Jedina lozinka dovela je DoorDash do gubitka pristupa ogromnoj količini informacija. Taj mali pogrešak otvorio je vrata u cijelosti. Netko drugi je jednostavno ušao. Ono što se činilo nevažno postalo je masivan gubitak. Podaci su nestali bez upozorenja. Poduzeće je brzo osjetilo udarac. Milijuni vezani u digitalnim zapisima — nestali. Jedna slaba karika razbila je sve u komadiće.
Nešto drugo se odvija unutar velikih tehnoloških tvrtki, nešto što je teže primjetiti. Sustavi obično bez problema prihvaćaju stare lozinke. Hakeri rijetko forsiraju pristup računima. Pristup dolazi kroz normalne korake prijave.
Evo što se zapravo dogodilo iza DoorDashovih prošlih propusta s podacima.
Dosadna istina o modernim kršenjima sigurnosti
Većina ljudi zamišlja hakere kao ljude koji provode sate pogađajući lozinke. U stvarnosti, mnoga velika kršenja počinju s nečim bolno običnim. Valjano korisničko ime i lozinka.
Kršenje na DoorDashu došlo je od ukradenih prijava, izvučenih iz ranijih procura na drugim platformama. Hakeri su koristili stare lozinke koje su ljudi ponovno koristili na različitim mjestima. Pristup unutar sustava bio je previše opušten, čineći ga lakšim kada bi ušli. Dodatni koraci prijave trajali su previše dugo za uvođenje, ostavljajući rupe otvorene duže nego što je trebalo.
To mijenja stvari. Ne zbog jedne slabe lozinke. Već zbog načina na koji gradimo povjerenje u naše sustave.
Kako ponovno korištenje lozinki tiho stvara lance napada
Ono što vidite je ono što dobijate s ponovno korištenim lozinkama. Isti kod, različita mjesta — događa se više nego što ljudi priznaju. Jednom prijava odgovara na više mjesta, bilo da su to radne aplikacije ili računi za kupovanje. Slični uzorci se pojavljuju svugdje, čak i kada ne bi trebali.
U redu je, kada razmislite kako ljudi vide stvari. Upravljanje s mnogo različitih alata dio je dana — nadzorne ploče, administrativni sustavi, prikazi podataka, help deskovi, tko više vodi evidenciju. Pogodnost pobjeđuje.
Ipak. Prostor u razumu brzo se iscrpljuje. Alati upravitelja lozinki često se zanemaruju. Za nekoga tko želi to iskoristiti, to izgleda kao čista sreća koja pada pravo u njihove ruke.
Pojednostavljeni scenarij — Jednom lozinkom veže se pristup radnika kako vanjskoj usluzi tako i nadzornoj ploči poduzeća. Kada taj vanjski sustav bude hakiran — možda bez da to zaposlenici doznaju — podaci klize u skrivene kutke online. Puno kasnije, netko koji traži prijave grabi ono što je ukradeno. Ti detalji se testiraju na različitim mjestima.
Evo kako se sve to pokreće.
Jednom ponovljena lozinka mogla bi proći zaključavanja koja niste znali da postoje.
Popunjavanje vjerodajnica (bez žargona)
Popunjavanje vjerodajnica može se na prvi pogled činiti složenim. Ipak, ispod toga je dosta jednostavno.
Vani, hakeri drže dugu listu starih procura — parove e-pošte i lozinki koji su procurili u prošlim napadima. Često, te procure potječu iz zaboravljenih chat stranica, nišnih message boardova ili zastarjele cloud softvera. Zatim automatiziraju pokušaje prijave na popularnim uslugama.
Nije riječ o pogađanju što bi lozinka mogla biti. Umjesto toga, prolaze kroz lozinke koje su već poznate da rade drugdje.
Nekoliko od tih lozinki zapravo može funkcionirati. Uspjeh izgleda tako.
Kada poduzeća rade interno, opasnosti rastu. Nije svaki alat usporen teškim korištenjem kao što su javne aplikacije. Upozorenja mogu potrajati duže. Netko bi mogao provjeriti zapisnike sati nakon događaja. Pristup se ponekad prostire na područja na koja ne bi trebao.
Jednom lozinka može otvoriti vrata umjesto da ih zatvori.
Kada jednom prijavom se otključava više nego što bi trebalo
Ono što je najskupnije nije upiranje. To je koliko daleko stignu kada su unutra. Kretanje kroz sustave obično je pravi problem. Pristup se širi kao spora procurka, a ne kao pucanj. Šteta raste gdje nadzor slabi. Zaustavljanje kretanja važnije je od zaključavanja vrata.
Kada su unutra, hakeri počinju loviti veze. Ne samo lozinke — zajedničke usluge autentifikacije. Povezane nadzorne ploče. Uloge s previše dozvola. Interni alati koji se međusobno podrazumevano vjeruju.
Ono što se dogodilo na DoorDashu nije bilo samo jedno malo kršenje. Umjesto toga, otvorilo je široke dijelove njihove mreže. Nakon što su dobili detaljne podatke o prijavi, hakeri su se kretali kroz područja gdje se čuvaju informacije o kupcima i poduzećima. Pristup nije stao gdje bi trebao.
