Dokumentu uzticamības beigas: kāpēc identitātes verifikācijas centralizēšana rada sistēmisku vienoto atteices punktu

Iepriekš galvenais identitātes drošības risks bija fiziska maka nozaudēšana vai lokāls uzņēmuma datubāzes apdraudējums. Tagad risks ir mākoņpakalpojumos balstīta agregatora sistēmiska kļūme, kurā vienā loģiskajā sējumā tiek glabāti 150 miljoni digitālo identitāšu. IDScan datu noplūde, kuras rezultātā tika atklāti vairāk nekā 150 miljonu ASV un Kanādas iedzīvotāju vadītāja apliecību un pasu dati, iezīmē kritisku pāreju tajā, kā uzņēmumiem jāuztver trešo pušu identitātes verifikācijas (IDV) pakalpojumi. Šis incidents pierāda, ka tieši tie rīki, kas izmantoti krāpšanas mazināšanai, ir kļuvuši par visefektīvākajiem mehānismiem liela mēroga akreditācijas datu ievākšanai. Ja datubāzē līdzās miljoniem privātpersonu atrodas arī ASV aizsardzības ministra personīgā informācija, datu noplūde vairs nav tikai uzņēmuma atbildība; tas ir nacionālās drošības notikums.

Ārpakalpojumu uzticamības modeļa sabrukums

Uzņēmumu drošības komandas bieži uzskata IDV pakalpojumu sniedzējus par veidu, kā atbrīvoties no regulatīvā sloga, ko rada "Pazīsti savu klientu" (KYC) prasības un vecuma pārbaude. Loģika mainās uz modeli, kurā specializēta trešā puse uzņemas risku, apstrādājot sensitīvus valdības izdotus dokumentus. Šis pieņēmums ir kļūdains, jo tas ignorē riska koncentrāciju. IDScan bija vārtu sargs izklaides vietām, kaņepju aptiekām un mazumtirdzniecības korporācijām, tomēr perimetrs, kas aizsargā tā mākoņa aktīvus, nespēja izturēt gadu ilgu ielaušanos. Ekspertīzes trūkums šeit ir neizteikts sabiedrotais draudu izraisītājiem. Organizācijas uzticējās pakalpojumu sniedzējam tā tirgus pozīcijas dēļ, nevis obligāti verificētas nulles uzticamības (zero-trust) arhitektūras dēļ pakalpojumu sniedzēja mākoņa vidē. Rezultāts ir meklējama tumšā tīmekļa datubāze, kurā autentiskumu apstiprina paši hakeri, padarot nozagtos dokumentus par "sadedzinātiem" jebkādiem turpmākiem drošības mērķiem.

Lai novērtētu mērogu, jāskatās uz nozagto datu pieejamību. Braiena Krebsa (Brian Krebs) ziņotais tumšā tīmekļa portāls ļāva lietotājiem meklēt konkrētus vārdus un iegūt pilnus apliecību attēlus un fotoattēlus. Šāda funkcionalitāte liecina, ka uzbrucēji ne tikai ieguva neapstrādātus failus; viņi, visticamāk, ieguva piekļuvi datubāzes shēmai vai lietojumprogrammas slānim, kas pārvalda dokumentu izgūšanu. Uzņēmējdarbības kontekstā tas nozīmē, ka katra vadītāja apliecība, ko jebkad skenējis kāds IDScan klients, tagad ir risks. Tradicionālā uzticēšanās valdības izdotam ID kā "uzticamības saknei" ir mirusi. Ja uzbrucēja rīcībā ir leģitīmas apliecības augstas izšķirtspējas skenējums, viņš var apiet daudzas automatizētas vizuālās verifikācijas sistēmas, ko izmanto bankas un apdrošināšanas sabiedrības. Datu noplūde ir efektīvi demokratizējusi augstas kvalitātes identitātes zādzību.

