“Cert.lv” norāda, ka ierīces koda autentifikācija ir leģitīma funkcionalitāte, kas risina praktisku problēmu – tā ļauj ērti pieteikties ierīcē, kurai nav pārlūkprogrammas vai pilnvērtīgas tastatūras, izmantojot lietotājvārdu, paroli un daudzfaktoru autentifikāciju. Tomēr šo pašu ērtību var izmantot arī uzbrucējs, panākot, ka lietotājs pats autorizē uzbrucēja ierīci.

Vienlaikus “Cert.lv” ierīces koda autentifikācijas procesu praksē skaidro ar piemēru, ka sapulču telpā atrodas tiešsaistes konferencēm paredzēta ekrānu sistēma, piemēram, “Microsoft Teams Rooms” vai analogs risinājums. Ierīces ekrānā atver “Teams” lietotni, kura jāpieslēdz telpas “Microsoft 365” kontam, ekrāns uzrāda vairāku simbolu ierīces kodu un saiti “microsoft.com/devicelogin”, lietotājs savā datorā vai viedtālrunī atver “Microsoft” pieteikšanās saiti, ievada parādīto kodu un autorizējas ar pieteikšanās datiem un daudzfaktoru autentifikāciju. Tālāk sapulču telpas ekrāns saņem piekļuvi “Microsoft 365” un var notikt tiešsaistes sapulce.

Šāda pieeja noder arī citiem ierobežotu ievadierīču veidiem, piemēram, viedtelevizoriem, IoT ierīcēm, printeriem, spēļu konsolēm, “Windows” serveriem konsoles režīmā vai citiem komandrindas rīkiem sistēmu administratoriem.

Ierīces koda tehnoloģija nav programmatūras ievainojamības izmantošana vai uzlaušana, bet pikšķerēšana, kurā uzbrucējs ļaunprātīgi izmanto standarta produkta funkciju un lietotāja maldināšanu, min “Cert.lv”.

Uzbrukuma shēma ir tāda, ka uzbrucējs savā datorā izveido ierīces kodu. Laika nav daudz, jo kods derīgs 15 minūtes. Uzbrukuma mērķa lietotājam tiek nosūtīts ierīces kods un saite uz īstu “Microsoft” pieteikšanās lapu, lietotājs oficiālajā “Microsoft” lapā ievada uzbrucēja atsūtīto kodu un autentificē uzbrucēja sesiju “Microsoft 365” platformā, izsniedzot piekļuves marķierus uzbrucēja sāktajai sesijai.

Biežāk klasiskos pikšķerēšanas uzbrukumos lietotāju mēģina aizvilināt uz viltotām pieteikšanās lapām. Tas nav nepieciešams ierīces koda uzbrukumā – īsti ir gan kods, gan “Microsoft” pieteikšanās lapa.

Izpildītā uzbrukuma rezultātā uzbrucējam nav jāzina lietotāja vārds un parole, lietotājs sekmīgi izpilda arī daudzfaktoru autentifikāciju, pārlūkprogrammā redzamā adrese ir īsta un leģitīma “Microsoft” vietne, drošības un aizsardzības sistēmām darbība sākotnēji var izskatīties kā apzināts lietotāja pieteikšanās apstiprinājums.

“Microsoft” norāda, ka šādā uzbrukumā lietotājs pats autorizē uzbrucēja sesiju. Uzbrucējs pēc tam var izmantot iegūtos marķierus, lai piekļūtu e-pastam, dokumentiem un citiem lietotājam atļautajiem resursiem, atzīmē “Cert.lv”.

Institūcijā atzīmē, ka ierīces koda uzbrukumi ir īstenoti vienmēr, taču plašākas kampaņas veiktas pēdējo divu gadu laikā. Tās vērstas pret valsts iestādēm, nevalstiskajām organizācijām, aizsardzības nozari un citām organizācijām. Uzbrucēji izliekas par kontaktpersonām “WhatsApp”, “Signal” un “Microsoft Teams” saziņas platformās, pārliecinot lietotājus ievadīt viņu sagatavotus ierīču kodus.

“Cert.lv” norāda, ka ierīces kods, kā arī jebkuri pieteikšanās dati jāievada tikai tad, ja izpildās visi apstākļi, tostarp lietotājs apzināti un tikko pats sācis pieteikšanos ierīcē vai lietotnē, kodi tiek uzrādīti tieši iesaistītajās iekārtās un lietotājs saprot, kurai ierīcei vai programmai tiek piešķirta piekļuve.

Ierīču kodus, kas saņemti e-pastā, “Teams” ziņā, saziņas platformās vai telefonsarunas laikā, nedrīkst ievadīt. Ja kods jau ierakstīts un pieteikšanās apstiprināta, par to nekavējoties jāziņo informācijas tehnoloģiju vai informācijas drošības administratoriem.

Paroles nomaiņa var nebūt pietiekams risinājums, IT vai drošības administratoriem jāpārskata pieteikšanās notikumu žurnāls, jāatsauc aktīvās sesijas un autentifikācijas marķieri.

“Cert.lv” ir Latvijas Universitātes Matemātikas un informātikas institūta struktūrvienība, kas darbojas Aizsardzības ministrijas pakļautībā atbilstoši Nacionālās kiberdrošības likumam. Iestādes uzdevums ir uzturēt vienotu elektroniskās informācijas telpā notiekošo darbību atainojumu, sniegt atbalstu informācijas tehnoloģiju drošības incidentu novēršanā Latvijas IP adrešu apgabalos un “.lv” domēna vārdu zonā.