Dokumentų pasitikėjimo pabaiga: kodėl tapatybės patvirtinimo centralizavimas sukuria sisteminį kritinį gedimo tašką

Anksčiau pagrindinė grėsmė tapatybės saugumui buvo individualus fizinės piniginės praradimas arba lokalizuotas įmonės duomenų bazės pažeidimas. Dabar rizika yra sisteminis debesijos paslaugų agregatoriaus, saugančio 150 milijonų skaitmeninių tapatybių viename loginiame tome, gedimas. „IDScan“ duomenų saugumo pažeidimas, kurio metu buvo paviešinti daugiau nei 150 milijonų JAV ir Kanados gyventojų vairuotojo pažymėjimų ir pasų duomenys, žymi kritinį lūžį tame, kaip įmonės privalo vertinti trečiųjų šalių tapatybės patvirtinimo (IDV) paslaugas. Šis incidentas įrodo, kad būtent tie įrankiai, kurie naudojami sukčiavimui mažinti, tapo efektyviausiais mechanizmais masiniam duomenų rinkimui. Kai duomenų bazėje kartu su milijonais privačių piliečių duomenų saugoma JAV gynybos sekretoriaus asmeninė informacija, pažeidimas nebėra tik įmonės atsakomybė; tai tampa nacionalinio saugumo įvykiu.

Išorinio pasitikėjimo modelio žlugimas

Įmonių saugumo komandos dažnai vertina IDV teikėjus kaip būdą atsikratyti reguliacinės naštos, susijusios su „Pažink savo klientą“ (KYC) reikalavimais ir amžiaus patvirtinimu. Logika pasikeičia į modelį, kuriame specializuota trečioji šalis prisiima riziką tvarkyti jautrius vyriausybės išduotus dokumentus. Ši prielaida yra klaidinga, nes ji ignoruoja rizikos koncentraciją. „IDScan“ buvo pramogų vietų, kanapių parduotuvių ir mažmeninės prekybos korporacijų durininkas, tačiau perimetras, saugantis jos debesijos išteklius, nesugebėjo atlaikyti metus trukusios infiltracijos. Kompetencijos trūkumas čia yra tylus grėsmių sukėlėjų sąjungininkas. Organizacijos pasitikėjo teikėju dėl jo pozicijos rinkoje, o ne būtinai dėl patikrintos nulinio pasitikėjimo (zero-trust) architektūros teikėjo debesijos aplinkoje. Rezultatas – tamsiojo saityno (dark web) duomenų bazė su paieškos galimybe, kurioje autentiškumą patvirtina patys hakeriai, todėl pavogti dokumentai tampa „sudeginti“ bet kokiam būsimam saugumo tikslui.

Norint įvertinti mastą, reikia pažvelgti į pavogtų duomenų prieinamumą. Brian Krebs aprašytas tamsiojo saityno portalas leido vartotojams ieškoti konkrečių pavardžių ir gauti pilnus vairuotojo pažymėjimų atvaizdus bei nuotraukas. Toks funkcionalumas rodo, kad užpuolikai ne tik pasisavino neapdorotus failus; jie tikriausiai gavo prieigą prie duomenų bazės schemos arba aplikacijos sluoksnio, valdančio dokumentų gavimą. Įmonės kontekste tai reiškia, kad kiekvienas vairuotojo pažymėjimas, kurį kada nors nuskenavo „IDScan“ klientas, dabar yra rizika. Tradicinis pasitikėjimas valstybės išduotu ID kaip „pasitikėjimo šaknimi“ (root of trust) yra miręs. Jei užpuolikas turi aukštos raiškos teisėto pažymėjimo skeną, jis gali apeiti daugelį automatizuotų vaizdinio patvirtinimo sistemų, kurias naudoja bankai ir draudimo bendrovės. Pažeidimas faktiškai demokratizavo aukštos kokybės tapatybės vagystes.

