MeldID je dodal način panike: kaj se zgodi, ko k računu ni več mogoče zaupat

V prejšnjem članku o MeldID sem pisal, kako sistem deluje v običajnem načinu: hrani upravljani profil, pomaga pri vstopu v povezane storitve, sinhronizira zapise TOTP med napravami in omogoča potrjevanje novih avtentikacij prek mobilne aplikacije.

Ampak pri vsaki identifikacijski sistemski ima scenarij, na katerega se običajno spomnite prepozno: kaj storiti, če uporabnik ne zaupa več trenutnem stanju dostopa do svojega računa?

Za to ni nujno, da je že prišlo do vdora. Včasih je dovolj nenadno obvestilo o ponovni nastavitvi gesla, neznani sejni ali vstop s naprave, ki jo lastnik ne prepozna.

Za takšne situacije sta v MeldIDu na voljo dva nova mehanizma: odložena sprememba gesla in način panike.

Najprej je pomembno razumeti, kako je vgrajeno geslo MeldID

V MeldID uporabnik sam ne izmisli gesla — sistem ga generira sam. To omogoča takoj izključiti šibke in napovedljive kombinacije, ponovno uporabo običajnih gesel in druge težave, povezane z lastno izbiro.

Pri tem veljavno geslo ni poslano uporabniku po e-pošti. E-poštni predal ni kraj, od koder bi lahko pridobili obstoječe geslo MeldID.

Postopek obnove prav tako ne razkriva starega gesla. Omogoča le začetek ustvarjanja novega.

Zato kompromitacija e-pošte predstavlja drugo grožnjo: oseba, ki pridobi dostop do e-poštnega predala, ne ve veljavnega gesla MeldID, lahko pa poskusi izvesti postopek ponovne nastavitev in določiti novega.

Ta scenarij je bil prav eden od razlogov za spremembo samega načina obnove.

Geslo sedaj ne spremeni takoj

V običajnem scenariju obnove se vse zgodi skoraj takoj. Uporabnik zaprosi za novo geslo, prejme obvestilo in zaključi postopek.

To je priročno, dokler je e-pošta pod nadzorom lastnika. Vendar, če jo pridobi tretja oseba, takojšnja obnova spremeni e-poštni predal v direkten način za prevzem povezane moj račun.

V MeldIDu je zahteva za novo geslo najprej opozorilo, ne pa takojšnja zamenjava starega. Uporabnik prejme obvestilo o poskusu obnove, nato pa se začne določen čakalni čas.

Trajanje tega obdobja se lahko spreminja, vendar načelo ostaja isto: med zahtevo in dejansko aktivacijo novega gesla je čas za preverbo situacije.

Staro geslo v tem času še vedno veljajo. To pomeni, da sam poskus obnove še ne pomeni, da je nadzor nad računom prenesen na tretjo osebo.

Če mobilna aplikacija ni dostopna

Pomemben scenarij, ki ga je mogoče zlahka spregledati. Uporabnik lahko sam restavira geslo, nima pa dostopa do aplikacije MeldID: telefon je izgubljen, pokvarjen, izpraznjen ali začasno nedosegljiv.

V tem primeru se lahko obnova vseeno zaključi. Po izteku določenega obdobja novo geslo samodejno stopi v veljavo. Mobilna aplikacija ni pogoj za standardni postopek obnove.

Zato oseba, ki je samostojno začela zamenjavo gesla in zdaj ne more odpreti aplikacije, ni treba znova začeti postopka. Dovolj je, da počaka na zaključek in se prijavi z novim geslom.

Če je aplikacija dostopna, je možnost več: uporabnik lahko takoj aktivira novo geslo ali prekliče sumljiv zahtevek. Če dostopa do aplikacije ni, postopaj še naprej po običajnem odloženem načinu obnove.

Uporabnik sam odloča, kaj bo naredil naprej

Če je obnovo dejansko sprožil lastnik računa in je aplikacija pri roki, lahko MeldID odpre in takoj aktivira novo geslo, ne čakajoč na končni časovni odziv.

Če je bil zahtevek nepričakovan, ga lahko prekliče iz aplikacije. V tem primeru novo geslo ne postane veljavno, stare pa ostanejo.

