Аутентификация – это всегда компромисс между безопасностью и удобством использования. Недовольные обойдут навязчивую систему независимо от степени ее безопасности, например, будут записывать пароли на стикерах и приклеивать те к монитору. (Часто записанные таким образом пароли можно разглядеть на заднем плане фото или видео, сделанных журналистами.) Одно из важнейших преимуществ использования биометрических данных – простота. Одна моя знакомая игнорировала блокировку смартфона, потому что ее раздражала необходимость постоянно вводить пароль, но приобрела Google Pixel с устройством для считывания отпечатка пальца и начала блокировать аппарат, потому что тот стало легко «оживлять». Можно до бесконечности утверждать, что сложный пароль был бы надежнее, но очевидно другое – теперь смартфон моей знакомой защищен лучше, чем прежде.
Обеспечить функционирование системы аутентификации очень непросто. Google и Facebook[24] доверяют этот вид деятельности третьей стороне. Многие ритейлеры, блоги и игровые приложения разрешают пользователям заходить в систему через аккаунты Google или Facebook[25], по существу, отдавая идентификацию и аутентификацию на откуп этим компаниям. Аналогично поступают некоторые страны. Национальная идентификационная система Эстонии, имеющая уязвимости в обеспечении безопасности (я упоминал об этом в главе 1), позволяет гражданам и иностранным резидентам получать доступ к различным государственным услугам, включая голосование, посредством единой системы аутентификации. Индия создала национальную биометрическую идентификационную систему, которую будут использовать как государственные структуры, так и частные компании. Даже в США есть централизованный провайдер идентификации и аутентификации login.gov – его услугами пользуются посетители сайтов различных госструктур.
С одной стороны, это удобно, потому что работу разных служб можно построить на базе единой надежной системы аутентификации и идентификации, с другой, очень рискованно, потому что замыкание разных функций на одной-единственной системе создает общую точку отказа.
Смартфон превратился в единый центр безопасности всех и вся. Через него вы получаете доступ ко всем аккаунтам – электронной почте, чат-клиентам, социальным сетям, банковским счетам и сайтам, к которым привязаны кредитные карты. При этом смартфон – центральный контроллер-концентратор для интернета вещей. Если у вас есть нечто, относящееся к интернету вещей (от электромобиля Tesla до термостата и подключенных к сети игрушек), скорее всего, вы управляете этим через смартфон. И системы аутентификации приборов привязаны к телефону. Не нужно по отдельности подключаться к электронной почте, аккаунту в Facebook[26], Tesla или к термостату. Компании предполагают, что если есть доступ к телефону, то вы – это вы.
Именно здесь и находится единая точка отказа. Хакер может убедить провайдера мобильной связи, например Verizon или AT&T, и передать контроль над телефонным номером подконтрольному устройству. Если получится – а сделать это совсем не трудно, – злоумышленник станет обладателем всех учетных записей жертвы, где задействован телефонный номер: Google, Twitter, Facebook[27], Apple. Он доберется до банковских счетов и опустошит их. Риски важно осознавать, учитывая, что в скором времени придется аутентифицироваться для доступа к автомобилям, домашним бытовым приборам и практически ко всем составляющим нашего окружения.
Другой возможный способ взлома заключается в использовании правильной аутентификации. Хакер, который наблюдает за компьютером пользователя, может дождаться, когда тот начнет заходить на веб-сайт банка, после чего подменит картинку на экране и перенаправит перевод по другому адресу. Это называется атакой с применением технологии «незаконного посредника». Метод работает даже в том случае, если банк вводит двухфакторную аутентификацию.
Чтобы защитить себя и своих клиентов от таких атак, банк отслеживает систему на предмет взломанных счетов, после чего применяет раздельную (дифференциальную) аутентификацию. Одним из признаков атаки может стать банковское извещение о попытке перевода $50 000 на неизвестный счет в Румынии. Сообщение поступает до завершения перевода для проверки информации. Эмитент кредитной карты может пометить и задержать для проверки крупные покупки без физического участия «пластика» или любое приобретение подарочных сертификатов. Некоторые банки через специальное приложение в смартфоне отслеживают перемещение пользователя и блокируют операции, сделанные в нетипичном для него месте. Что касается корпоративных сетей, то существует целая индустрия продуктов, которые мониторят сеть в поисках признаков успешного взлома. Качество этих продуктов разное, и здесь мы тоже наблюдаем «гонку вооружений» между теми, кто атакует, и теми, кто держит оборону.
24
Деятельность компании Meta Platforms, Inc. (в т. ч. по реализации сетей Facebook и Instagram) запрещена в Российской Федерации как экстремистская. –
25
Деятельность компании Meta Platforms, Inc. (в т. ч. по реализации сетей Facebook и Instagram) запрещена в Российской Федерации как экстремистская. –
26
Деятельность компании Meta Platforms, Inc. (в т. ч. по реализации сетей Facebook и Instagram) запрещена в Российской Федерации как экстремистская. –
27
Деятельность компании Meta Platforms, Inc. (в т. ч. по реализации сетей Facebook и Instagram) запрещена в Российской Федерации как экстремистская. –