Przerażająca prawda o zaufaniu: dlaczego bycie „zweryfikowanym” nie oznacza, że jesteś bezpieczny

Porozmawiajmy o czymś, co spędza sen z powiek specjalistom od bezpieczeństwa. To nie jest haker w kapturze, którego widzisz w filmach. To nie jest żaden wyrafinowany exploit typu zero-day. To coś znacznie prostszego i nieskończenie bardziej niebezpiecznego: założenie, że weryfikacja tożsamości jest równoznaczna z weryfikacją autentyczności.

Niedawno natknąłem się na to fascynujące (i nieco przerażające) studium przypadku i nie mogę przestać o nim myśleć. Firma – nazwijmy ją typowym średniej wielkości przedsiębiorstwem – przeszła nie jeden, nie dwa, ale TRZY oddzielne incydenty bezpieczeństwa w ciągu czterech miesięcy. A oto haczyk: żaden z nich nie polegał na włamaniu się do sieci czy wykorzystaniu błędów w oprogramowaniu. Za każdym razem atakujący po prostu stawał się kimś, komu firma już ufała.

To... jest właściwie naprawdę niepokojące, kiedy się nad tym zastanowić.

Hasło było idealne. Człowiek – nie.

Oto, co jest istotą tradycyjnego bezpieczeństwa: traktujemy uwierzytelnianie jak problem zamka i klucza. Wpisz odpowiednie hasło, przejdź weryfikację MFA i bum – jesteś w środku. Ale co, jeśli zamek działa dokładnie tak, jak zaprojektowano, a osoba, która przez niego przechodzi, po prostu... nie jest tym, za kogo się podaje?

Przypadki, o których wspominam, pokazały trzy różne warianty tego samego problemu. Po pierwsze, dyrektor finansowy otrzymał telefon od „wsparcia IT” w sprawie podejrzanej aktywności na jego koncie. Identyfikator połączenia pokazywał numer wewnętrzny. Rozmówca znał dostawcę MFA firmy. Wiedział, że dyrektor jest w podróży (bo napisał o tym w mediach społecznościowych – oczywiście, że tak zrobił, wszyscy tak robimy). Miał nawet informacje z dawnych wycieków danych krążące w dark webie.

Wystarczyło, że dyrektor odczytał kod weryfikacyjny. I to zrobił.

W ciągu dwudziestu minut ktoś używał jego e-maila, aby prosić o pilne płatności. Jedyny powód, dla którego pieniądze nie zniknęły? Dociekliwa specjalistka ds. zobowiązań uznała, że prośba brzmi „dziwnie” i zadzwoniła bezpośrednio do niego. Ten ludzki instynkt uratował sytuację.

Ufać, ale sprawdzać (z wyjątkiem sytuacji, gdy tego nie robisz)

Co najbardziej uderza mnie w tych incydentach, to nie wyrafinowanie ataków – lecz to, jak nudne wydawałyby się one większości systemów bezpieczeństwa. Dane uwierzytelniające się zgadzały. Autoryzacja przeszła pomyślnie. Sesje były poprawne.

Ale gdzieś po drodze zapomnieliśmy, że weryfikacja to nie tylko odhaczanie kolejnych punktów na liście. Chodzi o potwierdzenie, że człowiek po drugiej stronie to naprawdę ta osoba, za którą się podaje – i że ma uzasadniony powód, by robić to, co robi.

Drugi incydent dotyczył pracownika zatrudnionego zdalnie, który wydawał się całkowicie wiarygodny. Świetne CV. Przekonujące referencje. Solidne portfolio. Ale oto haczyk – żadna z tych rzeczy nie jest trudna do skradzenia. Okazało się, że osoba ta korzystała z tożsamości prawdziwego inżyniera, z całkowicie zmyślonymi referencjami, i pracowała z zagranicy, używając laptopów firmowych wysłanych do wynajętego mieszkania.

Jedyny powód, dla którego to wykryto? Ktoś zauważył, że laptop jest najbardziej aktywny w godzinach nocnych. To tyle. Żadnej zaawansowanej detekcji. Po prostu ktoś zwrócił uwagę na coś, co wydawało się nieco dziwne.

Problem sesji, o którym nikt nie mówi

A potem mamy trzeci incydent, który moim zdaniem jest najbardziej bagatelnianą groźbą w nowoczesnym bezpieczeństwie. Na konto menedżera zalogowano się z Rumunii. W tym czasie ona spała w Ohio.

Jej hasło nie zostało przejęte. Jej MFA nie zostało pominięte. Zamiast tego złośliwe oprogramowanie na wspólnym domowym komputerze przechwyciło pliki cookie jej sesji przeglądarki. Atakujący przeszedł prosto przez cyfrowe drzwi wejściowe, pojawiając się jako w pełni uprawniony, uwierzytelniony użytkownik.

To mroczny sekret uwierzytelniania opartego na sesjach: gdy już wejdziesz, często zostajesz w środku. Tokeny sesji mogą pozostawać ważne przez wiele godzin, a nawet dni. I w przeciwieństwie do haseł, nie są to rzeczy, które użytkownicy mogą łatwo chronić lub regularnie zmieniać.

Jaka jest więc prawdziwa lekcja?

Nie sądzę, aby lekcją było „bądź bardziej paranoiczny” (choć szczerze mówiąc, odrobina zdrowej paranoi nigdy nie zaszkodzi). Myślę, że prawdziwa mądrość tkwi w zrozumieniu luki między weryfikacją tożsamości a potwierdzaniem zaufania.

Większość organizacji stała się całkiem dobra w pierwszej części. Weryfikujemy dane uwierzytelniające, wymuszamy MFA, odhaczamy pola na liście. Ale druga część – ciągłe potwierdzanie, że ktoś nadal ma uprawnienia i zachowuje się w sposób odpowiedni – to tutaj dajemy ciała.

Przypadki, o których rozmawiamy, miały też coś wspólnego: zostały wykryte przez ludzi lub zaprojektowane przez ludzi systemy, które szukały anomalii behawioralnych, a nie tylko błędów w uwierzytelnianiu. Współpracownik, który zakwestionował nietypową prośbę. Analityk, który zauważył dziwne wzorce pracy. Automatyczny system, który oznaczył niemożliwą podróż.

Kontrole techniczne są niezbędne. Ale nie są wystarczające. Prawdziwym mnożnikiem bezpieczeństwa jest budowanie kultury, w której ludzie czują się uprawnieni do kwestionowania rzeczy, które wydają się nie tak – nawet gdy dane uwierzytelniające się zgadzają.

Ponieważ oto niewygodna prawda: w dzisiejszym krajobrazie zagrożeń największym ryzykiem bezpieczeństwa może nie być atakujący za Twoimi murami. Może nim być idealnie wyglądająca tożsamość, która już się w nich znajduje.

Bądźcie czujni, przyjaciele.

Tagi: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']