Многие эксперты призывают к полному отказу от использования паролей, признавая однако, что технологии, которая позволила бы в полной мере заменить их, сегодня просто не существует

Группа хакеров, сумевшая завладеть более чем миллиардом украденных паролей, наглядно продемонстрировала, почему при организации безопасного доступа к веб-сайтам и корпоративным сетям у бизнеса нет другого выбора, кроме альтернативных способов аутентификации.

Собрав имена и пароли пользователей с 420 тыс. сайтов, злоумышленники в очередной раз доказали: защита исключительно с помощью паролей окончательно себя исчерпала.

«Мы настоятельно рекомендуем всем нашим клиентам использовать для получения удаленного доступа двухфакторную аутентификацию», – заявил Дэйв Дальва, вице-президент компании Stroz Friedberg, специализирующейся на консультациях по вопросам рисков в области информационной безопасности.

Многие эксперты призывают к полному отказу от использования паролей, признавая однако, что технологии, которая позволила бы в полной мере заменить их, сегодня просто не существует.

«На протяжении многих лет люди призывают покончить с паролями, – отметил вице-президент компании Security Compass Роит Сети. – Но сколько бы брешей не возникало и не выявлялось, пароли были и остаются самой простой и удобной формой аутентификации для разработчиков программного обеспечения».

Тем не менее, внедрение других средств безопасности имеет очень  большое  значение.

«Только за два последних месяца около 150 наших студентов и преподавателей пострадали от кражи учетных записей и  компрометации  компьютеров в ходе атак фишинга», – сообщил заместитель ректора университета Северной Каролины Марк Хойт.

Изощренные попытки выудить у жертв информацию, необходимую для подключения к их учетным записям, вынудили руководство учебного заведения ввести обязательную двухфакторную аутентификацию для любого пользователя, подключающегося к университетской сети.

«Специалисты по безопасности доложили мне, что принятые меры помогли снизить эффективность атак фишинга на 90-95%», – подчеркнул Хойт.

Сегодня аутентификация такого рода предусматривает отправку на мобильный телефон пользователя разового PIN-кода. Крупные интернет-сайты предлагают такой вариант в качестве дополнительных мер безопасности. Ожидается, что их примеру вскоре последуют и небольшие компании.

«Тенденция предоставления желающим двухфакторной аутентификации продолжает укрепляться», – отметил Сети.

Эксперты полагают, что в долгосрочной перспективе в качестве второй формы аутентификации будут выступать биометрические параметры. Сканеры отпечатков пальцев уже присутствуют в Apple iPhone и некоторых телефонах Android.

Биометрические технологии, обеспечивающие улучшенную идентификацию личности, со временем обещают вытеснить пароли. В качестве примера здесь можно привести браслеты, посылающие уникальный сигнал электрокардиограммы для разблокирования устройства или приложения.

Технологиям подобного рода нужно время, для того чтобы они достигли требуемого уровня устойчивости и простоты использования. Но, по мнению экспертов, потребность в альтернативе паролям достаточно велика для того, чтобы соответствующие технологии получили самое широкое распространение уже в обозримом будущем.

«Человек, который предложит удачное решение,  сделающее  пароли ненужными, имеет все шансы стать миллиардером», – подчеркнул Дальва.

По мнению Ральфа Лангнера, взяв Stuxnet за образец, злоумышленники вполне могут устроить атаки на системы, управляющие критически важной инфраструктурой гражданского назначения. Источник: Langner Communications

Осознав, что они создали первое в мире кибероружие, создатели Stuxnet предпочли заняться совершенствованием использованного ими нового способа ведения войны вместо того, чтобы нанести сокрушительный удар по иранским ядерным объектам, уверен Ральф Лангнер, глава компании The Langner Group, эксперт по автоматизированным системам управления технологическими процессами. В опубликованном им докладе Лангнер оспаривает мнение о том, что только у национальных государств достаточно ресурсов для организации кибератаки, подобной Stuxnet. Он полагает, что в дальнейшем атакующие с меньшими возможностями могли бы по образцу Stuxnet устраивать диверсии против критически важной гражданской инфраструктуры.

«Сам Stuxnet, по всей видимости, был детищем спецслужб национального государства — для его создания нужны были огромные ресурсы и большой объем разведывательной деятельности, — пишет Лангнер в статье, опубликованной в журнале Foreign Policy. — Но последующие атаки на АСУТП и другие так называемые киберфизические системы, возможно, уже будут устраиваться кем-то помельче».

Лангнер провел обратный инжиниринг кода Stuxnet и сопоставил результаты с информацией об особенностях промышленных объектов Ирана, на атаку которых вирус предположительно был нацелен, и сведениями о процессе обогащения урана.

