Пароли остаются одним из самых устойчивых слабых мест в кибербезопасности. Пасскей, или ключи доступа, позиционируются как ответ на эту проблему, но, согласно анализу, опубликованному SecurityWeek, их недостаточно для решения более широкого вопроса о доверии к идентичности.
Более надежная защита, чем пароли
Пасскей основаны на криптографии с открытым ключом, которая заменяет общие секреты криптографическими идентификаторами. Таким образом, не существует пароля, который злоумышленник мог бы украсть, перехватить с помощью фишинга (phishing) или повторно использовать в другом сервисе. При правильной реализации они также устойчивы к фишингу, поскольку аутентификация привязана к легитимному сервису.
Этот механизм отличается от традиционных методов. Одноразовые коды, SMS или push-уведомления, даже будучи более надежными, чем просто пароли, остаются уязвимыми к фишингу, атакам «человек посередине», усталости от повторяющихся запросов (MFA fatigue), SIM swapping и социальной инженерии. При использовании пасскей устройство пользователя хранит закрытый ключ, а сервис — соответствующий открытый ключ. Закрытый ключ никогда не передается во время аутентификации.
Аутентификация — это не идентификация
Успешная аутентификация предоставляет надежное криптографическое доказательство того, что идентификатор, связанный с учетной записью, прошел процесс. Однако она не говорит о том, была ли учетная запись создана законно, была ли скомпрометирована базовая идентичность, надежно ли устройство или действует ли злоумышленник через аутентифицированную сессию.
Риск смещается, в частности, на этап регистрации. Если злоумышленник создаст или получит контроль над учетной записью до того, как с ней будет связан пасскей, организация впоследствии может аутентифицировать не того человека с высоким уровнем безопасности. Чем надежнее механизм аутентификации, тем важнее целостность этого этапа.
Вопрос также возникает, когда пользователь меняет устройство, что случается часто: потерянные, украденные или замененные телефоны, новые ноутбуки, смена экосистемы. Если процедура восстановления основана на пароле, SMS-коде, ссылке по электронной почте, секретном вопросе или службе поддержки, злоумышленники могут атаковать это более слабое звено. Как резюмирует анализ, «пасскей не был скомпрометирован. Злоумышленник обошел механизм».
Оценка доверия с течением времени
Согласно анализу, аутентификация — это лишь один момент в процессе. Современные атаки могут перехватывать уже открытые сессии, компрометировать доверенные устройства, злоупотреблять привилегиями или изменять атрибуты учетной записи. В таких случаях механизм аутентификации мог сработать именно так, как и предполагалось.
Поэтому автор предлагает дополнить пасскей системой обнаружения угроз, связанных с идентичностью, которая непрерывно оценивает риск. Характеристики устройства, атрибуты идентичности, аномальное поведение, сетевая информация или изменения в учетной записи могут помочь определить, остается ли идентичность заслуживающей доверия. Известный пользователь с установленного устройства и привычным поведением не должен сталкиваться с помехами. С другой стороны, попытка восстановления с неизвестного устройства или изменение критических атрибутов может запустить дополнительную проверку.
Таким образом, модель меняется с «аутентифицировать один раз, а затем доверять» на «установить доверие, непрерывно оценивать риск и реагировать, когда доверие меняется». Пасскей отвечают на вопрос, владеет ли пользователь легитимным идентификатором, в то время как обнаружение угроз, связанных с идентичностью, касается вопроса, можно ли по-прежнему доверять этой идентичности. Организации должны отвечать на оба.
