MeldID lisas paanikarezhiimi: mis juhtub, kui kontole enam ei saa usaldada ligipääsu

Varem avaldatud artiklis MeldID kohta kirjutasin, kuidas süsteem töötab tavarežiimis: see salvestab hallatavat profiili, aitab sisse logida ühendatud teenustesse, sünkroniseerib TOTP-kirjeid seadmete vahel ning võimaldab kinnitada uusi autorisatsioone mobiilirakenduse kaudu.

Kuid iga identimissüsteemil on ka stsenaarium, millest tavaliselt liiga hilja meelde tullakse: mida teha, kui kasutaja enam ei usalda praegust juurdepääsiseisundit oma kontole?

Ei ole vaja juba teada, et toimus kompromiteerimine. Mõnikord piisab ootamatust parooli taastamisest, tundmatust sessioonist või sisselogimisest seadmel, mida kasutaja ei tunne ära.

Just selliste olukordade jaoks on MeldID-l nüüd kaks uhiuut mehhanismi: viivitatud parooli muutmine ja paanikarežiim.

Esiteks on oluline mõista, kuidas MeldID parool töötab

MeldID-s ei valitse kasutaja parooli ise – seda genereerib süsteem. See välistab nõrgad ja etteaimatavad kombinatsioonid, parooli korduva kasutamise ning teised probleemid, mis on seotud kasutaja poolt ise valitud parooliga.

Samas ei saadeta kehtivat parooli kasutajale e-postiga. E-posti ei ole võimalik saada olemasolevat MeldID parooli.

Värske taastamisprotseduur ei näita vanu paroole. See võimaldab vaid käivitada uue loomise.

Seega võib kompromiteeritud e-post anda teise ohukonu: kasutaja, kellel on juurdepääs postkastile, ei tea MeldID kehtivat parooli, kuid võib proovida taastamisprotseduuri ja määrata uue parooli.

Selle stsenaariumi tõttu otsustatigi muuta taastamislõiku: võeti kasutusele viivitatud parooli muutmine ja paanikarežiim.

Alguses on oluline mõista, kuidas MeldID parool töötab

MeldID-s ei loo kasutaja parooli ise – seda genereerib süsteem. See välistab nõrgad ja etteaimatavad paroolid ning parooli ülekordamise probleemid.

Kehtiv parool ei saadeta kasutajale e-kirjaga. E-post ei ole võimalik saada olemasolevat MeldID parooli.

Taastamisprotseduur ei näita vanu paroole. See võimaldab ainult alustada uue loomist.

Seetõttu võib e-posti kompromiteerimine tuua hoopis teise ohukonu: keegi, kes on juurdepääsu e-postile saanud, ei tea MeldID kehtivat parooli, kuid võib proovida taastamisprotseduuri uue parooli saamiseks.

Selle stsenaariumi tõttu uuendatigi taastamise loogikat ja kasutusele võeti viivitatud parooli muutmine ning paanikarežiim.

Nüüd ei muutu parool enam kohe

Tavapärases taastamisprotseduuris toimub kõik peaaegu viivitamatult. Kasutaja esitab uue parooli taotluse, saab kirja ning lõpetab protsessi.

See on mugav seni, kuni e-kirja kontrollib ainult kasutaja ise. Kui keegi teine siiski sellele ligi pääseb, muudab see hetkega taastamise postkastiks, mis viib otseselt seotud kontole.

MeldID-s muutub uue parooli taotlus esmalt hoiatuseks, mitte kohevahetuseks vana parooli asemel. Kasutaja saab teavituse proovitud taastamisest ja sellele järgneb ootamisaeg.

Selle perioodi pikkus võib muutuda, kuid põhimõte jääb samaks: aega on varuks, et olukorda hinnata.

Vana parool säilitab selle töökindluse, mistõttu taastamisnõue ise ei tähenda, et kontroll kontole oleks juba kellegi teise käes.

Kui rakendus pole saadaval

On oluline stsenaarium, mida võib kergesti unustada. Kasutaja võib ise parooli taastada, kuid tal ei ole juurdepääsu MeldID rakendusele: telefon on kaotatud, katki või töölehetsalt välja lülitatud.

Selles olukorras on taastamine endiselt võimalik. Pärast ootamisaega jõuab uus parool automaatselt kehtima. Mobiilirakendus ei ole taastamisprotseduuris esmaseks nõudeks.

Seega, kui kasutaja on ise parooli muutnud ja ei saa rakendusest praegu ligi, ei pea ta hakkama protsessi uuesti. Piisab oodata selle lõppu ning sisse logida uue parooliga.

