Identitete, dostop in zaupanje
KO JE OBNOVITEV RAČUNA MOČNEJŠA OD MFA
Najmočnejši način prijave ne pomaga veliko, če obstaja šibkejši postopek, ki ga lahko zamenja
Uporabnik uporablja phishing-resistant avtentikacijo s passkeyem, dostop iz neznanih naprav je omejen, prijave pa se spremljajo. Na prvi pogled je identiteta zaščitena precej bolje kot pred nekaj leti.
Potem nekdo pokliče podporo. Pove, da je izgubil telefon ali varnostni ključ, da ne more več potrditi prijave in da nujno potrebuje dostop. Pozna ime uporabnika, njegovo organizacijsko enoto, nadrejenega, telefonsko številko in dovolj notranjih podrobnosti, da zgodba zveni verjetno. Če tak pogovor zadošča za odstranitev obstoječe metode ali za začetek registracije nove, napadalcu ni bilo treba premagati passkeya. Uporabil je postopek, ki ima pravico passkey zamenjati.
Prav tu se pokaže precej manj vidna meja varnosti identitete. Organizacije veliko pozornosti namenjajo temu, kako uporabnik dokazuje svojo identiteto ob prijavi, precej manj pa vprašanju, kako jo dokazuje takrat, ko običajnega sredstva za avtentikacijo nima več.
Obnovitev računa ni samo druga oblika prijave
NIST SP 800-63B-4 account recovery opredeljuje kot postopek, s katerim naročnik po izgubi nadzora nad authenticatorji ponovno pridobi možnost avtentikacije na zahtevani ravni. To je mogoče doseči z delno ponovitvijo preverjanja identitete, vnaprej določenim recovery kontaktom, recovery kodami ali drugimi metodami, ki jih ponudnik uvede na podlagi analize tveganja. Po uspešni obnovitvi je mogoče na račun vezati nove authenticatorje.
Ta razlika je pomembna zaradi same logike postopka. Pri običajni prijavi uporabnik dokazuje nadzor nad authenticatorjem, ki je z računom že povezan. Pri obnovitvi računa je treba zaupanje ponovno vzpostaviti prav v trenutku, ko enega ali več običajnih dokazov ni mogoče uporabiti. NIST zato recovery obravnava kot poseben del življenjskega cikla digitalne identitete in zahteva tudi neodvisno obveščanje uporabnika, ko je bila obnovitev izvedena.
Če ima uporabnik še vedno drug veljaven authenticator, s katerim lahko potrdi spremembo, dodajanje novega sredstva za avtentikacijo sodi med vezavo authenticatorja. NIST posebej pojasnjuje tudi, da zamenjava pozabljenega gesla ob razpoložljivem drugem authenticatorju ni account recovery. Ta terminološka meja je pomembna, saj pri vseh ponastavitvah ne gre za enak varnostni položaj.
Kdor lahko doda novo sredstvo za avtentikacijo, sodeluje pri odločitvi o identiteti
NIST uporablja izraz authenticator binding za vzpostavitev povezave med konkretnim authenticatorjem in uporabniškim računom. Ta povezava omogoči, da se bo authenticator pozneje uporabljal kot dokaz pri avtentikaciji. Ponudnik mora zato voditi evidenco authenticatorjev, vezanih na račun, ter čas pomembnih dogodkov njihovega življenjskega cikla, med drugim vezave, obnove, posodobitve in poteka.
Tudi naknadno dodajanje novega authenticatorja ni zamišljeno kot poljubna administrativna operacija. NIST zahteva ustrezno raven predhodne avtentikacije glede na zmogljivost obstoječega računa in novega authenticatorja, po uspešni vezavi pa neodvisno obvestilo uporabniku. Smernice posebej opozarjajo tudi na možnost, da je uporabnik med postopkom vezave zaveden in binding kodo posreduje napadalcu.
Vloga uporabniške podpore zato pri takšnih zahtevah presega klasično odpravljanje tehničnih težav. Kadar podporni postopek lahko omogoči ponastavitev gesla, odstranitev obstoječe MFA metode, spremembo podatkov za obnovitev ali registracijo nove naprave, posega neposredno v življenjski cikel digitalne identitete. Kakovost preverjanja osebe na drugi strani telefona ali videoklica je v takem trenutku del varnostnega modela, ne zgolj vprašanje kakovosti storitve.
