W ciągu ostatnich dwóch lat firma VMware podejmowała wysiłki mające na celu uproszczenie swojego portfolio rozwiązań i przejście z modelu licencji wieczystych na model subskrypcji, który branża przyjęła już jako standard korzystania z chmury. Firma zaznaczyła, że takie zmiany przyniosą klientom większe ko...
Środowiska IT stają się coraz bardziej rozbudowane. Firmy korzystają z infrastruktury on-premise jak również z rozwiązań chmurowych, często z wielu chmur (multicloud). W takiej sytuacji kluczem dla zapewnienia niezawodnego działania systemów IT jest monitoring infrastruktury. Właściwe rozwiązanie do monit...
Wraz z rozwojem nowoczesnych technologii rozwijają się również złośliwe schematy. Od niedawna do długiej listy oszustw dołączyła sztuczna inteligencja (Artificial Intelligence, AI). Wykorzystanie technologii sztucznej inteligencji i uczenia maszynowego (Machine Learning, ML) przenosi phishing i inne oszustwa cyb...
Przed kilkoma tygodniami w skromnych progach naszej Virtual-nej redakcji pojawiła się przesyłka zawierająca router FRITZ!Box 6850 5G od firmy AVM. Router wprowadzony na rynek latem ubiegłego roku, za pomocą wbudowanego modemu obsługuje zakresy 5G w paśmie poniżej 6 GHz, a także LTE Advanced Pro we wszystkich obecnie wy...
Wyniki badania PMR dla Polskiej Chmury wskazują, że ponad 2/3 firm korzysta z rozwiązań chmurowych, a około 1/3 jest w trakcie ich wdrażania. Tym samym chmura to już stały element ekosystemu i działalności przedsiębiorstw w Polsce. Rynek ten dojrzał i firmy szukają w chmurze korzyści oraz rozwiązań dopasowanych wprost ...
Według opublikowanego przez Veeam raportu Data Protection Trends Report 2022, największym wyzwaniem dla firm związanym z cyfryzacją są braki wykwalifikowanej kadry IT i starzejące się systemy. Aż 1/3 przedsiębiorstw w razie awarii i braku dostępu do zasobów planuje przywracać działanie serwerów w trybie r...
Według raportu Verizon's 2022 Data Breach Investigations Report, prawie 50% naruszeń bezpieczeństwa danych wiąże się z wykorzystaniem skradzionych danych uwierzytelniających. Ich celem często są instytucje finansowe. Banki do obrony wykorzystują różne technologie. Jedną z nich jest wieloskładnikowe uwierzytelnianie (MFA), które jeszcze niedawno było dla nich jednym z głównych zaleceń cyberbezpieczeństwa. Dziś jednak, stosowane zwykle przez organizacje MFA, nie wystarczy.
Rozwiązaniem jest uwierzytelnianie MFA w pełni odporne na phishing oraz kradzież loginów i haseł w postaci otwartego standardu uwierzytelniania FIDO2.
W Polsce, jak podaje raport ZBP InfoDok, tylko w I kwartale 2022 r. oszuści podjęli 1915 prób kradzieży z wykorzystaniem przejętych danych osobowych, w sumie na kwotę 575 tys. zł. To średnio aż 21 wyłudzeń dziennie.
Celem ataków bardzo często stają się banki i instytucje finansowe. Według raportu The State of Authentication aż 80% z nich doznało przynajmniej jednego naruszenia danych w ciągu ostatnich 12 miesięcy, a phishing był najbardziej rozpowszechnionym zagrożeniem, stanowiąc 36% wszystkich ataków. Jednym z powodów nasilających się incydentów jest niewystarczająca ochrona tożsamości użytkowników.
Globalny problem
Jeszcze kilka lat temu MFA, czyli wieloskładnikowe uwierzytelnianie uchodziło za jedną z najbardziej skutecznych metod ochrony użytkowników w sieci. Dziś jednak wyrafinowani intruzi znaleźli sposoby aby również i te zabezpieczenia skutecznie obchodzić.
"Technologia 2FA lub MFA nie jest dziś dla nikogo nowością. Globalnym wyzwaniem drugiej dekady dwudziestego wieku pozostaje wysoki poziom skomplikowania i różnorodności środowisk IT oraz implementacja w nich skutecznych metod MFA" - mówi Tomasz Kowalski, CEO w Secfense.
Z tego powodu w wielu dużych organizacjach większość systemów i aplikacji albo nie jest zabezpieczona MFA, albo jest zabezpieczona przestarzałymi metodami, takimi jak SMS czy kody TOTP, które nie chronią przed nowoczesnymi atakami typu phishing.
