MeldID dodał tryb paniki: co się dzieje, gdy nie można już ufać dostępowi do konta

W poprzednim artykule o MeldID opisywałem, jak system działa w zwykłym trybie: przechowuje zarządzany profil, pomaga w logowaniu do podłączonych usług, synchronizuje zapisy TOTP między urządzeniami i umożliwia potwierdzanie nowych autoryzacji przez aplikację mobilną.

Jednak każda metoda identyfikacji ma scenariusz, o którym zwykle przypomina się zbyt późno: co zrobić, jeśli użytkownik przestaje ufać obecnemu stanowi dostępu do swojego konta?

Nie trzeba koniecznie od razu wiedzieć, że doszło do włamania. Często wystarczy niespodziewany e-mail o zmianie hasła, nieznanej sesji lub logowaniu z urządzenia, którego właściciel nie rozpoznaje.

To właśnie dla takich sytuacji w MeldID pojawiły się dwa nowe mechanizmy: opóźniona zmiana hasła oraz tryb paniki.

Najpierw warto zrozumieć, jak działa hasło MeldID

W MeldID użytkownik nie tworzy hasła samodzielnie — generuje je system. To pozwala od razu wykluczyć słabe i przewidywalne kombinacje, ponowne użycie znanych haseł i inne problemy związane z ręcznym wyborem.

Aktualne hasło nie jest wysyłane użytkownikowi e-mailem. Skrzynka pocztowa nie służy jako miejsce do uzyskania istniejącego hasła MeldID.

Procedura odzyskiwania też nie ujawnia starego hasła. Pozwala jedynie uruchomić jego tworzenie od nowa.

Z tego powodu kompromitacja e-maila stanowi inną zagrożenie: osoba mająca dostęp do skrzynki może nie znać aktualnego hasła MeldID, ale może próbować skorzystać z procedury odzyskiwania i ustawić nowe.

To właśnie jeden z tych scenariuszy był jednym z powodów zmiany logiki odzyskiwania.

Hasło teraz nie zmienia się natychmiastowo

W zwykłym scenariuszu odzyskiwania wszystko przebiega niemal równocześnie. Użytkownik prosi o nowe hasło, otrzymuje e-mail i kończy procedurę.

To wygodne, gdy dostęp do poczty jest tylko pod kontrolą właściciela. Jednak jeśli ktoś inny uzyska do niej dostęp, natychmiastowe odzyskanie zamienia skrzynkę na bezpośrednią ścieżkę przejęcia konta.

W MeldID wniosek o nowe hasło najpierw staje się ostrzeżeniem, a nie natychmiastową zmianą. Użytkownik dostaje powiadomienie o próbie odzyskania, po czym rozpoczyna się okres oczekiwania.

Okres ten może się różnić, ale zasada pozostaje ta sama: między żądaniem a faktycznym aktywowaniem nowego hasła minie czas na weryfikację sytuacji.

Stare hasło zachowuje wtedy ważność. Sam fakt rozpoczęcia procesu odzyskiwania nie oznacza jeszcze, że kontrola nad kontem przeszła na inną osobę.

Co jeśli aplikacja jest niedostępna

Istnieje ważny scenariusz, który łatwo przeoczyć. Użytkownik może sam próbować odzyskać hasło, ale nie mieć dostępu do aplikacji MeldID: telefon jest zgubiony, uszkodzony, rozładowany albo tymczasowo niedostępny.

W takim przypadku odzyskiwanie i tak może się zakończyć. Po upływie ustalonego czasu nowe hasło automatycznie zacznie obowiązywać. Aplikacja mobilna nie jest obowiązkowym warunkiem standardowej procedury odzyskiwania.

Dlatego osoba, która sama uruchomiła zmianę hasła i teraz nie może otworzyć aplikacji, nie musi zaczynać procesu od nowa. Wystarczy poczekać na jego zakończenie i zalogować się nowym hasłem.

Jeśli aplikacja jest dostępna, możliwości są większe: użytkownik może natychmiast aktywować nowe hasło albo odwołać podejrzane żądanie. Jeśli nie ma dostępu do aplikacji, nadal działa opóźnione odzyskiwanie.

Użytkownik sam decyduje, co dalej

Jeśli odzyskiwanie rzeczywiście uruchomił właściciel konta i ma dostęp do aplikacji, może otworzyć MeldID i natychmiast aktywować nowe hasło bez czekania na koniec okresu oczekiwania.

Jeśli żądanie jest niespodziewane, można je odwołać w aplikacji. W takim przypadku nowe hasło nie stanie się obowiązujące, a stare pozostanie aktywne.

Dla mnie to ważna zmiana w samej logice odzyskiwania. System nie traktuje każdej prośby automatycznie jako poprawnej tylko dlatego, że została uruchomiona przez e-mail. Pozostawia właścicielowi konta możliwość interwencji i podjęcia decyzji przez zaufane urządzenie mobilne.

Wyobraźmy sobie zwykłą sytuację: użytkownik otrzymuje powiadomienie o zmianie hasła, choć go sam nie żądał. Odwołuje operację w aplikacji, a potem zajmuje się e-mailem, sprawdza urządzenia i szuka przyczyny podejrzanej aktywności.

MeldID nie może odzyskać kontroli nad przejętą skrzynką pocztową. Może jednak zapobiec natychmiastowemu ustawieniu nowego hasła głównego konta na skutek jej kompromitacji.

Tryb paniki wycofuje aktywne dostępy

Opóźnione żądanie zmiany hasła pomaga wygrać czas. Tryb paniki jest przeznaczony na sytuację, gdy to już nie wystarcza i użytkownik chce natychmiast przerwać działanie wcześniej wydanych dostępów do konta.

Uruchamia się go jednym kliknięciem w aplikacji mobilnej.

Po aktywacji system wycofuje obowiązujące tokeny — klucze dostępu, które aplikacje i strony internetowe wykorzystują do stwierdzenia, że użytkownik jest zalogowany. Jednocześnie kończy działanie istniejących sesji na urządzeniach mobilnych i w przeglądarkach zgodnie z tym kontem.

Oznacza to, że nie tylko kończy się sesja na telefonie. Wycofane zostają też dostęp na innych smartfonach, tabletach, przeglądarkach i powiązanych aplikacjach, na których była wykonana logowanie.

Tryb obowiązuje przez ustalony okres. Jego długość może się różnić, dlatego najważniejsza jest zasada: obecne dostępne sesje zostają przerwane, a użytkownik otrzymuje zabezpieczony czas na weryfikację sytuacji.

Tryb paniki nie usuwa danych

Nazwa tego trybu może brzmieć drastycznie, dlatego warto wyjaśnić, czego on nie robi.

Tryb paniki nie kasuje zapisów TOTP, zapisanych profili, ustawień ani innych danych użytkownika. Nie czyści zawartości konta i nie czyni go pustym.

Zmienia się jedynie status dostępu: aktywne tokeny są wycofywane, a sesje kończone. Po powrocie konta do normalnego trybu zapisane dane pozostają na miejscu i nie wymagają ponownego dodania.

To zasadnicza różnica między awaryjnym wyłączeniem dostępu a usunięciem zawartości konta. Użytkownik może odciąć istniejące połączenia, nie obawiając się, że znikną jego wpisy czy ustawienia.

Co dzieje się z hasłem podczas trybu paniki

Tryb paniki ma jeszcze jedno ważne zasady: kończy wszystkie nieukończone próby zmiany hasła.

Nie ma znaczenia, kiedy żądano nowego hasła — przed włączeniem trybu paniki czy już w trakcie jego działania. Taka prośba nie zostanie automatycznie dokończona po wyjściu z trybu ochrony.

Po zakończeniu trybu paniki obowiązuje hasło ustawione przed jego aktywacją.

To celowe rozwiązanie.

Standardowa procedura odzyskiwania zakłada, że właściciel konta może zobaczyć podejrzane żądanie w MeldID i odwołać je zanim nowe hasło zostanie aktywowane.

Podczas trybu paniki tego już nie można robić.

Wyobraźmy sobie, że użytkownik zauważył podejrzaną aktywność i uruchomił tryb ochrony. Jeśli pozwoli się na kontynuację zwykłego timera odzyskiwania, atakujący mógłby w tym czasie poprosić o nowe hasło. Jeśli oczekiwanie zakończy się wcześniej niż czas działania trybu, nowe hasło zostanie aktywowane jeszcze przed powrotem konta do normalnego stanu.

Powstałby paradoks: użytkownik włączył zwiększoną ochronę, a system w tym czasie umożliwił zmianę hasła bez wiedzy właściciela, omijając zwykłe opcje odwołania w aplikacji.

Dlatego tryb paniki nie zawiesza procesu odzyskiwania, aby je potem kontynuować. Przerywa nieukończone procedury.

Żądania złożone przed włączeniem trybu nie mogą zmienić hasła po jego zakończeniu. To samo dotyczy próśb pojawiających się już w trakcie jego działania.

W efekcie wszystko, co nie zostało skończone w trakcie odzyskiwania, nie przenosi się przez granicę trybu paniki.

A co jeśli użytkownik chce najpierw zmienić hasło?

Tryb paniki nie ogranicza własnych decyzji użytkownika.

Jeśli dostęp do aplikacji MeldID ma użytkownik i chce wymienić hasło, może najpierw uruchomić zmianę hasła i od razu zatwierdzić nowe za pomocą aplikacji.

W takim przypadku zmiana kończy się przed aktywacją trybu paniki.

Później użytkownik uruchamia tryb ochrony już z nowym hasłem. To ono będzie obowiązywać po zakończeniu trybu paniki.

Inna opcja to najpierw włączyć panikę, rozpoznać przyczynę podejrzanej aktywności, a po jej rozwiązaniu uruchomić nową zmianę hasła, jeśli to konieczne.

Chodzi o to, że mechanizm nie wymusza wykonywania działań w ściśle określonej kolejności. Najważniejsze, aby nieukończone żądanie zmiany hasła nie przeżyło trybu paniki.

Tryb paniki daje czas na odzyskanie kontroli nad e-mailem

Jest scenariusz, dla którego ten mechanizm jest szczególnie ważny: użytkownik uważa, że problem nie leży w MeldID ani w jego telefonie, lecz w poczcie elektronicznej.

To właśnie e-mail jest jednym z kanałów odzyskiwania. Dlatego jej kompromitacja jest niebezpieczna nawet wtedy, gdy aktualne hasło MeldID pozostaje nieznane osobie trzeciej.

W takiej sytuacji użytkownik może włączyć tryb paniki i zająć się bezpośrednim źródłem problemu: odzyskać dostęp do konta pocztowego, zmienić hasło, zakończyć nieznane sesje i sprawdzić ustawienia bezpieczeństwa.

W czasie działania trybu paniki MeldID nie pozwala na utworzenie nowego aktualnego hasła podczas procesu odzyskiwania.

Jeśli ktoś już zdążył poprosić o odzyskanie przed aktywacją trybu, ta próba nie przetrwa trybu ochrony. Jeśli nowa próśbę pojawi się podczas paniki, efekt będzie ten sam.

Powstaje więc zabezpieczony tymczasowy okres: aktywne dostępy MeldID zostały wycofane, potencjalnie skompromitowana poczta nie może być użyta do przygotowania nowego hasła na koniec trybu, a użytkownik ma czas na odzyskanie kontroli nad e-mailem.

Po zakończeniu trybu paniki obowiązuje stare hasło MeldID. Jeśli kontrola nad pocztą jest przywrócona i nie ma innych oznak problemu, użytkownik może ponownie korzystać z konta w zwykłym trybie.

Jeśli po weryfikacji chce zmienić hasło MeldID, można to zrobić oddzielnie.

Dlaczego warto uruchomić tryb paniki?

Nie trzeba najpierw udowadniać, że doszło do włamania.

Telefon mógł trafić w niepowołane ręce. Na liście urządzeń pojawiła się nieznana sesja. Użytkownik mógł otrzymać niespodziewane powiadomienie o logowaniu lub odzyskiwaniu. Czasem podejrzenie pojawia się nie z jednego wyraźnego zdarzenia, lecz w wyniku kilku drobnych symptomów.

W takich okolicznościach nie zawsze trzeba od razu przeprowadzać dochodzenie. Często rozsądniej jest najpierw tymczasowo wycofać dostęp i potem sprawdzać szczegóły.

MeldID opiera się na prostym założeniu: jeśli właściciel konta uzna sytuację za niebezpieczną i ma dostęp do zaufanego urządzenia, powinien mieć możliwość natychmiastowego uruchomienia mechanizmu ochronnego. System nie wymaga najpierw dowodu ataku.

Dlaczego sama zmiana hasła to za mało

Hasło to tylko jeden z elementów autoryzacji. Jeśli gdzieś działa już aktywna sesja albo wydany został token dostępu, zmiana samego hasła nie jest tym samym, co wycofanie wszystkich wcześniej wydanych dostępów.

Dlatego tryb paniki działa szerzej. Nie tylko zmienia jeden parametr konta, ale wprowadza je w odrębny stan ochronny.

Przebieg tej procedury wygląda tak:

1. Aktywne sesje i tokeny są wycofywane;

2. Nieukończone próby zmiany hasła, rozpoczęte przed trybem, są przerywane;

3. Żądania odzyskiwania złożone w czasie trwania trybu nie mogą zmienić hasła po jego zakończeniu;

4. Obowiązuje hasło ustawione przed aktywacją trybu paniki;

5. Użytkownik otrzymuje czas na sprawdzenie poczty, urządzeń i innych potencjalnych źródeł problemu;

6. Po wyjściu z trybu ochrony wraca do normalnej pracy lub zmienia hasło oddzielnie, jeśli to konieczne.

To nie jest zamiana standardowych mechanizmów bezpieczeństwa, lecz odrębny scenariusz awaryjny na wypadek utraty zaufania do bieżącego stanu dostępu.