Centralizuotų tapatybės saugyklų struktūrinis pažeidžiamumas

Tapatybės patvirtinimo paslaugos yra skaitmeninės amunicijos sandėliai, esantys viduryje civilių populiacijos. Jos agreguoja jautriausią įmanomą PII (asmeniškai identifikuojamą informaciją), tačiau dažnai veikia su tokia pačia saugumo būsena kaip standartinė SaaS (programinė įranga kaip paslauga) platforma. „IDScan“ incidentas išryškina esminį centralizuoto IDV trūkumą: duomenų minimizavimo stoką. Retai pasitaiko verslo priežastis, dėl kurios patvirtinimo teikėjas turėtų saugoti pilnus vairuotojo pažymėjimų atvaizdus praėjus keleriems metams po pradinio patikrinimo. Tačiau daugelis teikėjų saugo šiuos duomenis, kad atitiktų neaiškias atitikties „gerąsias praktikas“ arba treniruotų vidinius OCR (optinio simbolių atpažinimo) modelius. Ši saugojimo politika išplečia pažeidimo poveikio zoną nuo vienos dienos transakcijų iki dešimtmečio klientų istorijos.

Žvelgiant architektūriškai, nesėkmė tikriausiai kilo dėl mikrosegmentacijos trūkumo tarp viešosios duomenų priėmimo API ir ilgalaikio saugojimo saugyklų. Jei užpuolikas gali tinkle išbūti metus, kaip rodo pranešimai apie „IDScan“, tai rodo visišką vidinės stebėsenos ir šoninio judėjimo (lateral movement) aptikimo žlugimą. Atspari architektūra kiekvieną dokumentą vertina kaip laikiną svečią vienutėje. Kai patvirtinimas baigtas, teikėjas turėtų išduoti pasirašytą žetoną (token) klientui ir ištrinti neapdorotą vaizdą arba bent jau užšifruoti jį raktu, kuris nepasiekiamas aplikacijos sluoksniui. „IDScan“ situacija rodo, kad duomenys buvo arba nešifruoti, arba užpuolikai gavo raktus, būtinus sukurti paieškos sąsają pavogtiems įrašams.

Tapatybė kaip „sudegintas“ turtas po „IDScan“ eros

Praktikoje tai reiškia, kad vairuotojo pažymėjimo numeris prarado savo naudą kaip pirminis identifikatorius. Kai 150 milijonų įrašų už mokestį prieinami tamsiajame saityne, bet kuri sistema, pasikliaujanti pažymėjimo numeriu ar nuotrauka „žiniomis pagrįstam autentifikavimui“, yra pažeista. Tai verčia keisti įmonės saugumo paradigmą. Organizacijos turi daryti prielaidą, kad kiekvieno kliento statiniai PII duomenys jau yra piktavalių rankose. Fokusas persikelia nuo to, ką vartotojas turi (pažymėjimą), prie to, kaip vartotojas elgiasi arba kokius biometrinius signalus jis pateikia realiuoju laiku. Aiškumo dėlei: statinis dokumento skenas dabar yra nulinės vertės tapatybės įrodymas.

Globaliame kontekste šis pažeidimas tikriausiai paspartins decentralizuotos tapatybės ir mDL (mobiliojo vairuotojo pažymėjimo) standartų, tokių kaip ISO 18013-5, priėmimą. Šiuose modeliuose vartotojas pats valdo savo duomenis, o „tikrintojas“ gauna tik kriptografiškai pasirašytą patvirtinimą, kad vartotojas yra vyresnis nei 21 metų arba turi galiojantį pažymėjimą. Jokie neapdoroti duomenys neperduodami ir jokia centrinė saugykla nekuriama. „IDScan“ pažeidimas yra stipriausias argumentas nedelsiant atsisakyti centralizuotų dokumentų skenavimo paslaugų ir pereiti prie nulinio žinojimo įrodymų (zero-knowledge proofs). Kol šis perėjimas neįvyks, kiekviena įmonė, naudojanti IDV paslaugą, dalyvauja didelės rizikos lošime su savo klientų jautriausiais duomenimis.

