Kai slaptažodžio ir MFA jau nebeužtenka: kodėl 2026-ais tapatybę reikia "prisieti" prie įrenginio

Įsivaizduok: Vartotojas j.petraitis prisijungė prie įmonės Microsoft 365: teisingas slaptažodis, patvirtintas MFA, IP adresas iš Vilniaus, naršyklė – ta pati Chrome versija, kaip visada. Nė vieno įspėjimo.

Problema tik viena: Jonas Petraitis tuo metu vežė vaiką į darželį ir prie kompiuterio nebuvo prisėdęs.

Tai nėra hipotetinis scenarijus. Tai kasdienybė, kai užpuolikas turi tai, ko tikrai reikia – galiojančius kredencialus ir pavogtą sesiją – ir dar prisideda nuotolinio proxy, kuris jį "pastato" į tavo miestą. Visi klasikiniai pasitikėjimo signalai suveikė teisingai. Tik jie tikrino ne tą dalyką.

1. Problema: mūsų pasitikėjimo signalai pasenę

Dešimtmetį tapatybės sprendimus darėme pagal kelis kriterijus: ką vartotojas žino (slaptažodis), ką turi (MFA kodas ar programėlė), iš kur jungiasi (IP, geolokacija) ir kuo jungiasi (naršyklės "pirštų atspaudas").

Visi šie signalai turi vertę. Bet visi jie turi tą pačią esminę silpnybę: juos galima pateikti iš bet kur pasaulyje. Slaptažodis yra tekstas. Sesijos cookie – irgi tekstas. Naršyklės parametrai – konfigūracija. Geolokacija – maršruto pasirinkimas.

Verizon "Data Breach Investigations Report" duomenimis, pavogti kredencialai dalyvauja beveik pusėje visų incidentų (apie 44,7 %). Tai reiškia paprastą dalyką: didžioji dalis atakų nėra "laužimas". Tai prisijungimas.

Ką pakeitė dirbtinis intelektas

Svarbu neperdėti: AI nesukūrė naujos atakų klasės. Phishing, infostealer'iai, MFA nuovargio atakos, sesijų pagrobimas – visa tai egzistavo ir prieš ChatGPT.

AI pakeitė ekonomiką. Anksčiau kokybiškas, personalizuotas phishing'as reikalavo žmogaus darbo: surask auditorijos profilį LinkedIn, suprask, kas yra jos vadovas, parašyk laišką be gramatinių klaidų taisyklinga lietuvių kalba. Tai kainavo laiko, todėl gerai personalizuotos atakos buvo taikomos tik "vertingiems" tikslams.

Dabar ta kaina nukrito beveik iki nulio. Užpuolikas gali paruošti tūkstantį laiškų, kurių kiekvienas kalba tavo darbuotojo kalba, mini tavo realų tiekėją ir naudoja būtent tos rolės kontekstą – finansininkui apie "pasikeitusius sąskaitos rekvizitus", administratoriui apie "pasibaigusią Azure licenciją".

2. Kaip mąsto užpuolikas

Norint gintis, reikia suprasti motyvaciją. Užpuolikas nėra suinteresuotas "sulaužyti" tavo sistemą – tai brangu ir triukšminga. Jis nori atrodyti kaip tavo darbuotojas.

Jo mąstymo logika:

"Man nereikia įsilaužti, jei galiu prisijungti."
Slaptažodį galima nupirkti. Infostealer'ių dump'ai su korporatyviniais kredencialais prekiaujami masiškai, o pavogti duomenys dažnai išnaudojami tik po savaitės ar mėnesio – kai niekas jau nebeieško.

"MFA man ne siena, o nepatogumas."
Vienkartinį kodą galima pavogti realiu laiku per Adversary-in-the-Middle (AiTM) proxy: vartotojas veda kodą į mano padirbtą puslapį, aš tuo pačiu metu perduodu jį tikrai paslaugai. Push notifikacijas galima "užspausti" – 50 pranešimų 2 val. nakties, ir kažkas paspaus "Approve". O jei pavogsiu sesijos cookie – MFA man net nereikės, nes autentifikacija jau įvyko.

"Geolokacija – mano įrankis, ne tavo."
Rezidentiniai proxy tinklai kainuoja kelis dolerius. Aš pasirinksiu exit node'ą tavo mieste. Ir dar geriau – tavo įmonė turi nuotolinį darbą ir VPN, tai tavo tikri darbuotojai jungiasi iš keisčiausių vietų. Mano prisijungimas atrodys nuobodžiau už jų.

"Netipinė naršyklė? Aš ją klonuosiu."
Vienkartiniai naršyklės profiliai, anti-detect naršyklės, User-Agent spoofing'as – visa tai nustatoma konfigūracijos failuose.

Taigi išvada: visi tavo pasitikėjimo signalai yra duomenys, kuriuos galiu pateikti pats. Ir čia yra pati skylė.

