Для людей, хоч трохи присвячених питанням інформаційної безпеки, очевидна іронія сучасного світу: пароль, покликаний захищати дані користувача, є найголовнішою вразливістю його безпеки. Суть пароля в його простоті та зручності – для доступу до ресурсу або пристрою потрібно тільки знати комбінацію літер, цифр та спецсимволів та правильно її ввести. Але з погляду безпеки, саме в цьому й ховаються всі основні лазівки для зловмисників.
Простий пароль можна швидко підібрати методом брутфорсу за допомогою ботів та автоматизованих рішень. Крім того, він максимально вразливий до фішингових атак і програм-вимагачів – бичу ери високих технологій, коли максимум інформації про людину чи компанію залежить від кількох кліків.
Масштабне опитування на знання культури паролів
Нещодавно кіберфахівці провели масштабне опитування, щоб перевірити користувачів на знання культури паролів. З’ясувалося, що третина опитаних досі продовжує використовувати для захисту облікових записів на різних ресурсах один і той самий пароль, причому що складається з пам’ятних дат та імен.
Дослідження швидкості, з якою хакери можуть зламати облікові записи за допомогою «грубої сили» перебору, показують, що понад 70% користувачів інтернету перебувають у зоні високого ризику, продовжуючи використовувати легкі базові комбінації. Адже перше, що дивляться хакери при атаці, – це списки найбільш популярних паролів та максимум доступної про користувача інформації, яка може бути зашифрована – ім’я, адреса, назва улюбленої спортивної команди чи музичної групи, імена дітей та прізвиська вихованців.
Далі вони будуть за допомогою спеціальних програм перевіряти цю інформацію шляхом додавання додаткових чисел або символів, модифікування. Наприклад, літ-спік, а також сканування через райдужні таблиці. І звичайно, хакери також перевірять, чи не були раніше зламані інші облікові записи користувача, щоб якнайшвидше розгадати загадку – дізнатися, чи не застосований цей пароль на всіх сервісах.
Той факт, що багато хто використовує один і той же пароль для декількох ресурсів і ніколи не змінює улюблену комбінацію, максимально допомагає шахраям отримувати доступ до різних акаунтів – особистих і корпоративних. За допомогою словників та методу підстановки вкрадених облікових даних, кіберзлочинці можуть отримати віддалений доступ до будь-якого ПК, а далі – до облікових записів не тільки рядових користувачів, але й до сайтів, мереж та серверів різних організацій. Це один із найпопулярніших ходів у складно-спланованих кібератаках на державні, комерційні та банківські структури.
Як захистити свої паролі?
Основні рекомендації фахівців щодо забезпечення захисту пароля зводяться до його властивостей та способів зберігання:
Сильний пароль
Фахівці інформаційної безпеки постійно твердять про те, що пароль має бути складним. Більше 12 літер різного регістру, включаючи спецсимволи та числа. Встановлено, що в середньому хакерам потрібно приблизно 3 роки для того, щоб зламати пароль з 11 літер та чисел, а за наявності складної комбінації спецсимволів – понад 30 років. Також рекомендується генерувати новий пароль для кожного ресурсу і регулярно змінювати їх хоча б раз на рік.
Очевидно, що запам’ятовувати та постійно вигадувати такі складні паролі користувачам вкрай незручно. Що може стати рішенням чи гідною альтернативою?
Менеджер паролів
Програма-помічник, яка допомагає створювати складні паролі та тримати їх у зашифрованому вигляді в єдиному цифровому сховищі. Використовувати менеджери для доступу до облікових даних на різних сайтах та додатках швидко та легко. Потрібно лише придумати та запам’ятати один майстер-пароль. Крім того, багато менеджерів підтримують функцію автозаповнення для ресурсів, що найчастіше використовуються. Але як це надійно?
Якщо менеджер паролів підтримує стандарт індустрії, то розшифрувати такий вміст практично неможливо. Крім того, програми не мають доступу до майстер-паролю та зашифрованої інформації у базі. Вони оцінюють придумані користувачами паролі щодо складності та інформують про компрометацію на якомусь із ресурсів. Завдяки вбудованим функціям перевірки веб-сервісів вони можуть вказувати на фішинг та ознаки тайпсквоттінгу.
Але ключовий аспект безпеки цих програм все одно зводиться до надійності майстер-паролю, який має бути досить складним. Тому зараз все більше зусиль у продуктовій кібербезпеці спрямовано на посилення захисту за допомогою високотехнологічних рішень. Інтеграції двофакторної (2FA)/багатофакторної (MFA) та безпарольної автентифікації, які дозволять знизити ризики злому.
Як це працює?
Традиційна автентифікація по паролю базується на «чомусь, що знаєш тільки ти» як фактор. Але саме те, що знає один, одного разу може дізнатися і хтось інший, звернувши це проти людини чи організації, де вона працює. Тому 2FA/MFA та безпарольна автентифікація – це способи отримати безпечний доступ користувача до сайту, додатку або системи, використовуючи фактори володіння («те, що у вас є») та невід’ємність («те, чим ви є»).
Підтвердження особи відбувається за рахунок використання одноразових кодів за SMS або PUSH-повідомлення або за допомогою спеціальних додатків-генераторів TOTP-кодів. Також можуть застосовуватись спеціальні пристрої (апаратний токен, смартфон, USB-пристрій, брелок або смарт-карта) або технології біометричної ідентифікації (відбиток пальця, скан сітківки ока чи обличчя, розпізнавання голосу). Якщо пристрій або біометрія відповідають інформації в базі даних, користувач отримує дозвіл на доступ.
