Ich liczba rośnie. Każdego dnia przeciętny użytkownik otrzymuje kolejne konto, na które może się zalogować.
Banki. E-mail. Sklepy internetowe. Media społecznościowe. Portal korporacyjny.
Kontrolujesz rosnącą armię ciągów znaków. I zawsze ktoś próbuje je ukraść.
Hakerzy chcą nie tylko dostępu. Chcą pieniędzy związanych z tym dostępem. Oszukańcze transakcje, skradziona tożsamość, opróżnione konta. Motyw jest prosty. Metody są bezwzględne.
Jak zamknąć drzwi, jeśli masz w kieszeni pięćdziesiąt kluczy?
Pojawia się nowe podejście. Nie chodzi tylko o to, aby hasła były trudniejsze do odgadnięcia. Chodzi o to, żeby uczynić je niepotrzebnymi.
Zmęczenie tarciem
Weźmy typowy dzień przeciętnego użytkownika.
Budzisz się. Sprawdzam pocztę. Przejdź do aplikacji bankowej. Szukasz nowej koszuli. Odpowiedz na wiadomość służbową w aplikacji Slack.
Jest to pięć oddzielnych zdarzeń uwierzytelniania.
Teraz wyobraź sobie, że robisz to dla każdej usługi, z której korzystasz.
Tarcie jest prawdziwe. I to jest niebezpieczne.
Ponieważ użytkownicy są zmęczeni. Kiedy bezpieczeństwo staje się zbyt trudne, ludzie idą na skróty.
Wszędzie używają tego samego hasła.
Zapisują to na papierze.
Dzielą się nim z innymi.
Stwarza to ogromną lukę w zabezpieczeniach. Jeśli jedna witryna zostanie zhakowana, osoba atakująca będzie miała klucz do wszystkiego innego.
Phishing i brutalna siła
Zagrożenia również ewoluują.
Ataki phishingowe stają się coraz mądrzejsze. Imitują legalne strony internetowe z alarmującą dokładnością. Wpisujesz hasło na fałszywej stronie logowania. Haker otrzymuje go natychmiast.
Potem następuje wyszukiwanie. Zautomatyzowane skrypty wypróbowują tysiące kombinacji na sekundę. Jeśli Twoje hasło to „Password123”, masz przerąbane.
Straty finansowe są natychmiastowe.
Twoja karta kredytowa jest obciążana. Twoja tożsamość została skradziona. Twoja reputacja jest zagrożona.
Przejdź do hasła (dostęp bez hasła)
I tu pojawia się nowa metoda.
Nazywa się to kluczem dostępu (kluczem bez hasła).
Znane również jako poświadczenia FIDO2 lub WebAuthn.
Nazwa nie jest tak ważna jak funkcja.
Hasło całkowicie zastępuje hasła.
Opierają się na kryptografii klucza publicznego.
Oto jak to działa w prostym języku.
Twoje urządzenie (telefon lub laptop) generuje unikalną parę kluczy.
Na Twoim urządzeniu pozostaje jeden klucz. To nigdy go nie opuszcza.
Kolejny klucz jest wysyłany do witryny lub aplikacji. To jest klucz publiczny.
Po zalogowaniu Twoje urządzenie potwierdza, że posiada klucz prywatny.
Robi to za pomocą danych biometrycznych lub kodu PIN.
FaceID. Odcisk palca. Kod odblokowujący ekran.
Nie ma wspólnej tajemnicy. Nie ma pasującego ciągu liter.
Jeśli witryna zostanie zhakowana, osoba atakująca otrzyma jedynie klucz publiczny. Bezużyteczny.
Nie mogą odzyskać Twojego hasła.
Nie mogą go używać nigdzie indziej.
Dlaczego jest to dla Ciebie ważne
Nie musisz rozumieć matematyki.
Wszystko, co musisz wiedzieć, to korzyści.
Nie musisz już zapamiętywać skomplikowanych ciągów znaków.
Nie musisz już resetować zapomnianych haseł.
Nigdy więcej nie daj się nabrać na witryny phishingowe z prośbą o podanie hasła.
Witryna phishingowa może wyglądać realistycznie. Może nawet poprosić o kod weryfikacyjny.
Jednak bez Twojego urządzenia fizycznego i zgody biometrycznej logowanie nie będzie możliwe.
Haker nic nie dostaje.
To nie jest koncepcja na przyszłość.
Główne platformy już wdrażają tę technologię
Dlaczego proste hasła nie działają i jak bezpieczeństwo oparte na zachowaniu zmienia zasady gry
Twój telefon to w zasadzie komputer, na którym przechowujesz całe Twoje życie. Dane bankowe. Osobisty e-mail. I tę listę można ciągnąć w nieskończoność. Ta wygoda ma wysoką cenę: ryzyko infekcji, trojanów i bezpośredniego włamania. Kiedy napastnicy penetrują system, szkody są realne. A mimo to nadal ułatwiamy im życie.
Przeciętny człowiek korzysta z ponad 20 kont chronionych hasłem. Aby je odblokować, używa około pięciu różnych haseł. To powtarzanie stwarza prawdziwy koszmar bezpieczeństwa.
