A bizalom ijesztő igazsága: Miért nem jelenti azt, hogy biztonságban vagy, ha „hitelesítve” vagy

Szavazzunk valamiről, ami miatt a biztonsági szakembasm éjszaka nem bírnak aludni. Nem az a hoodedis hacker, akit a filmekben látunk. Nem valamilyen kifinomult zero-day exploit. Valami sokkal egyszerűbb és végtelenül veszélyesebb: az az illúzió, hogy a személyazonosság ellenőrzése egyenlő az autentikációval.

Nemrég találkoztam egy lenyűgöző (és kissé félelmetes) esettanulmánnyal, és nem tudom elhagyni a gondolatot róla. Egy vállalat – nevezzük őket egy tipikus közepes méretű vállalatnak – nem egy, nem két, hanem HÁROM különálló biztonsági incidenselet vesztett négy hónap alatt. A csattanó pedig ez: egyikük sem az irodai hálózatok feltöréséről vagy szoftveres hibák kihasználásáról szólt. Minden egyes alkalommal az támogató egyszerűen valakivé vált, akit a vállalat már korábban megismert és megbízott.

Ez... valójában nagyon nyugtalanító, ha meggondoljuk.

A jelszó tökéletes volt. Az ember nem.

A hagyományos biztonság lényege ez: úgy kezeljük az autentikációt, mint egy zámog és kulcs problémát. Szerezz meg a megfelelő jelszót, poldi le a MFA-t (multi-faktoros autentikációt), és bumm – bent vagy. De mi van, ha a zámog pontosan úgy működik, ahogy tervezve volt, de az, aki éppen átlép rajta, egyszerűen... nem az, akit állít?

A esetek, amikre utalok, pontosan ennek a problémának három különböző változatát mutatták be. Először egy pénzügyi igazgató kapott egy hívást az „IT technikai segaból” a számláján lévő gyanús tevékenységről. A hívó azonosítója belső számot mutatott. A hívó ismerte a vállalat MFA szolgáltatóját. Tudták, hogy a pénzügyi igazgató éppen utazik (mert posztolt róla a közösségi médiában – hiszen természetesen megteszi ezt, hiszen mindannyian meg tesszük). Még a dark webről származó, régi adatvesztésekből származó információik is voltak meg.

Csak annyit kellett tenniük, hogy az igazgató kimondja nekik a verifikációs kódot. És meg is mondta.

Éppen húsz percen belül valaki már az ő e-mailjét használta sürgős fizetési utasítások küldésére. Az egyetlen ok, amiért a pénz nem mozdult el? Egy éles könyvelő segéd, aki úgy érezte, a kérés valami „furcán” csúcsol, és közvetlenül felhívta őt. Ez az emberi ösztön mentette meg a helyzetet.

Bízz, de ellenőrizz! (Kivéve, ha nem teszel meg)

Ami a leginkább megvermezt a eseteknél, nem a támadások kifinomultsága – hanem az, hogy mennyire unalmasnak tűnnének a legtöbb biztonsági rendszer számára. A hitelesítő adatok rendben voltak. Az autentikáció átment. A munkaszakaszok érvényesek voltak.

De valahol a folyamat során elfelejtettük, hogy az ellenőrzés nem csak a négyzetek bejelöléséről szól. Az arról szól, hogy megerősítsük, hogy a másik tól az ember valóban az, akit állít – és hogy van-e legitim oka arra, amit éppen csinál.

A második eset egy távmunkanában dolgozó alkalmazottról szólt, aki teljesen hitelesnek tűnt. Remek önéletrajz. Megbízható ajánlók. Szilárd portfólió. De itt van a csavar: mindezek nem nehéz ellopni. Kiderült, hogy az illető egy valódi mérnök identitását használta, teljesen elக்épzelt ajánlókkal, és egy bérapartmanba szállított céges laptopokkal dolgozott a külföldről.

Az egyetlen ok, ami miatt észrevették? Valaki észrevette, hogy a laptop a legaktívabb az éjszakai órákban. Ennyi. Nincs kifinomult detekció. Csak valaki, aki figyelmet fordított valami olyasmire, ami egy kicsit furcsának tűnt.

A munkaszakasz-probléma, amiről senki sem beszél

És ott van a harmadik eset, ami szerintem a legelfolyttatottabb veszély a modern biztonságban. Egy vezető számláját Romániából érintették meg. Ő éppen Ohio-ban aludt.

A jelszava nem lett veszélyben. A MFA-t nem omlasztották ki. Ehelyett egy megosztott otthoni számítógépen lévő rossz szoftver (malware) összegyűjtötte a böngésző munkaszakaszának sütijeit (session cookies). A támogató egyszerűen besétált a digitális bejárati ajtón, mintha egy teljesen legitim, hitelesített felhasználó lenne.

Ez a munkaszakasz-alapú autentikáció „piszkos titka”: ha egyszer bent vagy, gyakran bent is maradsz. A munkaszakasz-tokenek órákig vagy akár napokig is érvényesek maradhatnak. És a jelszavakkal ellentétben nem olyan dolgok, amiket a felhasználók könnyen meg tudnak védeni vagy újraállítani.

Mi tehát a valódi tanulság?

Nem azt gondolom, hogy a tanulság az, hogy „legyél paranoikusabb” (bár őszintén szólva a némi egészséges paranoia sosem árt). Szerintem a valódi felismerés az a szakadék, amely az identitás-ellenőrzés és a bizalom-megerősítés között van.

A legtöbb szervezet már elég ügyes az első részben. Ellenőrizzük a hitelesítő adatokat, betartjuk a MFA-t, bejelöljük a négyzeteket. De a második rész – az, hogy folyamatosan megerősítsük, hogy valaki még mindig jogosult-e, és megfelelően viselkedik-e – az az, ahol elbukunk.

A tárgyalt eseteknek mindegyikének volt még valami közös pontja: embereket vagy ember által tervezett, viselkedési anomáliákat kereső rendszereket segítettek felfedezni, nem csak az autentikációs hibákat. Egy kolléga, aki megkérdőjelezett egy szokatlan kérést. Egy elemző, aki furcsa munkarendet vett észre. Egy automatizált rendszer, amely jelzést adott az „lehetetlen utazásról” (amikor a felhasználó túl rövid idő alatt ugorott fel egy helyről a másikra).

A technikai kontrollok szükségesek. De nem elegendőek. A valódi biztonsági multiplikátor egy olyan kultúra kialakítása, ahol az emberek magabiztosak abban, hogy megkérdőjelezzék a furcsának tűnő dolgokat – még akkor is, ha a hitelesítő adatok rendben vannak.

Mert itt van a kényelmetlen igazság: a mai fenntartási környezetben a legnagyobb biztonsági kockázat talán nem a falain kívül álló támogató. Hanem az, aki már bent van, és aki tökéletesen hitelesnek tűnik.

Maradjatok éber, barátaim!

Címkék: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']