Ludzie o złych intencjach
Ludzie mogą być najbardziej narażeni w całej operacji lub najbardziej groźni, w zależności od tego, po której stronie się znajdują. W praktyce jednak musimy założyć, że oprogramowanie, jak i sprzęt mogą być złośliwe, nawet jeśli zostały pozyskane z legalnego źródła. Za tym zawsze stoją ludzie o złych intencjach, którzy potrafią znaleźć drogę do wytyczonego celu.
Przyjrzyjmy się wszystkim tym miejscom, w których ludzie najmniej spodziewają się problemów z zabezpieczeniem swoich aktywów i mam na myśli nie tylko zwykłych śmiertelników, ale także ekspertów. Istnieje tendencja, aby bardziej ufać sprzętowi niż oprogramowaniu i jest ku temu uzasadniony powód. Podczas gdy oprogramowanie może tworzyć praktycznie każdy, kto nabył pewne umiejętności, to rozwój i produkcja sprzętu wymaga zwykle bardzo kosztownej infrastruktury.
Ponadto oprogramowanie może zostać poprawione po jego wydaniu, podczas gdy każdy problem sprzętowy wymaga powtórzenia całego procesu rozwoju i zaangażowania w jego produkcję. Z tego powodu funkcjonowanie sprzętu jest również kontrolowane przez wbudowane oprogramowanie, które można również w razie potrzeby poprawić bez tego kosztownego procesu projektowania i produkcji. Pewnie już widzicie, dokąd zmierzam.
Zaufane urządzenie może zostać zhakowane tak samo jak oprogramowanie. To tam wychodzi na jaw jailbreak*, cracking** lub rootowanie***. Chociaż wielu producentów uważa to za złamanie umowy licencyjnej użytkownika końcowego, czasami może to być zrobione z powodów pirackich, co jest znacznie większym przestępstwem niż nieprzestrzeganie umowy licencyjnej. Tak więc, z punktu widzenia bezpieczeństwa, umowa licencyjna użytkownika końcowego nigdy nie powinna być traktowana jako środek odstraszający zainteresowanych zhakowaniem urządzenia.
*Usuwa niektóre środki bezpieczeństwa firmy Apple, dzięki czemu Twoje urządzenie staje się podatne na złośliwe oprogramowanie i naruszenia bezpieczeństwa danych.
Technika wykorzystywana do włamywania się do oprogramowania komputerowego lub całego systemu bezpieczeństwa komputerowego, która ma na celu szkodzić istniejącemu układowi. Usuwa niektóre środki bezpieczeństwa systemu Android oraz innych opartych na Linux.
Chip zabezpieczający
Innym problemem jest przekonanie, że TPM (Trusted Platform Module) czasami nazywany chipem zabezpieczającym, nigdy nie wypuszcza kluczy prywatnych poza swoje granice, więc klucze te są dobrze chronione przez sprzęt elektroniczny w jego wnętrzu.
Jednak zawsze musi istnieć możliwość tworzenia kopii zapasowych na wypadek awarii urządzenia i konieczności przywrócenia kluczy na innym urządzeniu. Właśnie tam są słabe punkty. Ponadto TPM to nie to samo, co HSM (Hardware Security Module), który działa w znacznie bezpieczniejszym środowisku, ale ma również słabe punkty z kopiami zapasowymi.
Aby mieć jasność co do modułów bezpieczeństwa, musimy podkreślić fakt, że klucze szyfrowania nigdy nie są celem hakerów. W kluczach nie ma nic wartościowego. Celem są zasoby, które są chronione tymi kluczami, więc jeśli istnieje możliwość korzystania z kluczy bez ich posiadania, ochrona nie istnieje pomimo sprzętowej enkapsulacji.