Kui rakendus on saadaval, on võimalusi rohkem: kasutaja saab kohe uue parooli aktiveerida või kahtlase taotluse tühistada. Kui rakendust ei ole, jätkub viivitusega taastamine automaatselt.

Kasutaja otsustab ise, mida edasi teha

Kui taastamine on tõesti algatatud kontoomanikult ning rakendus on käepärast, võib ta MeldID avada ja uue parooli otse aktiveerida, ootamata ettenähtud perioodi lõppu.

Kui taotlus oli ootamatu, võib selle tühistada rakenduses. Sel juhul ei muutu uus parool kehtivaks ning vanaaegne säilib.

See on minu jaoks oluline muudatus taastamise põhiloogikas: süsteem ei arva, et iga e-posti teel algatatud taotlus on automaatselt õige. See jätab kontoomanikul võimaluse sekkuda ja teha otsus usaldusväärse mobiilirakenduse kaudu.

Kujutagem olukorda: kasutaja saab teate parooli muutmise kohta, kuigi ta ise seda ei taotlenud. Ta tühistab toimingu rakenduses ning uurib seejärel e-posti, kontrollib seadmeid ja otsib põhjuslikke näitajaid kahtlase tegevuse kohta.

MeldID ei saa taastada kontrolli kompromiteeritud postkasti üle, kuid saab takistada selle kompromiteerimist viivitamatult uue peaparooli määramisel.

Paanikarežiim tühistab aktiivsed ligipääsud

Viivitusega parooli muutmine aitab ooteaega võita. Paanikarežiim on mõeldud olukorraks, kus sellest pole enam kasu ning kasutaja soovib koheselt katkestada kõik varasemad ligipääsud kontole.

See käivitub mobiilirakendusest ühe klõpsuga.

Pärast aktiveerimist tühistab süsteem kehtivad tokenid ehk pääsusildid, mille alusel rakendused ja veebilehed kasutaja juba autoriseerisid. Samuti lõpetab aktiivsed sessioonid mobiilirakendustes ning veebi kasutades seotud kontoga.

See tähendab, et lõpetatakse mitte ainult praegune seanss telefonis, vaid ka teistel nutitelefonidel, tahvelarvutitel ja brauserites, kus sisse logiti varem.

Režiim kehtib määratud ajaperioodi jooksul. Selle pikkus võib muutuda, seega ei loe kõige rohkem aeg, vaid põhimõte, et olemasolevad ligipääsud tühistatakse ning kasutajal on turvatud aeg olukorra kontrollimiseks.

Paanikarežiim ei kustuta andmeid

Režiimi nimi võib kõlada radikaalselt, kuid siin on oluline selgitada, mida see ei tee.

Paanikarežiim ei kustuta TOTP-kirjeid, salvestatud profiili, seadeid ega muid kasutaja andmeid. See ei puhasta kontu sisu ega muuda seda tühjaks.

Muudub juurdepääsiseisund: kehtivad tokenid tühistatakse ja aktiivsed seansid lõpetatakse. Kui kontot taastatakse normaalseks, jäävad salvestatud andmed alles ning neid ei pea uuesti sisestama.

See on philosophiliselt oluline erinevus hädaolukorra juurdepääsu katkestamise ja konto sisu hävitamise vahel. Kasutaja saab lõpetada olemasolevad ühendused, kartmata, et need järgmisega kaovad või seaded muutuvad.

Mida juhtub parooliga paanikarežiimis

Paanikarežiimil on veel üks oluline reegel: see lükkab kõik lõpetamata parooli muutmise katsed edasi.

Olgu uus parool taotluse koht või juba režiimi ajal tehtud: taotlus ei saa automaatselt lõppeda režiimist väljudes.

Pärast paanikast väljumist jääb kehtima see parool, mis oli kehtiv enne režiimi aktiveerimist.

See on teadlik otsus.

Tavapärane taastamisprotseduur on välja kujunenud selliselt, et kontoomanik saab MeldID rakenduses näha kahtlase taotluse ja selle enne uue parooli kehtima hakkamist tühistada.

Kuid paanikarežiimis ei saa sellele loole enam toetuda.

Kujutame ette, et kasutaja märkab kahtlast tegevust ja aktiveerib kaitserežiimi. Kui taaskord lubada tavapärast taastamisaega jätkata, võib pahatahtlik isik proovida paanika ajal taotleda uut parooli. Kui ootamisaeg lõpeb enne režiimi lõppu, võib uus parool juba enne kontoomaniku nõu taasalustada tööd.

Saab tekkinud paradoks: kasutaja aktiveerib tugeva kaitse, kuid just selle perioodi jooksul lubab süsteem muuta parooli ilma, et ta saaks võimalust tühistada seda tavaravimismeetodi abil.

