Θανάσης Μπούμπουκας,
Senior IT Auditor, ISC2 Hellenic Chapter Event Officer
Όλοι μας έχουμε μία ταυτότητα, και ξέρουμε πως εάν χαθεί μπορεί να χρησιμοποιηθεί κακόβουλα εναντίον μας. Γι’ αυτό και την προστατεύουμε όσο καλύτερα μπορούμε. Σε ένα εταιρικό περιβάλλον όπου κάθε ηλεκτρονική συσκευή έχει τη δική της ταυτότητα, η απώλειά της δύσκολα θα γίνει άμεσα αντιληπτή. Η επίπτωση για τον οργανισμό εξαρτάται από το πόσο κρίσιμη είναι η συγκεκριμένη συσκευή. Όσο μεγαλύτερος είναι ο ρόλος της στη λειτουργία του, τόσο σοβαρότερες θα είναι και οι συνέπειες. Παράλληλα, το κόστος μιας τέτοιας απώλειας μπορεί εκτός από οικονομικό, να είναι και κόστος φήμης και στη χειρότερη περίπτωση, να οδηγήσει σε παύση λειτουργίας της εταιρείας.
Αυτό το πρόβλημα έρχεται να επιλύσει το Cyber Resilience Act (CRA). Προϊόντα και λογισμικό πρέπει να σχεδιάζονται από την αρχή με μεγαλύτερη αντοχή απέναντι σε κυβερνοαπειλές. Ένα από τα βασικά σημεία σε αυτή την προσέγγιση είναι η σωστή διαχείριση ταυτοτήτων και πρόσβασης, δηλαδή το Identity & Access Management (IAM). Το CRA δεν αφορά μόνο την προστασία των υποδομών, αλλά και τον τρόπο με τον οποίο σχεδιάζονται τα ίδια τα ψηφιακά προϊόντα. Είτε μιλάμε για μια συσκευή Internet of Things (IoT), είτε για εταιρικό λογισμικό ή εφαρμογή κινητού, η πρόσβαση των χρηστών και των συστημάτων δεν μπορεί να μένει ως λεπτομέρεια που ρυθμίζεται στο τέλος.
Το τέλος των προεπιλεγμένων κωδικών πρόσβασης
Οι προεπιλεγμένοι κωδικοί πρόσβασης παραμένουν ένα από τα πιο απλά αλλά και πιο επικίνδυνα προβλήματα στην ασφάλεια συσκευών και εφαρμογών. Όταν ένα προϊόν βγαίνει στην αγορά με κωδικούς όπως “admin/admin” ή “1234”, ο χρήστης συχνά δεν τους αλλάζει και η συσκευή μένει εκτεθειμένη.
Ο CRA περιορίζει αποφασιστικά αυτή την πρακτική. Τα προϊόντα που διατίθενται στην αγορά της Ευρωπαϊκής Ένωσης πρέπει να σχεδιάζονται με ασφαλείς προεπιλεγμένες ρυθμίσεις, σύμφωνα με την αρχή Security by Default. Στο πλαίσιο αυτό, οι κατασκευαστές οφείλουν να αποφεύγουν κοινούς ή ενσωματωμένους στον κώδικα (hardcoded) κωδικούς πρόσβασης και να υιοθετούν ασφαλείς μηχανισμούς αρχικής ταυτοποίησης, όπως μοναδικά διαπιστευτήρια ή υποχρεωτική αλλαγή κωδικού κατά την πρώτη ενεργοποίηση.
Ισχυρή ταυτοποίηση και προστασία των διεπαφών διαχείρισης
Σε αρκετές περιπτώσεις, ένας δυνατός κωδικός πρόσβασης από μόνος του δεν αρκεί. Για λειτουργίες που επηρεάζουν κρίσιμες ρυθμίσεις ή ευαίσθητα δεδομένα, το CRA οδηγεί τους κατασκευαστές και τις ομάδες ανάπτυξης προς πιο ισχυρούς μηχανισμούς ταυτοποίησης.
Στην πράξη, οι ομάδες ανάπτυξης λογισμικού και οι κατασκευαστές χρειάζεται να εξετάζουν την υποστήριξη πολυπαραγοντικής ταυτοποίησης (MFA), όταν αυτή δικαιολογείται από το επίπεδο κινδύνου και τη φύση της λειτουργίας. Επιπλέον, οι μηχανισμοί επαναφοράς διαπιστευτηρίων και η διαχείριση συνεδριών (session management) πρέπει να σχεδιάζονται έτσι ώστε να περιορίζουν επιθέσεις τύπου brute force και την υποκλοπή συνεδρίας.
Η αρχή των ελάχιστων προνομίων ως προαπαιτούμενο
Πολλά συστήματα εξακολουθούν να δίνουν περισσότερα δικαιώματα από όσα πραγματικά χρειάζονται οι χρήστες, οι εφαρμογές ή οι υπηρεσίες. Αυτό αυξάνει τον κίνδυνο, γιατί μια παραβίαση σε ένα σημείο μπορεί να δώσει στον εισβολέα πρόσβαση σε πολύ μεγαλύτερο μέρος του συστήματος.