Napadalci ciljajo prav te postopke
Mandiant je januarja 2026 pri kampanjah, povezanih z blagovno znamko ShinyHunters, posebej opozoril na socialni inženiring okoli ponastavitev gesel, sprememb MFA in registracije naprav. Kampanje so uporabljale vishing in zbiranje poverilnic za kompromitacijo SSO računov ter vpis nepooblaščenih naprav v MFA okolja. Mandiant poudarja, da pri teh kampanjah ne gre za izkoriščanje ranljivosti v produktih ali infrastrukturi ponudnikov, temveč predvsem za socialni inženiring, s katerim napadalci obidejo identitetne kontrole in podporne postopke.
Priporočila za podporo so zato precej konkretna. Zahteva za ponastavitev naj ne bo odobrena samo zato, ker klicatelj pozna identifikacijsko številko zaposlenega, ime nadrejenega ali druge podatke, ki so lahko dostopni iz prejšnjih kompromisov ali javnih virov. Mandiant priporoča povratni klic na že znano telefonsko številko in dodatno odobritev prek zaupanja vrednega kanala. V obdobjih povečanega tveganja predlaga še strožje ukrepe, med drugim preverjanje prek videoklica in fizičnega identifikacijskega dokumenta. Takšen pristop ni univerzalni standard za vsak običajen reset, pokaže pa, kako resno lahko postane preverjanje identitete, kadar je znano, da napadalci ciljajo prav podporne procese.
Tudi sama moč MFA pri teh kampanjah ne odpravi problema. Mandiant dolgoročno priporoča prehod na phishing-resistant MFA, kot so FIDO2 varnostni ključi ali passkeys, hkrati pa med aktivnim incidentom svetuje omejitev samopostrežnih ponastavitev, začasno ustavitev novih MFA registracij in preusmeritev zahtev skozi strožje preverjanje identitete. Močnejši authenticator zmanjšuje tveganje običajnega phishinga, vendar mora biti ustrezno zaščiten tudi postopek, ki authenticator dodaja, odstranjuje ali nadomešča.
Septembra 2026 je podoben problem iz drugega zornega kota dokumentiral Microsoft. Pri aktivnih vdorih v oblačne identitete so bile po prvotnem kompromisu zaznane registracije novih MFA metod pod nadzorom napadalca. Cilj je bil začasen dostop spremeniti v trajnejšo možnost avtentikacije. Microsoft zato priporoča korelacijo nenavadnih prijav z dogodki registracije novih avtentikacijskih metod ter hitro odstranitev nepooblaščenih metod pri potrjenem kompromisu. MITRE ATT&CK takšno ravnanje uvršča pod T1556.006, Modify Authentication Process: Multi-Factor Authentication. Ta tehnika ni sinonim za zlorabo account recoveryja. Opisuje širši razred dejanj, pri katerih napadalec po pridobljenem dostopu spremeni, oslabi ali dopolni MFA mehanizem, na primer z registracijo lastnega authenticatorja. Recovery je lahko ena od poti, ki pripelje do podobnega rezultata, vendar gre za dva ločena pojma.
Močan authenticator potrebuje enako resen življenjski cikel
WebAuthn, ki ga uporabljajo authenticatorji po specifikacijah FIDO2, omogoča phishing-resistant avtentikacijo z vezavo kriptografskega odgovora na identiteto preveritelja. Zaradi tega odgovora, ustvarjenega za legitimnega preveritelja, ni mogoče preprosto prestreči na lažni strani in nato uporabiti pri pravem.
Vendar nobena lastnost authenticatorja sama ne določa varnosti celotnega računa. Authenticator ima življenjski cikel: nekdo ga mora prvič registrirati, lahko se izgubi, poškoduje, poteče, postane kompromitiran ali ga je treba zamenjati. NIST prav zato v istem sklopu smernic obravnava binding, recovery, obnovo, preklic in obveščanje uporabnika.
Pri privilegiranih identitetah postane posledica napačne odločitve večja. Napačno obnovljen račun običajnega uporabnika lahko razkrije njegovo pošto ali dokumente. Pri skrbniškem računu lahko ista napaka odpre upravljanje identitet, naprav, oblačnih storitev ali drugih kritičnih sistemov. Mandiant zato v času aktivnega tveganja izrecno priporoča, da se samopostrežne ponastavitve za skrbniške račune ne uporabljajo, pri vseh občutljivih zahtevah pa naj podpora preide na strožje ročno preverjanje.