Jak atakujący faktycznie kradną Twoje klucze
Stefan Wiefling, ekspert z Uniwersytetu Nauk Stosowanych w Bonn-Rhein-Sieg (H-BRS), wyjaśnia dwa główne sposoby, w jakie hakerzy omijają Twoje zabezpieczenia. Nie zawsze jest to magia wysokiej technologii.
Po pierwsze, są to wycieki baz danych na dużą skalę. Pamiętacie Adobe? LinkedIn? MySpace? Witryny te często zachowywały się nieostrożnie w przechowywaniu danych użytkowników. Hakerzy kradną kombinację adresu e-mail i hasła. Następnie stosują technikę zwaną „upychaniem danych uwierzytelniających” (atak z wykorzystaniem skradzionych danych uwierzytelniających). To jest zautomatyzowane. Próbują używać tych samych danych uwierzytelniających w każdej innej witrynie, z której korzystasz. Akamai, dostawca usług internetowych, odnotowuje dziennie 250 milionów takich prób. Jeśli ponownie użyjesz haseł, masz przerąbane.
Po drugie, jest to sztuka zgadywania. To brzmi naiwnie. Ale to nadal działa. Wifling zauważa, że wskaźnik sukcesu osiąga 70% w mniej niż 100 próbach. Dlaczego? Ponieważ ludzie są przewidywalni. Hakerzy wykorzystują Twoje imię i nazwisko, imię Twojego zwierzaka oraz datę urodzin członków rodziny. Wprowadzają te dane do modeli statystycznych w celu wygenerowania listy najbardziej prawdopodobnych haseł. Komputer zgadnie, co uważasz za genialne. Zwykle nie jest to prawdą.
Nowa tarcza: rozpoznanie prawdziwego siebie
Aby temu zapobiec, Vifling opracował system obronny. Sprawdza nie tylko poprawność hasła. Sprawdza, czy ty do niego wchodzisz.
Nazywa się to risiko-basierte Authentifizierung (uwierzytelnianie oparte na ryzyku). System akceptuje Twoje dane uwierzytelniające, o ile nic nie wygląda podejrzanie. Jeśli zauważy dziwne zachowanie, prosi o drugi etap weryfikacji.
Co jest uważane za dziwne? Korzystanie z urządzenia, na którym nigdy wcześniej się nie logowałeś. Logowanie się z lokalizacji geograficznej, której nigdy nie odwiedziłeś. Albo wejście na stronę internetową o trzeciej nad ranem we wtorek, kiedy zwykle śpisz. System odnotowuje to odchylenie. Prosi o potwierdzenie.
Wygoda spotyka się z ostrożnością
W przypadku większości witryn nie jest to trudne. Hasło wpisujesz raz. Jeśli zachowanie jest normalne, uzyskasz dostęp. Badania laboratoryjne z udziałem blisko 70 osób potwierdziły, że to działa. Użytkownicy czuli się znacznie bezpieczniej, korzystając z uwierzytelniania opartego na ryzyku w porównaniu do prostych haseł. Woleli go w sieciach społecznościowych i witrynach e-commerce.
Ale co z kontami bankowymi?
Ludzie zachowują się tam inaczej. W drugim badaniu uczestnicy nie chcieli polegać wyłącznie na analizie behawioralnej w przypadku witryn o wysokim poziomie bezpieczeństwa. Chcieli tradycyjnego uwierzytelniania dwuskładnikowego (2FA). Oznacza to, że zawsze logujesz się dwa razy. Hasło plus jednorazowy PIN. Stwarza to dodatkowe przeszkody. Ale ze względu na swoje pieniądze zgodzisz się na to.
Co sprawia, że hasło jest naprawdę bezpieczne?
Nic z tego nie zadziała, jeśli twoje hasło podstawowe jest okropne. Wifling zaleca korzystanie z menedżera haseł. Wiele przeglądarek oferuje tę funkcję wbudowaną.
Oto część sprzeczna z intuicją: złożoność nie jest głównym czynnikiem. Najważniejsza jest długość. Długie, chwytliwe zdanie, takie jak „Montags arbeite ich oft sehr gerne”, zastępuje krótkie, chaotyczne zdanie, takie jak „$Le90pch”. Komputerowi trudniej jest znaleźć długą frazę przy użyciu metody brute-force.
I proszę. Przestań ponownie używać haseł. Użyj menedżera. Przechowuje je w zaszyfrowanym cyfrowym sejfie. Wystarczy pamiętać tylko jedno hasło główne. Ten jeden klucz otwiera wszystko inne.
To nie jest idealne. System nadal można oszukać, jeśli atakujący zna Twoje codzienne czynności. Lub jeśli podróżujesz, a system oznaczy Twoje normalne zachowanie jako podejrzane. Ale to już krok dalej od nadziei, że nikt nie odgadnie imienia Twojego psa.
Nadal musisz zachować ostrożność. Narzędzia pomagają. Ale oni cię nie uratują.
