади на CFO-то. Човешката интуиция спаси положението.

Проверявай, но (понеже не проверяваш)

Това, което ме впечатлява най-много в тези инциденти, не е сложността на атаките — а колко безинтересни биха изглеждали за повечето системи за сигурност. Удостоверенията бяха наред. Удостоверяването мина. Сесиите бяха валидни.

Но някъде по пътя забравихме, че проверката не е просто задраскване на отметки. Става дума за потвърждаване, че човекът от другата страна наистина е този, за когото се представя — и че има основателна причина да прави това, което прави.

Вторият инцидент включваше дистанционен служител, който изглеждаше напълно легитимен. Страхотно CV. Убедителни препоръки. Сериозно портфолио. Но ето проблема — никое от тези неща не е трудно да откраднеш. Човекът всъщност използваше самоличността на истински инженер, с напълно измислени препоръки, и работеше от чужбина с лаптопи на компанията, изпратени до нает апартамент.

Единствената причина това да бъде засечено? Някой забеляза, че лаптопът е най-активен през нощните часове. И толкова. Не сложна детекция. Просто човек, обърнал внимание на нещо малко странно.

Проблемът със сесиите, за който никой не говори

И тогава имаме третия инцидент, който според мен е най-пренебрегнатата заплаха в съвременната сигурност. Акаунтът на един мениджър е бил достъпен от Румъния. Тя в това време е спела в Охайо.

Паролата ѝ не е компрометирана. MFA-то не е заобиколено. Вместо това, зловреден софтуер на споделен домашен компютър е събрал бисквитките от браузъра ѝ. Нападателят влязъл директно през входната врата, представяйки се като напълно легитимен удостоверен потребител.

Това е мръсната тайна на удостоверяването чрез сесии: веднъж влязъл, обикновено оставаш в системата. Сесийните токени могат да останат валидни часове или дори дни. И за разлика от паролите, потребителите не могат лесно да ги защитят или ротират.

Каква е всъщност поука?

Не мисля, че поука е "ставай по-параноик" (макар че малко здрава параноя никога не е излишна). Според мен истинското прозрение е за пропастта между проверката на самоличност и потвърждаването на доверие.

Повечето организации са се справили доста добре с първото. Проверяваме удостоверения, налагаме MFA, задраскваме отметки. Но второто — непрекъснатото потвърждаване, че някой все още е упълномощен и действа целесъобразно — там сме на тясно.

Случаите, за които говоря, имаха още нещо общо: хванати бяха от хора или системи, проектирани от хора, да търсят поведенчески аномалии, а не само проблеми с удостоверяването. Колега, който се усъмни в необичайна заявка. Анализатор, забелязал странни работни модели. Автоматизирана система, сигнализирала за невъзможно пътуване.

Техническите мерки са необходими. Но не са достатъчни. Истинският умножител на сигурността е изграждането на култура, в която хората се чувстват овластени да поставят под въпрос нещата, които им се струват грешни — дори когато удостоверенията са наред.

Защото ето неприятната истина: в днешния свят на заплахите, най-големият риск за сигурността може да не е нападателят извън стените ви. Може да е напълно валидната самоличност, вече получила достъп вътре в тях.

Бъдете бдителни, приятели.

Тагове: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']