Το τρομακτικό μυστικό της εμπιστοσύνης: Γιατί το να είσαι «επιβεβαιωμένος» δεν σημαίνει ότι είσαι ασφαλής

Ας μιλήσουμε για κάτι που κρατά τους ειδικούς ασφαλείας ξ어υπνους τα βράδια. Δεν είναι ο hacker με το φούτερ με το καουτσούλι που βλέπουμε στις ταινίες. Δεν είναι κάποιο εξελιγμένο exploit zero-day. Είναι κάτι πολύ πιο απλό και απίστευτα πιο επικίνδυνο: η υπόθεση ότι η επαλήθευση ταυτότητας ισούται με την επαλήθευση αυθεντικότητας.

Έgαλα πρόσφατα με αυτή την συναρπαστική (και ελαφρώς τρομακτική) μελέτη περίπτωσης και δεν μπορώ να σταματήσω να την σκέφτομαι. Μια εταιρεία —ας την ονομάσουμε μια τυπική μεσαία επιχείρηση— αντιμετώπισε όχι μία, όχι δύο, αλλά ΤΡΙΑ ξεχωριστά περιστατικά ασφαλείας σε διάστημα τεσσάρων μηνών. Η αλήθεια είναι η εξής: κανένα από αυτά δεν περιλάμβανε παραβίαση δικτύων ή εκμετάλλευση λογισμικού. Κάθε φορά, ο επιτιθέμενος απλώς γινόταν κάποιος που η εταιρεία ήδη εμπιστευόταν.

Αυτό είναι... στην πραγματικότητα αρκετά ανησυχητικό όταν το σκεφτείς.

Ο Κωδικός Ήταν Τέλειος. Ο Άνθρωπος Όχι.

Το θέμα με την παραδοσιακή ασφάλεια είναι αυτό: αντιμετωπίζουμε την αυθεντικοποίηση σαν πρόβλημα κλειδιού και κλειδαριάς. Βρες τον σωστό κωδικό, περάσε το MFA και μπόμ—είσαι μέσα. Αλλά τι γίνεται αν η κλειδαριά λειτουργεί ακριβώς όπως έχει σχεδιαστεί, και ο άνθρωπος που περνάει μέσα δεν είναι... αυτός που ισχυρίζεται ότι είναι;

Τα περιστατικά στα οποία αναφέρομαι έδειξαν τρεις διαφορετικές εκδοχές αυτού ακριβώς του προβλήματος. Πρώτα, υπήρχε ένας CFO που έλαβε μια κλήση από την "υποστήριξη IT" για ύπολη δραστηριότητα στον λογαριασμό του. Το ID του κλήσιμης έδειχνε έναν εσωτερικό αριθμό. Ο καλέτης γνώριζε τον πάροχο MFA της εταιρείας. Ήξεραν ότι ο CFO ταξιδεύει (γιατί το είχε ποστάρει στα social media, φυσικά—το κάνουμε όλοι). Είχαν ακόμα και πληροφορίες από παλιές διαρροές δεδομένων που κυκλοφορούν στο dark web.

Όσα τους χρειαζόταν ήταν απλώς να του πει έναν κωδικό επαλήθευσης. Και το έκανε.

Μέσα σε είκοσι λεπτά, κάποιος χρησιμοποιούσε το email του για να ζητά επείγοντα πληρωμές. Ο μόνος λόγος που τα χρήματα δεν μεταφέρθηκαν; Ένας ευφυής ειδικός λογαριασμών ένιωσε ότι η αίτηση ήταν "περίεργη" και τον κάλεσε απευθείας. Αυτό το ανθρώπινο ένστικτο έσωσε την κατάσταση.

Εμπιστεύσου αλλά Επαλήθευσε (Εκτός αν δεν το κάνεις)

Αυτό που με εντυπωσιάζει περισσότερο σε αυτά τα περιστατικά δεν είναι η πολυπλοκότητα των επιθέσεων—είναι το πόσο βαρετά θα φαινόταν για τα περισσότερα συστήματα ασφαλείας. Τα στοιχεία ταυτότητας ήταν σωστά. Η αυθεντικοποίηση πέρασε. Οι συνεδριάσεις ήταν έγκυρες.

Αλλά κάπου στη διαδικασία, ξεχάσαμε ότι η επαλήθευση δεν αφορά μόνο το να τσεκάρουμε κουτάκια. Αφορά το να επιβεβαιώσουμε ότι ο άνθρωπος στην άλλη άκρη είναι όντως αυτός που λέει—και ότι έχει νόμιμο λόγο να κάνει αυτό που κάνει.