Автентифікація по OAuth та OpenID
Крім того, багато сервісів зараз переходять на технологію єдиного входу OAuth та OpenID. Цей спосіб дозволяє проходити автентифікацію в різних веб-сервісах за допомогою єдиного облікового запису без введення пароля. Фактично користувач використовує для авторизації, наприклад, обліковий запис у соціальній мережі. При цьому використовується не логін та пароль, а токен доступу, який надають провайдери OAuth та OpenID. Користувачеві, який залогінений у додатку соцмережі на смартфоні, не доведеться проходити автентифікацію в іншій програмі, що підтримує OAuth.
Passkey
Інше технологічне рішення, яке зараз набирає обертів, це Passkey. Це криптографічний токен, який передається між веб-сайтом та пристроями користувача для авторизації замість пароля. Основна перевага цього рішення – у безпеці та захисті облікових записів від зломів. Завдяки системі обміну унікальними одноразовими ключами, один з яких зберігається на мобільному пристрої або комп’ютері, а другий у хмарі, зловмисники, навіть зламавши сервер, не зможуть дістатися закритого ключа, а без нього, відповідно, і проникнути в акаунт. Для аутентифікації користувача використовуються біометричні системи на смартфоні чи комп’ютері, що відразу позбавляє шахраїв можливості перехопити конфіденційну інформацію за допомогою фішингу, соціальної інженерії чи брутфорсу.
Цей спосіб захисту заснований на сучасному стандарті безпарольної аутентифікації WebAuthn, про підтримку якого в 2022 оголосили Apple, Google і Microsoft. WebAuthn надає розробникам веб-додатків спосіб реалізації безпечної багатофакторної автентифікації не за допомогою сторонніх бібліотек та стандартних систем, а завдяки вбудованим технологіям локальних пристроїв, до яких раніше веб-сторінки не могли отримати доступ.
Хоча про ідею нового стандарту міжнародна організація World Wide Web Consortium (W3C) заявила ще в 2016 році, лише в березні 2019 року була опублікована перша версія асиметричної криптографії сімейства протоколів FIDO2, який описує браузерне JS API, що дозволяє взаємодіяти з електронними ключами. Стандарт отримав статус рекомендації, і кілька років знадобилося для того, щоб розвинути цю технологію та отримати підтримку світових web-холдерів.
На даний момент все більше світових IT-гігантів починає використовувати цей передовий формат автентифікації, докладаючи зусиль для введення його у статус нового загальноприйнятого стандарту.
Найбезпечніше рішення, яке воно?
Рівень захисту залежить від кількості та складності застосовуваних методів ідентифікації, тому що таким чином користувач вимагає «ускладнення» роботи зловмисників. При запиті двох різних типів аутентифікації надійність збільшується вдвічі. Якщо хакер пройде перший шар, йому доведеться також роздобути, наприклад, доступ до пристрою або електронної пошти. До того ж, система попередить користувача про будь-яку спробу зламування облікового запису, фіксуючи кожен запит на надання пароля. Відповідно, якщо користувач використовує MFA, де один з етапів ідентифікації орієнтований на особистість, а не пристрій (біометрія), це дозволить забезпечити ще більший ступінь безпеки даних.
Якщо ж говорити про безпарольну автентифікацію, то вона набагато сильніша і надійніша, ніж традиційна. Вона за визначенням нейтралізує атаки, пов’язані зі слабкими або вкраденими паролями, обліковими даними та секретами, забезпечуючи при цьому зручніший вхід до системи. Простими словами – якщо нема того, що можна легко вкрасти, то й проблем менше. Але зростає роль фізичної прихильності облікового запису до пристрою. Якщо смартфоном або токеном заволодіє зловмисник, він отримає несанкціонований доступ до всіх ресурсів. Щоб уникнути таких наслідків необхідно створити резервний варіант і налаштувати ротацію факторів доступу MFA, а також віддавати перевагу біометричним технологіям входу.
Нововведення та складні технології спершу викликають багато питань та підозр, тому що набагато складніше довіритися тому, що ти не знаєш і не тримаєш у руках. Завжди знайдуться ті, хто чинитиме опір змінам свого поведінкового патерну і використовуватиме звичний спосіб авторизації – за допомогою пароля. Тому розробникам веб-сервісів при переході на нові формати аутентифікації необхідно передбачити вибір альтернативних рішень та можливість використання менеджера паролів.
Підводимо підсумки
Захист облікових записів – це не тільки відповідальність ресурсів, а й самих користувачів. Як би не намагалися фахівці з ІБ впровадити найпередовіші технології забезпечення безпеки продуктів і сервісів, важливо, щоб люди використовували ці нововведення і довіряли рекомендаціям розробників.
Загальний розвиток індустрії безпеки клієнтів зараз побудований на перехід від технологій, що максимально залежать від придуманих людиною паролів, до використання криптографії та біометрії. Очікуємо, що те, що колись було мріями футуристів, вже незабаром стане нашою новою реальністю. Завдяки шаленому темпу розвитку IT та ІБ ми прискорено входимо у високотехнологічний світ без паролів.