Şifresiz kimlik doğrulama sistemlerinde kullanılan geçiş anahtarları için 39 farklı saldırı yöntemi ortaya konurken araştırmalar, saldırganların doğrudan özel anahtarı ele geçirmek yerine kimlik doğrulama zincirindeki diğer katmanları hedefleyebildiğini gösterdi. FIDO2 tabanlı yapıların arkasındaki açık anahtarlı kriptografi güçlü koruma sağlasa da tarayıcı, işletim sistemi, bulut senkronizasyonu, cihaz kaydı, hesap kurtarma ile kullanıcı etkileşimi yeni risk alanları oluşturuyor. Yayınlanan araştırmaların bazıları kavram kanıtı araçlarıyla desteklenirken yöntemlerin tamamının gerçek saldırılarda kullanıldığına dair bir kanıt bulunmuyor.
Saldırganlar Özel Anahtar Yerine Kimlik Doğrulama Sürecini Hedefliyor
Windows bilgisayarındaki kötü amaçlı bir uygulama, SpecterOps araştırmacılarının ortaya koyduğu senaryoda WebAuthn altyapısından geçerli bir imzalı doğrulama çıktısı oluşturulmasını sağlayabiliyor. Kullanıcı işletim sisteminin sunduğu gerçek doğrulama ekranında işlemi tamamladığında saldırgan ortaya çıkan imzalı veriyi alabiliyor. Özel anahtar cihazın korumalı alanından çıkmadığı için saldırı kriptografik anahtarın kırılmasına dayanmıyor.
Kurumsal kimlik doğrulama zinciri, web uygulamasından tarayıcıya kadar uzanan çok sayıda bileşen içeriyor. İşletim sistemi, parola yöneticisi, bulut hesabı, mobil cihaz, Bluetooth iletişimi, hesap kurtarma sistemi, yardım masası ile çalışan davranışı da bu zincirin parçaları arasında bulunuyor. Araştırmacıların ortaya koyduğu yöntemler assertion yakalama, yeniden oynatma, istek yönlendirme, tarayıcı kancalama ile doğrulama sürecine müdahale gibi farklı tekniklerin bu katmanları hedefleyebildiğini gösteriyor.
Windows ekranında açılan doğrulama pencereleri de saldırganların kullanabileceği bir alan oluşturuyor. Araştırmalar, doğrulama istemlerinin art arda gösterilmesi, sahte arayüzler hazırlanması, uygulama bilgilerinin taklit edilmesi, pencere tanımlayıcılarının kötüye kullanılması ile uzak masaüstü bağlantıları üzerinden kimlik avı yapılması gibi yöntemleri inceliyor.
Kullanıcı alışkanlıkları bu saldırıların başarısında önemli rol oynuyor. Çalışanlar düzenli olarak doğrulama istemleriyle karşılaştığında saldırganlar gerçek işletim sistemi etkileşimlerini taklit ederek yanlış bir işlemin onaylanmasını sağlamaya çalışabiliyor. FIDO2 kimlik doğrulama, klasik kimlik avı saldırılarına karşı önemli bir avantaj sağlasa da işletim sistemi ile kullanıcı arasındaki arayüz manipülasyonunu tek başına engellemiyor.
Bulut üzerinden birden fazla cihaza aktarılan kimlik bilgileri, tek cihazla sınırlı yapılara göre daha geniş bir saldırı alanı oluşturuyor. Araştırmacılar Apple veya Google hesaplarının ele geçirilmesi, bulut tabanlı kurtarma süreçlerinin kötüye kullanılması, çalınan telefonlar, mobil zararlı yazılımlar, yönetici yetkisi kazanılmış cihazlar, parola yöneticisi dışa aktarımlarının çalınması ile kötü amaçlı tarayıcı eklentileri gibi senaryoları değerlendiriyor.
Bulut hesabını ele geçiren bir saldırganın doğrudan özel anahtarı çözmesi gerekmiyor. Saldırgan, kimlik bilgisinin senkronize edildiği, geri yüklendiği veya başka bir cihazda kullanılabildiği güven zincirindeki bir bileşeni hedeflediğinde aynı sonuca yaklaşabiliyor. Bu nedenle şifresiz kimlik doğrulama güvenliği yalnızca kriptografik anahtarın dayanıklılığıyla değil anahtarı yöneten ekosistemin güvenliğiyle de ölçülüyor.
