Nazca praktycznie nie do zhakowania dzięki Cyberus Labs

Cyberataki dotyczą dziś w zasadzie każdego. Codziennie logujemy się do setek stron, portali, usług bankowych czy aplikacji wykorzystując do tego smart urządzenia. O ile zhakowanie naszego konta social media może wiązać się z nieprzyjemnościami i utratą cyfrowej tożsamości, a włamanie na nasze konto bankowe może pozbawić nas oszczędności, to zhakowanie naszego inteligentnego domu może stanowić realne zagrożenie dla nas i naszych bliskich. System Nazca, który rozwijamy w APA Group, jest projektowany w taki sposób, by ograniczyć możliwość ataku praktycznie do zera, a teraz zyskał jeszcze dodatkowego sprzymierzeńca – firmę Cyberus Labs, oferującą innowacyjny sposób zabezpieczeń cyfrowych.

Wraz z rozwojem internetu rzeczy ataki hakerskie z pewnością staną się jeszcze częstsze, a my jako użytkownicy musimy mieć tego pełną świadomość i podejmować działania, które zminimalizują takie ryzyko. Oprócz funkcjonalności, niezawodności czy wygody, jaką oferują systemy inteligentnego budownictwa, priorytetem w ich wyborze powinno być także bezpieczeństwo użytkowników i własności, którą zarządzają. Nie może być dziś mowy o aplikacjach tego typu, które bagatelizują znaczenie tego czynnika. I to zarówno jeśli mowa o bezpieczeństwie danych gromadzonych przez taki system, jak i bezpieczeństwie związanym z bezpośrednim dostępem użytkowników do platformy – czyli uwierzytelnianiem i autoryzacją. W systemie Nazca inżynierowie APA Group zastosowali różnorodne rozwiązania zwiększające bezpieczeństwo użytkowników i ciągle szukają nowych, które mają ten aspekt jeszcze udoskonalić. Jednym z nich jest integracja platformy z unikatowym systemem ELIoT Pro, opracowanym przez katowicką firmę Cyberus Labs, uznanym przez Komisję Europejską jako przełomowe. Nowy sposób uwierzytelnienia całkowicie eliminuje potrzebę używania haseł i sprawia, że przejęcie naszego konta przez hakera staje się praktycznie niemożliwe. 

„Coraz częściej słyszymy pytanie ze strony klientów o poziom bezpieczeństwa w aplikacji. Dzisiaj jest to już oczywiste, że wymaga się od nas podania informacji na temat różnego poziomu zabezpieczeń. Cyberbezpieczeństwo stało się elementem krytycznym, w podejmowaniu decyzji przez inwestorów, co do wyboru najlepszego systemu zarządzania budynkiem. Korzystając z bankowości internetowej wszyscy jesteśmy przyzwyczajeni do pokonywania różnych progów autoryzacji. Jest to skomplikowany proces. Klienci oczekują natychmiastowego działania i efektów. Nie może być to okupione brakiem zabezpieczeń. Zarządzanie automatyką budynkową musi być sprawne i komfortowe. Dlatego postanowiliśmy wykorzystać intuicyjne podejście Cyberus Labs. Zaawansowany technologicznie, lecz szybki sposób autoryzacji. Natychmiastowe działanie.” – Artur Pollak, Prezes Zarządu APA Group

Jak działa integracja ELIoT Pro z systemem Nazca?

ELIoT Pro nie wymaga od użytkownika żadnego hasła ani loginu, eliminuje także dodatkowe zabezpieczenia, jak na przykład kody SMS. Uwierzytelnienie odbywa się za pomocą aplikacji mobilnej zainstalowanej na smartfonie użytkownika.  Logowanie jest więc dużo szybsze, łatwiejsze i zapewnia wyższy poziom bezpieczeństwa – haker nie ma informacji (hasła czy kodu), który może wykraść. Wszystko to sprawia, że system jest odporny na ataki przechwytujące, ataki phishingowe, MITM (man-in-the-middle) oraz MITB (man-in-the-browser). Nie ma tu także możliwości przejęcia kontroli nad aplikacją. 