Powszechnym błędem jest niedocenianie „czynnika przyjaznego dla człowieka” we wszystkich cyberwłamaniach i przywiązywanie nadmiernej wagi do problemów ze sprzętem lub oprogramowaniem. Widać to w przypadku sojuszu FIDO (Fast Identity Online), w którym certyfikacja urządzenia i jego atestacja są w najwyższym stopniu ukierunkowane na zapewnienie dobre-go bezpieczeństwa. Czy sprawca może kupić certyfikowane urządzenie i uczyć go do popełnienia przestępstwa? Na pewno nic tego nie zabrania. Tak jak przestępcy mogą legalnie kupować broń, mogą również kupować certyfikowane urządzenia elektroniczne, aby używać ich „legalnie” do popełniania przestępstw.
Klucz do bezpieczeństwa
Jak wspomniałem wcześniej, jeśli jest przestępstwo, to zawsze stoi za tym człowiek, więc włączenie czynnika ludzkiego jest kluczem do dobrego bezpieczeństwa. Wszyscy wiemy, że używanie hasła do uwierzytelnienia osoby powinno być reliktem przeszłości. Jednak przejście w kierunku biometrycznego odblokowania urządzenia jako kluczowy czynnik bezpieczeństwa jest dużym błędem w uwzględnieniu czynnika ludzkiego. Troska o prywatność nie powinna być wymówką do ignorowania osoby, która faktycznie korzysta z urządzenia, zwłaszcza jeśli dane osobowe zostały już zebrane w celu otwarcia konta umożliwiającego korzystanie z usługi.
Prawdziwe bezpieczeństwo uprawnionych użytkowników jest tak naprawdę ignorowane, a obecne działania dają więcej korzyści hakerom. FIDO rejestrują urządzenie, a zarejestrowany login i hasło właściciela konta zastępują danymi biometrycznymi, które są przechowywane na urządzeniu oraz hasłem, którego nazwa została zmieniona na kod/pin, który także jest przechowywany na urządzeniu do wykorzystania w przypadku, gdy autoryzacja za pomocą danych biometrycznych nie powiedzie
się. Czy sprawca może podszyć się pod legalnego użytkownika? Odpowiedź brzmi — tak. Dodatkowo uwierzytelnianie nie jest bezhasłowe, jak jest szeroko reklamowane, ale logowanie jednokrotne (Single-Sign-On) z dowolną dostępną techniką. Inną palącą ostatnio kwestią jest potrzeba poprawy bezpieczeństwa sieci wewnętrznych poprzez zastąpienie organizacyjnego bezpieczeństwa obwodowego zwiększoną granularnością sieci podzielonej na mniejsze niezależne podsieci nazywane ZTA (Zero Trust Architecture) lub ZTN (Zero Trust Network). Zmniejsza to ewentualne korzyści hakera w przypadku naruszenia, ponieważ tylko jedna komór-ka lub podsieć może zostać spenetrowana za pomocą pojedynczego ataku. Jeśli docelowy zasób jest rozłożony na wiele komórek, sprawca musi być przygotowany na wiele działań hackujących, co znacznie zwiększa koszty i czas — szczęśliwie dla właściciela sieci, nieopłacalne dla hakera. Duża szczegółowość sieci to nie tylko ból głowy dla hakerów, ale także dla jej użytkowników. Nagle muszą przełączyć się z jednego konta na wiele. Wielokrotne użycie tego samego hasła zniweczy cały cel owej architektury, a tym samym zmarnuje inwestycję bez poprawy bezpieczeństwa. Z drugiej strony proszenie użytkowników o zapamiętanie dużej liczby haseł jest nie tylko nierozsądne, ale także niewykonalne.
SSO
Jednak kolejne rozwiązanie, które staje się obecnie modne i powszechnie używane, jest tak samo bezużyteczne, jak powtarzające się hasła. Zarządzanie dostępem, umożliwia użytkownikom dostęp do wielu podsieci za pomocą jednego logowania (Single-Sign-On inaczej SSO). Brzmi to jak genialne rozwiązanie, ale jest sprzeczne z celem pierwotnych założeń polegających na wprowadzeniu bardziej granularnej sieci. Dzięki temu rozwiązaniu hakerzy, zamiast od razu przejść do łamania dostępu do docelowej sieci, muszą jedynie włamać się do dostawcy zarządzania dostępem i wirtualnie osiągnąć to, co mogli przed wprowadzeniem sieci o wysokiej granulacji (ZTA).