Architektūrinės strategijos tapatybės atsparumui

Informacijos saugumo vadovai (CISO) privalo nedelsdami peržiūrėti savo priklausomybę nuo trečiųjų šalių IDV teikėjų. Tikslas nėra užkirsti kelią visiems pažeidimams, bet užtikrinti, kad tiekėjo saugumo spraga netaptų katastrofa jūsų klientams. Tam reikalingas architektūrinis poslinkis link duomenų vengimo. Jei jums nereikia matyti pažymėjimo vaizdo, neprašykite tiekėjo jo pateikti. Jei jums nereikia saugoti įrašo, užtikrinkite, kad jūsų sutartyje būtų numatytas neatidėliotinas ištrynimas po patvirtinimo. Dabartinė pramonės būsena, kai įmonės „renka viską bet kokiam atvejui“, yra tiesus kelias į reguliacines baudas ir reputacijos žlugimą.

Mikrosegmentacija nėra bendra erdvė; tai atskira vienutė kiekvienam duomenų srautui. Integruojantis su IDV teikėju, ryšys turėtų būti izoliuotas (sandboxed). Duomenys, kuriuos grąžina tiekėjas, turėtų būti vertinami kaip nepatikimi ir potencialiai kenksmingi. Be to, įmonės turėtų įdiegti sustiprintą autentifikavimą bet kokiai didelės vertės transakcijai, net jei vartotojas „patvirtino“ savo tapatybę per trečiosios šalies paslaugą. Naudokite elgsenos biometriją, įrenginio identifikavimą ir papildomą patvirtinimą, kad papildytumėte dabar jau nepatikimą dokumentų patikrą. „IDScan“ pažeidimas įrodo, kad šiuo metu naudojami trečiųjų šalių rizikos valdymo (TPRM) klausimynai yra nepakankami. Negalite audituoti tiekėjo, kad jis taptų saugus; privalote projektuoti savo sistemas taip, kad jos išgyventų neišvengiamą jų nesėkmę.

Veiksmų planas: trečiųjų šalių tapatybės vakuumo mažinimas

Šie žingsniai sudaro 6–12 mėnesių horizontą tapatybės infrastruktūrai stabilizuoti po „IDScan“ įvykio:

• Audituoti visas trečiųjų šalių IDV integracijas, siekiant nustatyti, kurie tiekėjai saugo PII ir vaizdus po patvirtinimo.
• Įpareigoti pereiti prie API pagrįsto patvirtinimo, kuris grąžina tik „Taip/Ne“ reikšmę arba unikalų žetoną, o ne pilnus dokumentų skenus.
• Atnaujinti incidentų valdymo planus, įtraukiant scenarijus, kai pagrindinis IDV teikėjas tampa sisteminio nuotėkio šaltiniu, įskaitant iš anksto parengtus pranešimus klientams.
• Įgyvendinti „Atsinešk savo tapatybę“ (BYOI) strategiją, palaikančią kriptografiškai patvirtintas skaitmenines pinigines, mažinant dokumentų skenavimo poreikį.
• Atlikti „Red-team“ pratybas, fokusuojantis į tai, kaip užpuolikas su pavogtais „IDScan“ duomenimis galėtų apsimesti darbuotojais ar svarbiais klientais jūsų pagalbos ir autentifikavimo procesuose.
• Įvertinti draudimo politikas, siekiant užtikrinti padengimą trečiųjų šalių duomenų pažeidimų atveju, ypač sutelkiant dėmesį į tapatybės stebėjimo išlaidas milijonams paveiktų asmenų.

Šaltiniai

• Krebs on Security: Report on IDScan Dark Web Database
• TechCrunch: IDScan Data Breach Confirmation and Pentagon Response
• CISA: Guidance on Third-Party Risk Management and PII Protection
• FBI: Investigation into Identity Verification Service Compromises

Atsakomybės apribojimas: Šis straipsnis yra skirtas tik informaciniais ir švietimo tikslais. Jis nepakeičia profesionalaus kibernetinio saugumo audito, teisinės konsultacijos ar incidentų valdymo paslaugų. Kiekvienos organizacijos architektūra yra unikali ir reikalauja specialaus saugumo įvertinimo.