De afgelopen weken stonden bol van cybersecuritynieuws. Eerst was er het datalek bij Odido. Kort daarna volgde de grote hack bij cryptobeurs Binance. Op het eerste gezicht lijken dat twee totaal verschillende incidenten, maar er zit een opvallende overeenkomst in.
Bij Odido werden medewerkers telefonisch misleid. De aanvallers kregen daardoor toegang tot inloggegevens en MFA-goedkeuringen. Bij Binance lijkt een gecompromitteerde laptop van een medewerker de toegangspoort te zijn geweest tot interne systemen. In beide gevallen werd gebruikgemaakt van een legitiem account op een vertrouwd apparaat.
Wat controleert een beveiligingssysteem eigenlijk?
Dat roept een interessante vraag op: wat controleert een beveiligingssysteem eigenlijk wanneer iemand toegang krijgt?
Veel organisaties vertrouwen vandaag op Device Trust als onderdeel van hun Zero Trust-strategie. Er wordt gekeken naar het apparaat. Is de laptop bekend? Wordt deze beheerd door de organisatie? Voldoet het apparaat aan het beveiligingsbeleid? Daarnaast wordt gecontroleerd of de gebruiker succesvol heeft ingelogd, vaak met een wachtwoord en een extra verificatiestap.
Dat zijn belangrijke controles, maar ze zeggen vooral iets over het apparaat en het account. Ze zeggen veel minder over de persoon die op dat moment achter het scherm zit.
Een laptop kan volledig voldoen aan alle beveiligingseisen van Device Trust. Een account kan correct zijn aangemeld. De multifactor-authenticatie kan succesvol zijn afgerond. Toch kan er op datzelfde moment iemand achter het toetsenbord zitten die daar niet hoort te zitten.
Authenticatie versus aanwezigheid
Dat is precies waar veel aanvallen tegenwoordig gebruik van maken. Aanvallers proberen steeds minder vaak technische beveiliging te doorbreken. Het is vaak eenvoudiger om een medewerker te misleiden, een sessie over te nemen of toegang te krijgen tot een bestaand apparaat. Zodra dat lukt, ziet de omgeving een vertrouwde gebruiker op een vertrouwd systeem.
Het werkelijke pijnpunt is het verschil tussen authenticatie en daadwerkelijke aanwezigheid. Authenticatie bewijst slechts dat de juiste sleutel of code is gebruikt. Het bewijst niet dat de bevoegde medewerker op dat moment fysiek aanwezig is om die specifieke actie uit te voeren.
Niet bij het openen van e-mail of het bekijken van een agenda, maar wel wanneer iemand gevoelige gegevens wil raadplegen, rechten wil wijzigen of toegang zoekt tot kritieke systemen. Op zulke momenten wil je niet alleen weten welk apparaat wordt gebruikt. Je wilt zeker weten of de bevoegde persoon daadwerkelijk aanwezig is.
Realtime aanwezigheidsverificatie via ItsSafe
Daarom voegt ItsSafe op relevante momenten een extra vorm van identiteitsverificatie toe. Niet om opnieuw het apparaat te controleren, maar om vast te stellen dat de geautoriseerde medewerker daadwerkelijk aanwezig is.
De medewerker bevestigt zijn aanwezigheid via een korte verificatie op zijn eigen telefoon of computer. Daarbij worden geen centrale verzamelingen van gezichtsfoto's opgeslagen. De technologie verifieert aanwezigheid zonder complete biometrische profielen centraal op te slaan.
De verwerking vindt plaats binnen een Europese cloudomgeving. Daarmee houden organisaties grip op waar gegevens worden verwerkt. Dat wordt voor veel organisaties steeds belangrijker door de discussie rond datasoevereiniteit en de reikwijdte van buitenlandse wetgeving zoals de Amerikaanse CLOUD Act.
De mens achter de knoppen
Goede firewalls, apparaatbeheer en multifactor-authenticatie blijven onmisbaar. De praktijk laat alleen zien dat deze maatregelen niet altijd voldoende zijn wanneer een account of apparaat in verkeerde handen terechtkomt.
Steeds vaker draait toegangsbeveiliging daarom niet alleen om de vraag of een apparaat wordt vertrouwd via Device Trust, maar ook of de juiste persoon op dat moment daadwerkelijk aanwezig is achter het scherm.
Wilt u weten hoe dit in uw eigen organisatie werkt? Neem dan gerust contact met ons op.