Den skræmmende sandhed om tillid: Hvorfor det at være "verificeret" ikke betyder, at du er i sikkerhed

Lad os tale om noget, der holder sikkerhedsfolk vågne om natten. Det er ikke hackeren i en hættetrøje, som man ser i film. Det er ikke en sofistikeret zero-day exploit. Det er noget langt simplere og uendeligt meget farligere: antagelsen om, at verificering af identitet er det samme som verificering af autenticitet.

Jeg stødte for nylig på dette fascinerende (og en smule skræmmende) case-studie, og jeg kan ikke lade være med at tænke på det. En virksomhed – lad os kalde dem en typisk mellemstor virksomhed – gennemgik ikke ét, ikke to, men TRE separate sikkerhedsincidenter over fire måneder. Her er det vigtigste: ingen af dem indebar at bryde ind i netværk eller udnytte softwarefejl. Hver eneste gang var angriberen blot blevet til en, som virksomheden allerede stolede på.

Det er... faktisk ret urovækkende, når man tænker over det.

Passwordet var perfekt. Personen var det ikke.

Her er tingen med traditionel sikkerhed: vi behandler autentificering som et lås-og-nøgle-problem. Få det rigtige password, bestå MFA-tjekket, og boom – så er du inde. Men hvad nu hvis låsen fungerer præcis som designet, og personen, der går igennem den, bare... ikke er den, de påstår at være?

De tilfælde, jeg refererer til, viste tre forskellige varianter af netop dette problem. Først var der en økonomidirektør, der modtog et opkald fra "IT-support" om mistænkelig aktivitet på hans konto. Opkalds-ID viste et internt nummer. Opkaldet kendte til virksomhedens MFA-udbyder. De vidste, at økonomidirektøren var på rejse (fordi han havde lagt det på sociale medier, selvfølgelig gør han det – det gør vi alle sammen). De havde endda information fra gamle databrud svævende rundt på det mørke net.

Alt de behøvede, var at han læste en verifikationskode op. Og det gjorde han.

Inden tyve minutter var der nogen, der brugte hans e-mail til at anmode om hastebetalinger. Den eneste grund til, at pengene ikke røg afsted? En skarp specialist inden for debitor/kreditor syntes, at anmodningen føltes "forkert" og ringede direkte til ham. Den menneskelige intuition reddede dagen.

Stol på, men verificér (undt når du ikke gør)

Det, der slår mig mest ved disse hændelser, er ikke angreboernes sofistikering – det er hvor kedelige de ville se ud for de fleste sikkerhedssystemer. Legitimiteten var i orden. Autentificeringen bestod. Sessionerne var gyldige.

Men et eller andet sted undervejs glemte vi, at verificering ikke kun handler om at afkrydse felter. Det handler om at bekræfte, at mennesket i den anden ende faktisk er den, de siger, de er – og at de har en legitim grund til at gøre det, de gør.

Det andet incident involverede en fjernansat, der virkede fuldstændig legitim. Fantastisk CV. Troværdige referencer. Solid portefølje. Men her er pointen: intet af det er svært at stjæle. Det viste sig, at personen brugte identiteten fra en rigtig ingeniør med fuldstændig opdigtede referencer, og vedkommende arbejdede fra udlandet ved hjælp af virksomhedens bærbare computere, der var sendt til en lejet lejlighed.

Den eneste grund til, at det blev opdaget? Nogen lagde mærke til, at den bærbare computer var mest aktiv i nattetimerne. Det var det. Ingen sofistikeret detektering. Bare en person, der lagde mærke til noget, der virkede lidt mærkeligt.

Session-problemet, som ingen taler om

Og så er der det tredje incident, som jeg mener er den mest oversete trussel i moderne sikkerhed. En direktørs konto blev tilgået fra Rumænien. Hun sov i Ohio på det tidspunkt.

Hendes password var ikke kompromitteret. Hendes MFA var ikke blevet omgået. I stedet havde malware på en delt hjemmecomputer høstet hendes browser-session cookies. Angriberen gik direkte gennem den digitale hoveddør og fremstod som en fuldstændig legitim, autentificeret bruger.

Dette er session-baseret autentificerings beskidte hemmelighed: når du først er inde, bliver du ofte inde. Session-tokens kan forblive gyldige i timer eller endda dage. Og i modsætning til passwords er det ikke noget, brugerne nemt kan beskytte eller rotere.

Hvad er så den egentlige lære?

Jeg tror ikke, læren her er "vær mere paranoid" (selvom en lille smule sund paranoia aldrig skader). Jeg tror, den virkelige indsigt handler om kløften mellem identitetsverificering og tillidskonfirmering.

De fleste organisationer er blevet ret gode til den første del. Vi verificerer legitimationsoplysninger, vi håndhæver MFA, vi afkrydser felter. Men den anden del – løbende at bekræfte, at nogen stadig er autoriseret og agerer passende – det er dér, vi kommer til kort.

De cases, jeg diskuterer, havde alle noget andet til fælles: de blev opdaget af mennesker eller menneskedesignede systemer, der ledte efter adfærdsmæssige anomalier, ikke bare autentificeringsfejl. En kollega, der stillede spørgsmålstegn ved en usædvanlig anmodning. En analytiker, der bemærkede mærkelige arbejdsmønstre. Et automatiseret system, der markerede "umulig rejse".

Tekniske kontroller er nødvendige. Men de er ikke tilstrækkelige. Den virkelige sikkerhedsforstærker er at opbygge en kultur, hvor folk føler sig i stand til at stille spørgsmålstegn ved ting, der føles forkerte – selv når legitimationsoplysningerne er i orden.

For her er den ubehagelige sandhed: i dagens trusselsbillede er den største sikkerhedsrisiko måske ikke angriberen uden for dine mure. Det kan være den fuldstændig gyldige identitet, der allerede er inde i dem.

Hold øjnene åbne, venner.

Tags: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']