Na jaké metody ověřování identity vsází šéf bezpečnosti O2 Radek Šichtanc?

„Jednou můžeme mít autentizační hardwarové prvky přímo v sobě,“ přemítá šéf bezpečnosti O2 Radek Šichtanc nad vzdálenou budoucností ověřování identity. Zato o té blízké už má jasno. Přečtěte si, jaké metody jsou podle něj bezpečné a co by už dnes měla používat každá firma a každý zaměstnanec. 



Na nedávné konferenci CIO Agenda jste mluvil o tom, jak hlasová či behaviorální biometrie pomáhá při odhalování podvodů. Klasické jméno a heslo už nás tedy před útočníky neochrání? 

Hesla jsou stále nejpoužívanější způsob ochrany digitálních účtů, ale dnes je to již překonaný a snadno zneužitelný koncept. Budoucnost směřuje k jejich postupnému nahrazení jinými, bezpečnějšími metodami ověřování identity. 

Platí to i o unikátních dlouhých heslech, složených z několika desítek různých znaků, které nám generují nejrůznější nástroje? 

Na tom, zda je heslo bezpečné, se největší měrou podílí právě jeho délka. Ideální bezpečné heslo by tedy mělo být dlouhé a nahodilé. Problematika generování těchto hesel spočívá v tom, že někdy nevíte, kdo za daným nástrojem stojí. Pokud je to renomovaná instituce typu Google, pak bych se toho jako běžný uživatel tolik nebál. Ale rozhodně bych si nikdy negeneroval heslo na nějaké neznámé stránce, stejně jako bych si tam netestoval sílu svého reálného hesla. Nicméně i dlouhé unikátní heslo je pořád „jen heslo“. Standardem už by dnes úplně všude mělo být alespoň dvoufaktorové ověření, např. v podobě autentizační aplikace. Zvláštní kategorii pak tvoří hardwarové tokeny, které poskytují velmi silné zabezpečení. Privátní klíče, které se používají k ověření identity, šifrování a digitálnímu podpisu, jsou zde chráněny hardwarovými bezpečnostními funkcemi, které zajišťují, že klíče nemohou být zkopírovány nebo ukradeny.  

Koncept nulové důvěry byl definován už v roce 2010. Díky technologiím, jako je například ZTNA, se daří aplikovat tyto principy i na současnou moderní IT architekturu.

Radek Šichtanc
Šéf bezpečnosti O2

SMS už nestačí? 

SMS už se nepovažují za bezpečnou metodu. Technologie a protokoly, které SMS služba využívá, se používají již řadu let a mají své bezpečnostní limity. Autentizační aplikace a jednorázová hesla doručené formou push zpráv jsou z tohoto pohledu bezpečnější a vychází lépe i ekonomicky – jsou levnější.

Co je behaviorální biometrika a k čemu slouží?

Co je behaviorální biometrika a k čemu slouží?

Zobrazit článek

A kdybyste si měl tipnout, co bude „stačit“ za deset dvacet let, jakým směrem byste se koukal? 

Pokud bych měl jít úplně do nějakého sci-fi, tak bych řekl, že jednou můžeme mít nějaké ty autentizační hardwarové prvky přímo v sobě. Ale jinak si myslím, že taková ta klasika, jako je otisk prstu, sken obličeje, sken sítnice či duhovky, tady s námi budou vždycky, jen se budou výrazně zkvalitňovat. Na druhou stranu se ale jistě budou zkvalitňovat i metody jejich zneužití. Vždycky to bude nekonečný závod útočníků a obránců. 

Biometrické metody, o kterých jste mluvil na konferenci, jsou tedy zatím bezpečné?  

Zatím více méně ano. Třeba hlasová biometrie, kterou používáme v O2, má spolehlivost více než 99,9 %. To znamená, že umíme s téměř 100% pravděpodobností rozpoznat, že volající do našeho call centra je podvodník. Útočníkovi nepomůže ani změnit hlas, systém nezmatete ráčkováním ani koktáním. Vyhodnocuje různé kontextové informace, nejen intonaci a barvu hlasu jako takové. Ale s dalším rozvojem technologií, jako je umělá inteligence a syntéza hlasu, se jednoho dne může stát, že ani tato metoda nebude úplně spolehlivá. 

