Jak 1Password widzi najbliższą przyszłość – 2023 r.

25 Stycznia 2023

Sytuacja w zakresie bezpieczeństwa ulega ciągłym zmianom. Przewidywanie, co będzie dalej, jest wystarczająco trudne, ale trafność takiego przewidywania jest ogromna. Nasz zespół bezpieczeństwa pilnie monitoruje jego krajobraz, aby zapewnić elastyczność i szybko wprowadzać zmiany. Eksperci 1Password podali 4 kluczowe oczekiwania foresightowe, które będą miały wpływ na cyberbezpieczeństwo w 2023 r.

1. Klucze do dostępu przyjdą do ich sukcesu

Tradycyjne hasła od dawna są krytykowane. Nie jest tajemnicą, że rozpoznanie ich nawet bez użycia technologii OSINT, bardziej prymitywnymi metodami, jest w zasięgu wielu hakerów i cyberprzestępców. Jednak wyczekiwany od około 10 lat zmierzch haseł wydaje się być teraz bliższy niż kiedykolwiek. Powód jest prosty - istnieje godna i nie mniej bezpieczna alternatywa dla nich. Mowa oczywiście o wspomnianych kluczach dostępu. Te cyfrowe poświadczenia pomagają łączyć się z oprogramowaniem i zasobami internetowymi bez konieczności stosowania haseł. W 2022 roku takie narzędzia stały się dostępne, a ich wdrażanie stopniowo zaczyna nabierać tempa. Istnieje nawet katalog kluczy dostępu, w którym można dowiedzieć się, które witryny przeszły na tę metodę uwierzytelniania.

Kluczowa obsługa jest obecnie aktywnie wdrażana w desktopowych i mobilnych systemach operacyjnych, dzięki czemu jest coraz bardziej dostępna. Firmy powinny odważnie zacząć przechodzić na metodologię bez haseł. Proces ten, naszym zdaniem, aktywnie rozpocznie się w 2023 roku. Podmioty korporacyjne muszą zacząć wspierać uwierzytelnianie hasłem na stronie internetowej i w aplikacji, jeśli nie chcą zostać pominięte w procesie. Standardowa licencja 1Password będzie zawierała w przewidywalnej przyszłości tryb bezhasłowy, a od początku tego roku funkcja ta będzie dostępna dla każdego z naszych użytkowników. Nie staramy się odcinać od przepływu wydarzeń, ale raczej czerpać z nich korzyści.

2. Cyberprzestępcy będą mocniej atakować zdalnie działające firmy i struktury

Wybuch epidemii zakażeń i wynikające z tego ograniczenia zdrowotne spowodowały, że zauważalna część miejsc pracy została przeniesiona do trybu zdalnego. Mafia zareagowała błyskawicznie, a odsetek wirtualnych ataków na takie miejsca pracy wzrósł, podczas gdy wcześniej próbowano atakować normalne stanowiska biurowe. Ale praca zdalna stała się w rzeczywistości nową normą, a liczba ataków przesunęła się z prostego wzrostu na wyspecjalizowane metody atakowania pracowników zdalnych.

Specjaliści spodziewają się nasilenia ataków za pomocą fałszywych tożsamości i technik inżynierii społecznej. Znaczna część osób zaangażowanych w projekty internetowe nigdy nie spotkała większości swoich odpowiedników osobiście. Ale inżynieria społeczna jest potężniejsza niż się wydaje. Nawet osoby mające stały, bezpośredni kontakt ze współpracownikami mogą zostać stosunkowo łatwo oszukane. Oszukiwanie prezesa zarządu jest dość powszechne. Sprawca przedstawia się jako szef firmy. W mailu może zarówno wyraźnie zażądać przelania środków na własne konta, jak i zapytać o informacje wrażliwe, w tym ściśle osobiste. Zaleca się zapoznanie z osobną publikacją, która szczegółowo opisuje oszustwo CEO i zawiera porady, jak uniknąć takiego problemu. Firmy powinny już teraz przygotować swoich pracowników na nadchodzące zagrożenia. Ci, którzy już to zrobili, skorzystają. Pierwszym logicznym krokiem byłoby wdrożenie menedżera haseł, takiego jak 1Password i jego odpowiedniki. 82% podatności rozwija się z powodu czynnika ludzkiego. Zatem ochrona pracowników = ochrona firmy jako takiej.

3. Po kwantach

Ceny płacone za 1Password pozwolą wkrótce na wykorzystanie kryptografii post-quantum. Planowanie spraw musi również uwzględniać nowe osiągnięcia w tej dziedzinie. Standaryzacja jest już wystarczająco dobrze rozwinięta i można rozpocząć kwantową strategię kryptowalutową. Perspektywiczne systemy bezpieczeństwa będą w stanie bronić się zarówno przed tradycyjnymi, jak i kwantowymi komputerami biorącymi udział w ataku za pośrednictwem kanałów cyfrowych. Wykorzystywane są wszystkie istniejące sieci i protokoły komunikacyjne, czyli komunikacja nie zostanie zakłócona.

Opracowania NIST pozwalają już na odpowiednią standaryzację kryptografii. I myślące przyszłościowo kierownictwo bierze to pod uwagę. Powinien istnieć przynajmniej ogólny plan, jak wdrożyć kryptografię post-quantum. Należy jednak zrozumieć, że klasyczne metody kryptograficzne również nie odchodzą do lamusa. Mają swoją niszę, a oba poziomy technik mają mocne i słabe strony. Musimy znaleźć równowagę i zastosować dokładnie to, co może działać najskuteczniej w każdym przypadku.

Przygotowanie do decydującej zmiany wiąże się ze znalezieniem obszarów, w których można zastosować kryptografię, zachowując długoterminowe bezpieczeństwo. Określi też, jakie kompromisy i kombinacje będą przydatne, aby w przyszłości można było stosować tylko wygodne algorytmy. Oczywiście standardy będą jeszcze dopracowywane, a metody post-quantum będą musiały być stosowane dokładniej w nadchodzących latach. Jednak to, co zostanie zrobione teraz, zadecyduje o tym, czy firma znajdzie się w czołówce, czy też wśród opóźnionych. Tak, nie ma w tej chwili algorytmów do wyboru. Ale pierwsze z nich pojawią się już w tym roku. Początek tworzenia strategii powinien uwzględniać niezbędną elastyczność kryptograficzną, tak aby później łatwo było ją przeprojektować i wprowadzić nowe warianty. Takie podejście ułatwi późniejsze zastosowanie technik postkwantowych.

4. Bezpieczeństwo danych i danych stanie się absolutnie obowiązkowym powszechnym żądaniem

Bezpieczne środowisko oznacza całkowitą poufność wszelkiego rodzaju danych osobowych. Nie tylko biznesplany, ale także informacje o klientach i osobista korespondencja muszą być w pełni zakryte. Klienci usług komercyjnych mają większą świadomość prywatności niż jeszcze 2-3 lata temu. Przyczynia się do tego zarówno powszechna edukacja, jak i głośne skandale związane z naruszeniem danych. Rośnie gniew na sprzedawców sprzętu, oprogramowania i usług internetowych, którzy nie zapewniają odpowiedniej ochrony infosecurity. W 2023 roku prywatność nie będzie już minimalnym wymogiem, a raczej pewnym unikalnym chwytem, który można wykorzystać, aby wyróżnić się z tłumu.

Nikt nie może przewidzieć, co dokładnie się stanie

Wszystkie przedstawione prognozy są aktualnym poglądem naszego zespołu i analizą panującego terenu pod względem bezpieczeństwa. Ale prognoza to prognoza, jest tylko prawdopodobna. Cieszymy się, że rozumiemy, co przyniesie przyszłość i czekamy na rozwój, który się zmaterializuje i będzie miał wpływ na codzienne życie i pracę przedsiębiorstw.