OAuth tokeni su novi ključevi od stana, a mi smo ih ostavili pod otiračem s natpisom "dobrodošli".

Google Workspace napadi više ne počinju phishingom. Počinju tišinom. Počinju tokenom koji je netko ukrao prije tri mjeseca, a ti si ga i dalje nosio u džepu kao da je stari račun iz konzuma. Stvar nije u tome što su hakeri pametniji — stvar je u tome što smo mi postali toliko lijeni da smo sigurnost zamijenili povjerenjem, a povjerenje je, gle čuda, najgora sigurnosna mjera koju je čovječanstvo izmislilo. Gora je čak i od lozinke "123456", jer barem ta lozinka priznaje da si lijen, dok povjerenje tvrdi da si pametan.

Material Security je izbacio analizu koja kaže ono što svi u branši znamo, ali nitko ne želi priznati naglas: napadači ne provaljuju kroz vrata, oni ulaze kroz prozor koji si sam ostavio otvorenim jer je bilo vruće. OAuth tokeni su taj prozor. Jedan ukradeni token daje pristup Gmailu, Driveu, svim povezanim sustavima — a ti to ne vidiš, ne osjećaš, ne mirisiš. Nema obavijesti, nema upozorenja, nema trenutka u kojem bi rekao "jebote, nešto nije u redu". Samo mir. I taj mir je najskuplji luksuz koji si sebi možeš priuštiti, jer košta sve.

Sjećam se devedesetih, kad smo na Kvarner Netu imali jedan server koji je služio za sve — mail, web, FTP, DNS — i jedan zaključani ormar u kojem je stajao. Sigurnost je značila zaključati vrata ormara. Danas imaš cloud, imaš distribuiranu infrastrukturu, imaš AI koji detektira anomalije, imaš sve te jebene alate koji bi trebali raditi umjesto tebe — a opet, jedan token koji je netko ukrao prije tri mjeseca i ti si gotov. Nije ironija. Nije slučajnost. To je poslovni model.

Pitanje koje si nitko ne postavlja: zašto OAuth tokeni uopće žive toliko dugo? Zašto sustav koji zna da si promijenio lozinku, da si promijenio uređaj, da si se prijavio s druge lokacije, ne poništi automatski sve aktivne sesije? Zato što je Google, kao i svi ostali, napravio kompromis između sigurnosti i korisničkog iskustva, a taj kompromis se zove "ne živciraj nas, korisniče". I eto rezultata: kompromis je postao standard, a standard je postao rupa kroz koju se ulazi kao u vlastitu kuću.

Naravno, obrana postoji. Možeš ograničiti trajanje tokena, možeš uvesti step-up autentikaciju za osjetljive akcije, možeš monitorirati anomalije u ponašanju korisnika. Sve to radi. Ali radi samo ako to stvarno implementiraš, a ne ako kupiš alat koji to "podržava" i ostaviš ga na polici da skuplja prašinu. Jer u tome je kvaka — sigurnost nije proizvod koji kupiš, sigurnost je proces koji živiš. A proces je dosadan. Proces nema keynote prezentaciju, nema demo video, nema "wow" efekt. Proces je poput pranja zubi — radiš ga svaki dan, nitko ti ne aplaudira, a kad prestaneš, stvari počnu trunuti.

I tu dolazimo do najljepšeg dijela ove priče. AI je trebao riješiti sve naše sigurnosne probleme. Trebao je detektirati anomalije prije nego što se dogode, trebao je reagirati brže od čovjeka, trebao je biti taj savršeni čuvar koji nikad ne spava. Umjesto toga, AI je postao još jedan alat koji napadači koriste da bi generirali uvjerljivije phishing poruke, da bi automatizirali napade, da bi pronašli rupe koje mi nismo ni znali da postoje. Ako je AI toliko pametan, zašto nam treba još jedan AI da bi nas zaštitio od prvog AI-ja? I zašto taj drugi AI košta više od prvog?

Odgovor je, naravno, biznis. Sigurnosna industrija živi od straha, a strah je najbolji prodavač koji postoji. Uvijek je bio. Prvo su nas plašili virusima, pa spamom, pa ransomwareom, pa zero-day exploitima, pa sada AI-jem koji će nas sve zamijeniti ili uništiti, ovisno o tome koji webinar gledaš. I svaki put kupimo rješenje. Svaki put platimo pretplatu. Svaki put mislimo da smo sigurni. A onda se pojavi novo istraživanje koje kaže da smo opet ranjivi, i ciklus počinje ispočetka. Nije zlonamjerno. Nije slučajno. To je, jednostavno, industrija.

Najgore od svega je što je rješenje zapravo jednostavno, ali ne i lako. Treba ti kultura sigurnosti koja ne počiva na strahu, nego na navici. Treba ti sustav koji ne pretpostavlja da je korisnik idiot, ali ni da je paranoik. Treba ti ravnoteža između toga da ljudi rade svoj posao i da netko pazi da im netko drugi ne radi posao umjesto njih. I treba ti, prije svega, spoznaja da je sigurnost proces, a ne proizvod — i da ćeš uvijek, ali uvijek, plaćati za mir koji nikad nije potpun.

Google Workspace napadi ne počinju phishingom. Počinju tišinom. A ta tišina je najglasnije upozorenje koje si ikad ignorirao.

Izvor: bleepingcomputer.com