W procesie autoryzacji ELIoT Pro wykorzystuje jednorazowy kod oparty o metodologię One-Time-Pad, a urządzenia komunikują się między sobą za pośrednictwem dźwięku transmitowanego przez głośniki (to unikatowa technologia opracowana przez inżynierów z Cyberus Labs). Dźwięk emituje witryna WWW lub aplikacja będąca składową systemu Nazca, uruchamiana na komputerze użytkownika w systemie Windows, a smartfon przechwytuje go i uwierzytelnia użytkownika.

System używa także steganografii, czyli techniki ukrywania treści w komunikacji, a dodatkowo możliwe jest także wprowadzenie dodatkowych zabezpieczeń w postaci biometrii lub dodatkowych czynników uwierzytelnienia. 

Możliwe jest także zastosowanie modelu, gdzie system Nazca wykorzystuje zbiór już istniejących użytkowników, znanych systemowi ELIoT Pro i uwierzytelnionych (np. klienci innego systemu wykorzystującego ELIoT Pro). Wtedy mogą oni korzystać z interfejsu użytkownika platformy Nazca i system nadal rozróżnia kto wykonał jakie operacje za jego pomocą.  Z punktu widzenia użytkownika płynnie przechodzi się z wykorzystywania jednej usługi do drugiej – za pomocą tego samego klucza i metody logowania, nie trzeba więc dokonywać żadnych dodatkowych rejestracji, zakładać osobnych kont itp. 

ELIoT Pro dysponuje dużą liczbą specyficznych informacji, których może użyć do wykrywania ewentualnych prób nieuprawnionego użycia klucza (unikalne identyfikatory urządzenia, wykrywanie prób podszywania się pod użytkownika i jego urządzenie, dane geograficzne prób logowania itp.). Sama metoda jest częścią większego systemu zapewniania cyberbezpieczeństwa ELIoT, który otrzymał dofinansowanie z programu unijnego SME Instrument przeznaczonego dla najbardziej innowacyjnych projektów europejskich. System zajmuje się cyberbezpieczeństwem,  obejmującym obszary: bezhasłowego uwierzytelnienia użytkownika, algorytmami służącymi do wzajemnego uwierzytelnienia urządzeń i szyfrowania komunikacji między nimi, monitorowaniem systemu i jego komponentów, wykrywaniem awarii, anomalii oraz cyber incydentów, a także predykcyjnym utrzymaniem ruchu.

Jakie działania podejmujemy w ramach platformy Nazca, by chronić dane generowane przez system?

Cyberus Labs z pewnością zwiększy bezpieczeństwo korzystania i logowania się do platformy Nazca, warto jednak wiedzieć, że platforma opracowana przez inżynierów APA Group od początku projektowana była z myślą o bezpieczeństwie użytkowników i w jej ramach stosujemy wiele różnorodnych strategii mających zapobiegać ewentualnym atakom hakerskim. Wśród najważniejszych warto szczególnie zwrócić uwagę na poniższe.

• Praktycznie wszystkie dane w Nazca są gromadzone na komputerze centralnym, do którego dostęp fizyczny i zdalny są specjalnie chronione.
• Komputery centralne mają odpowiednio przygotowany system operacyjny i nie są używane do innych zadań, niż uruchamianie systemu Nazca, więc są mniej narażone na instalację złośliwego oprogramowania.
• Utracie danych w wyniku awarii zapobiegają procedury kopii zapasowych, które są wdrażane w taki sposób, jaki jest wymagany na danej instalacji.
• Jeżeli dane są wyprowadzane z systemu „na zewnątrz” (np. do usług chmurowych, raportów itp.) to jest to organizowane w taki sposób, by nie obejmowało to danych wrażliwych i tylko w minimalnych ilościach, koniecznych do realizacji danego zadania.
• Struktury przechowywanych danych i konstrukcja techniczna systemu utrudnia powiązanie ewentualnych wykradzionych danych z ich pochodzeniem, znaczeniem, czy funkcją i obniża ich potencjalną wartość dla wykradającego. 
• Platforma nie musi znać i przetwarzać żadnych danych osobowych jego użytkowników, można stosować dane zanonimizowane.
• Systemy w modelu „on-premise”  – w jakich działa Nazca – gwarantują, że ewentualna przejęcie przez hakera jednego z nich, nie oznacza automatycznie zagrożenia dla wszystkich pozostałych – nie tylko innych klientów, ale nawet części tej samej instalacji, jeżeli zakresy odpowiedzialności niezależnych systemów są rozdzielone.