Эксперт пришел к выводу, что проект Stuxnet включал в себя два совершенно разных деструктивных модуля. Первый, запущенный еще в 2007 году или даже раньше, был гораздо более сложным и обладал способностью нанести катастрофический ущерб путем повышения давления в центрифугах, применяемых для обогащения урана.

Второй вариант, появившийся спустя несколько лет, стал существенно проще: обладая способностью влиять на скорость вращения ротора центрифуги, вирус мог наносить повреждения, требующие замены оборудования, что привело бы лишь к постоянным задержкам в работе.

Создатели Stuxnet, который, по предположениям, был совместной разработкой спецслужб США и Израиля, со временем резко изменили стратегию, решив воспользоваться вторым вариантом вируса, считает автор.

«Атакующие имели возможность сломать жертве шею, но предпочли тактику периодического перекрытия кислорода, — пишет Лангнер. — Stuxnet стал оружием малой мощности, которое должно было уменьшить срок службы иранских центрифуг, заставив инженеров ломать голову о причинах сбоев».

По оценке Лангнера, Stuxnet, обнаруженный специалистами по безопасности в 2010 году, задержал развитие иранской ядерной программы на два года — примерно на столько же, сколько было бы потеряно, если бы атакующие сразу разрушили все действующие центрифуги.

Создатели Stuxnet, по-видимому, также были заинтересованы в получении информации о работниках иранского ядерного объекта. Вирус инфицировал их ноутбуки, пользуясь неизвестными на то время уязвимостями Windows, и сообщал своим управляющим серверам IP-адреса и иную информацию о зараженных системах.

Распространение Stuxnet по пользовательским компьютерам в конечном итоге привело к его обнаружению, полагает Лангнер. Но к тому времени атакующие уже успели увидеть широту возможностей кибероружия.

Взяв Stuxnet за образец, злоумышленники смогли бы с меньшими затратами ресурсов устраивать атаки на гораздо более доступные системы, управляющие критически важной инфраструктурой гражданского назначения, например, электростанциями или водоочистными сооружениями, полагают эксперты.

«Необходимо признать существование этого нового класса угроз и защищаться от них», — уверен Эндрю Гинтер, вице-президент по промышленной безопасности Waterfall Security Systems.

В целом Stuxnet показал, что цифровое оружие может быть действенным без принесения в жертву человеческих жизней, а также что его можно развертывать тайно и практически «за гроши», полагает Лангнер.

«Последствия вскрытия этого ящика Пандоры будут колоссальными; фактически, традиционные методы ведения войны на фоне продемонстрированных Stuxnet выглядят примитивными пережитками прошлого», — заключает он.

Возможность графической аутентификации в Windows 8 привлекла интерес специалистов по безопасности, которые увидели в ней эксперимент по борьбе со всеобщей «усталостью» от обычных паролей.

Как и обычные пароли, графические могут быть слабыми и сильными. Источник: Microsoft

Новый метод аутентификации позволяет разблокировать планшет или компьютер путем рисования пальцем или курсором мыши некоторой последовательности простых графических элементов поверх заранее выбранного изображения. Такая последовательность может состоять из любого сочетания дуг, прямых и точек.

По мнению экспертов, решение от Microsoft не лучше, чем надежный пароль, состоящий из букв, цифр и специальных символов. Но в корпорации придумали нечто более занятное, чем методы аутентификации, применяемые на Apple iPhone и устройствах на Android, считают специалисты.

С точки зрения безопасности ничего революционного эксперимент не предлагает. Тем не менее, его можно только приветствовать, учитывая, что, согласно исследованиям, люди по-прежнему далеко не всегда пользуются более надежными паролями, чем password или 123456.

«Экспериментировать в этой области крайне необходимо, — полагает Дэниэл Паласио, руководитель по развитию бизнеса компании Authy, разработчика технологии двухфакторной аутентификации. — Пароли используются уже несколько десятков лет. Людям они порядком надоели, но достойной альтернативы пока так и не появилось».

С точки зрения безопасности графические пароли имеют ряд слабых мест, делающих их неудачным выбором для предприятий. Один из очевидных недостатков — отсутствие поддержки в Microsoft Active Directory, сервисе хранения учетных записей пользователей в сетях на базе Windows.

К тому же графический пароль может «сфотографировать» вредоносная программа, работающая на зараженном компьютере, аналогично тому как клавиатурный шпион запоминает нажатия на клавиши. Кроме того, наблюдатель может с легкостью запомнить последовательность, которую вы рисуете при аутентификации на компьютере.

