Klucze push i sprzętowe

Kody OTP wpisywane ręcznie działają, ale są niewygodne i podatne na phishing. Dwa silniejsze czynniki posiadania poprawiają wygodę i bezpieczeństwo: zatwierdzenia push oraz sprzętowe klucze bezpieczeństwa.

MFA oparte na powiadomieniach push wysyła monit na telefon. Zamiast wpisywać kod, wystarczy dotknąć przycisku Zatwierdź lub Odrzuć.

To wygodne rozwiązanie, a serwer potwierdza odpowiedź kryptograficznie.

Monity push są podatne na zmęczenie MFA (bombardowanie powiadomieniami push): napastnicy wysyłają masowo prośby o zatwierdzenie, licząc na to, że użytkownik z irytacji dotknie przycisku „Zatwierdź”.

Obrona: dopasowanie numeru, w ramach którego użytkownik musi wpisać numer wyświetlony na ekranie logowania.

Sprzętowy klucz bezpieczeństwa to niewielkie fizyczne urządzenie (USB, NFC lub Bluetooth), które przeprowadza uwierzytelnianie kryptograficzne.

Klucz prywatny nigdy nie opuszcza urządzenia, dzięki czemu rozwiązanie jest wyjątkowo odporne na kradzież.

FIDO2 to otwarty standard stanowiący podstawę nowoczesnych kluczy bezpieczeństwa. Jego część internetową stanowi przeglądarkowe API WebAuthn.

Razem umożliwiają witrynie uwierzytelnianie użytkowników za pomocą kryptografii klucza publicznego zamiast współdzielonych sekretów.

Podczas rejestracji klucz generuje unikalną parę kluczy dla każdej witryny i przekazuje jej klucz publiczny.

Podczas logowania serwer wysyła wyzwanie, a klucz podpisuje je kluczem prywatnym. Podpis potwierdza posiadanie klucza bez ujawniania żadnego sekretu.

FIDO2 wiąże każde poświadczenie z dokładnym originem witryny (domeną).

Witryna phishingowa działająca w podobnie wyglądającej domenie nie otrzyma prawidłowego podpisu, ponieważ klucz odmówi uwierzytelnienia do niewłaściwego originu. To właśnie sprawia, że rozwiązanie jest odporne na phishing.

Passkeys to poświadczenia FIDO2, które mogą być synchronizowane między urządzeniami za pośrednictwem platformy (telefonu, laptopa).

Mają całkowicie zastąpić hasła, zachowując odporność FIDO2 na phishing.

Klucze bezpieczeństwa mogą przeprowadzać lokalną kontrolę nazywaną weryfikacją użytkownika: za pomocą kodu PIN lub danych biometrycznych bezpośrednio na urządzeniu.

Łączy to coś, co Pan posiada lub co Pani posiada, z czymś, co Pan zna lub czym Pan jest, albo co Pani zna lub czym Pani jest, w jednym dotknięciu.

W przybliżeniu, od najsłabszej do najsilniejszej:

• kody SMS (w miarę możliwości należy ich unikać)
• aplikacje TOTP
• powiadomienia push z dopasowaniem numeru
• FIDO2 / passkeys (odporne na phishing)

Podczas wdrażania kluczy sprzętowych należy:

• Zarejestrować co najmniej dwa klucze na użytkownika (jeden jako zapasowy).
• Zapewnić metodę odzyskiwania dostępu, która również jest odporna na phishing.
• Preferować FIDO2 w przypadku kont o wysokiej wartości.

Dlaczego klucze bezpieczeństwa FIDO2 uznaje się za odporne na phishing?

Dowiedział się Pan / Dowiedziała się Pani o silniejszych czynnikach posiadania.

• Powiadomienia push są wygodne, ale wymagają dopasowania numeru, aby zapewnić odporność na ataki wykorzystujące zmęczenie.
• FIDO2 / passkeys używają par kluczy tworzonych dla poszczególnych witryn oraz wiązania z originem, aby zapewnić odporność na phishing.
• Należy rejestrować zapasowe klucze.

Następnie przyjrzymy się temu, jak nadal można ominąć MFA i jak je wzmocnić.