Zame je to pomembna sprememba same logike obnove. Sistem ne smatra vsakega zahteva za obnovo avtomatično za veljavnega samo zato, ker je bil sprožen prek e-pošte. Pusti lastniku računa možnost, da poseže in se odloči prek zaupanega mobilnega naprave.

Predstavljajte si običajno situacijo: oseba prejme obvestilo o spremembi gesla, čeprav sama ni zahtevala nobenih sprememb. Prekliče operacijo v aplikaciji, nato preveri e-pošto, naprave in išče razlog za sumljivo aktivnost.

MeldID ne more ponovno prevzeti nadzora nad kompromitiranimi e-poštnimi računi. Lahko pa prepreči, da bi kompromitacija e-pošte takoj sprožila nastavitev novega gesla glavnega računa.

Način panike prekliče aktivne dostope

Odložena sprememba gesla pomaga pridobiti čas. Način panike je namenjen situaciji, ko to ni več dovolj in uporabnik želi takoj prekiniti veljavnost prej izdanych dostopov do računa.

Vklopi se z mobilno aplikacijo z enim dotikom.

Po aktivaciji sistem prekliče veljavne žetone — ključe dostopa, s katerimi aplikacije in spletne strani ugotavljajo, da je uporabnik že avtenticiran. Hkrati preneha veljati obstoječe sej, povezane s tem računom na mobilnih napravah in spletu.

To pomeni, da ni prekinitve le trenutne seje na telefonu. Odstranitev velja tudi za druge pametne telefone, tablice, brskalnike in povezane aplikacije, ki so se prej priključile.

Način deluje določeno obdobje. Trajanje je lahko spremenljivo, pomembno je načelo: obstoječe dostopi prenehajo veljati, uporabnik pa dobi čas za preverbo situacije.

Način panike ne briše podatkov

Ime načina se morda zdi radikalno, zato je tukaj pomembno razložiti, česa ne počne.

Način panike ne briše TOTP zapisov, shranjenega profila, nastavitev ali drugih uporabniških podatkov. Ne čisti vsebine računa in ne pretvarja v prazno.

Spremeni stanje dostopa: veljavni žetoni se prekličejo, odprte seje prenehajo. Po vrnitvi računa v normalen režim ostanejo shranjeni podatki na svojem mestu in niso zahtevani po ponovni dodaji.

To je osnovna razlika med nujnim prekinitvijo dostopa in uničenjem vsebine računa. Uporabnik se lahko zapre obstoječe povezave, brez strahu, da bi skupaj z njimi izginile njegove zapisi ali nastavitve.

Kaj se zgodi s spremembo gesla med načinom panike

Način panike ima še en pomemben princip: prekliče vse nedokončane poskuse spremembe gesla.

Ni pomembno, kdaj je bil zahtevek za novo geslo — pred vklopom načina panike ali že med njegovim delovanjem. Takšna zahteva ne bo samodejno zaključena po opustitvi zaščitnega režima.

Po koncu panike bo veljavno geslo tisto, ki je bilo nastavljeno pred aktivacijo.

To je namenoma narejeno.

Običajen postopek obnove predvideva, da lahko lastnik računa pred pogojem, da je zaznal sumljivo zahtevo v aplikaciji MeldID, le-to prekliče, preden novo geslo stopi v veljavo.

Med paniko tega ni mogoče zaupati.

Predstavljajte si, da je uporabnik opazil sumljivo aktivnost in sprožil način zaščite. Če bi dovolili običajen časovnik obnove, bi lahko nepridiprav zahteval novo geslo med trajanjem načina panike. Če bi se čakalni rok končal pred koncem zaščitnega režima, bi novo geslo že vstopilo v veljavo, preden bi se računa vrnilo v normalno stanje.

Nastal bi paradoks: uporabnik je vklopil večjo zaščito, sistem pa mu je med tem dovolil spremeniti geslo, ne da bi lahko uporabil običajne možnosti preklica prek aplikacije.

Zato način panike ne ustavi obnove, ampak prekinje nedokončan proces.

Zahtivi, ki so bili pred aktivacijo načina panike, ne morejo spremeniti gesla po njegovem koncu. Enako velja za zahteve, ki so se pojavile med aktivnostjo zaščitnega režima.

