tailgating

Tailgating to fizyczna socjotechnika: atakujący wchodzi do strefy chronionej tuż za osobą uprawnioną, bez okazania własnych uprawnień. Sekurak opisuje tę technikę jako wejście „przy okazji”, w którym atakujący korzysta z tego, że ktoś z dostępem do budynku lub obszaru wchodzi do niego, i wchodzi razem z nim, jak gdyby nigdy nic ^[1]. W innym tekście ten sam serwis nazywa ją wejściem „na doczepkę” ^[2]. NIST wymienia tailgating obok phishingu i pretextingu wśród form socjotechniki ^[3].

Jak działa

Tailgating wykorzystuje uprzejmość i niechęć do konfrontacji. Drzwi otwarte kartą zamykają się z opóźnieniem, a osoba wchodząca rzadko sprawdza, kto idzie za nią. Atakujący nie łamie zamka ani nie podrabia karty. Wystarcza mu, że ktoś inny dokonał uwierzytelnienia przy drzwiach.

Skuteczność zwiększa wiarygodny wygląd. Sekurak opisuje regułę autorytetu: atakujący przybiera postać osoby, której ubiór lub atrybuty wskazują na zawód, na przykład serwisanta sprzętu IT z firmową koszulką, identyfikatorem i narzędziami ^[1]. Według tego samego tekstu czasem wystarcza wejście „na bezczelnego”, bo osoba wyglądająca na pewną siebie rzadko jest zatrzymywana ^[1]. Legenda, którą atakujący przygotowuje na wypadek pytań, to pretexting. Sekurak odnotowuje, że w wielu opisanych zdarzeniach osoby „przebrane” za pracowników znanych zawodów bez trudu przenikały do instytucji, a nawet spotykały się z nadmiernym zaufaniem ^[1].

RYS. 1Przebieg wejścia na doczepkę

Odmiany i pojęcia pokrewne

Tailgating jest jedną z technik fizycznych, ale nie jedyną. Tabela porównuje go z pokrewnymi pojęciami.

Tailgating rzadko jest celem samym w sobie. Zwykle otwiera drogę do dalszych działań: podłączenia urządzenia do sieci, zainstalowania keyloggera albo skorzystania z pozostawionego bez nadzoru komputera.

W WordPressie

Dla witryny WordPress największym ryzykiem po fizycznym wejściu do biura jest odblokowany komputer z otwartym kokpitem. Administrator ma dostęp do wszystkich funkcji administracyjnych pojedynczej witryny ^[6], więc kilka minut przy takim stanowisku wystarcza, by dodać konto, zainstalować wtyczkę albo zmienić adres e-mail do odzyskiwania hasła.

Długość zalogowania zależy od pola „Zapamiętaj mnie”. Funkcja wp_set_auth_cookie() ustawia wtedy trwałe ciasteczko uwierzytelniające, domyślnie na 14 dni ^[4]. Bez tej opcji ciasteczko jest sesyjne, a logowanie wygasa po dwóch dniach albo po zamknięciu przeglądarki, zależnie od tego, co nastąpi wcześniej ^[4]. Czas ten można zmienić filtrem auth_cookie_expiration ^[4]. Na służbowym laptopie, z którego korzysta się w biurze, krótsza sesja zmniejsza okno ataku.

Jeśli istnieje podejrzenie, że ktoś miał dostęp do zalogowanego komputera, ekran Twój profil w kokpicie ma przycisk „Log Out Everywhere Else”, który wylogowuje użytkownika z innych urządzeń, na przykład telefonu albo publicznego komputera ^[5]. Kończy to sesje, których tokeny sesyjne zostały na innych urządzeniach, i ogranicza ryzyko przejęcia sesji. Dobrze przemyślane role i uprawnienia użytkowników sprawiają, że stanowisko redaktora daje mniej niż stanowisko administratora.

Zagrożenia i skutki

Po wejściu do strefy chronionej atakujący zyskuje to, co dotąd chroniły drzwi. NIST zwraca uwagę, że wśród chronionych zasobów są też urządzenia wyjściowe, takie jak drukarki, i zaleca umieszczanie ich w zamkniętych pomieszczeniach z kontrolą dostępu ^[3]. Typowe skutki to:

• dostęp do niezablokowanych komputerów i otwartych sesji;
• kradzież dokumentów, nośników i sprzętu;
• podłączenie własnego urządzenia do sieci firmowej;
• przejęcie konta przez zainstalowane oprogramowanie.

Jak się bronić

Kontrola dostępu do systemów nie wystarcza, jeśli budynek jest otwarty. Sekurak porównuje taką sytuację do bramy wjazdowej postawionej bez reszty płotu i przypomina, że zasady zabezpieczania fizycznych punktów dostępu są niemal takie same jak w systemach informatycznych: weryfikacja każdego wchodzącego, rejestrowanie i analiza ^[2].

Sekurak zaleca szkolenie ochrony budynku tak, by jak najwięcej scenariuszy ataku było opisanych i przećwiczonych, oraz nacisk na zamykanie drzwi i weryfikację osób wchodzących do obszarów krytycznych ^[2]. Każdą osobę bez widocznego identyfikatora w miejscu krytycznym należy sprawdzić ^[2]. Wejścia i wyjścia warto monitorować kamerami, a nagrania analizować po incydencie ^[2].

NIST SP 800-171r3 opisuje te same zasady jako wymagania. Organizacja weryfikuje uprawnienia przed wpuszczeniem do obiektu, kontroluje wejścia i wyjścia systemami kontroli dostępu, urządzeniami lub strażnikami, prowadzi dzienniki wejść oraz eskortuje gości ^[3]. Wymaganie 03.01.10 dotyczy blokady urządzenia: system ma się blokować po czasie bezczynności albo na żądanie użytkownika przed odejściem od stanowiska ^[3]. NIST zaznacza, że blokada ekranu nie zastępuje wylogowania na koniec dnia pracy ^[3].

Dodatkowe warstwy to szyfrowanie urządzenia, które chroni dane na skradzionym laptopie, oraz test penetracyjny obejmujący próbę fizycznego wejścia, który sprawdza, czy procedury działają w praktyce.

Historia i przykłady

Opisy tailgatingu w polskich źródłach pochodzą głównie z materiałów edukacyjnych. Sekurak omawiał tę technikę w październiku 2018 roku w tekście o podstawach obrony przed socjotechniką ^[1] oraz w grudniu 2018 roku w cyklu o normie ISO 27000, w części o bezpieczeństwie fizycznym ^[2]. W maju 2024 roku NIST ujął tailgating w katalogu form socjotechniki, które powinno omawiać szkolenie z bezpieczeństwa ^[3].