MeldID pridėjo panikos režimą: kas vyksta, kai nebegalima pasitikėti prieigos prie paskyros

Ankstesniame straipsnyje apie MeldID kalbėjau apie tai, kaip sistema veikia įprastu režimu: saugo valdomą profilį, padeda prisijungti prie prisijungusių paslaugų, sinchronizuoja TOTP įrašus tarp įrenginių ir leidžia patvirtinti naujas autorizacijas per mobilųjį programėlę.

Tačiau bet kuriame identifikacijos sistemoje yra scenarijus, apie kurį paprastai per vėlai prisimename: ką daryti, jei naudotojas nebesutikia dabartinės prieigos prie savo paskyros?

Tam nereikia net turėti žinių apie įsilaužimą. Kartais pakanka netikėto el. laiško apie slaptažodžio atstatymą, nežinomą sesiją ar prisijungimą iš įrenginio, kurio savininkas neatpažįsta.

Būtent tokioms situacijoms MeldID buvo pradėta naudoti du nauji mechanizmai: vėlyvas slaptažodžio keitimas ir panikos režimas.

Vis pirmiausia svarbu suprasti, kaip veikia MeldID slaptažodis

V MeldID naudotojas nesigalvoja slaptažodžio pats – jį generuoja sistema. Tai leidžia iš karto pašalinti silpnus ir prognozuojamus derinius, pasikartojantį įprasto slaptažodžio naudojimą ir kitas su pasirinkimu susijusias problemas.

Tokiu būdu galiojantysis slaptažodis nesiunčiamas vartotojui el. paštu. Pašto dėžutė nėra vieta, iš kurios galima gauti esamą MeldID slaptažodį.

Atstatymo procedūra taip pat neatskleidžia senojo slaptažodžio. Ji leidžia pradėti kurti naują.

Taigi, kompromituota el. paštas kelia kitą grėsmę: asmuo, turintis prieigą prie pašto dėžutės, nesužinos galiojančio MeldID slaptažodžio, bet gali bandyti naudotis atstatymo procedūra ir nustatyti naują slaptažodį.

Šis scenarijus ir paskatino pakeisti loginę pačio atstatymo logiką.

Dabar slaptažodis nesikeičia iškart

Įprastas atstatymo scenarijus vyksta beveik akimirksniu. Naudotojas pateikia prašymą naujam slaptažodžiui, gauna laišką ir užbaigia procedūrą.

Kol el. paštas vis dar kontroliuojamas savininko, tai patogu. Bet jei prieiga prie jo suteikta kitų asmenų, greitas atstatymas paverčia pašto dėžutę tiesioginiu keliu į susijusią paskyrą.

GudID prašymas sukurti naują slaptažodį pradžioje yra įspėjimas, o ne iškart pakeitimas. Naudotojas gauna informaciją apie bandymą atkurti ir pradeda nustatytą laukimo laikotarpį.

Trukmė gali keistis, bet pagrindas lieka tas pats: tarp prašymo ir faktinio naujo slaptažodio aktyvavimo yra laikas situacijai įvertinti.

Šiuo metu galiojantysis slaptažodis išlieka galiojantis. Todėl vien tai, kad pradėtas atstatymas, dar nereiškia, jog kontrolė nad paskyros perėjo kitam asmeniui.

Jei programėlė nėra pasiekiama

Yra svarbus scenarijus, kuris lengvai gali būti nepastebėtas: naudotojas gali pats atstatyti slaptažodį, bet neturėti prieigos prie MeldID programėlės: pametė telefoną, jis sulūžo, išsikrovė ar laikinai nepasiekiamas.

Tokiu atveju atstatymas vis tiek gali būti užbaigtas. Pasibaigus nustatytam laukimo laikui, naujas slaptažodis automatiškai įsigalios. Mobilioji programėlė nėra būtinai reikalinga standartinei atstatymo procedūrai.

Todėl žmogui, kuris pats pradėjo slaptažodžio keitimo procesą ir dabar negali atidaryti programėlės, nereikia pradėti iš naujo. Pakanka palaukti, kol procedūra baigsis, ir prisijungti nauju slaptažodžiu.

Jei programėlė pasiekiama, galimybės didesnės: naudotojas gali nedelsiant aktyvuoti naują slaptažodį arba atšaukti įtarimą keliančią užklausą. Jei prieigos prie programėlės nėra, veikia standartinis vėlavimo atkūrimas.

Naudotojas pats nusprendžia toliau veikti

Jei tikrai buvo pradėtas atstatymas iš paskyros savininko, ir jis turi programėlę po ranka, jis gali atidaryti MeldID ir iškart aktyvuoti naują slaptažodį, nesulaukęs nustatyto laukimo laikotarpio pabaigos.

Jei prašymas buvo netikėtas, jis gali būti atšauktas programėlėje. Tokiu atveju naujas slaptažodis netampa galiojančiu, o senasis lieka aktyvus.

Ši svarbi pokyčio dalis – pati atstatymo logika. Sistema nepripažįsta kiekvieno prašymo kaip teisėto tik todėl, kad jis buvo išsiųstas el. paštu. Ji leidžia paskyros savininkui įsikišti ir priimti sprendimą per patikimą mobiliąją programėlę.

Įsivaizduokime įprastą situaciją: žmogus gauna pranešimą apie slaptažodžio keitimą, nors pats nieko neprašė. Jis atšaukia operaciją programėlėje, tada pradeda tikrinti el. paštą, įrenginius ir ieško įtartinos veiklos priežasčių.

MeldID negali atkurti kontrolės nad kompromituota pašto dėžute. Bet jis gali neleisti kompromitacijos pasekmėms greitai sukelti naujo slaptažodžio nustatymo paskyroje.

Panikos režimas atšaukia aktyvias prieigas

Vėlyvas slaptažodžio keitimas padeda įgyti laiko. Panikos režimas skirtas situacijai, kai to jau nepakanka ir naudotojas nori nedelsiant nutraukti anksčiau suteiktų prieigų prie paskyros veiklą.

Jis įjungiamas mobiliąją programėlę viena operacija.

Paleidus, sistema atšaukia galiojančius tokenus – prieigos raktus, iš kurių programėlės ir svetainės nustato, kad naudotojas jau autorizuotas. Taip pat nutraukiamos esamos sesijos mobiliuosiuose klientuose ir svetainėse, susijusiose su šia paskyra.

Tai reiškia, kad nutraukiama ne tik dabartinė sesija telefone. Autorizacija atšaukiama ir kituose išmaniuosiuose telefonuose, planšetėse, naršyklėse ir prijungtuose programėlėse, kuriose anksčiau buvo įėjimas.

Režimas veikia nustatytą laiką. Jo trukmė gali kisti, todėl svarbus ne konkretus laikas, o pats principas: egzistuojanti prieiga nutraukiama, o naudotojui suteikiama apsaugota laiko patikrinti situaciją.

Panika nepašalina duomenų

Pavadinimas gali skambėti radikalus, todėl čia svarbu atskirai paaiškinti, ko jis nedaro.

Panikos režimas neištrina TOTP įrašų, saugotino profilio, nustatymų ar kitų naudotojo duomenų. Jis nevalo paskyros turinio ir nepadaro jos tuščios.

Pakeičia tik prieigos būseną: galiojantys tokenai invaliduojami, o atsidariusios sesijos nutraukiamos. Po grįžimo į normalų režimą išsaugoti duomenys lieka vietoje ir nėra prarandami.

Tai esminė skirtumas tarp neatidėliotino prieigos nutraukimo ir paskyros duomenų naikinimo. Naudotojas gali uždaryti esamus ryšius be baimės, kad įsijungs ir duomenys ar nustatymai išnyks.

Kas vyksta slaptažodžio keitimo metu panikos režimu

Panikos režimui taikomas dar vienas svarbus reguliavimas: jis nutraukia visas nepabaigtas slaptažodžio keitimo užklausas.