Na ta način se nič od nezaključenih obnov ne prenese čez mejo načina panike.

In če želi uporabnik najprej spremeniti geslo sam

Način panike ne omejuje lastnika pri izbiri zaporedja dejanj.

Če dostop do aplikacije MeldID je pri uporabniku in meni, da je potrebno zamenjati geslo, lahko najprej sproži zamenjavo gesla in takoj potrdí novo prek aplikacije.

V tem primeru se zamenjava zaključi pred aktivacijo načina panike.

Potem uporabnik vklopi način panike že z novim veljavnim geslom. Ta geslo bo ostalo po koncu načina panike.

Obstaja tudi druga možnost: najprej vklopi paniko, raziskuje razlog sumljive aktivnosti in po njenem koncu po želji sproži novo menjavo gesla.

Namen mehanizma ni v tem, da bi prisilil uporabnika, da deluje samo v enem zaporedju. Glavno pravilo je drugo: nedokončana zamenjava gesla ne sme preživeti načina panike.

Način panike omogoča vrnitev nadzora nad pošto

Obstaja scenarij, za katerega je ta mehanizem še posebej pomemben: uporabnik meni, da problem ni v MeldID ali v njegovem telefonu, temveč v elektronski pošti.

Pošta je prav tako eden od kanalov za obnovitev. Zato je kompromitacija nevarna tudi takrat, ko veljavno geslo MeldID ostaja neznano tretjim osebam.

V taki situaciji lahko uporabnik vklopi način panike in se usmeri na vir težave: ponovno pridobi dostop do e-poštnega računa, spremeni geslo, prekliče neznane sejnih in preveri varnostne nastavitve.

Za čas delovanja načina panike MeldID ne dovoli postopka obnove, da bi ustvaril novo veljavno geslo.

Če je kdo že uspel zahtevati obnovo pred aktivacijo panike, ta poskus ne bo preživel zaščitnega režima. Če se bo zahtevek pojavil med načinom panike, bo tudi ta zavrnjena.

Pri tem se ustvari zaščiten začasni časovni okno: aktivni dostopi MeldID so že preklicani, kompromitirana elektronska pošta pa ne more biti uporabljena za pripravo novega gesla do konca načina panike, prav tako pa ima uporabnik še čas, da vrne nadzor nad lastnim poštnim predalom.

Po zaključku zaščitnega režima ostaja veljavno staro geslo MeldID. Če je nadzor nad e-pošto obnovljen in ni drugih razlogov za težave, lahko uporabnik ponovno uporablja račun v običajnem načinu.

Če po preverjanju odloči, da želi spet spremeniti geslo MeldID, to lahko stori posebej.

Motivov za vklop panike je lahko veliko

Za sprožitev načina ni potrebno najprej dokazati vdor.

Telefon je morda pristal v tujih rokah. Sejna na seznamu naprav je lahko nepoznana. Uporabnik je morda prejel nepričakovano obvestilo o vstopu ali obnavljanju. Včasih je sum povezan ne z enim očitnim dogodkom, temveč z nizom manjših znakov.

V takih okoliščinah ni vedno treba najprej izvajati preiskave, preden sprožite prvo zaščitno dejanje. Včasih je bolj smiselno najprej začasno preklicati aktivne dostope, nato pa preveriti podrobnosti.

V takšnih primerih meldID sledi preprostim logikam: če lastnik računa meni, da je situacija nevarna in ima dostop do zaupanega aplikacije, mora imeti možnost takoj sprožiti zaščitni scenarij. Sistem ne zahteva prvo dokazati vdora.

Zakaj ena sprememba gesla ni vedno dovolj

Geslo je le en element avtentikacije. Če že obstaja veljavna seja ali je bil izdan žeton dostopa, sprememba ene same gesla sama po sebi ni enako, kot da bi preklicali vse prej izdane dostope.

Zato deluje načelo panike bolj široko. Ne samo zamenja en parameter računa, ampak ga postavi v poseben zaščitni režim.