Iz tega ne sledi, da mora biti vsaka izgubljena naprava predmet zapletenega postopka. Smisel je v sorazmernosti. Način obnovitve običajnega računa in privilegirane identitete ni nujno enak, prav tako ni enako tveganje pri zamenjavi že potrjenega authenticatorja in pri situaciji, ko uporabnik nima več nobenega običajnega sredstva za dokazovanje identitete.
Tudi obnovitev računa mora pustiti dovolj sledi
Varnost postopka se ne konča z uspešno ponastavitvijo. NIST zahteva beleženje pomembnih dogodkov življenjskega cikla authenticatorjev, pri vezavi novega authenticatorja in account recoveryju pa predvideva neodvisno obveščanje uporabnika. Namen takega obvestila je praktičen: uporabnik dobi možnost zaznati spremembo, ki je sam ni zahteval.
Za organizacijo je podobno pomembna revizijska sled. Ponastavitev gesla, odstranitev MFA metode, dodajanje novega authenticatorja, registracija naprave ali sprememba recovery podatkov so legitimne operacije, vendar njihov pomen ni vedno enak. Večjo dokazno vrednost dobi takšna sprememba šele v kontekstu aktivnosti pred njo in po njej. Nova MFA metoda po nenavadni prijavi, ki ji sledijo avtomatizirane poizvedbe ali množičen dostop do podatkov, zahteva drugačno obravnavo kot načrtovana menjava službenega telefona.
Microsoft pri aktualnih kampanjah zato svetuje preiskovanje dogodkov kot povezane sekvence: nenavadna prijava, dodajanje avtentikacijske metode, dejavnost v Microsoft Graphu ter kasnejši dostop do SharePointa, OneDrivea ali Exchangea. Takšna časovna in vsebinska povezava lahko pokaže, ali gre za pričakovano spremembo uporabniškega okolja ali za nadaljevanje kompromisa.
Prijava je samo en trenutek v življenjskem ciklu identitete
Pri razpravah o zaščiti identitet pogosto primerjamo dolžino gesel, različne vrste MFA, passkeys, biometrijo in pogoje Conditional Access. Vse to je pomembno, vendar opisuje predvsem trenutek, ko uporabnik že ima svoje sredstvo za avtentikacijo in ga želi uporabiti.
Resnični sistem je širši. Authenticatorje izdajamo, dodajamo, izgubljamo, menjamo in preklicujemo. Ljudje menjajo telefone, izgubijo ključe in ostanejo brez dostopa. Organizacija zato potrebuje pot nazaj do računa, vendar mora biti pri tem jasno, kateri dokaz je dovolj dober, kdo sme odločitev sprejeti in kako se preveri, da se dostop vrača pravi osebi.
Najmočnejši način prijave je zato samo en del zaščite identitete. Enako pomemben je postopek, ki odloča, kdo ga sme nadomestiti.
EVIDENCE PROFILE
Dokazni profil članka
Profil pokaže vrsto dokazne podlage in omejitve osrednjega argumenta.
Viri
- 01STANDARDNational Institute of Standards and Technology (NIST)NIST SP 800-63B-4 – Digital Identity Guidelines: Authentication and Authenticator Management Zahteve in priporočila za avtentikacijo, authenticator binding, account recovery, življenjski cikel authenticatorjev in obveščanje uporabnikov.
- 02ADVISORYGoogleGoogle Threat Intelligence Group / Mandiant – Guidance from the Frontlines: Proactive Defense Against ShinyHunters-Branded Data Theft Targeting SaaS, 30. januar 2026 Praktična priporočila za preverjanje identitete v podpori, password in MFA reset postopke, registracijo naprav ter poostrene ukrepe v obdobjih povečanega tveganja.
- 03ADVISORYMicrosoftMicrosoft Security Research – Passkey-themed social engineering leads to identity and cloud compromise, 9. september 2026 Dokumentirane kampanje z zlorabo identitet, registracijo novih MFA metod in nadaljnjo dejavnostjo v Microsoftovem oblačnem okolju.
- 04STANDARDMITREMITRE ATT&CK T1556.006 – Modify Authentication Process: Multi-Factor Authentication Opis spreminjanja ali onemogočanja MFA in registracije napadalčevega authenticatorja kot tehnike za vztrajnost in nadaljnji dostop.