Stare metody MFA
Według badania firmy HYPR Report: State of Authentication in the Finance Industry 2022, 32% pracowników banków z U.S. (200 osób), U.K. (100 osób), Francji (100 osób) i Niemiec (100 osób) nadal korzysta z tradycyjnych metod MFA, takich jak SMS-y i hasła jednorazowe, 43% polega na menedżerach haseł, a 22% polega wyłącznie na nazwach użytkowników i hasłach.
"Kilka lat temu uwierzytelnianie wieloskładnikowe było de-facto zaleceniem cyberbezpieczeństwa dla firm i banków. Aktualnie jedynym rozwiązaniem, w pełni odpornym na phishing oraz kradzież loginów i haseł jest otwarty i darmowy standard uwierzytelniania FIDO2, który pozwala na wykorzystanie kluczy kryptograficznych, ale również urządzeń, które zawsze mamy przy sobie, takich jak laptopy z wbudowaną kamerą, Windows Hello lub smartfony z czytnikiem linii papilarnych w celu potwierdzenia swojej tożsamości w sieci" - dodaje Tomasz Kowalski z Secfense.
Niewykorzystane bezpieczeństwo
Zdanie specjalistów od bezpieczeństwa IT potwierdzają również osoby na co dzień pracujące w zbadanych przez HYPR instytucjach finansowych. Aż 99% ankietowanych osób przyznało, że metody uwierzytelniania stosowane w ich organizacjach wymagają unowocześnienia. Nie jest ono jednak aktualnie możliwe, bo stoją mu na przeszkodzie m.in. problemy z integracją (27%) czy zarządzaniem tym procesem (75%).
"Największy kłopot wciąż sprawia implementacja. Wdrożenie MFA jest trudne, uciążliwe i kosztowne. Co więcej, jeśli bank posiada w swojej infrastrukturze IT setki aplikacji - a tak jest w większości dużych organizacji - masowa implementacja na wszystkich programach jest praktycznie niewykonalna. Efekt? Jedna z najlepszych metod uwierzytelniania, czyli standard uwierzytelniania FIDO2 - choć zaprojektowany w kwietniu 2018 - po ponad czterech latach wciąż jest jeszcze dodatkiem, a nie uniwersalnym sposobem zabezpieczania tożsamości w internecie".
Rewolucja za darmo
Metoda FIDO2 zrewolucjonizowała uwierzytelnianie i zachowanie bezpieczeństwa w sieci. To otwarty standard, dzięki któremu każda usługa w Internecie może zostać dziś zabezpieczona darmową metodą, w pełni odporną na phishing oraz kradzież loginów i haseł. Pozwala na wykorzystanie kluczy kryptograficznych, ale również urządzeń, które zawsze mamy przy sobie, takich jak laptopy z kamerą na podczerwień lub smartfony z czytnikiem linii papilarnych.
Jak obejść więc problem z implementacją MFA opartą na FIDO2 w skomplikowanych środowiskach IT?
"Wiedzieliśmy, że jedyną drogą jest stworzenie technologii, która umożliwi aktywację usług związanych z podniesieniem poziomu bezpieczeństwa w procesie uwierzytelniania użytkowników oraz autoryzacji kluczowych transakcji w dowolnej aplikacji web. Nasze rozwiązanie User Access Security Broker buduje warstwę ochronną a następnie polityki bezpieczeństwa egzekwuje 'w locie' - bez bezpośredniej ingerencji w chronione aplikacje" - dodaje Kowalski.
Technologia UASB została tak zaprojektowana, by w warunkach "zerowej" wiedzy o aplikacjach i środowisku informatycznym, które ma chronić, była zdolna nauczyć się go i zrozumieć procesy logowania użytkowników aplikacji. Etap uczenia się, podczas którego UASB uruchamia sondę do docelowej aplikacji, rejestruje wzorce logowania użytkownika, którego konto ma być chronione uwierzytelnianiem FIDO2. W kolejnym kroku wzorce te są aktywowane i przy każdym następnym logowaniu użytkownik jest proszony o potwierdzenie swojej tożsamości. Spogląda w kamerę, skanuje swoją twarz lub przykłada palec – dokładnie tak samo, jak do tej pory logował się do swojej stacji roboczej.
Wilk syty i owca cała
Na rynku istnieje wiele rozwiązań z zakresu cyberbezpieczeństwa, które chronią przed różnymi wektorami ataków. Aktualnie jednak za najwygodniejsze i najskuteczniejsze uznaje się uwierzytelnianie bez hasła (passwordless authentication). Niestety temat nadal jest często ignorowany w praktyce.
Na szczęście - jak mówią wyniki badania HYPR - większość respondentów wierzy, że bezhasłowe uwierzytelnianie jest najlepszą metodą ochrony. Aż 89% z nich twierdzi, że zwiększa stanowczo bezpieczeństwo i zadowolenie użytkowników.
A czy właśnie nie o te wartości najbardziej nam wszystkim chodzi?
Źródło: Secfense
