Vícefaktorová autentizace včera, dnes a zítra

Za posledních pár let došlo v oblasti vícefaktorové autentizace k podstatné změně.

Na definici vícefaktorové autentizace se sice nic nezměnilo, stále platí, že za ní můžeme označit takovou autentizaci, při které dochází k potvrzení identity uživatele několika různými způsoby, zpravidla heslem a poté použitím nějakého autentizačního zařízení, který uživatel vlastní, případně ověřením nějaké jeho biometrické charakteristiky.

Podstatně se však v posledních letech zvýšilo riziko obejití vícefaktorové autentizace a to kompromitací koncového zařízení. Důvod je prostý. Dříve bylo zařízení, které uživatel vlastnil a používal k potvrzení autentizace jiné, než zařízení, na kterém uživatel běžně pracoval.

V posledních letech, kdy došlo ke konvergenci telefonu a počítače do jednoho zařízení, se začíná stále více aktivit uživatele odehrávat na jednom jediném zařízení. Uživatel je na tomto zařízení prakticky neustále přihlášen do e-mailu, což je samo o sobě riziko, protože dost často je možné si přes e-mail nastavit nové heslo.

A jelikož na něm kromě zpracování pošty i surfujete po internetu, může se snadno nakazit malwarem. A v okamžiku, kdy dojde ke kompromitaci tohoto zařízení malwarem, získává útočník de facto přístup i k onomu druhému faktoru a potažmo i k biometrickým charakteristikám uživatele, pokud se na daném zařízení pořizují.

Problém je v tom, že uživatel z daného zařízení přistupuje do aplikací vyžadujících dvoufaktorovou autentizaci a zároveň je toto zařízení i oním druhým faktorem spadajícím do kategorie „něco má“, neboť je přímo na tomto zařízení nainstalována aplikace, která slouží k příjmu nebo generování jednorázových hesel, či potvrzení autentizace, stisknutím tlačítka na displeji, nebo přiložením prstu ke snímači otisků prstů.

Vyvstává tak před námi otázka, zda by definice vícefaktorové autentizace v sobě neměla zahrnovat požadavek na fyzické oddělení jednotlivých faktorů. Tedy aby autentizačního zařízení nebylo zároveň i totéž fyzické zařízení, na kterém uživatel právě pracuje. Bohužel ani poslední verze NIST 800-63B tento problém neřeší.

Autoři NIST 800-63 si však rovněž uvědomují, že jedno zařízení představuje slabinu MFA, která může být zneužita hrozbou v podobě kompromitaci koncového zařízení. A jako opatření před touto hrozbou pak doporučují autentizační aplikaci a klíče uložit bezpečně a dále požadovat provedení nějaké fyzické akce ze strany uživatele. Otázka, je, zda lze tato opatření považovat za dostatečná.

Veškerá bezpečnost je v tomto případě založena jen na důvěře, že nedojde k napadení koncového zařízení malwarem a jeho kompromitaci. Což se bohužel nedá vyloučit. A musíme připustit, že napadnout jedno zařízení, připojené do internetu je nesrovnatelně jednoduší než kompromitovat HW token, na kterém se nachází proprietární firmware, který navíc do sítě není připojen vůbec.

Kybernetické útoky v minulých letech navíc jasně ukázaly, že v okamžiku, kdy je autentizační zařízení pevně spojeno s počítačem, je možné ho úspěšně napadnout a kompromitovat. I proto třeba banky doporučují čtečku čipových karet s vlastní klávesnicí, která není spojena s počítačem, opětovné zasunutí karty po určité době nečinnosti, HW autentizační kalkulátory apod.

Měl by se v definici vícefaktorové autentizace objevit požadavek, aby všechny faktory nepředstavovalo jedno fyzické zařízení?

Nahrávání ... Nahrávání ...
Pokud vás tento článek zaujal, můžete odkaz na něj sdílet.

Štítky:


K článku “Vícefaktorová autentizace včera, dnes a zítra” se zde nenachází žádný komentář - buďte první.

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.

Přihlášeným uživatelům se tento formulář nezobrazuje - zaregistrujte se.

Jméno:(požadováno)
E-mail:(požadováno - nebude zobrazen)
Web:

Text vaší reakce: