Marko Matić, Exclusive Networks: „Većina sajber napada počinje krađom identiteta“

Svi znaju da se sajber kriminalci fokusiraju na krađu lozinki, ali nisu svi svesni opasnosti ukradenih akreditiva. Ne samo da olakšavaju ulazak u IT sisteme kompanije, već omogućavaju i zaobilaženje firewall i anti-malware zaštite. Takozvani ljudski faktor ostaje najveća pretnja bezbednosti organizacija, tako da kompanije moraju da se fokusiraju na zaštitu prvog koraka kojeg korisnici imaju sa sistemom – prijave i autentifikacije. Bezbedna prijava korisnika i autentifikacija su od primarne važnosti.

Marko Matić, koji u kompaniji Exclusive Networks Serbia radi kao Business Development Manager, otkrio je za PC Press zašto je upravljanje identitetom važno, kako efikasno zaštititi podatke, šta je FIDO i koji su svetski trendovi u zaštiti identiteta. Matić se pre svega bavi tehnologijom iz portfelja Thalesa, jednog od vodećih svetskih proizvođača u tom segmentu.

Zašto je važna zaštita i verifikacija identiteta?

Digitalna ekonomija je nezamisliva bez kontrole i verifikacije identiteta. Naime, sve digitalne interakcije zasnovane su upravo na bezbednoj verifikaciji identiteta. Zamislite, na primer, građanina koji se prijavljuje na razne e-servise ili zaposlenog koji pokušava da se prijavi na organizacionu mrežu. Provera identiteta i verifikacija je stoga od ključne važnosti za zaštitu kompanije.

Kako počinje tipičan sajber napad?

Kompanije širom sveta, pa i u Srbiji, značajno ulažu u anti-malware rešenja, zaštitne zidove, EDR tehnologiju… Ta tehnologija je svakako korisna i neophodna, ali ne smemo zaboraviti da većina sajber napada zapravo počinje krađom identiteta. Sajber kriminalci uglavnom koriste tehnike phishinga ili društvenog inženjeringa. Prema nekim procenama, više od 80 odsto svih upada u sisteme kompanije uključuje korišćenje ukradenih akreditiva. Stoga je neophodno više se fokusirati na bezbednu prijavu i autentifikaciju. Naime, ako je taj prvi korak slab, mnogo je veća šansa da će kompanija biti pogođena napadom ransomware-a.

Rekli ste da većina napada počinje krađom identiteta ili akreditiva. Da li lozinke ne pružaju dovoljnu zaštitu?

Lozinke više ne pružaju dovoljan nivo zaštite. Dovoljno je setiti se gde prosečan korisnik čuva svoje lozinke – od beleški koje drži na svom stolu ili čak na računaru do e-pošte. Napadači su toga svesni i koriste sve sofisticiranije tehnike za krađu identiteta. Upravo je to razlog zašto je višefaktorska autentifikacija postala industrijski standard kojeg bi sve kompanije trebale da se pridržavaju. Višefaktorska autentifikacija jača zaštitu lozinkom i kompanije bi trebale da primenjuju ove tehnike na sve pristupne tačke u organizaciji. Međutim, i tu dolazimo do problema. Tokom prošle godine, napadači su počeli da zaobilaze pomenute MFA tehnike.

Kako sajber napadači zaobilaze tehnike višefaktorske autentifikacije i kako se to može sprečiti?

Višefaktorska autentifikacija bi trebala da učini lozinke otpornim na phishing. Ona se može, na primer, zatražiti od korisnika kada se povezuje na VPN ili web aplikaciju. Preokret je nastao kada su napadači otkrili da mogu zaobići MFA metode zasnovane na out-of-band verifikaciji identiteta. Najčešće govorimo o push obaveštenjima koja se pojavljuju na pametnom telefonu preko Microsoft Authenticator ili Google aplikacija. Napadači koriste attacker-in-the middle proxy tehnike, tako da prevare korisnika da pristupi lažnoj stranici. Zanimljivo je da stranica izgleda identično originalnoj, a prima i prosleđuje korisničke zahteve i odgovore sa legitimnog servera. Napadači računaju na grešku i zamor korisnika, pa šalju niz takvih zahteva. Ovo se zove prompt bombing. Mobilni push autentifikator nije svestan da korisnik pristupa sa lažnog servera. Ako korisnik na kraju odobri push, njegovi korisnički podaci će biti ukradeni.

Ko može biti meta ovakvih napada i kako struka reaguje na ovaj problem?

I male kompanije i velike globalne organizacije mogu biti na meti ovakvih sajber napada. Pomenimo, na primer, Uber, Twilio i MailChimp. Reč je o veoma velikim kompanijama koje su provaljene upravo zaobilaženjem višefaktorskih metoda autentifikacije. Naravno, industrija već neko vreme govori o tome kako da se zaštiti, a Američka agencija za sajber bezbednost (CISA) savetuje organizacije da koriste MFA tehnike otporne na phishing. Isto savetuje i Microsoft, koji redovno upozorava korisnike svog MS365 paketa na sve sofisticiranije tehnike koje kriminalci koriste za krađu akreditiva. Industrija se slaže da je autentifikacija putem push obaveštenja ili jednokratnih lozinki ranjiva i nedovoljna.

Kako se zaštititi od ovakvih pretnji? Šta se, po mišljenju struke, preporučuje kao idealno rešenje?