Η αρχή των ελάχιστων προνομίων σημαίνει ότι κάθε χρήστης, διεργασία ή συνδεδεμένο υποσύστημα πρέπει να έχει μόνο τα δικαιώματα που χρειάζεται για τη συγκεκριμένη λειτουργία του. Για παράδειγμα, η εκτέλεση μιας υπηρεσίας με δικαιώματα διαχειριστή συστήματος χωρίς σαφή τεχνικό λόγο δημιουργεί περιττό ρίσκο. Γι’ αυτό ο σωστός διαχωρισμός ρόλων, όπως μέσω RBAC (Role Based Access Control), γίνεται βασικό μέρος του σχεδιασμού.
Διαχείριση μη ανθρώπινων ταυτοτήτων και μυστικών
Σήμερα, η ταυτότητα δεν αφορά μόνο τους ανθρώπους που συνδέονται σε ένα σύστημα. Σε ένα περιβάλλον ανάπτυξης λογισμικού υπάρχουν επίσης API keys, ψηφιακά πιστοποιητικά, κρυπτογραφικά κλειδιά και tokens που επιτρέπουν σε εφαρμογές και υπηρεσίες να επικοινωνούν μεταξύ τους.
Ο κανονισμός CRA δίνει ιδιαίτερη έμφαση στην ασφαλή διαχείριση αυτών των μυστικών (Secrets Management). Η αποθήκευση διαπιστευτηρίων σε απλό κείμενο μέσα στον πηγαίο κώδικα ή σε δημόσια αποθετήρια αποτελεί μια από τις συχνότερες αιτίες παραβιάσεων. Το νέο πλαίσιο επιβάλλει τη χρήση ασφαλών κρυπτογραφημένων αποθηκευτικών χώρων και την τακτική ανανέωση των διαπιστευτηρίων.
Απενεργοποίηση λογαριασμών και διαγραφή δεδομένων
Το CRA επισημαίνει επίσης έναν συχνά υποτιμημένο κίνδυνο: τους ξεχασμένους λογαριασμούς που παραμένουν ενεργοί και δεν χρησιμοποιούνται πλέον. Τέτοιοι λογαριασμοί μπορούν να λειτουργήσουν ως σημεία εισόδου για κακόβουλους χρήστες, γι’ αυτό είναι απαραίτητος ο τακτικός έλεγχος και η άμεση απενεργοποίησή τους.
Εξίσου σημαντική είναι και η διαγραφή δεδομένων που δεν είναι πλέον απαραίτητα. Σύμφωνα με τον κανονισμό, τέτοια δεδομένα δεν θα πρέπει να διατηρούνται, καθώς αυξάνουν άσκοπα την έκθεση του οργανισμού και τον πιθανό αντίκτυπο μιας διαρροής.
Γιατί η εστίαση στο IAM είναι καθοριστική
Η διαχείριση ταυτοτήτων και πρόσβασης βρίσκεται στο επίκεντρο επειδή πολλές παραβιάσεις ξεκινούν από αδύναμα, κλεμμένα ή κακώς προστατευμένα διαπιστευτήρια. Δεν χρειάζεται πάντα μια σύνθετη τεχνική αδυναμία στον κώδικα, πολλές φορές αρκεί ένας λογαριασμός με υπερβολικά δικαιώματα ή ένας κωδικός που έχει διαρρεύσει.
Είναι πολύ σημαντικό να υπάρχει σωστή διαχείριση δικαιωμάτων, η οποία να περιορίζει την οριζόντια εξάπλωση (lateral movement) ενός εισβολέα. Ακόμη και αν ένα σημείο του συστήματος παραβιαστεί, τα αυστηρά όρια πρόσβασης εμποδίζουν την πρόσβαση στα υπόλοιπα κρίσιμα δεδομένα.
Το μέλλον της ανάπτυξης προϊόντων
Το Cyber Resilience Act αλλάζει τον τρόπο με τον οποίο οι εταιρείες χρειάζεται να σκέφτονται την ασφάλεια των προϊόντων τους. Η διαχείριση ταυτοτήτων και πρόσβασης δεν μπορεί πλέον να αντιμετωπίζεται ως μια ρύθμιση που προστίθεται στο τέλος της ανάπτυξης, αλλά ως μέρος του αρχικού σχεδιασμού.
Για τις ελληνικές επιχειρήσεις, τους κατασκευαστές και τις ομάδες ανάπτυξης, η προσαρμογή στο νέο πλαίσιο χρειάζεται έγκαιρη προετοιμασία, σωστές τεχνικές επιλογές και πιο συστηματική σκέψη γύρω από την ασφάλεια. Το IAM δεν είναι μόνο θέμα συμμόρφωσης, είναι ένας ουσιαστικός τρόπος να μειωθεί ο κίνδυνος πριν βρεθούμε προ εκπλήξεων.