Nepriklausomai nuo to, kada buvo pateiktas naujas slaptažodis – prieš įjungiant panikos režimą ar jo metu, toks prašymas negalės automatiškai pasibaigti, išėjus iš apsaugos režimo.

Po panikos pabaigos galioja slaptažodis, kuris buvo nustatytas iki jos pradžios.

Tai padaryta sąmoningai.

Įprasta atstatymo procedūra remiasi tuo, kad naudotojas gali pamatyti įtarimą keliančią užklausą programėlėje MeldID ir ją atšaukti, kol naujas slaptažodis įsigalios.

Per paniką tokių galimybių yra nebegalima pasinaudoti.

Įsivaizduokite, kad naudotojas pastebi įtartiną veiklą ir įjungia apsaugos režimą. Jei leisti įprastam atstatymo laikmačiui toliau veikti, įsilaužėjas galės pateikti naują slaptažodį panikos metu. Jei laukimo laikotarpis baigsis prieš pat režimo pabaigą, naujas slaptažodis galės įsigalioti dar prieš paskyros grįžimą į normalią būseną.

Gautųsi paradoksas: naudotojas įjungia stipresnę apsaugą, o būtent šiuo laikotarpiu sistema leidžia pakeisti slaptažodį, neleidžiant savininkui pasinaudoti įprasta atšaukimo galimybe programėlėje.

Taigi, panika nesustabdo atstatymo proceso, kad jį būtų galima tęsti vėliau. Ji nutraukia nepabaigtą užklausą.

Užklausos, buvusios iki panikos įjungimo, negalės pakeisti slaptažodžio jos pabaigoje. Taip pat ir tos užklausos, kurios buvo jau veikiančio režimo metu.

Taigi, jokie nepabaigti atstatymo procesai neperduodami per panikos ribą.

O jei naudotojas nori pats pirmiausia pakeisti slaptažodį

Panikos režimas neskiria naudotojo pasirinkimo sekos.

Jei prieiga prie MeldID yra naudotojo rankose, ir jis mano, kad taip pat reikia pakeisti slaptažodį, jis gali pirmiausia pradėti keisti slaptažodį ir iškart patvirtinti naują per programėlę.

Tokiu atveju pakeitimas užbaigiamas prieš įjungiant paniką.

Po to naudotojas įjungia apsaugos režimą jau su nauju galiojančiu slaptažodžiu. Būtent šis slaptažodis išliks po panikos pabaigos.

Kitas variantas – pirmiausia įjungti paniką, išsiaiškinti įtartinos veiklos priežastį ir, pasibaigus panikai, jei reikia, pradėti naują slaptažodžio keitimo procesą.

Mechanizmo tikslas nėra priversti naudotoją veikti tik viena seka. Svarbiausia taisyklė – nepabaigta slaptažodžio keitimo užklausa neturi išgyventi panikos režimo.

Panika suteikia laiko susigrąžinti kontrolę nad pašto dėžute

Yra scenarijus, kuriam šis mechanizmas yra ypač svarbus: naudotojas mano, kad problema nėra MeldID ar jo telefone, bet el. pašto dėžutėje.

Būtent paštas yra viena iš atkūrimo kanalų. Todėl kompromitavimas net ir tada, kai galiojančio slaptažodžio MeldID nežino nepažįstamas asmuo, yra pavojingas.

Tokioje situacijoje naudotojas gali įjungti panikos režimą ir tiesiogiai pradėti spręsti problemos šaltinį: atkurti prieigą prie pašto paskyros, pakeisti slaptažodį, nutraukti nesankcionuotas sesijas ir patikrinti saugumo nustatymus.

Panikos režimo metu MeldID neleidžia atlikti atkūrimo proceso naujo galiojančio slaptažodžio sukurti.

Jei kas nors jau yra pateikęs atstatymo užklausą iki panikos įjungimo, ši užklausa nebus įvykdyta. Jei naujas prašymas atsiras panikos metu, rezultatas bus tas pats.

