Wyzwania informatyki bankowej 2016

Two-factor i multi factor authentication
W poprzednim punkcie wspomniałem o potrzebie silnego uwierzytelnienia
z użyciem metody two-factor authentication. Zwana także czasami multi factor
authentication lub 2 step authentication wymaga do poprawnego uwierzytelnienia
posiadania przynajmniej dwóch z trzech rzeczy:
• czegoś, co wie tylko użytkownik (np. identyfikator, nazwa użytkownika,
hasło),
• czegoś, co ma użytkownik (np. urządzenie mobilne),
• czegoś, czym użytkownik jest (np. metody biometryczne oparte o głos,
odciski placów itp.).
Standardy bezpieczeństwa
Nie tylko technologia, ale i standardy bezpieczeństwa starają się nadążyć za
przestępcami i atakującymi. Obecnie globalnie jest stosowanych co najmniej
kilkadziesiąt różnych standardów w zakresie (cyber)bezpieczeństwa. Samo
ich pobieżne omówienie wystarczyłoby na osobną książkę. Dlatego ograniczyłem
się tylko do jednego przykładu, który dobrze wiąże się z rynkiem finansowym
oraz omówionymi wcześniej problemami. Oczywiście w sektorze
finansowym w Polsce niezwykle istotnym standardem jest Rekomendacja D
KNF oraz bazujące na niej wytyczne dla pozostałych podmiotów rynku finansowego.
PCI DSS
Standard ten jest doskonałym przykładem, jak bardzo standardy bezpieczeństwa
nie nadążają za zmieniającą się dynamicznie rzeczywistością oraz
wymaganiami względem realnego bezpieczeństwa. Najnowsza wersja 3.2
(w trakcie pisania tego tekstu aktualną była 3.1) ma się ukazać prawdopodobnie
pod koniec kwietnia 2016 r. Zmiany pomiędzy wersją 3.0 a 3.1 objęły
m.in. zaostrzenie wymagań odnośnie testów bezpieczeństwa (w tym testów
penetracyjnych) oraz uwzględniły poruszone wcześniej problemy i ataki na
implementacje protokołów SSL/TLS. Szybko jednak okazało się, że wyłączenie
ze środowisk produkcyjnych rozwiązań, które wspierają (tylko) starsze,
a w konsekwencji niebezpieczne wersje protokołów nie jest możliwe
Cybersecurity – moda, mit czy rzeczywistość?
177