Το δεύτερο περιστατικό αφορούσε έναν υπάλληλο που προσλήφθηκε εξ αποστάσεως και φαινόταν απόλυτα νόμιμος. Εξαιρετικό βιογραφικό. Αξιόπιστες συστάσεις. Στερεό portfolio. Αλλά το θέμα είναι αυτό: κανένα από αυτά τα πράγματα δεν είναι δύσκολο να κλαπεί. Ο άνθρωπος αποδείχθηκε ότι χρησιμοποιούσε την ταυτότητα ενός πραγματικού μηχανικού, με εντελώς φανταστικές συστάσεις, και λειτουργούσε από το εξωτερικό χρησιμοποιώντας laptop της εταιρείας που είχαν σταλεί σε ένα νοικιασμένο διαμέρισμα.

Ο μόνος λόγος που το εντοπίστηκε; Κάποιος παρατήρησε ότι το laptop ήταν πιο ενεργό κατά τις νυχτερινές ώρες. Αυτό ήταν. Χωρίς εξελιγμένη ανίχνευση. Απλώς κάποιος που έδινε σημασία σε κάτι που φαινόταν λίγο περίεργο.

Το Πρόβλημα της Συνεδρίας που Κανείς Δεν Μιλάει

Και μετά έχουμε το τρίτο περιστατικό, το οποίο νομίζω ότι είναι η πιο παραμελημένη απειλή στην σύγχρονη ασφάλεια. Ο λογαριασμός μιας διευθύντισης πρόσβασε από τη Ρομανία. Εκείνη κοιμόταν στην Οχάιο εκείνη την ώρα.

Ο κωδικός της δεν είχε κλαπεί. Το MFA της δεν είχε παρακαμφθεί. Αντίθετα, ένα malware σε έναν κοινό οικιακό υπολογιστή είχε συλλέξει τα cookies της συνεδρίας του browser της. Ο επιτιθέμενος πέρασε κατευθείαν από την ψηφιακή πόρτα εισόδου, εμφανιζόμενος ως ένας απόλυτα νόμιμος, αυθεντικοποιημένος χρήστης.

Αυτό είναι το μυστικό της αυθεντικοποίησης βάσει συνεδρίας: αν μπεις, συχνά μένεις μέσα. Τα tokens συνεδρίας μπορούν να παραμείνουν έγκυρα για ώρες ή ακόμα και ημέρες. Και σε αντίθεση με τους κωδικούς, δεν είναι κάτι που οι χρήστες μπορούν να προστατεύσουν ή να αλλάξουν εύκολα.

Άρα, ποιο είναι το πραγματικό μάθημα;

Δεν νομίζω ότι το μάθημα εδώ είναι "γίνετε πιο παρανοϊκοί" (αν και ειλικρινά, μια μικρή δόση υγιής παρανοϊά δεν βλάπτει ποτέ). Νομίζω ότι η πραγματική μαθηματική γνώση αφορά το χάσμα μεταξύ επαλήθευσης ταυτότητας και επιβεβαίωσης εμπιστοσύνης.

Οι περισσότεροι οργανισμοί έχουν γίνει αρκετά καλοί στο πρώτο μέρος. Επαληθεύουμε τα στοιχεία, επιβάλλουμε το MFA, τσεκάρουμε τα κουτάκια. Αλλά το δεύτερο μέρος—το να επιβεβαιώνουμε συνεχώς ότι κάποιος είναι ακόμα εξουσιοδοτημένος και ενεργεί κατάλληλα—εκεί είναι που αποτυγχάνουμε.

Τα περιστατικά που συζητούμε είχαν όλα κάτι άλλο κοινό: εντοπίστηκαν από ανθρώπους ή ανθρώπινα σχεδιασμένα συστήματα που έψαχναν για συμπεριφοριακές ανωμαλίες, όχι μόνο για αποτυχίες αυθεντικοποίησης. Ένας συνάδελφος που αμφισβήτησε μια ασυνήθιστη αίτηση. Ένας αναλυτής που παρατήρησε περίεργα μοτίβα εργασίας. Ένα αυτόματο σύστημα που σήμανε μια αδύνατη μετακίνηση.

Οι τεχνικοί έλεγχοι είναι απαραίτητοι. Αλλά δεν είναι αρκετοί. Ο πραγματικός πολλαπλασιαστής ασφαλείας είναι η δημιουργία μιας κουλτούρας όπου οι άνθρωποι νιώθουν εξουσιοδοτημένοι να αμφισβητούν πράγματα που τους φαίνονται λάθος—ακόμα και όταν τα στοιχεία ταυτότητας είναι σωστά.

Γιατί η δυσάρεστη αλήθεια είναι αυτή: στο σημερινό τοπίο απειλών, ο μεγαλύτερος κίνδυνος ασφαλείας μπορεί να μην είναι ο επιτιθέμενος έξω από τα τείχη σας. Μπορεί να είναι η απόλυτα έγκυρη ταυτότητα που βρίσκεται ήδη μέσα σε αυτά.

Μείνετε σε εγρήγεια, φίλοι.

Ετικέτες: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']