Postopek je takšen:

1. aktivne seje in žetoni se prekličejo;

2. nedokončani poskusi spremembe gesla, začeti pred paniko, prenehajo;

3. zahtevek za obnovo, narejen med načinom panike, ne more spremeniti gesla po njenem koncu;

4. veljavno ostaja geslo, s katerim je račun vstopil v način panike;

5. uporabnik dobi čas za preverbo pošte, naprav in drugih možnih virov težave;

6. po izstopu iz zaščitnega režima se vrne na običajen način ali po potrebi sam izvaja spremembo gesla.

To ni nadomestilo za običajne varnostne mehanizme, ampak poseben izredni scenarij v primeru, ko je začasno izgubljeno zaupanje v trenutni dostop.

Mobilna aplikacija kot zaupanja vredna točka

Nove funkcije so na voljo v aplikacijah MeldID za iPhone in Android. V tej arhitekturi telefon ni le še ena naprava za vstop, ampak zaupanja vredna točka za upravljanje varnosti računa.

Preko aplikacije je mogoče:

• potrditi odloženo zamenjavo gesla;

• preklicati sumljiv zahtevek;

• vklopiti način panike;

• prekiniti delovanje aktivnih sej na različnih napravah;

• odločiti, kaj v nadaljevanju naj se zgodi z računom.

Hkrati mobilna aplikacija ne prekliče TOTP in ne nadomešča drugih načinov zaščite. Dodaja ločen kanal za upravljanje v situacijah, ko običajna avtentikacija ni več dovolj za zagotovitev stanja računa.

Kje je meja zaščite MeldID

Pomembno je razlikovati varnost samega mehanizma MeldID in varnost okolja, v katerem ga uporabljate.

MeldID je zasnovan tako, da sam servis ne ustvarja običajnega kanala za pridobitev veljavnega gesla. Geslo ga generira sistem, ga ne izbere uporabnik in ni poslano prek e-pošte. Obnova prav tako ne razkriva obstoječega gesla, ampak sproži postopek ustvarjanja novega.

Vendar uporabnik še vedno lahko sam razkrije svoje podatke, na primer takrat, ko jih prenese komu drugemu ali vpiše na mestu, kjer ni priporočljivo.

Posebna raven je varnost same naprave in njenega operacijskega sistema. Mobilna aplikacija deluje znotraj zaščitnih mehanizmov, ki jih nudijo iOS in Android, in ne more nadomestiti varnosti same platforme.

Zato se MeldID osredotoča na tvegane situacije, ki jih lahko upravlja na svoji strani: generiranje podatkov, avtorizacija, žetoni, seje, obnova in reakcija na potencialno kompromitacijo kanala za obnovo.

Od vstopa do odziva

Ko sem se prvič seznanil z MeldID, sem ga lahko opisal kot sistem za enotno identifikacijo in upravljanje profilov. Po izdaji mobilnih aplikacij in nastanku novih varnostnih mehanizmov je ta opis postal preširok.

Zdaj sistem odgovarja ne le na vprašanje »kako vstopiti?«, temveč tudi na bolj kompleksna vprašanja:

• kaj storiti pri nepričakovanem poskusu obnove;

• kako obnoviti račun brez dostopa do aplikacije;

• kako pridobiti čas za preverbo pred aktivacijo novega gesla;

• kako preklicati obnovo, ki je ni sprožil lastnik;

• kako preklicati aktivne sej.

Na koncu nastane sekvenčen model zaščite.

Veljavno geslo MeldID se ne prenese prek kanala obnove. Dostop do e-pošte sam po sebi ne razkrije gesla, lahko pa omogoči začetek postopka ustvarjanja novega gesla. Zato se obnova izvaja z zamudo in ga je mogoče preklicati prek zaupanja vredne aplikacije.

Če to ni dovolj, način panike prekliče aktivne sej, prekliče žetone in ne dovoli, da bi nezaključena obnova preživela zaščitno obdobje.

Uporabnik dobi to, kar je še posebej pomembno ob resničnem incidentu: čas.

Čas, da povrne nadzor nad e-pošto, preveri naprave, razjasni, kaj se dogaja, in šele po tem ponovno vzpostavi običajen dostop do računa.

Zato je način panike v MeldIDu več kot le gumb »izstopi povsod«. Je poseben scenarij odziva na situacijo, v kateri običajna avtentikacija ni več dovolj in je najprej potrebno ponovno vzpostaviti zaupanje v okolje računa.

Več informacij o projektu: meldid.de .