K
Kręcioch Marcin
Zgłaszam krytyczny problem dotyczący mechanizmu uwierzytelniania dwuskładnikowego (2FA). Opieranie się wyłącznie na kodach SMS nie spełnia współczesnych standardów bezpieczeństwa dla systemów przetwarzających szczególnie wrażliwe dane medyczne.
Proszę o potraktowanie tego zgłoszenia jako krytycznego wymogu bezpieczeństwa i ciągłości działania. Obecny stan rzeczy generuje dwa poważne ryzyka:
  • Obecna implementacja nie posiada opcji ponownej wysyłki wiadomości SMS. W przypadku jakichkolwiek opóźnień po stronie operatora komórkowego, specjalista zostaje całkowicie odcięty od systemu.
  • W dobie zmasowanych ataków na sektor ochrony zdrowia, SMS-y są uznawane za przestarzały i podatny na przejęcia wektor autoryzacji. Przy przetwarzaniu danych medycznych bezdyskusyjnym standardem jest autoryzacja oparta na tokenach kryptograficznych.
W związku z powyższym domagam się pilnego wdrożenia obsługi standardu TOTP (np. Microsoft Authenticator, Google Authenticator). Jest to obecnie jedyne akceptowalne, niezawodne i bezpieczne rozwiązanie, które eliminuje problem niedostarczonych wiadomości SMS i drastycznie podnosi odporność systemu na ataki.