Hitelesítés, ellátási lánc, zsarolóvírus

Három kérdés, ami a személyazonosságot bizonyítja

Minden belépés mögött ugyanaz az egyszerű kérdés áll. Honnan tudja a rendszer, hogy tényleg én vagyok? Háromféle bizonyíték létezik. Amit tudok, ez a jelszó vagy a PIN kód. Amim van, ez a telefon, a hardverkulcs vagy a belépőkártya. Ami vagyok, ez az ujjlenyomat, az arc vagy a retina.

A kétfaktoros hitelesítés annyit jelent, hogy a háromból legalább kettőt kérünk, két különböző csoportból. Két jelszó nem két faktor. A jelszó plusz a telefonra érkező kód már igen, mert a támadónak a titkot is ismernie kell, és a készüléket is meg kell szereznie. Az előző leckében látott esetek jó része azért történhetett meg, mert ez a második kérdés elmaradt.

A gyakorlatban a harmadik csoport, a biometria, a telefonon már ott van, ezért a legtöbb cég számára a második faktor bevezetése ma nem technológiai kérdés, hanem döntés. A legnagyobb ellenállás a kényelemből jön, és a vezető példája dönti el, megmarad-e a szabály.

Yahoo, amikor a süti többet ér a jelszónál

A Yahoo 2016-ban nyilvánosságra került behatolása azt mutatja meg, hogy a hitelesítés nem ér véget a belépésnél. Miután beléptem, a rendszer egy sütit ad a böngészőmnek, és ez igazol a következő kattintásoknál. A támadók visszafejtették, hogyan készül ez a süti, és onnantól bármelyik fiókba beléphettek jelszó nélkül. Hárommilliárd fiók volt érintett.

Az üzleti következmény is mérhető. A behatolás nyilvánosságra kerülése után a Verizon 350 millió dollárral csökkentette a Yahoo felvásárlási árát. Egy biztonsági hiba így lett közvetlenül cégértékelési tétel. Vezetőként ezt a számot teszem magam elé, amikor a biztonsági költségvetésről döntök.

Equifax, a hiányzó javítás ára

Az Equifax amerikai hitelminősítő 2017-es esete a szoftversebezhetőség legdrágább példája. A kiváltó ok egy nem telepített javítás volt az Apache Struts nevű komponenshez. A hibát a gyártó már közzétette, a javítás létezett, a cég rendszerein mégsem futott végig. A támadó ezen a résen jutott be.

Az egyezség 575 millió dollár lett. Ennyibe került egy olyan frissítés, amit egy jól működő folyamatban napok alatt telepítenek. A javításkezelés unalmas munka, nincs benne látványos technológia, mégis ez az egyik legjobban megtérülő biztonsági tevékenység. Egy magyar cégnél ugyanez a kérdés a weboldal tartalomkezelőjére, a tűzfalra és az ügyviteli rendszerre vonatkozik. Mikor frissült utoljára, és ki tudja ezt megmondani?

A javításkezelés működő formája egy lista és egy naptár. Melyik rendszerért ki felel, milyen gyakran nézi meg, van-e új javítás, és mennyi időn belül telepíti. Kritikus hibánál ez napokban mérhető határidő, nem negyedévekben.

SolarWinds, amikor a frissítés hozza a betörőt

A SolarWinds 2020-as esete megfordítja az előző tanulságot. Itt a frissítés maga volt a fegyver. A támadó a szoftvert építő rendszerbe ültetett hátsó ajtót, így az aláírt, hivatalos termékfrissítéssel együtt jutott el 18 ezer szervezethez, köztük több amerikai kormányzati szervhez. Az ügyfelek azt tették, amit a jó gyakorlat előír, frissítettek, és ezzel engedték be a támadót.

Ez az ellátási lánc kockázata a maga legtisztább formájában. Nem én hibáztam, hanem a beszállítóm, a kár mégis az enyém. Az eset nyomán szövetségi elnöki rendelet írta elő, hogy a beszerzett szoftverhez szoftver összetevő jegyzéket, angol rövidítéssel SBOM-ot kell kérni. Ez a jegyzék sorolja fel, mely külső komponensekből áll a termék, hogy egy ismert hiba esetén tudjam, érintett vagyok-e.

AI eszközök bevezetésénél ugyanez a gondolat köszön vissza, mert egy AI rendszer tucatnyi külső modellből, könyvtárból és szolgáltatásból áll össze. Ha nem tudom, mi van benne, azt sem tudom, mitől kell félnem.

Colonial Pipeline, egy jelszó a dark webről

A Colonial Pipeline az Egyesült Államok keleti partjának üzemanyag gerincvezetéke. 2021-ben zsarolóvírus állította le, és napokra üzemanyaghiány lett a következménye. A belépési pont egy VPN jelszó volt, amit a támadók a dark weben szereztek meg. A fiókhoz nem tartozott kétfaktoros hitelesítés.

A cég 4,4 millió dollár váltságdíjat fizetett. Az FBI egy részét később visszaszerezte, de a kriptovaluta árfolyamesése miatt az kevesebbet ért, mint a kifizetés pillanatában. A történet eleje és vége így ér össze az első leckével. A technikai gyökérok egy hiányzó második faktor, a vezetői gyökérok pedig az, hogy ezt a fiókot senki nem tartotta számon.

Kettős zsarolás és az egyetlen mentés, ami számít

A mai zsarolóvírus kettős zsarolással dolgozik. Előbb kimásolja az adatot, utána titkosítja. Ha fizetek a feloldó kulcsért, a kimásolt adat még mindig a támadónál van, és a második körben annak közzétételével fenyeget. A fizetés ezért nem zárja le az ügyet, csak egy állomását.

A támadók ráadásul a mentéseket is célozzák. Egy hálózatra kötött mentőszerver ugyanúgy titkosítódik, mint minden más, és akkor a mentés csak hamis biztonságérzetet ad. Ezért csak az offline, hálózatról leválasztott mentés véd, és az is csak akkor, ha a visszaállítást ki is próbáltuk. A nem tesztelt mentés remény, nem terv.

A visszaállítást gyakorolni kell, mint a tűzriadót. Egy mentés, amit még soha nem állítottunk vissza, csak feltételezés arról, hogy működik. Aki évente egyszer próbagépen végigcsinálja, az tudja, hány óra kell hozzá, és azt is, mi hiányzik belőle.