Мы используем устройства, подключенные к Интернету, чтобы получить доступ к нашим банковским счетам, обеспечить движение наших транспортных систем, общаться с нашими коллегами, слушать музыку, выполнять важные коммерческие задачи и заказывать пиццу. Цифровая безопасность является неотъемлемой частью нашей жизни каждый день.
И по мере того, как наши ИТ-системы становятся все более сложными, возрастает вероятность уязвимостей. Все больше и больше организаций взламываются, что приводит к финансовым потерям, прерыванию цепочек поставок и мошенничеству с идентификацией.
Текущая передовая практика в архитектуре безопасных технологий, используемая крупными предприятиями и организациями, — это подход «нулевого доверия». Другими словами, ни одному человеку или системе нельзя доверять, и каждое взаимодействие проверяется через центральный объект.
К сожалению, тогда к используемой системе проверки оказывается абсолютное доверие. Таким образом, взлом этой системы дает злоумышленнику ключи от королевства. Для решения этой проблемы «децентрализация» представляет собой новую парадигму, которая устраняет любую точку уязвимости.
Наша работа исследует и разрабатывает алгоритмы, необходимые для создания эффективной децентрализованной системы проверки. Мы надеемся, что наши усилия помогут защитить цифровую идентификацию и повысить безопасность процессов проверки, на которые так полагаются многие из нас.
Никогда не доверяй, всегда проверяй
Система нулевого доверия реализует проверку на каждом возможном шаге. Каждый пользователь проверяется, и каждое его действие также проверяется перед реализацией.
Переход к этому подходу считается настолько важным, что президент США Джо Байден в прошлом году издал указ, требующий от всех организаций федерального правительства США принять архитектуру нулевого доверия. Многие коммерческие организации следуют их примеру.
Однако в среде с нулевым доверием абсолютная вера (вопреки интуиции) возлагается на систему проверки и проверки, которая в большинстве случаев представляет собой систему управления идентификацией и доступом (IAM). Это создает единый доверенный объект, который в случае нарушения дает неограниченный доступ ко всем системам организации.
Злоумышленник может использовать украденные учетные данные одного пользователя (например, имя пользователя и пароль), чтобы выдать себя за этого пользователя и делать все, что ему разрешено делать, будь то открытие дверей, авторизация определенных платежей или копирование конфиденциальных данных.
Однако, если злоумышленник получит доступ ко всей системе IAM, он сможет сделать все, на что способна система. Например, они могут предоставить себе право распоряжаться всей платежной ведомостью.
В январе компания по управлению идентификацией Okta была взломана. Okta — это служба единого входа, которая позволяет сотрудникам компании иметь один пароль для всех систем компании (поскольку крупные компании часто используют несколько систем, каждая из которых требует разных учетных данных для входа).
После взлома Okta учетные записи крупных компаний, пользующихся ее услугами, были скомпрометированы, что дало хакерам контроль над их системами. Пока системы IAM являются центральной точкой управления организациями, они будут оставаться привлекательной мишенью для злоумышленников.
Децентрализация доверия
В нашей последней работе мы усовершенствовали и проверили алгоритмы, которые можно использовать для создания децентрализованной системы проверки, что значительно усложнит взлом. Наш отраслевой партнер, TIDE , разработал прототип системы с использованием проверенных алгоритмов.
В настоящее время, когда пользователь создает учетную запись в системе IAM, он выбирает пароль, который система должна зашифровать и сохранить для последующего использования. Но даже в зашифрованном виде сохраненные пароли являются привлекательными целями. И хотя многофакторная аутентификация полезна для подтверждения личности пользователя, ее можно обойти.
Если бы пароли можно было проверять без необходимости хранить в таком виде, у злоумышленников больше не было бы четкой цели. Вот тут-то и начинается децентрализация.
Вместо того, чтобы доверять одному центральному объекту, децентрализация доверяет сети в целом, и эта сеть может существовать вне системы IAM, использующей ее. Математическая структура алгоритмов, лежащих в основе децентрализованного управления, гарантирует, что ни один узел не сможет действовать в одиночку.
Более того, каждый узел в сети может управляться независимой действующей организацией, такой как банк, телекоммуникационная компания или правительственные учреждения. Таким образом, для кражи одного секрета потребуется взломать несколько независимых узлов.
Даже в случае взлома системы IAM злоумышленник получит доступ только к некоторым пользовательским данным, а не ко всей системе. И чтобы присвоить себе власть над всей организацией, им нужно взломать комбинацию из 14 независимо работающих узлов. Это не невозможно, но это намного сложнее.
Но красивой математики и проверенных алгоритмов по-прежнему недостаточно, чтобы сделать систему пригодной для использования. Предстоит проделать большую работу, прежде чем мы сможем превратить децентрализованную власть из концепции в функционирующую сеть, которая обеспечит безопасность наших учетных записей.