«Офисное пространство — худшее место для технологии, которую можно взломать, просто подсмотрев в экран через плечо, — уверен Честер Висневски, старший консультант по безопасности Sophos. — Получить доступ к чужому компьютеру после этого будет элементарно».

Как и в случае с алфавитно-цифровыми паролями, нужно придерживаться определенных правил составления графических паролей, чтобы взломщик не смог угадать вашу последовательность. Например, если вы в качестве фона выбрали картинку с очевидными примечательными объектами, угадать использованные вами элементы будет проще, полагает Корт Литл, старший архитектор по сервисам компании Solutionary.

Кроме того, графический пароль ослабляется, если рисовать слева направо и выбирать элементы логично, а не случайно.

Таким образом, как и обычные пароли, графические могут быть слабыми и сильными, поэтому придется освоить правила составления более надежных, особенно если масштаб использования новой схемы в предстоящие годы вырастет.

«Со временем и графическая аутентификация начнет создавать все большие проблемы, если люди будут выбирать пароли, которые легко угадать или подсмотреть», — считает Литл.

Известие о массовом сборе Агентством национальной безопасности США данных крупнейших онлайн-компаний может стать очередным аргументом в арсенале тех, кто выступает за ограничение осуществляемого Соединенными Штатами контроля над Интернетом.

Программа PRISM, осуществляется с 2007 года в соответствии с изменениями в законах о негласном наблюдении, введенными в период правления Джорджа Буша. Источник: Wikipedia

Газеты The Guardian и Washington Post, ссылаясь на попавший в их распоряжение секретный документ, опубликовали на своих страницах информацию о том, что АНБ получило прямой доступ к системам Google, Facebook, Apple и по крайней мере еще шести американских интернет-компаний, что позволяет ведомству собирать сведения об истории поиска, а также о содержании сообщений электронной почты, пересылаемых файлов, чатов и т. д.. Эти данные якобы собирались с целью выявления указаний на террористическую деятельность в сообщениях между людьми, пребывающими в США и за пределами страны.

Программа по сбору данных носит название PRISM и осуществляется с 2007 года. Ее реализация стала возможной благодаря изменениям в законах о негласном наблюдении, введенным в период правления Джорджа Буша. В конце прошлого года Барак Обама санкционировал продление действия этих поправок. Многие интернет-компании, с одной стороны, подтверждают, что подчиняются требованиям правительства о выдаче информации, с другой — отрицают предоставление АНБ прямого доступа к своим компьютерным системам.

Правозащитные группы называют программу колоссальной угрозой конфиденциальности и призывают внести изменения в законодательство, которые бы обеспечили более надежную защиту личной информации от прослушки. Американские власти утверждают, что программа PRISM, похоже, не нарушает законов, будучи введенной с одобрения судов и под контролем конгресса.

«Насколько я понимаю, PRISM была создана для сбора информации только о живущих за рубежом, — отметил Пол Розенцвейг, основатель Red Branch Law & Consulting, бывший заместитель помощника министра внутренней безопасности по политике. — А побочный эффект в виде получения сведений об американских гражданах должен сводиться к минимуму».

Но законность не всегда означает служение настоящим интересам граждан. Если американское правительство собирает огромные объемы информации от интернет-компаний, это может играть на руку сторонникам требований о передаче контроля над Интернетом в ведение ООН, выдвигаемых Китаем, Россией и Саудовской Аравией.

Влияние Соединенных Штатов на Интернет неизбежно, учитывая, что адреса и имена сайтов контролируются американской организацией — корпорацией ICANN.

Сообщения о PRISM появились через день после публикации The Guardian о том, что АНБ получает от Verizon миллионы детализаций вызовов, включающих номера телефонов и сведения о местонахождении беседующих, а также время и продолжительность звонков. По мнению экспертов, аналогичные данные, скорее всего, собираются и от других операторов.

О потребности органов разведки в сборе огромных объемов данных напомнил в марте Айра Хант, директор по технологиям ЦРУ. «Сбор сведений помогает нам понять, что происходит в мире, приобретать необходимые нам знания, восполнять пробелы в информации и более результативно выполнять свою работу, — заявил он на конференции Structure:Data 2013, проведенной сайтом GigaOM, — с помощью массивных вычислительных механизмов ЦРУ получает, объединяет и классифицирует, а также безопасно использует огромные объемы данных. Мы принципиально стараемся собрать все, что можно, и хранить вечно. Вечно в кавычках, естественно».

В марте журнал Wired сообщил, что АНБ строит в Юте центр обработки данных стоимостью 2 млрд долл. Его назначение — перехват, расшифровка, анализ и хранение сообщений, которые передаются по системам спутниковой связи, а также по подземным и подводным кабелям зарубежных и внутренних сетей.