Kurumsal hesaplarda yeni bir doğrulama cihazının eklenmesi, mevcut kimlik bilgisinin çalınmasından farklı bir saldırı yöntemi sunuyor. Araştırmalar saldırganların sahte destek görüşmeleri, telefon üzerinden sosyal mühendislik, yardım masası hesaplarının ele geçirilmesi, geçici kimlik bilgileri, SIM tabanlı kurtarma ile hesap taşıma süreçlerini kullanarak kendi cihazlarını yetkili cihaz olarak kaydetmeye çalışabildiğini gösteriyor.
Bir saldırgan yeterli hesap kontrolü sağladığında mevcut kimlik bilgisini ele geçirmek yerine kendi cihazı için yeni bir geçiş anahtarı oluşturabiliyor. Hizmet tarafından geçerli kabul edilen yeni kimlik bilgisi saldırgana kalıcı erişim sağlayabildiği için kayıt işlemi, kimlik doğrulama kadar güçlü korunması gereken bir güvenlik noktası hâline geliyor. Kurumların cihaz ekleme, kimlik bilgisi yenileme ile hesap kurtarma süreçlerini ayrı bir güvenlik katmanı olarak değerlendirmesi gerekiyor.
Özel amaçlı biyometrik kimlik doğrulama cihazları, özel anahtarı donanım içerisinde koruyarak bulut senkronizasyonu ile dışa aktarma gibi riskleri azaltan farklı bir model sunuyor. Kullanıcının parmak iziyle doğrulama yapması, cihazın fiziksel olarak erişilebilir olmasıyla birlikte değerlendirildiğinde uzaktan gerçekleştirilebilecek saldırıların önündeki engeller artıyor.
Genel amaçlı işletim sistemi bulunmayan bir güvenlik cihazı, uygulama mağazası, tarayıcı, üçüncü taraf yazılım veya tarayıcı eklentisi gibi saldırı yüzeylerini barındırmıyor. Cihazın ekran içermemesi de saldırganların sahte doğrulama pencereleri üzerinden kullanıcıyı yönlendirmesini zorlaştırıyor. Biyometrik donanım güvenliği bu açıdan kriptografik korumayı daha dar bir donanım sınırıyla birleştiriyor.
Kurumsal kimlik doğrulama sistemleri, kullanılan donanım kadar hizmet tarafındaki yapılandırmaya da bağlı çalışıyor. Hizmet sağlayıcının yalnızca onaylanan doğrulayıcı türlerine izin vermesi, kullanıcı doğrulamasını zorunlu tutması, oturum sorgularını doğru denetlemesi ile imza sayaçlarını uygun biçimde değerlendirmesi gerekiyor.
Yeni cihaz kaydı için yalnızca parola veya zayıf bir kurtarma yönteminin yeterli olması saldırganların en güçlü güvenlik katmanını atlayarak daha zayıf kanala yönelmesine neden olabiliyor. Kurumların yeni doğrulayıcı eklenmesini daha önce yetkilendirilmiş bir cihazla onaylatması, hesap kurtarma süreçlerini ayrı güvenlik kontrolleriyle koruması gerekiyor.
Yayınlanan 39 yöntem, FIDO2’nin kullandığı açık anahtarlı kriptografinin kırıldığı anlamına gelmiyor. Araştırmacılar ağırlıklı olarak işletim sistemi, tarayıcı, senkronizasyon, cihaz kaydı, hesap kurtarma, kullanıcı arayüzü ile insan davranışı gibi kimlik doğrulama sürecinin çevresindeki katmanları hedefliyor.
Kurumsal güvenlik ekipleri için ortaya çıkan tablo, şifresiz kimlik doğrulamanın yalnızca credential güvenliği üzerinden değerlendirilmemesi gerektiğini gösteriyor. Yüksek değerli hesaplarda cihaz kaydı ile kurtarma kanallarının güçlendirilmesi, doğrulayıcı türlerinin sınırlandırılması ve özel amaçlı donanım kullanılması saldırı yüzeyini azaltabiliyor. Araştırmaların ilerleyen dönemde senkronizasyon, cihaz kaydı, işletim sistemi etkileşimleri ile kurtarma mekanizmalarına yoğunlaşması beklenirken kurumların kimlik güvenliği politikalarını bu yeni saldırı alanlarını dikkate alarak güncellemesi önem taşıyor.
