Scary pravda o důvěře: Proč to, že jste „ověřeni“, neznamená, že jste v bezpečí

Pojďme se promluvit o něčem, co nedává spát odborníkům na bezpečnost. Není to hacker v mikině s kapucí, jakého vidíte ve filmech. Není to žádný sofistikovaný zero-day exploit. Je to něco mnohem jednoduššího a nekonečně nebezpečnějšího: předpoklad, že ověření identity je totžité s ověřením autenticity.

Nedávno jsem narazil na fascinující (a mírně děsivou) případovou studii a nemůžu přestat přemýšlet. Jedna firma – nazvěme ji typická středně velká společnost – prošla nejen jednou, nejen dvakrát, ale TŘEMI oddílenými bezpečnostními incidenty během čtyř měsíců. A teď ten háček: žádný z nich nezahrnoval vniknutí do sítí nebo využití softwarových chyb. V každém případě se útočník prostě stal někým, komu firma už důvěřovala.

To je... při přemýšlení docela znepokojivé.

Heslo bylo dokonalé. Člověk nikoliv.

V čem je ten problém s tradiční bezpečností: autentizaci bereme jako problém zámku a klíče. Získejte správné heslo, úspěšně překonajte MFA kontrolu a boom – jste u toho. Ale co když zámek funguje přesně tak, jak má být navržen, a člověk, který jím prochází, prostě... není ten, za koho se vydává?

Případy, které mám na mysli, ukázaly tři různé varianty tohoto přesného problému. První byl finanční ředitel (CFO), který dostal hovor od „IT podpory“ o podezřelé aktivitě na jeho účtu. ID volajícího ukazovalo interní číslo. Volající znal název poskytovatele MFA, který firma používá. Věděli, že CFO právě cestuje (protože o tom napsal na sociální sítě – protože samozřejmě, to děláme všichni). Měli dokonce k dispozici informace ztroskotalé v temné síti z jednoho ze starých úniků dat.

Potřebovali jen, aby mu přečetl ověřovací kód. A on ho přečetl.

Během dvaceti minut už někdo používal jeho e-mail k žádostem o urgentní platby. Jediný důvod, proč peníze neodešly? Ostrý specialista na faktury si všiml, že žádost působí „divně“, a zavolal mu přímo. Ten lidský instinkt zachránil situaci.

Důvěřuj, ale prověřuj (kromě případů, kdy to neuděláš)

Co mě na těchto incidentech nejvíc udeřilo, není sofistikovanost útoků – ale to, jak moc by se pro většinu bezpečnostních systémů zdály nudné. Přihlašovací údaje seděly. Autentizace prošla. Sesse byly platné.

Ale někde na cestě jsme zapomněli, že ověřování není jen o odškrtávání políček. Jde o potvrzení, že člověk na druhém konci je skutečně ten, za koho se vydává – a že má legitimní důvod dělat to, co právě dělá.

Druhý incident se týkal vzdáleného zaměstnance, který působil zcela legitimně. Skvělý životopis. Kredibilitní reference. Solidní portfolio. Ale tady je ten háček – nic z toho není těžké ukrást. Ukázalo se, že daná osoba využívala identitu skutečného inženýra s úplně vykonstruovanými referencemi a pracovala ze zahraničí pomocí firemních notebooků, které byly zaslány do pronajatého bytu.

Jediný důvod, proč to bylo odhaleno? Někdo si všiml, že notebook je nejaktivnější během nočních hodin. To je všechno. Žádné sofistikované detekce. Jen někdo si všiml něčeho, co působilo trochu zvláštně.

Problém sesí, o kterém nikdo nemluví

A pak je tu třetí incident, který je podle mě nejpřehlívanou hrozbou v moderní bezpečnosti. Účet manažerky byl otevřen v Rumunsku. Ona sama byla v tu dobu ve spánku v Ohiu.

Její heslo nebylo kompromitováno. MFA nebylo obch বণuto. Místo toho malware na sdíleném domácím počítači odčesl cookies její prohlížečové sesse. Útočník prošel přímo digitálními dveřmi jako dokonale legitimní autentizovaný uživatel.

To je to špinavé tajemství sesijové autentizace: jakmile jste u toho, často u toho zůstanete. Tokeny sesí mohou zůstat platné hodiny i dny. A na rozdíl od hesel nejsou něčím, co mohou uživatelé snadno chránit nebo pravidelně měnit.

Jaká je tedy ta skutečná lekce?

Myslím, že lekcí zde není „buďte paranoičnější“ (i když upřímně, trocha zdravé paranoie nikdy neublíží). Myslím, že skutečný poznatek spočívá v meze mezi ověřením identity a potvrzením důvěry.

Většina organizací už je v první části docela dobrá. Ověřujeme přihlašovací údaje, vynucujeme MFA, odškrtáváme políčka. Ale ta druhá část – neustálé potvrzování, že daný člověk je stále autorizován a chová se v souladu s účelem – to je místo, kde selháváme.

Případy, které probírám, měly všechny něco společného: odhalili je lidé nebo lidem navržené systémy, které hledaly behaviorální anomálie, nikoliv jen chyby v autentizaci. Kolega, který zpochybnil neobvyklou žádost. Analytik, který si všiml zvláštních pracovních vzorců. Automatizovaný systém, který označil „impossbile travel“ (neuvěřitelnou cestu).

Technické kontroly jsou nezbytné. Ale nejsou dostačující. Skutečným multiplikátorem bezpečnosti je budování kultury, kde se lidé cítí v síle zpochybnit věci, které působí špatně – i když přihlašovací údaje sedí.

Protože zde je ta nepříjemná pravda: v dnešním prostředí hrozeb nemusí být největším bezpečnostním rizikem útočník mimo vaše zdi. Může jím být dokonale legitimně vypadající identita, která už uvnitř těch zdí je.

Zůstaňte bdělí, přátelé.

Štítky: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']