Centralizēto identitātes krātuvju strukturālā ievainojamība

Identitātes verifikācijas pakalpojumi ir kā digitālās munīcijas noliktavas civiliedzīvotāju vidū. Tie apkopo visjutīgāko iespējamo PII (personu identificējošo informāciju), tomēr bieži darbojas ar tādu pašu drošības stāju kā standarta SaaS (programmatūra kā pakalpojums) platforma. IDScan incidents izgaismo fundamentālu trūkumu centralizētā IDV: datu minimizēšanas trūkumu. Verifikācijas pakalpojumu sniedzējam reti ir biznesa pamatojums saglabāt pilnus vadītāja apliecību attēlus gadiem ilgi pēc sākotnējās pārbaudes. Tomēr daudzi pakalpojumu sniedzēji glabā šos datus, lai ievērotu neskaidras atbilstības "labās prakses" vai apmācītu iekšējos OCR (optiskās rakstzīmju atpazīšanas) modeļus. Šī saglabāšanas politika paplašina datu noplūdes trieciena rādiusu no vienas dienas darījumiem līdz pat desmit gadus senai klientu vēsturei.

Arhitektoniski kļūme, visticamāk, izriet no mikrosegmentācijas trūkuma starp publisko datu uzņemšanas API un ilgtermiņa glabāšanas krātuvēm. Ja uzbrucējs var atrasties tīklā gadu, kā liecina ziņojumi par IDScan, tas norāda uz pilnīgu iekšējās uzraudzības un laterālās kustības noteikšanas sabrukumu. Elastīga arhitektūra pret katru dokumentu izturas kā pret pagaidu viesi vieninieka kamerā. Tiklīdz verifikācija ir pabeigta, pakalpojumu sniedzējam būtu jāizsniedz klientam parakstīta pilnvara (token) un jāizdzēš neapstrādātais attēls vai vismaz tas jāšifrē ar atslēgu, kas nav pieejama lietojumprogrammas slānim. IDScan situācija liecina, ka dati vai nu nebija šifrēti miera stāvoklī, vai arī uzbrucēji ieguva atslēgas, kas nepieciešamas, lai nodrošinātu meklējamu saskarni nozagtajiem ierakstiem.

Identitāte kā "sadedzināts" aktīvs post-IDScan laikmetā

Praksē tas nozīmē, ka vadītāja apliecības numurs ir zaudējis savu lietderību kā primārais identifikators. Kad 150 miljoni ierakstu par maksu ir pieejami tumšajā tīmeklī, jebkura sistēma, kas paļaujas uz apliecības numuru vai apliecības fotoattēlu "uz zināšanām balstītai autentifikācijai", ir apdraudēta. Tas spiež veikt paradigmas maiņu uzņēmumu drošībā. Organizācijām jāpieņem, ka katra klienta statiskā PII jau ir ļaundaru rokās. Uzsvars tiek pārcelts no tā, kas lietotājam ir (apliecība), uz to, kā lietotājs uzvedas vai kādus biometriskos signālus viņš sniedz reāllaikā. Skaidrības labad – statisks dokumenta skenējums tagad ir nulles vērtības pierādījums identitātei.

Globālā kontekstā šī datu noplūde, visticamāk, paātrinās decentralizētas identitātes un mDL (mobilo vadītāja apliecību) standartu, piemēram, ISO 18013-5, ieviešanu. Šajos modeļos lietotājs pats pārvalda savus datus, un "verificētājs" saņem tikai kriptogrāfiski parakstītu apstiprinājumu, ka lietotājs ir vecāks par 21 gadu vai viņam ir derīga apliecība. Netiek pārsūtīti neapstrādāti dati un netiek izveidota centrālā krātuve. IDScan noplūde ir līdz šim spēcīgākais arguments tūlītējai atteikšanās no centralizētiem dokumentu skenēšanas pakalpojumiem par labu nulles zināšanu pierādījumiem (zero-knowledge proofs). Kamēr šī pāreja nenotiks, katrs uzņēmums, kas izmanto IDV pakalpojumu, piedalās augstu likmju azartspēlē ar savu klientu visjutīgākajiem datiem.