Događa se više nego što biste pomislili. Mnoge grupe fokusiraju se na brzo kretanje, da sve nesmetano teče. Granice pristupa postaju nejasne tijekom vremena. Dozvole se nakupljaju. Privremeni pristup postaje trajnik.
Jednom valjana lozinka mogla bi otvoriti vrata na nekoliko odvojenih mreža, od kojih je svaka izgrađena bez očekivanja dijelljenih rizika. Što se dalje događa odvija se brzo kada se pristup širi izvan namjeravanih granica.
Kašnjenja s MFA Godinama Koštaju Više
Autentifikacija s više faktora je često preporučena. Također je česta i njezina odgoda. Postoji nekoliko razloga zašto će poduzeća odložiti implementaciju MFA: trenje korisnika, zastarjeli sustavi, operativna opterećenja, strah od usporavanja tima, itd. Ali cijena kašnjenja tiho se nakuplja tijekom vremena.
Bez MFA, lozinke su i dalje jedine točke gdje može doći do neuspjeha. Ako napadač kompromitira lozinku, nema ničega drugog što bi zaštitilo osjetljive sustave od pristupa napadača.
U nekoliko kršenja velikih poduzeća, MFA je bila ili nepostojeća, opcionalna, ili slabo primjenjivana na nekim internim alatima. Iskustvo DoorDasha odgovara ovom općem trendu. Procura nije trebala napredne napade; jednostavno je koristila ukradene vjerodajnice.
Kada se korištenje MFA odgađa, napadači ne moraju biti sofisticirani. Trebaju biti samo strpljivi.
Ljudska pogodnost uvijek pobjeđuje. Dok se ne sruši.
Kršenja sigurnosti rijetko su fundamentalno tehnička. Zapravo, često su uzrokovana ponašanjem ljudi. Zaposlenici koriste istu lozinku za različite račune jer im to štedi vrijeme. Sigurnosni tim odgađa implementaciju novih sigurnosnih mjera jer misli da nije žurba, s obzirom da je dostava hitnije važna. Obavijesti se zanemaruju jer su lažnih alarma premalo. Pristup se daje svima jer netko kasnije može trebati.
Sve to funkcionira. Dok se ne sruši.
Trenutak neuspjeha čini se nagao. Razlozi za njega nisu.
Do vremena kada je kršenje otkriveno, dogodila se velika šteta. Neovlašteni pristup podacima je bio moguć. Povjerenje se smanjilo. Organizacija je pod povećalom regulatora. Pravnih gebeta se nakupljaju. Reputacija marke biva pogođena daleko izvan inicijalnog tehničkog neuspjeha.
Zato nije pogrešno zvati to „trik sa jednostavnom lozinkom". Međutim, nepotpuno je. Trik funkcionira samo zato što sustavi tiho ga podržavaju. Trik se može primjenjivati samo zato što sustavi tiho to dozvoljavaju.
Lekcija o sustavu, ne o žrtvenom jagnje
Vrlo je nužno biti precizan. DoorDashova propust podataka nije bio rezultat jednog zaposlenika, jedne lozinke, ili jednog čina nemarnosti. Bio je očitovanje sustavnih nedostataka koji postoje u većini poduzeća u razvoju tehnologije.
Slučaj korištenja dijeljenih vjerodajnica. Nedostatak pravilne segmentacije pristupa. Neodredjeno primjenjivanje MFA. Integracija usluga treće strane s povećanim povjerenjem. Nadzor može otkriti kršenja kasnije umjesto ranije.
Takve greške nisu rijetke. Česte su.
Nije to lekcija o krivnjenju ljudi, već lekcija o tome koji sustavi trebaju biti preispitani koji pretpostavljaju da će ljudi uvijek djelovati sigurno pod pritiskom.
Zašto je ovaj slučaj značajan čak i izvan DoorDasha
Ovo nije samo slučaj DoorDasha; to je suvremeni sigurnosni uzorak. Kako se poduzeća brže razvijaju nego njihova sigurnosna zrelost, nevidljivi rizici se množe. Kršenje ne potječe iz izvanrednog neuspjeha; već je to postupan proces gdje se svakodnevne prečice tiho slažu tijekom dugog razdoblja.
Naslov je mamac jer se hvata kako se kršenja percipiraju u retrospektivi. Mala stvar pokrenula je katastrofalan događaj. Međutim, prava lekcija je mnogo šira.
Sigurnost je kompromitirana kada je pogodnost prioritizirana ispred opreznosti. I kada ta situacija postane činjenica, trošak u novcu je već u milijunima.
Završne Misli
Ako postoji samo jedan praktičan uvid, biti će to ovaj. Kršenja se rijetko tiču rušenja sustava. Tiču se pristupa sustavima.
Najkritičnije sigurnosne greške su one koje se čine normalnim dok se ne otkriju.
Trebate li izgraditi visoko funkcionirajući udaljeni tehnički tim?
Pogledajte MyNextDeveloper, platformu gdje možete pronaći top 3% softverskih inženjera koji su duboko strastveni za inovacije. Naša dostupna, namijenjena i temeljita rješenja za softverski talent pružaju sveobuhvatno rješenje za sve vaše softverske potrebe.
Posjetite našu web stranicu kako biste istražili kako vam možemo pomoći da sastavite savršen tim.
