Hasła pozostają jednym z najbardziej uporczywych słabych punktów cyberbezpieczeństwa. Klucze dostępu (passkeys) są przedstawiane jako odpowiedź na ten problem, ale według analizy opublikowanej przez SecurityWeek, nie wystarczają one do rozwiązania szerszej kwestii zaufania do tożsamości.
Silniejsza ochrona niż hasła
Klucze dostępu opierają się na kryptografii klucza publicznego, która zastępuje wspólne sekrety identyfikatorami kryptograficznymi. Nie ma więc już hasła, które atakujący mógłby ukraść, przechwycić przez phishing (phishing) lub użyć ponownie w innym serwisie. Gdy są prawidłowo wdrożone, są również odporne na phishing, ponieważ uwierzytelnienie jest powiązane z prawowitym serwisem.
To rozwiązanie różni się od metod tradycyjnych. Kody jednorazowe, SMS-y czy powiadomienia push, nawet jeśli są bardziej odporne niż same hasła, pozostają podatne na phishing, ataki typu „man-in-the-middle », zmęczenie związane z powtarzającymi się żądaniami (MFA fatigue), SIM swapping oraz inżynierię społeczną. W przypadku kluczy dostępu urządzenie użytkownika przechowuje klucz prywatny, podczas gdy serwis przechowuje odpowiadający mu klucz publiczny. Klucz prywatny nigdy nie jest przesyłany podczas uwierzytelniania.
Uwierzytelnienie to nie identyfikacja
Udane uwierzytelnienie dostarcza solidnego dowodu kryptograficznego, że identyfikator powiązany z kontem przeszedł proces. Nie mówi jednak, czy konto zostało utworzone legalnie, czy podstawowa tożsamość została naruszona, czy urządzenie jest godne zaufania, czy atakujący działa poprzez uwierzytelnioną sesję.
Ryzyko przesuwa się m.in. podczas rejestracji. Jeśli atakujący utworzy lub przejmie kontrolę nad kontem, zanim zostanie z nim powiązany klucz dostępu, organizacja może następnie uwierzytelnić z wysokim poziomem bezpieczeństwa niewłaściwą osobę. Im silniejszy mechanizm uwierzytelniania, tym większe znaczenie ma integralność tego etapu.
Problem pojawia się również, gdy użytkownik zmienia urządzenie, co zdarza się często: zgubione, skradzione lub wymienione telefony, nowe laptopy, zmiany ekosystemu. Jeśli procedura odzyskiwania opiera się na haśle, kodzie SMS, linku e-mail, pytaniu zabezpieczającym lub pomocy technicznej, atakujący mogą celować w tę słabszą ścieżkę. Jak podsumowuje analiza, „klucz dostępu nie został naruszony. Atakujący ominął mechanizm ».
Ocena zaufania w czasie
Według analizy uwierzytelnienie stanowi tylko jeden moment w całej ścieżce. Współczesne ataki mogą przechwytywać już otwarte sesje, kompromitować zaufane urządzenia, nadużywać uprawnień lub modyfikować atrybuty konta. W takich przypadkach mechanizm uwierzytelniania mógł działać dokładnie zgodnie z planem.
Autor proponuje więc uzupełnienie kluczy dostępu o wykrywanie zagrożeń związanych z tożsamością, które stale ocenia ryzyko. Charakterystyka urządzenia, atrybuty tożsamości, nietypowe zachowania, informacje o sieci czy zmiany na koncie mogą pomóc określić, czy tożsamość nadal zasługuje na zaufanie. Znany użytkownik, korzystający ze znanego urządzenia i zachowujący się zwyczajnie, nie powinien napotykać utrudnień. Z kolei próba odzyskania dostępu z nieznanego urządzenia lub zmiana krytycznych atrybutów może wywołać dodatkową weryfikację.
Model przechodzi zatem z „uwierzytelnij raz, a potem ufaj » na „ustal zaufanie, stale oceniaj ryzyko i reaguj, gdy zaufanie się zmienia ». Klucze dostępu odpowiadają na pytanie, czy użytkownik posiada prawowity identyfikator, podczas gdy wykrywanie zagrożeń związanych z tożsamością dotyka kwestii, czy tej tożsamości można nadal ufać. Organizacje muszą odpowiedzieć na oba.