Taip sudaromas apsaugotas laikinas langas: aktyvios prieigos MeldID jau atšauktos, galimai kompromituotas paštas negali būti panaudotas naujo slaptažodžio ruošimui iki panikos pabaigos, o savininkui suteikiama laiko susigrąžinti kontrolę nad pašto dėžute.

Po apsaugos režimo pabaigos, galioja tas pats MeldID slaptažodis, kuris buvo iki jo pradžios. Jei kontrolė nad el. pašto dėžute grįžta ir nėra kitų problemų požymių, naudotojas gali naudotis paskyra įprastu režimu.

Po patikros jis gali pasirinkti keisti ir MeldID slaptažodį, tai galima padaryti atskirai.

Priežasčių įjungti paniką gali būti daug

Panikos režimą galima įjungti be būtinybės iš karto įrodyti įsilaužimą.

Telefonas galėjo pakliūti į svetimus rankas. Išdžiūvo sekcijų sąraše atsirado nepažįstama sesija. Naudotojas galėjo gauti netikėtą įspėjimą apie prisijungimą arba atkūrimą. Kartais įtarimą sukelia ne viena aiški priežastis, o keli mažesni požymiai.

Tokiomis aplinkybėmis naudotojui ne visada būtina atlikti tyrimą prieš pirmą apsaugos veiksmą. Kartais yra protingiau laikinai atšaukti aktyvias prieigas, tada tikrinti detales.

Čia MeldID remiasi paprasta logika: jei paskyros savininkas mano, kad situacija yra pavojinga, ir turi patikimą programėlę, jis turi galėti nedelsiant įjungti apsaugos scenarijų. Sistema nereikalauja išankstinio įrodymo apie ataką.

Kodėl vien slaptažodžio keitimas gali būti nepakankamas

Slaptažodis – tik vienas iš autoriaus elementų. Jei kurioje nors vietoje jau yra galiojanti sesija arba išduotas prieigos tokenas, slaptažodžio pakeitimas pats savaime nesudaro tokio pat efekto kaip ir iš karto atšaukimas visų anksčiau išleistų prieigų.

Būtent todėl panikos režimas veikia platesniu būdu. Jis ne tik keičia vieną paskyros parametrą, bet perkelia visą paskyrą į atskirą apsaugos režimą.

Štai kaip veikia veiksmų eilutė:

1. Galiojantys sesijos ir tokenai atšaukiami;

2. Nepabaigtos slaptažodžio keitimo užklausos, pradėtos iki panikos, nutraukiamos;

3. Užklausos atkūrimui, atliktos panikos metu, nėra galimybės pakeisti slaptažodį po jos pabaigos;

4. Galioja tas slaptažodis, su kuriuo paskyra įėjo į panikos režimą;

5. Naudotojui suteikiama laiko patikrinti paštą, įrenginius ir kitus galimus šaltinius;

6. Po išėjimo iš apsaugos režimo jis grįžta į įprastinį režimą arba gali pats pakeisti slaptažodį atskirai.

Šis mechanizmas nėra keisti įprastos saugumo sistemų, o yra ypatingas avarinis scenarijus, kai laikinas pasitikėjimas dabartine prieiga yra prarastas.

Mobilioji programėlė kaip patikima vieta

Naujos funkcijos pasiekiamos MeldID programėlėse iPhone ir Android. Šiuo architektūros modeliu telefonas tampa ne tik dar vienu įrenginiu prisijungimui, bet ir patikimu paskyros saugumo valdymo tašku.

Per programėlę galima:

• patvirtinti vėlyvą slaptažodžio keitimą;

• atšaukti įtarimą keliančią užklausą;

• įjungti panikos režimą;

• nutraukti aktyvias sesijas skirtinguose įrenginiuose;

• nuspręsti, kaip toliau tvarkyti paskyrą.

Mobilioji programėlė nepakeičia TOTP ir neslepia kitų saugumo priemonių. Ji prideda atskirą valdymo kanalą situacijoms, kai įprastas prisijungimas yra nepakankamas pasitikėjimui paskyros būkle.