Kompanija Fido Alliance već nekoliko godina razvija metod autentifikacije koji, osim što olakšava upravljanje i administraciju, ne zavisi toliko od lozinki. Fido standard dobija sve više i više prihvatanja u industriji. Na primer, podržavaju ga vodeći pretraživači kao što su Microsoft Edge i Google Chrome, ali i operativni sistemi Google, Microsoft i Apple. FIDO2 je najnovija verzija ovog standarda.

Objasnite nam kako tačno ovaj standard funkcioniše u praksi, odnosno kako rešava MFA izazove kompanija.

Autentifikacija sa Fido standardom je zasnovana na kriptografiji javnog ključa, a donosi i mnogo niže troškove i mnogo širu primenu od tradicionalnih rešenja. FIDO2 značajno povećava otpor organizacija na krađu identiteta, a dve karakteristike su ključne za to. Za početak, autentifikator automatski proverava sa kojom web lokacijom komunicirate i neće se autentifikovati na lažnu web lokaciju koja zapravo prosleđuje zahteve i odgovore sa legitimnog servera. Još je važnije da odluku o pristupu stranici ne donesi korisnik, jer ona može biti pogrešna. Još jedna važna karakteristika je da FIDO2 proverava fizičku blizinu uređaja sa kojeg se traži pristup. Verifikacija se vrši dodirom uređaja, otiskom prsta, prepoznavanjem lica ili nekom drugom biometrijskom verifikacijom. Ako se na vreme proveri da li je korisnik koji potvrđuje autentičnost zaista taj koji je inicirao pristup, lako se mogu izbeći situacije u kojima se napadač povezuje sa udaljenim računarom i predstavlja se kao korisnik.

Koju vrstu prevare FIDO2 sprečava?

Dovoljno je navesti samo jedan primer, koji zapravo predstavlja najveći strah korisnika. Ako se napadač poveže sa računarom sa otključanim tokenom, taj isti token može mu omogućiti da se poveže sa aplikacijom za internet bankarstvo. U ovom slučaju, napadač se predstavlja kao korisnik i može izvršiti neovlašćeni transfer novca. FIDO2 može lako da spreči takve scenarije jer privatni ključ korisnika nikada ne napušta autentifikator i ne čuva se na strani servera.

Osim Fido standarda, koje su još preporuke struke u kontekstu zaštite podataka i identiteta?

Kada je u pitanju digitalno potpisivanje i šifrovanje sadržaja, PKI je i dalje vodeći metod u industriji. Treba napomenuti da Thales čak isporučuje one FIDO2 autentifikatore koji kombinuju PKI i FIDO2. Postoje i rešenja za upravljanje identitetom kroz IAM i IaaS rešenja. Ova rešenja mogu da zaštite sve pristupne tačke u organizacijama – od VPN-a do SaaS aplikacija.

Ranije ste spomenuli phishing kao najčešći metod napadača. Koje druge tehnike sajber napada moramo uzeti u obzir?

Druga najčešća praksa napadača je iskorišćavanje nekog bezbednosnog propusta ili buga, preko kojeg pokušavaju da pristupe korisničkim podacima. Danas je potrebno samo nekoliko sati da napadači na globalnom nivou iskoriste neki propust i ugroze kompanije širom sveta. Pošto je sajber kriminalcima potrebno sve manje vremena da iskoriste nove bezbednosne propuste, šifrovanje podataka u pokretu i u skladištu podataka je izuzetno važno. Thales-ova rešenja za zaštitu podataka omogućavaju šifrovanje podataka uskladištenih u oblaku, bazi podataka i skladištu podataka. Dodatna zaštita je obezbeđena kroz veoma jake kontrole pristupa i klasifikaciju podataka.

Zašto je šifrovanje podataka važno?

Zaštita ličnih podataka je sve više u fokusu regulatornih tela, što znači da podacima treba postupati posebno osetljivo i voditi računa da se izbegne bilo kakvo kršenje. U slučaju povrede ili gubitka podataka, kompanija ne samo da će izgubiti svoju reputaciju, već može dobiti i veliku kaznu od regulatora. Organizacije moraju znati gde se svi podaci čuvaju i imati uvid u klasifikaciju podataka. U suprotnom, može doći do povrede ličnih podataka, najčešće nenamernom greškom zaposlenog ili sajber napadom. U oba slučaja šteta može biti katastrofalna za kompaniju, a šifrovanje i upravljanje ključevima za šifrovanje su od presudne važnosti. Ovde ponovo moram da pomenem platformu koju je razvio Thales. Platforma obezbeđuje detekciju i klasifikaciju podataka, kao i šifrovanje. Na kraju, ova platforma ima za cilj da minimizira mogućnost povrede podataka.

Thales je prisutan na tržištu više od 40 godina i vodeći je dobavljač rešenja za enkripciju podataka i upravljanje identitetom i pristupom. Štiti najveće svetske brendove i organizacije. Takođe je prisutan kao provajder u mnogim ključnim segmentima, kao što su sigurnost plaćanja u finansijskoj industriji i sigurno skladištenje root privatnih ključeva, što je u osnovi bilo koje PKI infrastrukture. Čuvanje ključeva, a posebno root ključeva, kroz HSM model je jedan od temelja digitalne ekonomije, a Thales je vodeći proizvođač takvih HSM-ova – od onih opšte namene do onih za finansijsku industriju i cloud infrastrukturu.