Den skumle sannheten om tillit: Hvorfor det å være «verifisert» ikke betyr at du er trygg

La oss snakke om noe som holder sikkerhetsfolk våkne om natten. Det er ikke hackeren i hettegenser som du ser i filmer. Det er ikke en sofistikert zero-day-sårbarhet. Det er noe mye enklere og uendelig mye farligere: antakelsen om at det å verifisere identitet er det samme som å verifisere autentisitet.

Jeg kom over denne fascinerende (og litt skremmende) casestudien nylig, og jeg klarer ikke å slutte å tenke på den. Et selskap – la oss kalle dem en typisk mellomstor bedrift – gikk gjennom ikke én, ikke to, men TRE separate sikkerhetshendelser i løpet av fire måneder. Her er det som er spesielt: ingen av dem innebar å bryte seg inn i nettverk eller utnytte programvarefeil. Hver eneste gang hadde angriperen rett og slett blitt til noen som selskapet allerede stolte på.

Det er... faktisk ganske urovekkende når du tenker over det.

Passordet var perfekt. Personen var det ikke.

Her er greia med tradisjonell sikkerhet: vi behandler autentisering som et lås-og-nøkkel-problem. Få riktig passord, pass MFA-sjekken, og boom – du er inne. Men hva om låsen fungerer nøyaktig som designet, og personen som går gjennom den rett og slett... ikke er den de utgir seg for å være?

Casene jeg refererer til viste tre ulike varianter av akkurat dette problemet. Først var det en økonomidirektør som fikk en samtale fra "IT-support" om mistenkelig aktivitet på kontoen hans. Anrops-ID viste et internt nummer. Samtalepartneren kjente til selskapets MFA-leverandør. De visste at økonomidirektøren var på reise (fordi han hadde lagt det ut på sosiale medier, selvfølgelig – det gjør vi jo alle). De hadde til og med informasjon fra gamle databrud som lå og svevde på det mørke nettet.

Alt de trengte var at han leste opp en verifiseringskode. Og det gjorde han.

Innen tjue minutter var noen i ferd med å bruke e-posten hans til å be om hastebetalinger. Den eneste grunnen til at pengene ikke flyttet seg? En skarp regnskapsmedarbeider syntes forespørselen virket "merkelig" og ringte ham direkte. Den menneskelige intuisjonen reddet dagen.

Stol på, men verifiser (unntatt når du ikke gjør det)

Det som slår meg mest med disse hendelsene er ikke sofistikeringen i angrepene – det er hvor kjedelige de ville sett ut for de fleste sikkerhetssystemer. Legitimiteten var sjekket. Autentiseringen var godkjent. Sesjonene var gyldige.

Men et eller annet sted underveis glemte vi at verifisering ikke bare handler om å krysse av i bokser. Det handler om å bekrefte at mennesket i den andre enden faktisk er den de sier de er – og at de har en legitim grunn til å gjøre det de gjør.

Den andre hendelsen involverte en nyansatt på hjemmekontor som virket helt legitim. Fantastisk CV. Troverdige referanser. Solid portefølje. Men her er greia – ingen av disse tingene er vanskelige å stjele. Personen viste seg å bruke identiteten til en ekte ingeniør, med helt oppdiktede referanser, og opererte fra utlandet ved hjelp av bærbare datamaskiner sendt til en leilighet.

Den eneste grunnen til at dette ble oppdaget? Noen la merke til at den bærbare datamaskinen var mest aktiv i nattetimene. Det var det. Ingen sofistikert deteksjon. Bare noen som la merke til noe som virket litt rart.

Sesjonsproblemet ingen snakker om

Og så har vi den tredje hendelsen, som jeg tror er den mest oversette trusselen i moderne sikkerhet. En leders konto ble aksessert fra Romania. Hun sov i Ohio på det tidspunktet.

Passordet hennes var ikke kompromittert. MFA-en hennes var ikke omgått. I stedet hadde skadevare på en delt hjemmedatamaskin høstet nettleserens sesjonscookies. Angriperen gikk rett gjennom den digitale hoveddøren, og fremsto som en helt legitim, autentisert bruker.

Dette er den skitne hemmeligheten med sesjonsbasert autentisering: når du først er inne, blir du ofte værende. Sesjonstokens kan forbli gyldige i timer eller til og med dager. Og i motsetning til passord, er de ikke noe brukere enkelt kan beskytte eller rotere.

Så hva er den faktiske lærdommen?

Jeg tror ikke lærdommen her er "vær mer paranoid" (selv om en sunn dose paranoia aldri skader). Jeg tror den virkelige innsikten handler om gapet mellom identitetsverifisering og tillitsbekreftelse.

De fleste organisasjoner har blitt ganske gode på den første delen. Vi verifiserer legitimasjon, vi håndhever MFA, vi krysser av i bokser. Men den andre delen – å kontinuerlig bekrefte at noen fortsatt er autorisert og handler hensiktsmessig – det er der vi kommer til kort.

Casene jeg diskuterer hadde alle noe annet til felles: de ble fanget opp av mennesker eller menneskeskapte systemer som lette etter atferdsavvik, ikke bare autentiseringsfeil. En kollega som stilte spørsmål ved en uvanlig forespørsel. En analytiker som la merke til uvanlige arbeidsmønstre. Et automatisert system som flagget "umulig reise".

Tekniske kontroller er nødvendige. Men de er ikke tilstrekkelige. Den virkelige sikkerhetsmultiplikatoren er å bygge en kultur der folk føler seg trygge på å stille spørsmål ved ting som føles feil – selv når legitimasjonen stemmer.

For her er den ubehagelige sannheten: i dagens trusselbilde er kanskje ikke den største sikkerhetsrisikoen angriperen utenfor murene dine. Det kan være den helt gyldige identiteten som allerede er på innsiden.

Vær årvåkne, venner.

Tagger: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']