Arhitektūras stratēģijas identitātes noturībai

Informācijas drošības vadītājiem (CISO) nekavējoties jāpārskata sava paļaušanās uz trešo pušu IDV pakalpojumu sniedzējiem. Mērķis nav novērst visas datu noplūdes, bet gan nodrošināt, lai piegādātāja drošības pārkāpums neizraisītu katastrofu jūsu klientiem. Tam nepieciešama arhitektoniska pāreja uz izvairīšanos no datiem. Ja jums nav nepieciešams redzēt apliecības attēlu, nelūdziet piegādātājam to sniegt. Ja jums nav nepieciešams glabāt ierakstu, nodrošiniet, lai jūsu līgums paredzētu tūlītēju dzēšanu pēc verifikācijas. Pašreizējais nozares stāvoklis, kurā uzņēmumi "ievāc visu katram gadījumam", ir tiešs ceļš uz regulatīvajiem sodiem un reputācijas sagraušanu.

Mikrosegmentācija nav koplietošanas zona; tā ir atsevišķa vieninieka kamera katrai datu plūsmai. Integrējoties ar IDV pakalpojumu sniedzēju, savienojumam jābūt izolētam (sandboxed). Piegādātāja atgrieztie dati jāuztver kā neuzticami un potenciāli ļaunprātīgi. Turklāt uzņēmumiem būtu jāievieš pastiprināta (step-up) autentifikācija jebkuram augstvērtīgam darījumam, pat ja lietotājs ir "verificējis" savu identitāti, izmantojot trešās puses pakalpojumu. Izmantojiet uzvedības biometriju, ierīču pirkstu nospiedumu noņemšanu un ārpusjoslas (out-of-band) verifikāciju, lai papildinātu tagad neuzticamo dokumentu pārbaudi. IDScan noplūde pierāda, ka pašlaik izmantotās trešo pušu riska pārvaldības (TPRM) anketas ir nepietiekamas. Jūs nevarat auditēt piegādātāju, lai tas kļūtu drošs; jums ir jāveido savas sistēmas tā, lai tās izdzīvotu to neizbēgamās kļūmes gadījumā.

Rīcības plāns: trešo pušu identitātes vakuuma mazināšana

Turpmākie soļi veido 6-12 mēnešu horizontu identitātes infrastruktūras stabilizēšanai pēc IDScan notikuma:

• Auditēt visas trešo pušu IDV integrācijas, lai noteiktu, kuri piegādātāji saglabā PII un attēlus pēc verifikācijas brīža.
• Pieprasīt pāreju uz API balstītu verifikāciju, kas atgriež tikai "Jā/Nē" loģisko vērtību vai unikālu pilnvaru, nevis pilnus dokumentu skenējumus.
• Atjaunināt incidentu reaģēšanas plānus, iekļaujot scenārijus, kuros primārais IDV pakalpojumu sniedzējs ir sistēmiskas noplūdes avots, tostarp sagatavojot klientu paziņojumu uzmetumus.
• Ieviest "Līdzi ņem savu identitāti" (BYOI) stratēģiju, kas atbalsta kriptogrāfiski verificētus digitālos makus, samazinot nepieciešamību pēc dokumentu skenēšanas.
• Veikt "sarkanās komandas" (red-team) vingrinājumu, koncentrējoties uz to, kā uzbrucējs ar nozagtiem IDScan datiem varētu uzdoties par darbiniekiem vai augstvērtīgiem klientiem jūsu esošajās atbalsta un autentifikācijas darbplūsmās.
• Izvērtēt apdrošināšanas polises, lai nodrošinātu segumu trešo pušu datu noplūdēm, īpaši koncentrējoties uz identitātes uzraudzības izmaksām miljoniem skarto personu.

Avoti

• Krebs on Security: Report on IDScan Dark Web Database
• TechCrunch: IDScan Data Breach Confirmation and Pentagon Response
• CISA: Guidance on Third-Party Risk Management and PII Protection
• FBI: Investigation into Identity Verification Service Compromises

Atruna: Šis raksts ir paredzēts tikai informatīviem un izglītojošiem mērķiem. Tas neaizstāj profesionālu kiberdrošības auditu, juridisku konsultāciju vai incidentu reaģēšanas pakalpojumu. Katras organizācijas arhitektūra ir unikāla, un tai nepieciešams īpašs drošības novērtējums.