Jedyne, co musi zrobić w tym przypadku haker, to wybrać użytkownika lub użytkowników, którzy mają dostęp do docelowych podsieci, a co nie jest trudnym zadaniem przy dzisiejszej globalizacji informacji. Uważaj więc na oferty zarządzania dostępem i upewnij się, że tego właśnie szukasz i że jesteś gotów podjąć to ryzyko.
Przedstawione do tej pory problemy wynikają z braku koncentracji twórców zabezpieczeń na użytkownikach przy rozwiązywaniu problemów związanych z bezpieczeństwem. Założenie, że można wyszkolić ludzi do tego, co należy zrobić, jest nie tylko niewystarczające, ale i rażąco naiwne. Dobre bezpieczeństwo wymaga dobrego systemu, a dobry system musi składać się z dobrych komponentów, które obejmują również użytkowników. Wiemy już, że hasła nie są rozwiązaniem, ale zastąpienie ich urządzeniem, z którym może sobie poradzić każdy, też nie jest właściwym podejściem.
Mamy trzy podstawowe czynniki uwierzytelniania:
Co wiesz — np. hasło
Co masz — np. urządzenie
Czym jesteś – np. pomiary biometryczne.
Co wiesz
Najtrudniej ukraść to, co jest przechowywane ludzkim mózgu. Niefortunne jest to, że hasła były nadużywane przez dziesięciolecia i ludzie nie nauczyli się, że nie wolno ich nikomu udostępniać. Ponadto nadmiernie ignorowano ograniczenia ludzkiego mózgu, wymagając zbyt wielu haseł i często żądając zbyt częstej ich zmiany. Zamiast budować system, który jest dla ludzi
z ich mocnymi stronami i ograniczeniami, zaczęli prosić jego użytkowników o zrobienie tego, co jest dla nich uciążliwe. Tego rodzaju praktyka jest po prostu nieskuteczna. Wprowadzenie menedżerów haseł tylko pogłębiło problem i teraz przy pojedynczym logowaniu, zwanym podejściem bezhasłowym (SSO), system zdecydował się odrzucić pierwszy czynnik, m.in. co pamiętasz, na korzyść trzeciego czynnika, czyli pomiarów biometrycznych.
Pomiary biometryczne są niebezpieczne dla ich właściciela, ponieważ można je stosunkowo łatwo ukraść, ponadto nie są zbyt wiarygodne i zmieniają się z biegiem czasu, a nawet celowo, jak nowy makijaż, okulary, broda itp. Osoba, której skradziono dane biometryczne (odcisk, prób-ka głosu itp.) jest zagrożona przez całe życie, ponieważ nikt nie może tak po prostu zastąpić skradzionej biometrii inną, tak jak jest to możliwe w przypadku skradzionego, tradycyjnego hasła. Więc znowu uważaj na populizmy, które tak naprawdę nie rozwiązują problemu, są tyl-ko kolejną modą.
Co masz
Drugim czynnikiem jest to, co masz, tzn. dowolną namacalną rzeczą, taką jak smartfon, token, sygnet z pieczęcią itp., która jest w posiadaniu danej osoby i którą dana osoba może użyć do identyfikacji. Problem z tym czynnikiem, lub innymi słowy, z rzeczą polega na tym, że może zostać zgubiona, zawieruszona, skradziona, sprzedana, zapomniana lub uszkodzona i być niedostępna w razie potrzeby.
Może być również niewłaściwie wykorzystana przez innych do podszywania się pod prawowitego właściciela. Ten czynnik nigdy nie powinien być używany jako główny i jedyny etap uwierzytelniania, ponieważ nigdy nie jest gwarantowane stałe posiadanie konkretnego egzemplarza sprzętu i dlatego nigdy nie powinien on potwierdzać tożsamości użytkownika. Ogólnie rzecz biorąc, im więcej czynników uwierzytelniania zostanie użytych, tym mniejsze szanse na sukces hakera. Chociaż jest to ogólna obserwacja, niezależnie od tego konkretne osoby mogą być całkowicie zagrożone.
