Держспецзв’язку закликає організації та користувачів перейти на стійку до фішингу багатофакторну автентифікацію й посилити захист службових і особистих облікових записів
Межі відповідальності уповноваженої особи і керівника
Чому традиційні паролі та SMS більше не захищають
Традиційна однофакторна автентифікація, що ґрунтується лише на статичному паролі, залишається найслабшою ланкою системи кіберзахисту. Проте зловмисники активно компрометують і поширені методи другого фактора, зокрема одноразові SMS-коди та стандартні push-сповіщення.
Основними векторами атак на застарілі системи БФА є:
- вразливість каналів зв’язку: перехоплення SMS-повідомлень через уразливості сигнальних мереж мобільного зв’язку (SS7) або за допомогою шахрайської заміни SIM-карт (SIM Swap) дає хакерам змогу отримувати доступ до фінансових, корпоративних і особистих акаунтів;
- атаки посередника (AitM — Adversary-in-the-Middle): використовуючи спеціалізовані проксі-інструменти, зловмисники створюють точні копії легітимних сайтів (наприклад, поштових сервісів чи соцмереж). Користувач самостійно вводить пароль і одноразовий код на фішинговому ресурсі, після чого зловмисники миттєво викрадають сесійні токени (session cookies)*;
- втома від автентифікації (MFA Fatigue / Push Bombing): зловмисники, які вже знають пароль жертви, надсилають сотні послідовних запитів на підтвердження входу в мобільному додатку. Часто користувачі схвалюють запит рефлекторно або щоб припинити постійний спам, тим самим відкриваючи ворогу доступ до внутрішньої мережі або до власного профілю.
*Сесійні токени (session cookies) — це тимчасові «цифрові перепустки», які сайт видає браузеру після введення пароля. Завдяки їм користувачеві не потрібно підтверджувати особу під час кожного кліку чи переходу на нову сторінку. Якщо хакери викрадуть такий токен, вони зможуть увійти до робочого чи особистого акаунта без пароля та SMS-коду.
Нові підходи: вимоги стандартів і безпарольні технології
Сучасні системи автентифікації поєднують щонайменше два незалежні фактори з трьох категорій:
- знання — пароль або PIN-код;
- володіння — фізичний токен або пристрій;
- притаманність — біометричні дані.
Національний інститут стандартів і технологій США (NIST SP 800-63B) рекомендує звернути увагу на такі аспекти, які є універсальними як для організацій, так і для приватних осіб:
- Зміна парольних політик: штучні правила складності паролів (обов’язкова наявність спеціальних символів чи цифр) визнали малоефективними: вони змушують користувачів створювати шаблонні комбінації. Натомість рекомендують збільшувати мінімальну довжину пароля (від 8 до 64 символів) і відмовитися від примусової регулярної зміни паролів за розкладом, якщо немає ознак компрометації.
- Перехід на стандарти FIDO2, WebAuthn та технологію Passkeys: найбільш надійними визнали апаратно-прив’язані ключі безпеки (наприклад, токени FIDO2) і технології локальної біометричної верифікації (Apple Face ID/Touch ID, Windows Hello). Вони криптографічно прив’язані до конкретного домену (сайту), тож навіть у разі переходу на фішинговий ресурс пристрій користувача виявить невідповідність і заблокує спробу входу, унеможливлюючи крадіжку даних.
Побудова стійкого захисту: рекомендації Держспецзв’язку
Щоб мінімізувати ризики кіберінцидентів, експерти Держспецзв’язку рекомендують організаціям і громадянам комплекс першочергових кроків:
- упровадити стійку до фішингу автентифікацію: перевести робочі облікові записи (адміністраторів, керівництва, критичних співробітників) і особисті важливі профілі (соцмережі, месенджери, банкінг, основну пошту) на обов’язкове використання апаратних ключів FIDO2, технології Passkeys або платформних засобів біометричної автентифікації;
- активувати режим зіставлення чисел (Number Matching): для користувачів, які використовують мобільні додатки-автентифікатори, замість простих кнопок «Схвалити/Відхилити» слід увімкнути введення двозначного числа, яке відображається на екрані входу. Це повністю нівелює загрозу атак класу MFA Fatigue;
- обмежити використання SMS і голосу: скрізь, де це можливо, відмовитися від надсилання одноразових кодів через SMS-повідомлення чи телефонні дзвінки, замінивши їх на програмні TOTP-генератори (наприклад, Google Authenticator) або апаратні рішення;
- захистити процеси відновлення доступу: найслабшою ланкою часто стає скидання факторів автентифікації. Процедуру відновлення акаунта слід суворо контролювати та не дозволяти верифікацію користувача лише за базовими анкетними даними або простими «секретними запитаннями»;
- інтегрувати БФА з контекстним аналізом (для бізнесу): поєднувати перевірку факторів БФА з аналізом ризиків (геолокація, відповідність пристрою корпоративним вимогам безпеки, нетиповий час входу) для реалізації адаптивного умовного доступу.
До теми:
Джерело: офіційний сайт Держспецзв’язку
В Україні список міжнародних спонсорів війни, який вів НАЗК, передали до Державного реєстру санкцій РНБО. Тепер офіційні дані про компанії, що підтримують агресора, доступні в єдиній державній системі онлайн
Дізнайтеся, як визначити пов’язаних осіб у публічних закупівлях під час тендеру. Розгляньте ознаки пов’язаності, приклади з практики, судові рішення та алгоритм дій замовника у разі виявлення пов’язаних осіб.
Помилки у публічних закупівлях можуть коштувати надто дорого. З’ясуймо: хто, на кого та в яких розмірах складає штрафи в публічних закупівлях за статею 164-14 Кодексу України про адміністративні правопорушення
Оскільки, відповідно до ч.1 ст. 41 Закону № 922 договір про закупівлю укладається відповідно до норм ЦК (з урахуванням особливостей, визначених цим Законом) то на нього, зокрема, поширюються норми, що дозволяють визнати такий договір недійсним. Загальним майновим наслідком недійсності правочину є реституція. Що таке реституція, її види та коли застосовується, розглянемо у статті
Щороку декларацію особи, уповноваженої на виконання функцій держави або місцевого самоврядування (далі — антикорупційна декларація), подають особи, перелік яких визначає стаття 45 Закону України «Про запобігання корупції» від 14.10.2014 № 1700-VII (далі — Закон № 1700). Серед цього переліку уповноваженої особи замовника немає та це не значить, що вона не подає антикорупційну декларацію. Розглянемо детальніше коли уповноваженій особі замовника потрібно подавати декларацію, а коли — ні.