Näiteks ei sea paanikarežiim taastamist pausile, et seda saaks hiljem edasi jätkata. See katkestab lõpetamata protsessi.

Kaasaegsed taastamisnõuded, mis olid režiimi aktiveerimisel veel töös, ei saa paari meilivoolu tõttu mõjutada parooli muutmist ning ei saa innovatiivsete taastamismeetmetega kokkupuutuda.

Nii ei kannata lõpetamata taastamise protsess üle paanikarežiimi piiri.

Kui kasutaja tahab ise enne parooli muuta

Paanikarežiim ei piira kontoomanikku tegevuste järjekorda.

Kui kasutaja kontrollib MeldID rakendust ja arvab, et parool tuleb samuti vahetada, saab ta esmalt alustada parooli muutmist ning kinnitada uue parooli otse rakenduses.

Selle tulemusena lõppeb parooli muutmine enne paanikarežiimi aktiveerimist.

Seejärel aktiveerib kasutaja juba uue kehtiva parooli režiimi. Just see parool jääb alles paanikarežiimi lõppedes.

Teine võimalus on: esmalt aktiveerida paanikarežiim, uurida kahtlase tegevuse põhjust ning pärast seda vajadusel uuesti alustada parooli vahetamise protsessi.

Mehhanismi eesmärk ei ole sundida kasutaja toimima ainult ühes järjekorras. Põhireegel on teine: lõpetamata parooli muutmine ei tohi üle elada paanikarežiimi.

Paanikarežiim annab aega taasalustada kontrolli e-posti üle

Eksisteerib stsenaarium, mille jaoks see mehhanism on eriti oluline: kasutaja arvab, et probleem ei ole MeldID-s ega tema telefonis, vaid e-kirjas.

Just e-kiri kasutatakse taastamise kanalina. Seega on kompromiteeritud e-post ohtlik, isegi kui kehtiv parool MeldID-s jääb kolmandale isikule teadmata.

Sellises olukorras võib kasutaja aktiveerida paanikarežiimi ning suunduda otseselt probleemi allikasse: taastada juurdepääs e-posti kontole, muuta paroole, lõpetada tundmatud sessioonid ning kontrollida turvaseadeid.

Paiknedes paanikarežiimis, ei võimalda MeldID taastamismehhanismil luua uut kehtivat parooli.

Kui keegi on juba enne paanikarežiimi aktiveerimist taotlenud taastamist, ei tee see katki režiimi. Kui uus taotlus ilmub paanika ajal, sama kehtib.

See loob turvalise ajutise akna: kehtivad pääsud MeldID-st on tühistatud, kompromiteeritud e-posti kontot ei saa kasutada uue peaparooli loomiseks ning kasutajal on aega taastada kontroll oma postkasti.

Pärast režiimi lõppu jääb kehtima vana parool. Kui kontroll e-posti aadressil ning muud märgid probleemidest on korras, saab kasutaja jälle normaalselt kontoga kasutada.

Kui ta soovib pärast kontrolli muuta parooli, saab seda teha eraldi.

Miks võib paanikarežiimi aktiveerida palju põhjusi

Režimi aktiveerimiseks ei ole tarvis kõigepealt tõestada, et on toimunud tungis (rünnak).

Telefon võis sattuda võõraste kätte. Seadmete nimekirja võis ilmuda tundmatu sessioon. Kasutaja võis saada ootamatu teate sisse logimisest või taastamisest. Mõnikord tekib kahtlus mitte ühe ilme sündmuse, vaid väikese näitaja kogumise tõttu.

Sellistes olukordades ei ole alati vaja enne esimese kaitsemeetme rakendamist uurida olukorda põhjalikult. Mõnikord on mõistlik kõigepealt ajutiselt tühistada aktiivsed ligipääsud ning seejärel üksikasju kontrollida.

MeldID järgib lihtsat loogikat: kui kasutaja usub, et olukord on ohtlik ning tal on usaldusväärne rakendus, peab tal olema võimalik kohe rakendust käivitada. Süsteem ei nõua kõigepealt rünnakut tõestada.

Miks üks parool ei pruugi olla piisav

Parool on vaid üks osa autoriseerimisest. Kui kuskil juba kehtib aktiivne sessioon või on väljastatud pääsukäsk, siis ühe parooli muutmine ei taga automaatselt kaugemate ligipääsude tühistamist.

Seetõttu töötab paanikarežiim laiemalt. Ta ei muuda ainult ühte kasutaja kontoh. See paneb kogu konto erirežiimi.