Jednym z elementów, który często jest pomijany i może znacząco zwiększyć bezpieczeństwo, jest podzielona wiedza (split knowledge), która, choć ma kilka definicji, dotyczy głównie niekompletnych informacji w jednym miejscu w celu odtworzenia lub odszyfrowania danych.
Czym jesteś
Cała przedstawiona tutaj argumentacja koncentrowała się na prawidłowej weryfikacji tożsamości użytkowników, ponieważ większość naruszeń wynika z wpuszczenia intruza, w oparciu o nieudaną weryfikację tego, kim jest dana osoba. Nie mówię o weryfikacji wszystkich danych osobowych, ale o niezawodnych sposobach, aby upewnić się, że każdego ponownego wejścia dokonuje ta sama osoba, która została w pełni zweryfikowana podczas zakładania konta.
Wielu ma duże nadzieje, że wykorzystując sztuczną inteligencję (AI) będziemy w stanie odpowiednio wcześnie wykryć wtargnięcie do ruchu sieciowego i zmniejszyć lub nawet wyeliminować szkody w przypadku niepowodzenia weryfikacji tożsamości.
Możemy o tym dyskutować, ale trzeba zdać sobie sprawę, że sztuczna inteligencja jest na wczesnym etapie i że „inteligencja” to nic innego, jak mapowanie znanych danych na nieznane funkcje, aby znaleźć kształt tych funkcji w formie numerycznej. Być może uda się znaleźć coś nieznanego, ale ogólnie rzecz biorąc, gdy osoba poufna jest zaangażowana w hakowanie, ruch prawdopodobnie nie różni się od ruchu tworzonego przez legalnego użytkownika, więc wykrycie nie będzie możliwe. Ponadto fałszywe wykrycia mogą stać się dużym utrapieniem dla legalnych użytkowników.
Moim zdaniem, jest to nadal na etapie badań, bardziej praktyczne jest skupienie się na zapobieganiu niż wykrywaniu, mimo że zapobieganie jest znacznie trudniejsze niż wykrywanie.
Ochrona dostępu do aktywów
Ostatnią rzeczą, o której chciałbym wspomnieć, ale nie najmniej ważną, jest ochrona dostępu do aktywów materialnych, takich jak samochody, domy, biura, transport i wiele innych. Wszystko wokół dostaje swoje komponenty elektroniczne i staje się elektryczne, więc jest bardzo prawdopodobne, że kontrola dostępu wkrótce wykluczy istnienie fizycznych kluczy.
Co to będzie? Karty zbliżeniowe, breloki bezprzewodowe lub jeszcze coś innego? Cóż, to nie jest dobry pomysł, ponieważ im więcej gadżetów każdy musi nosić, tym większe prawdopodobieństwo, że system zawiedzie. Gdy wszystko się łączy, dobre rozwiązanie powinno opierać się na kryptograficznej weryfikacji tożsamości osób.
Chcę tutaj jeszcze podkreślić bardziej niż poprzednio, że czynnik ludzki musi być uwzględniony, ponieważ mówimy o wpuszczaniu osoby fizycznie, a nie tylko cyfrowo, więc szanse na kradzież urządzeń są jeszcze większe, a co za tym idzie, podstawowy czynnik uwierzytelnienia musi skupić się na osobie.
Podsumowując, krajobraz bezpieczeństwa jest bardzo zdradliwy, ponieważ chronione systemy nie tylko stają się coraz bardziej złożone, ale także wszechobecne. Teraz nadszedł czas, aby przejść na niezawodne metody identyfikacji użytkowników, oparte na kryptografii i znane nam jako trudne, jeśli nie niemożliwe do złamania. Zegar tyka, a oszuści stają się coraz bardziej przebiegli i lepiej wyposażeni, więc jedynym sposobem na ograniczenie zagrożeń jest wyeliminowanie metod, o których wiemy, że nie działają.
Rozwiązania częściowe nigdy nie będą adekwatne i satysfakcjonujące, zwłaszcza jeśli istnieją lepsze.