Kur yra MeldID apsaugos riba

Svarbu atskirti paties MeldID mechanizmo saugumą ir aplinkos, kurioje jis naudojamas, saugumą.

MeldID yra sudarytas taip, kad pats paslaugos nėra sukuriama įprasta kanalas galiojančio slaptažodžio gavimui. Slaptažodis generuojamas sistema, nėra pasirinktas naudotojo ir nėra siunčiamas el. paštu. Taip pat atkūrimo procedūra neatskleidžia esamojo slaptažodžio, o pradeda naujo kūrimo procesą.

Tačiau naudotojas vis dar gali pats atskleisti savo duomenis kitam asmeniui arba ten įvesti, kur neturėtų daryti.

Atskiras saugumo lygis yra pats įrenginys ir jo operacinė sistema. Mobilioji programėlė veikia saugumo mechanizmų viduje, kurie pateikiami iOS ir Android operacinėse sistemose, ir negali pakeisti pačios platformos saugumo.

Todėl MeldID koncentruojasi į rizikas, kurias gali valdyti pats – duomenų generavimą, autorizaciją, tokenus, sesijas, atstatymo procesus ir galimą pažeidžiamumą atkūrimo kanale.

Įvairūs veiksmai, kai įtariama pažeidžiamumas, yra sprendžiami iš Bendrovės pusės kaip galimi rizikos valdymo mechanizmai.

Nuo prisijungimo iki reagavimo

Kai pirmą kartą pažinau MeldID, galėjau jį apibūdinti kaip unifikacijos ir profilių valdymo sistemą. Tačiau po mobiliosios programėlės išleidimo ir naujų apsaugos mechanizmų atsiradimo šis aprašymas tapo pernelyg siauras.

Dabar sistema atsako ne tik į klausimą „kaip prisijungti?“, bet ir į sudėtingesnius:

• ką daryti netikėtai prisijungus atkuriant paskyrą;

• kaip atstatyti paskyrą neturint prieigos prie programėlės;

• kaip gauti laiką patikrai prieš naujo slaptažodžio įvedimą;

• kaip atšaukti atkūrimo užklausą, kuri buvo pradėta ne savininko;

• kaip atšaukti aktyvias sesijas;

• kaip neleisti kompromituotai pašto dėžutei pakeisti slaptažodį žalingame režime;

• kaip atgauti kontrolę per atkūrimo kanalą;

• kaip išlaikyti naudotojo duomenis, nutraukus visas aktyvias prieigas;

• kaip grįžti į įprastą darbą po situacijos patikrinimo.

Galutinis rezultatas – nuosekli saugumo modelis.

Galiojantysis MeldID slaptažodis nepatenka per atkūrimo kanalą. Gauti prieigą prie el. pašto pačiu savo prekėme nesuteikia galimybės jį atskleisti, tačiau gali leisti pradėti naujo slaptažodžio kūrimo procesą. Todėl atstatymas vyksta su vėlavimu ir gali būti atšauktas patikimo programėlės priemonėmis.

Jei to vis dar nepakanka, panikos režimas nutraukia aktyvias sesijas, atšaukia tokenus ir neleidžia nepabaigtam atstatymui įsigalioti įgyvendinimo laikotarpiu.

Naudotojas gauna tai, kas labai svarbu realiame incidento scenarijuje: laiką.

Laiką susigrąžinti kontrolę nad pašto dėžute, patikrinti įrenginius, išsiaiškinti įvykusį ir tik tada vėl atsidaryti normalų prieigos režimą paskyrai.

Būtent todėl MeldID panikos režimas nėra tik „išeiti visose vietose“ mygtukas. Tai atskiras reagavimo scenarijus į situaciją, kai įprastas prisijungimas jau nepakankamas ir pirmiausia reikia atkurti pasitikėjimą paskyros aplinka.

Dėl daugiau informacijos apie projektą: meldid.de.