Mobilna aplikacja jako zaufany punkt

Nowe funkcje dostępne są w aplikacjach MeldID na iPhone i Android. W tej architekturze telefon staje się nie tylko urządzeniem do logowania, ale zaufanym punktem zarządzania bezpieczeństwem konta.

Przez aplikację można:

• Zatwierdzić opóźnioną zmianę hasła;

• Odwołać podejrzane żądanie;

• Włączyć tryb paniki;

• Zakończyć działanie aktywnych sesji na różnych urządzeniach;

• Określić, co dalej powinno się dziać z kontem.

Przy tym mobilna aplikacja nie wyłącza TOTP ani nie zastępuje innych metod ochrony. Dodaje odrębny kanał kontroli na wypadek, gdy standardowa autoryzacja już nie zapewnia wystarczającej pewności co do stanu konta.

Gdzie przebiega granica ochrony MeldID

Ważne jest rozróżnienie pomiędzy bezpieczeństwem samego mechanizmu MeldID a bezpieczeństwem środowiska, w którym z niego korzystamy.

MeldID jest tak skonstruowany, aby sam system nie tworzył standardowego kanału do uzyskania aktualnego hasła. Hasło jest generowane przez system, nie jest wybierane przez użytkownika i nie jest przesyłane e-mailem. Odzyskiwanie nie ujawnia istniejącego hasła, a uruchamia procedurę utworzenia nowego.

Użytkownik nadal może jednak sam ujawnić swoje dane uwierzytelniające — na przykład przekazując je innym lub wpisując w celu, który nie jest dla niego przeznaczony.

Oddzielny poziom stanowi bezpieczeństwo samego urządzenia i jego systemu operacyjnego. Aplikacja mobilna działa w ramach zabezpieczeń zapewnianych przez iOS i Android i nie może zastąpić bezpieczeństwa platformy.

Dlatego MeldID koncentruje się na tych ryzykach, które może kontrolować od swojej strony: generacji danych uwierzytelniających, autoryzacji, tokenów, sesji, odzyskiwania oraz reakcji na potencjalną kompromitację kanału odzyskiwania.

Od logowania do reakcji

Kiedy pierwszy raz zapoznałem się z MeldID, można było je opisać jako system jednokrotnej identyfikacji i zarządzania profilem. Po wydaniu aplikacji mobilnej i dodaniu nowych mechanizmów ochronnych to określenie stało się zbyt wąskie.

Obecnie system odpowiada nie tylko na pytanie „jak się zalogować?”, ale także na bardziej skomplikowane pytania:

• co zrobić przy niespodziewanej próbie odzyskiwania dostępu;

• jak odzyskać konto bez dostępu do aplikacji;

• jak uzyskać czas na weryfikację przed aktywacją nowego hasła;

• jak odwołać odzyskiwanie, które nie zostało zainicjowane przez właściciela;

• jak wycofać aktywne sesje;

• jak uniemożliwić zhakowanemu e-mailowi zmianę hasła podczas trybu awaryjnego;

• jak odzyskać kontrolę nad zewnętrznym kanałem odzyskiwania;

• jak zachować dane użytkownika po zakończeniu wszystkich aktywnych dostępów;

• jak wrócić do normalnej pracy po weryfikacji sytuacji.

W efekcie powstaje sekwencyjny model ochrony.

Obecne hasło MeldID nie jest przesyłane przez kanał odzyskiwania. Uzyskanie dostępu do e-maila samo w sobie nie ujawnia go, ale może umożliwić uruchomienie procedury utworzenia nowego hasła. Dlatego odzyskiwanie jest opóźnione i może zostać odwołane zaufaną aplikacją.

Jeśli to nadal nie wystarcza, tryb paniki przerywa aktywne sesje, wycofuje tokeny i zapobiega, by nieukończone odzyskiwanie przetrwało okres ochronny.

Użytkownik otrzymuje coś, co w przypadku ataku jest szczególnie ważne: czas.

Czas na odzyskanie kontroli nad e-mailem, sprawdzenie urządzeń, wyjaśnienie zdarzeń i dopiero po tym ponowne uzyskanie normalnego dostępu do konta.

Dlatego tryb paniki w MeldID to nie tylko przycisk „wyloguj się wszędzie”. To odrębny scenariusz reakcji, gdy zwykłe autoryzacje już nie zapewniają bezpieczeństwa i konieczne jest najpierw odzyskanie zaufania do otoczenia konta.

Więcej o projekcie: meldid.de.