3. Ppridėkime signalą, kurio negalima "atsinešti"

Zero Trust principas, aprašytas NIST SP 800-207, teigia paprastą dalyką: nesuteikite pasitikėjimo vien dėl to, kad prisijungimas atėjo iš tam tikros vietos ar tinklo. Ir – tai dažnai praleidžiama – vartotojo autentifikacija ir įrenginio autentifikacija yra du atskiri procesai, kurie abu turi įvykti prieš duodant prieigą prie resurso.

Praktiškai tai vadinama device trust arba device binding: prieigą gauna ne tas, kas žino slaptažodį, o tas, kas žino slaptažodį ir jungiasi iš registruoto, atitikties reikalavimus tenkinančio įrenginio.

Analogija paaiškinti pradedantiesiems

Slaptažodis ir MFA yra kvietimas į konferenciją – lapelis su vardu. Jį galima pavogti, nukopijuoti, nufotografuoti.

Device trust yra darbo pažymėjimas su lustu, kuris veikia tik tame pačiame pastate. Net jei kažkas nusikopijuos tavo kvietimą, jis neturi lusto. Ir kai apsaugos darbuotojas prie durų nuskaito lustą, jis dar pažiūri: ar šis pažymėjimas nėra pažymėtas kaip "pamestas", ar žmogus nesineša į serverinę atviros ugnies.

Keturi įgyvendinimo principai

1. Susiek prieigą su patvirtinta įranga
Registruok įrenginius ir atskirk politikas: korporatyviniai, asmeniniai (BYOD), trečiųjų šalių. Prisijungimas iš nežinomo įrenginio turi būti traktuojamas kaip rizikos pokytis, o ne kaip normalus įvykis vien todėl, kad slaptažodis ir MFA suveikė.

2. Vertink nuolat, o ne tik prisijungimo momentu
Sėkmingas prisijungimas neturi sukurti "amžino" pasitikėjimo visai sesijai. Jei per sesiją pasikeičia įrenginio būklė – išjungiamas EDR/antivirusas, įrenginys iškrenta iš atitikties, atsiranda root/jailbreak požymių – prieigos lygis turi keistis kartu.

3. Proporcinga reakcija, o ne visur "block"
Čia dažniausiai suklumpa projektai: saugumo komanda įjungia griežtą politiką, verslas pradeda skęsti helpdesk užklausose, politika išjungiama. Nesutampa atsakas su rizika.

• Neįdiegtas naujausias atnaujinimas → apribotos privilegijos + 72 val. laikotarpis susitvarkyti.
• Išjungta endpoint apsauga arba root'intas įrenginys → blokas nedelsiant.

4. Duok vartotojui kelią atsistatyti pačiam
Jei prieiga priklauso nuo įrenginio būklės, vartotojas turi matyti, kas ne taip, ir gauti instrukciją, kaip pasitaisyti. Self-service remediation sumažina trikdžius ir – svarbiausia – sumažina spaudimą politiką atlaisvinti.

Šią savaitę:

• Įjunk phishing-resistant MFA kritinėms rolėms: FIDO2 / passkeys / sertifikatais grįstą autentifikaciją. Tai vienintelis MFA tipas, kurio AiTM proxy nepersiunčia. Daugiau – slaptažodžiai ir FIDO atmintinė.
• Sutrumpink sesijų gyvavimo laiką administratoriams ir įjunk pakartotinę autentifikaciją jautriems veiksmams.
• Nuskenuok Active Directory dėl nutekėjusių slaptažodžių (read-only auditas) ir priverstinai pakeisk atitikimus.
• Įjunk token protection / continuous access evaluation ten, kur tavo identity platforma tai leidžia.
• Įjunk conditional access taisyklę: prieiga prie administratorinių portalų – tik iš valdomų įrenginių.

Trys išvados, kurias verta įsirėminti

1. Dauguma šiuolaikinių atakų nėra įsilaužimai – tai prisijungimai. Todėl reikia klausti ne "ar slaptažodis stiprus?", o "ar šis prisijungimas ateina iš to, iš kur turėtų?"
2. AI nepadarė atakų protingesnių – padarė jas pigesnes. Vadinasi, apsauga, kuri veikė tik dėl to, kad ataka buvo per darbo imli masiniam naudojimui, nebeveiks.
3. Pridėk bent vieną signalą, kurio užpuolikas negali pateikti nuotoliniu būdu. Įrenginio tapatybė ir jo būklė yra praktiškiausias tokio signalo variantas šiandien.

Jei norite patikrinti realią riziką organizacijoje – socialinės inžinerijos simuliacijos, kibernetinio saugumo mokymai ir visos paslaugos. Susijęs straipsnis: kas iš tiesų laužia įmonių saugumą 2026-ais.