Cyberbrottslighet håller snabbt på att bli världens tredje största ekonomi efter USA och Kina. Nätfiskeattacker är ett av de allvarligaste hoten mot cyberbrottslighet och drabbar både privatpersoner och organisationer.
Även med avancerad hårdvara klarar befintliga system ofta inte av att hålla jämna steg med cyberbrottslingarnas taktik. Detta tyder på att vårt perspektiv på cybersäkerhet måste förändras.
I den här artikeln kommer vi att utforska begränsningarna med hårdvarubaserade metoder och förespråka en mer användarcentrerad och motståndskraftig strategi. Detta inkluderar att använda passkeys för att förbättra säkerheten, prioritera användarvänlig design för att underlätta bredare användning och säkerställa bättre gränssnittsutveckling.
Tre utmaningar med den nuvarande säkerhetsimplementeringen
Utmaning 1: Fokus på backend
I flera år har vi främst fokuserat på att bygga upp hårdvarusidan av säkerheten. En standard för säkra moduler för hårdvara är FIPS 140-2 nivå 3 eller högre, vilket innebär en hög grad av manipuleringsresistens.
Vi har nått en punkt där ytterligare förstärkning av hårdvaran inte kommer att leda till en märkbar ökning av säkerheten. Men att investera i hårdvara och en imponerande fysisk säkerhetsuppsättning kan kännas tillfredsställande och lättare att kommunicera än till exempel förändringar i användarupplevelsen.
Går vi i fällan att fokusera på problem som vi vet hur vi ska lösa, i stället för att ta itu med mer komplexa och svårförståeliga utmaningar?
Säker hårdvara är viktigt men inte tillräckligt i sig självt.
Utmaning 2: Nätfiske är alltid möjligt
De flesta nuvarande lösningar för användarautentisering är sårbara för phishing-attacker. Det gäller bland annat nationella eID-system som används för vardagliga uppgifter som att bekräfta betalningar på nätet. Även om eID-system innehåller solid teknik gör deras beroende av användarinmatning dem exploaterbara.
(Vill du veta hur det fungerar? Läs "Hur fungerar identitetsstöld")
Viktiga frågor inkluderar:
- Ingen lösning är 100% idiotsäker. Motiverade angripare kan ofta hitta vägar runt även det mest avancerade försvaret.
- Det stora teknikberoendet och den enkla användningen av e-legitimationer skapar en falsk känsla av säkerhet, vilket kan göra människor mindre vaksamma och öka risken för framgångsrika attacker.
- Många lösningar fokuserar på att blockera kända hot, men tar inte hänsyn till nya tekniker för nätfiske och social ingenjörskonst.
Utmaning 3: Begriplighet
Nuvarande system förbiser ofta hur användarna interagerar med dem.
Applikationer, plattformar och autentiseringsflöden är ofta utformade på ett sätt som förutsätter teknisk kunskap som många människor helt enkelt inte har.
Ta till exempel inloggning med MitID:
En tekniskt kunnig användare kanske märker den falska webbadressen och inte går på ett phishingbedrägeri, men denna förmåga är långt ifrån universell. Många användare saknar utbildning och erfarenhet för att känna igen bedrägliga länkar eller webbplatser.
Bra design kan överbrygga detta gap.
Dessutom har vi redan verktyg som gör autentiseringen säkrare och mer användarvänlig.
Möjligheter att förbättra säkerheten
Passkeys och bättre designprocesser kan avsevärt förbättra säkerheten för alla användare.
1. Passkeys eliminerar "något-du-vet"-faktorn
Passkeys revolutionerade autentiseringen genom att ersätta lösenord med ett säkrare alternativ.
De använder asymmetrisk kryptografi, där en del av den kryptografiska nyckeln lagras på användarens enhet och den andra delen på servern. Passkey-metoden har flera fördelar:
- Nycklar är knutna till rätt domän och kan inte användas på falska webbplatser.
- Passkeys är motståndskraftiga mot brute-force-attacker eftersom de inte förlitar sig på lösenord som är lätta att gissa eller återanvända.
- Användarna behöver inte komma ihåg lösenord eller hantera flera konton.
2. Passkeys möjliggör smidig autentisering mellan olika enheter
Passkeys är mycket enkla att använda på en enda enhet, t.ex. en mobiltelefon. Och när du loggar in på en annan enhet, t.ex. en dator, kan du använda den passerkod som finns lagrad på den primära enheten. Så här fungerar det:
- För att logga in delar en användare en nyckel från sin telefon med en dator i närheten.
- Bluetooth säkerställer att enheterna är fysiskt nära varandra. Kommunikationen mellan dem är krypterad på applikationsnivå och är inte beroende av Bluetooth-säkerhet.
- Telefonen skickar den krypterade nyckeln till datorn, som validerar den för att slutföra inloggningen.
Denna process förhindrar att autentiseringsdata återanvänds eller omdirigeras, vilket minskar riskerna för nätfiske och förbättrar användarupplevelsen.
3. Iterativ design kan optimera användbarheten
Vi måste vara uppmärksamma på användarnas feedback och göra kontinuerliga förbättringar för att skapa mer intuitiva och användbara produkter. Detta driver på införandet, eftersom människor naturligt dras till produkter som fungerar sömlöst.
Om inte användarna anammar produkterna räcker inte ens de bästa skyddsåtgärderna till.
Skyddar vi rätt saker?
Som ingenjörer måste vi inse att det mänskliga elementet i cybersäkerhet är lika sårbart som den tekniska sidan. Det räcker inte att bara fokusera på hårdvara: Användarvänlighet är nyckeln till bred användning och robust säkerhet.
För att nå den högsta säkerhetsnivån måste vi göra systemen tillgängliga för alla användare, inte bara för dem med teknisk expertis.