Napodobení subjektu

Existuje malé špinavé tajemství, které před vámi chtějí dodavatelé čipových karet tajit – každé zařízení/software 2FA jsou svázané s identitou uživatele/zařízení. Tato identita musí být v rámci autentizačního systému jedinečná.

V mnoha systémech typu 2FA, zejména využívajících čipové karty, platí, že pokud můžete změnit identitu osoby, a to i dočasně, můžete použít libovolné zařízení 2FA, dokonce spojené s jinou osobou, a použít ho k autentizaci, jako by šlo o cílového uživatele. Tady je příklad.

Předpokládejme, že je vaše čipová karta připojena k identitě nazvané uzivatel_1@priklad.com.

Hacker, který získá jakoukoli jinou čipovou kartu a PIN (řekněme od uživatele_2), může v autentizačním systému změnit totožnost uživatele_1 na uživatele_2 a naopak. Potom se může přihlásit jako uživatel_2 pomocí čipové karty a PIN uživatele_2, systém ho přihlásí a bude ho sledovat v auditovacím procesu, jako by šlo o uživatele_1.

Poté, co hackeři dokončí své záškodnické aktivity, mohou jednoduše přepnout identity zpět, aniž kdy budou znát PIN uživatele_1, a bez potřeby mít k dispozici čipovou kartu uživatele_1, který přitom nic netuší. Čipové karty jsou ideální prostředek pro vnitřní útoky na 2FA.

Platí to pro mnoho zařízení 2FA. Cokoliv se používá k jedinečné identifikaci uživatele/zařízení, propojuje zařízení 2FA s tímto uživatelem/zařízením. Pokud má někdo oprávnění změnit něčí totožnost, může doslova zaměnit totožnost uživatele/zařízení za libovolné jiné zařízení 2FA (nad kterým má kontrolu).

Veškeré změny atributů totožnosti je potřebné kontrolovat a auditovat stejně důkladně jako změny hesel.