1. aktiivsed sessioonid ja tokenid tühistatakse;

2. eelmise paanika ajal algatatud parooli lõpetamise katsed lõppevad;

3. pääsutaotlused, mis tehakse režiimi ajal, ei mõjuta parooli pärast seda;

4. kontole sisse logitud parool jääb kehtima režiimi ajal;

5. kasutaja saab aega kontrollida e-posti, seadeid ning muud potencialset probleemi;

6. režiimist väljunud, naaseb konto tavarežiimi või vahetab vajadusel parooli uuesti.

See ei ole kiirabimeetodid, vaid pigem erakorraline juhtumiskava olukordades, kus usaldus juurdepääsiseisundi suhtes on ajutiselt kaotanud.

Mobiilirakendus kui usalduspunkt

Uued funktsioonid on saadaval MeldID rakendustes iPhone ja Android. Selles arhitektuuris saab telefonist mitte ainult veel ühe autentimisseadme, vaid usaldusväärse turvajuhtimispunkti kontole.

Rakenduse kaudu saab:

• kinnitada viivitusega parooli muutmine;

• tühistada kahtlase taotluse;

• aktiveerida paanikarežiimi;

• lõpetada aktiivsed seansid erinevates seadmetes;

• otsustada, mida edasi kontoga teha.

Samas mobiilirakendus ei asenda TOTP-d ega teisiti kaitseviise. See pakub eraldi juhtimiskanalit olukordadeks, kus tavaline autentimine ei ole piisav usalduse saavutamiseks.

Kus toimub MeldID kaitselõng

Oluline on jagada MeldID turvalisust ning keskkonna turvalisust, kus seda kasutatakse.

MeldID on üles ehitatud nii, et teenus ise ei loo tavalist kanalit kehtiva parooli saamiseks. Parool genereeritakse süsteemis, mitte kasutaja poolt ning seda ei edastata e-kirjaga. Taastamine ei näita olemasolevat parooli, vaid käivitab uue loomise protseduuri.

Kuid kasutaja võib ikkagi ise salvestatud andmeid avaldada, kas siis teistele osapooltele või kohas, kuhu neid ei peaks sisestama.

Eraldi tasemel on seadme ning selle operatsioonisüsteemi turvalisus. Mobiilirakendus töötab iOS-i ning Android-i kaitsemehhanismides ning ei saa asendada platvormi enda turvalisust.

Seega keskendub MeldID riskidele, mida saab juhtida enda poolelt: kasutusandmete genereerimine, autoriseerimine, tokenid, sessioonid ning taastamise või võimalikku kompromiteerimist märkavate olukordade reageerimine.

Sisenemisest reageerimiseni

Kui hakkasin MeldID-ga tutvuma, siis võis seda kirjeldada kui ühtse identimise ja profiili haldussüsteemi. Pärast mobiilirakenduste väljatulekut ning uute kaitsemehhanismide ilmumist on see määratlus liiga kitsas saanud.

Nüüd vastab süsteem mitte ainult küsimusele «kuidas sisse logida?», vaid ka keerulisematele küsimustele:

• mis teha ootamatul taastamisalal;

• kuidas taastada konto ilma rakendusele ligipääsuta;

• kuidas saada aega kontrolli tegemiseks enne uue parooli aktiveerimist;

• kuidas tühistada taastamisprojekt, mis algatatud mitte omaniku poolt;

• kuidas tühistada aktiivsed seansid;

• kuidas takistada kompromiteeritud e-posti muutmast parooli hädaolukorras;

• kuidas taastada kontroll välise taastamiskanali üle;

• kuidas säilitada kasutaja andmeid, kui kõik aktiivsed ligipääsud lõpetatakse;

• kuidas taasühendada ja taastada normaalne töö pärast olukorra kontrollimist.

Lõpptulemus on järjepidev kaitsemudel.

Kehtiv parool MeldID-st ei edastata taastamiskanali kaudu. E-postile juurdepääs ise ei näita seda, kuid võib võimaldada käivitada uue parooli loomise protseduuri. Seetõttu on taastamine viivitusega ning seda saab tühistada usaldusväärse rakendusega.

Kui see veel ei ole piisav, katkestab paanikarežiim aktiivse seansi, tühistab tokenid ning ei luba lõpetamata taastamisprotseduuril läbida kaitseperioodi.

Kasutaja saab teada, mida ta tõeliselt vajab: aega.

Aega kontrollida e-posti, seadmeid ning uurida juhtunut ning alles siis taas avada normaalne kontoühendus.

Just seepärast ei ole MeldID paanikarežiim mitte lihtsalt vahend «välja logimiseks kõikjalt», vaid eraldi reageerimissüsteem olukordadele, kus tavapärane autoriseerimine ei ole enam usaldusväärne ning enne usalduse taastamist on vaja olukord taasalustada.

Rohkem infot projekti kohta aadressil: meldid.de.