Co s tím? 

Musíte se smířit s tím, že absolutní bezpečnosti nedosáhnete nikdy. Princip je zkrátka nasadit takové opatření, aby se jeho zneužití útočníkům finančně nevyplatilo. 

Třeba metody behaviorální biometrie? 

Například. 

O co přesně jde? 

Jde o metody využívající technologie samotných zařízení, které používáme, a ani o tom nevíme. Např. náš mobil má v sobě řadu senzorů, jako jsou akcelerometry, snímače tlaku, dotykové displeje atp. Na základě rychlosti psaní, pohybů rukou, způsobu držení našeho telefonu a dalších interakcí vytvářejí pro každého jednotlivce unikátní digitální profil, který umožňuje snadné a rychlé ověření identity zákazníka. Analogicky k tomu něco obdobného umíme dělat i na běžném počítači, kde používáme klávesnici, myš atp. Výhodou je, že nástroje behaviorální biometrie pracují transparentně na pozadí webové nebo mobilní aplikace, takže uživatele nijak neruší. Pokud se účet pokusí napadnout útočník, aby provedl nějakou citlivou transakci, digitální profil nebude „sedět“ a systém jej zablokuje nebo třeba vyzve k další autentizaci.   

Některé systémy dokážou rozeznat i to, jestli jednáte pod nějakým nátlakem nebo se prostě z nějakého důvodu chováte jinak než obvykle. Všechno samozřejmě porovnávají s vašimi minulými návštěvami. Výzva tohoto oboru je ale v nastavení správné citlivosti těchto opatření, aby vás třeba banka pustila do mobilního bankovnictví, když máte zlomenou ruku a mobil kvůli tomu ovládáte druhou rukou.  

Chcete se do behaviorální biometriky ponořit do hloubky? Pusťte si jeden z dílů O2 CyberCastu, kde jsme se jí se zakladatelem brněnského startupu ThreatMark věnovali dopodrobna. 

Je implementace těchto funkcí – ať už hlasové, nebo behaviorální biometrie – drahá? 

Je to vždy velmi individuální a poplatné konkrétním scénářům, které potřebujete řešit. Ale nám se např. investice do hlasové biometrie vrátila za šest měsíců.  

Jak se vlastně počítá návratnost bezpečnostních opatření?  

Řeknete si, že kdybych tuhle technologii neměl, tak by útočníkovi prošly tyhle a tyhle podvody, nebo bych je odhalil až později, a to by mě stálo tolik a tolik. Obecně to tedy záleží na konkrétním business casu – pro každou firmu je hodnota těchto opatření jiná a je jen na manažerovi, jak vše vyhodnotí. 

Kdybyste měl tomuto manažerovi dát na závěr jedno doporučení, jak docílit co nejlepšího zabezpečení, co by to bylo? 

Využívat více úrovní ochrany a nespoléhat vždy jen na jednu kartu. A nejde jen o autentizaci, ale i vícefaktorové ověřování je dobrý příměr – ideální zabezpečení je i zde kombinací něčeho, co vím, něčeho, co mám, a něčeho, co jsem. Tedy nějaké heslo (které vím), ověřitelné druhým faktorem na zabezpečeném zařízení (které mám), a ještě k tomu biometrií – hlasem, otiskem prstu nebo skenem obličeje (tím jsem). 

Co si z tohoto rozhovoru odnést?  

• Přihlašování jménem a heslem je překonaný a snadno zneužitelný koncept, a měli byste proto hledat bezpečnější metody. 
• Bezpečnější metodou, která už by měla být všude standardem, je dvoufaktorové ověření. Ale raději ne pomocí SMS
• Biometrické metody jako ověření hlasem, otiskem prstu nebo skenem obličeje se budou ještě více zpřesňovat
• Stejně jako se zlepšují a zpřesňují metody ověřování, zlepšují se i hackeři v jejich zneužívání. Co je bezpečné dnes, nemusí být bezpečné za pět let. 
• Ideální metoda ověření přístupu je složená ze tří částí: 1) něco, co vím, 2) něco, co mám, a 3) něco, co jsem. 

Barbora Nováková
Marketingový specialista pro B2B