Jakie działania podejmujemy w ramach Nazca, by chronić dostęp użytkownika?

Kwestia kontroli dostępu użytkownika do systemu to zagadnienie bardzo szerokie i zależy od różnych czynników – zwróćmy jednak  uwagę na bezpieczeństwo Nazca w wymiarze technicznym, wdrożeniowym i używania przez docelowego odbiorcę. 

Aspekty techniczne 

• Zastosowane mechanizmy komunikacyjne są łatwe do kontrolowania i zabezpieczenia w sposób dostosowany do wymagań klienta
• Komputer centralny może być odciążony z zadania bezpośredniej obsługi kanałów komunikacyjnych użytkowników i przez to lepiej chroniony przed potencjalnymi atakami. Jest to szczególnie istotne w kontekście faktu, że jego podstawowym zadaniem jest kontrolowanie instalacji budynku na bieżąco i bez zakłóceń.
• Protokoły komunikacyjne mogą być szyfrowane na poziomie warstwy transportowej, utrudniając próby analizowania przesyłanych danych, czy przechwytywania sesji.

Szczegóły wdrożenia systemu 

• Odpowiednio zaplanowana infrastruktura techniczna, głównie sieci komputerowej, uniemożliwia dostęp niepożądanych osób, czy złośliwego oprogramowania do rdzennych elementów systemu.
• Zdalny dostęp do samego komputera centralnego (np. dla zespołów wsparcia i serwisu) może być zorganizowany w taki sposób, że to właściciel systemu będzie decydował o jego uruchomieniu, w odpowiednim dla niego momencie.
• Dużo danych niebezpiecznych (między innymi loginy i hasła) integratorzy posiadają na etapie wdrażania. Po zakończeniu, w ramach procedury APA pilnuje, aby wszystkie informacje wrażliwe przekazać bezpośrednio klientowi, poinstruować jak je wykorzystywać i jak ewentualnie zmienić, oraz usunąć je ze wszystkich lokalizacji, gdzie nie powinny być dostępne dla osób postronnych, obsługi, zespołów wsparcia i serwisu itp.
• Istnieje możliwość zastosowania kilku modeli zapewnienia użytkownikom końcowym dostępu do poszczególnych funkcji systemu – od tych najmniej ich angażujących i mało bezpiecznych (np. powszechnie dostępny interfejs użytkownika wyposażony jedynie w możliwości obserwacji pewnych danych pochodzących z systemu), do objętych ścisłą kontrolą i dużym poziomem bezpieczeństwa.

Użytkownicy

• W Nazca obowiązują dedykowane, indywidualne profile połączeniowe dla każdego z użytkowników korzystających z systemu (istnieje możliwość posiadania kilku profili). Odpowiednio zabezpieczone poświadczenia oraz urządzenia mobilne utrudniają próby podszywania się w celu wykorzystania innych zestawów uprawnień. Poszczególne profile można szybko i łatwo usuwać w przypadku ich skompromitowania.
• System może polegać na zewnętrznych systemach uwierzytelniania użytkowników, np. LDAP, Active Directory czy właśnie Cyberus Labs.
• Operacje sterowania elementami w systemie są rejestrowane i zawierają między innymi informacje o użytkowniku i używanym przez niego środku komunikacji, co ułatwia szybką identyfikację i eliminację prób sabotowania, albo skompromitowanego kanału dostępowego.