От MFA к ZTA: короткие ключи и контекст устройства вместо статичного фактора
От MFA к ZTA: короткие ключи и контекст устройства вместо статичного фактора На этой неделе продолжим говорить о лучших практиках ИБ. MFA прочно вошла в базовый набор защиты. Но чем чаще ее внедряют, тем яснее, что она закрывает не все сценарии. Мы глубоко изучили эту тему и сегодня поделимся, где MFA дает сбой и что должно работать рядом с ней. Многофакторная аутентификация — очень действенная мера. Одноразовый код, который меняется каждые 30 секунд или приходит в SMS, ссылка, доступная только владельцу адреса электронной почты или конкретного мобильного устройства, биометрические данные — все это усиливает защиту даже слабых паролей. Однако есть ситуации, где MFA не спасает. Сценарий 1. Кража сессии После аутентификации обычно вырабатывается сессионный ключ, который работает как пароль внутри сессии, без дополнительных факторов. Подобрать его крайне сложно, но можно похитить. Такая «ворованная» сессия позволяет нарушителю получить доступ без знания паролей и дополнительных факторов. Сценарий 2. Технологические доступы Похожая ситуация с технологическими доступами, когда ключ доступа к системе использует другая система. Здесь используются только пароли — сложные и долгоживущие. Они почти никогда не меняются, а значит, рано или поздно могут быть подобраны. Решение: короткий срок жизни ключа и защита канала связи В обоих случаях срок жизни «золотого ключика» определяет окно доверия: чем оно короче, тем быстрее ключ станет бесполезным, «превратится в тыкву». Канал связи при этом должен быть защищён от прослушивания и вмешательства, по нему не должен передаваться сам ключ, и он должен быть защищён от подмены данных — любой системой обеспечения целостности, например асимметричными криптографическими методами. Именно так в Getmobit Smart System реализована безопасность подключения конечных устройств, которые могут находиться в максимально незащищённой среде — сети Интернет. Одноразовые коды и электронная подпись на основе RSA, TLS-шифрование и пиннинг сертификатов защищают от «атаки посредника». Всё это не исключает использование дополнительного фактора аутентификации, но делает его «третьим», необязательным. Или даже «четвёртым», потому что в качестве «третьего» фактора выступает контекст устройства: местоположение, временные окна, сетевое окружение и так далее. Как и требуют постулаты внедрённой архитектуры нулевого доверия. MFA защищает от компрометации пароля, но не закрывает кражу сессии, долгоживущие технологические ключи и атаки на канал связи. Решение — в короткоживущих одноразовых ключах, криптографической защите канала и учёте контекста устройства. Именно на этих принципах мы строим ZTA в Getmobit. Хотите разобрать ваш сценарий — обращайтесь: sales@getmobit.ru или пишите в комментариях. #GETMOBIT #MFA #ZTA #безопасность #zerotrust #аутентификация