Luottamuksen pelottava totuus: Miksi "vahvistettu" ei tarkoita, että olisit turvassa

Puhutaan asiasta, joka pitää tietoturva-alan ammattilaiset valveilla öisin. Se ei ole elokuvista tuttu huppupäinen hakkeri. Se ei ole mikään monimutkainen zero-day-haavoittuvuus. Se on jotain paljon yksinkertaisempaa ja loputtomasti vaarallisempaa: oletus siitä, että identiteetin todentaminen on sama asia kuin aitouden varmistaminen.

Törmäsin hiljattain tähän kiehtovaan (ja hieman pelottavaan) tapaustutkimukseen, enkä ole voinut lopettaa siitä ajattelevaa. Yhtiö – kutsutaan häntä tyypilliseksi keskisuureksi yritykseksi – koki ei yhden, ei kaksi, vaan kolme erillistä tietoturva-onnettomuutta neljän kuukauden aikana. Tässä on se juttu: mikään niistä ei perustunut verkkoon tunkeutumiseen tai ohjelmistovirheiden hyödyntämiseen. Joka kerta hyökkääjä oli yksinkertaisesti joku, johon yritys luotti jo valmiiksi.

Se on... itse asiassa todella hämmentävää, kun sitä miettii.

Salasana oli täydellinen. Ihminen ei.

Tässä on se juttu perinteisessä tietoturvassa: käsittelemme autentikointia kuin lukko ja avain -ongelmana. Saat oikean salasanan, läpäiset MFA-tarkistuksen ja boom – olet sisällä. Mutta entä jos lukko toimii juuri niin kuin on suunniteltu, mutta sen läpi kävelevä henkilö ei olekaan... se, joka hän väittää olevansa?

Viittaamani tapaukset osoittivat tämän saman ongelman kolme eri muotoa. Ensinnäkin oli talousjohtaja, joka sai puhelun "IT-tuesta" hänen tilillään olevasta epätavallisesta toiminnasta. Soittajan tunnistus näytti sisäisen numeron. Soittaja tunsi yrityksen MFA-palvelun. Hän tiesi talousjohtajan olevan matkustamassa (koska hän oli postannut siitä sosiaaliseen mediaan, tietysti – me kaikki teemme niin). Heillä oli jopa vanhoista tietovuodoista peräisin olevaa tietoa leijumassa pimeässä verkossa.

Heidän tarvitsi vain saada hänet lukemaan vahvistuskoodi ääneen. Ja hän teki niin.

Välittömästi kahdenkymmenen minuutin kuluessa joku käytti hänen sähköpostiaan kiireellisten maksujen pyytämiseen. Ainoa syy, miksi rahaa ei liikkunut? Terävä kirjanpitäjä huomasi pyynnön tuntuvun "oudolta" ja soitti hänelle suoraan. Se inhimillinen vaisto pelasti päivän.

Luota mutta tarkista (paitsi silloin, kun et tarkista)

Mikä minua eniten näissä tapauksissa hämmästyttää, ei ole hyökkäysten monimutkaisuus – vaan se, kuinka tylsiltä ne näyttäisivät useimmille tietoturvajärjestelmille. Tunnukset täsmäsivät. Autentikointi meni läpi. Istunnot olivat voimassa.

Mutta jossain vaiheessa unohdimme, että todentaminen ei ole vain ruksien tekemistä listaan. Se on varmistamista, että vastapuolella oleva ihminen on todella se, joka hän väittää olevansa – ja että hänellä on legitiimi syy tehdä sitä, mitä hän tekee.

Toinen tapaus koski etänä palkattua työntekają, joka vaikutti täysin aidolta. Upea ansioluettelo. uskottavat suositukset. Vahva portfolio. Mutta tässä on se juttu – mikään noista ei ole vaikeaa varastaa. Henkilö osoittautui käyttävän oikean insinöörin identiteettiä, täysin keksityillä suosituksilla, ja hän työskenteli ulkomailta käsin käyttäen yrityksen kannettavia tietokoneita, jotka oli lähetetty vuokra-asuntoon.

Ainoa syy, miksi tämä huomattiin? Joku huomasi, että kannettava tietokone oli aktiivisimmillaan yöaikaan. Siinä se oli. Ei monimutkaista havainnointia. Vain joku, joka kiinnitti huomiota johonkin, mikä tuntui hieman oudolta.

Istunnon ongelma, josta kukaan ei puhu

Ja sitten on se kolmas tapaus, joka on mielestäni modernin tietoturvan laiminlyödyin uhka. Toiminnanjohtajan tiliin päästiin käsiksi Romaniassa. Hän oli tuolloin nukkumassa Ohion osavaltiossa.

Hänen salasanaansa ei ollut murrettu. MFA:ta ei ollut ohitettu. Sen sijaan kotitietokoneella oleva haittaohjelma keräsi hänen selaimesi istunnon evästeet (session cookies). Hyökkääjä käveli suoraan digitaalisen etuoven läpi näyttäen täydellisen aidolta, autentikoidulta käyttäjältä.

Tämä on istuntopohjaisen autentikoinnin likainen salaisuus: kun olet sisällä, olet usein sisällä pitkään. Istuntotokenit voivat pysyä voimassa tunteja tai jopa päiviä. Ja toisin kuin salasanat, niitä käyttäjät eivät voi helposti suojata tai vaihtaa.

Mikä on siis se varsinainen opetus?

En usko, että opetus on "ole vain vainoharhaisempi" (vaikka rehellisesti sanottuna pieni terveellinen vainoharha ei koskaan haittaa). Uskon, että todellinen oivallus liittyy kuiluun identiteetin todentamisen ja luottamuksen vahvistamisen välillä.

Useimmat organisaatiot ovat tulleet aika hyviksi ensimmäisessä osassa. Me todennamme tunnukset, pakotamme MFA:n, ruksataan ruudut. Mutta toinen osa – jatkuva varmistaminen siitä, että henkilö on edelleen valtuutettu ja toimii asianmukaisesti – siinä me epäonnistumme.

Kaikilla keskustelemillani tapauksilla oli myös toinen yhteinen tekijä: ne huomattiin ihmisten tai ihmisten suunnittelemilla järjestelmillä, jotka etsivät käyttäytymisen poikkeamia, eivätkä vain autentikoinnin epäonnistumisia. Kollega, joka kyseenalaisti epätavallisen pyynnön. Analyytikko, joka huomasi oudot työskentelytavat. Automaattinen järjestelmä, joka tunnisti mahdottoman matkustamisen (impossible travel).

Tekniset kontrollit ovat välttämättömiä. Mutta ne eivät riitä. Todellinen tietoturvan kertoja on luoda kulttuuri, jossa ihmiset tuntevat itsensä voimakkaiksi kyseenalaistamaan asioita, jotka tuntuvat vääriltä – jopa silloin, kun tunnukset täsmäävät.

Koska tässä on se epämukava totuus: nykyisessä uhkaympäristössä suurin tietoturvariski ei ehkä ole hyökkääjä muurien ulkopuolella. Se voi olla täydellisen aidon näköinen identiteetti jo muurien sisällä.

Pysykää valppaina, ystävät.

Tagit: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']