POSC: Schützen Sie Ihre Website vor Angriffen auf die Web-Physik

Die digitale Landschaft entwickelt sich ständig weiter, und damit auch die Methoden, mit denen Angreifer die Sicherheit gefährden. Traditionelle Cybersicherheitsmaßnahmen konzentrieren sich oft auf Code-Schwachstellen und Netzwerkverteidigungen. Eine neuere Angriffsart, bekannt als Angriffe auf die Web-Physik, nutzt jedoch die grundlegenden Verhaltensweisen von Webbrowsern und die physikalischen Grundlagen der Benutzerinteraktion aus. Dies erfordert einen neuen Denkansatz und die Einführung innovativer Verteidigungsstrategien wie Proof-of-Space und Computation (POSC). In diesem Beitrag werden wir uns mit der Natur von Angriffen auf die Web-Physik, der robusten Verteidigung durch POSC sowie den Auswirkungen auf die Identitätsprüfung, interne Kontrollen und die allgemeine Cybersicherheit der Website befassen. Wir werden auch erörtern, wie POSC die Sicherheit des API-Aufgabendomäns beeinflusst.

Wichtige Erkenntnis 1 Angriffe auf die Web-Physik umgehen traditionelle Sicherheitsmaßnahmen, indem sie inhärente Browserverhalten ausnutzen, wodurch sie mit herkömmlichen Methoden schwer zu erkennen sind.

Wichtige Erkenntnis 2 POSC führt eine Verteidigungsebene ein, indem es Angreifern abverlangt, echten Rechenaufwand und Ressourcenbesitz zu demonstrieren, wodurch die Kosten erfolgreicher Angriffe steigen.

Wichtige Erkenntnis 3 Die Integration von POSC in die Identitätsprüfung erhöht das Vertrauen und reduziert Betrug, indem nicht nur wer ein Benutzer ist, sondern auch dass es sich um einen echten, interaktiven Menschen handelt, überprüft wird.

Wichtige Erkenntnis 4 POSC stärkt interne Kontrollen, indem es sensiblen API-Aufgabendomän-Operationen eine überprüfbare Vertrauensebene hinzufügt.

Angriffe auf die Web-Physik verstehen

Angriffe auf die Web-Physik nutzen die physikalischen Eigenschaften der Benutzerinteraktion mit Websites aus. Diese Angriffe zielen nicht unbedingt auf Softwarefehler ab, sondern nutzen die zeitlichen Abläufe, Bewegungen und kognitiven Einschränkungen der menschlichen Interaktion aus. Beispiele hierfür sind:

• Mausbewegungsanalyse: Angreifer können subtile Muster in Mausbewegungen analysieren, um menschliche Benutzer von Bots zu unterscheiden.
• Timing-Angriffe: Die Messung der Zeit, die ein Benutzer für die Durchführung einer Aufgabe benötigt, kann zeigen, ob es sich um einen Menschen oder ein automatisiertes Skript handelt.
• CAPTCHAs und ihre Grenzen: Obwohl CAPTCHAs darauf abzielen, Menschen von Bots zu unterscheiden, werden sie zunehmend von hochentwickelter KI und Human-in-the-Loop-Farmen umgangen.

Das Kernproblem ist, dass diese Angriffe oft subtil sind und mit herkömmlichen Sicherheitsmaßnahmen wie Firewalls und Intrusion-Detection-Systemen schwer zu erkennen sind. Sie wirken auf einer Ebene unterhalb des Codes und sind daher besonders schwer abzuwehren.

Einführung in Proof-of-Space und Computation (POSC)

POSC ist eine kryptografische Technik, die eine überprüfbare, ressourcenintensive Aufgabe erstellt, die ein Benutzer zur Bestätigung seiner Echtheit erledigen muss. Sie kombiniert zwei Schlüsselelemente:

• Proof-of-Space: Erfordert, dass der Benutzer eine bestimmte Menge an Festplattenspeicher für die Speicherung eines zufälligen Datensatzes zuweist. Dies stellt sicher, dass der Angreifer echte Ressourcen (Speicherplatz) in den Angriff investieren muss.
• Proof-of-Computation: Erfordert, dass der Benutzer eine rechenintensive Aufgabe auf den gespeicherten Daten ausführt. Dies bestätigt, dass der Speicherplatz nicht nur zugewiesen, sondern auch aktiv genutzt wird, und verhindert so Vorberechnungen oder Offline-Angriffe.

Die Aufgabe ist so konzipiert, dass sie für automatisierte Bots rechenintensiv ist, aber für legitime Benutzer nicht zu belastend. Der Schwierigkeitsgrad kann an die Sicherheitsanforderungen der Anwendung angepasst werden.

Wie POSC die Identitätsprüfung verbessert

Die Integration von POSC in den Identitätsprüfungsprozess erhöht die Schwierigkeit für Angreifer erheblich. Anstatt einfach ein CAPTCHA zu umgehen oder gestohlene Anmeldeinformationen zu verwenden, müsste ein Angreifer:

1. Den erforderlichen Festplattenspeicher zuweisen.
2. Die rechenintensive Aufgabe ausführen.
3. Diesen Vorgang für jedes neue Konto oder jede neue Sitzung wiederholen.

Dies erhöht die Kosten und Komplexität von Angriffen erheblich und macht sie wirtschaftlich weniger rentabel. Darüber hinaus fügt POSC eine Vertrauensebene hinzu, die über die einfache Authentifizierung hinausgeht. Es bestätigt, dass der Benutzer nicht nur vorgibt, ein Mensch zu sein, sondern dies auch nachweislich ist – indem er Ressourcen und Zeit in den Prozess investiert.

Beispielsweise könnte eine Finanzinstitution, die die Identitätsplattform von Didit nutzt, POSC in ihren KYC-Onboarding-Prozess (Know Your Customer) integrieren. Dies bietet eine zusätzliche Sicherheit, dass es sich bei dem Benutzer um eine echte Person handelt, reduziert Betrug und stärkt interne Kontrollen.

Stärkung der Cybersicherheit mit POSC und API-Sicherheit

Die Vorteile von POSC gehen über die Identitätsprüfung hinaus. Es kann auch die Sicherheit des API-Aufgabendomäns verbessern und sensible Daten schützen sowie unbefugten Zugriff verhindern. Indem Organisationen die Erledigung von POSC vor dem Zugriff auf kritische APIs verlangen, können sie das Risiko automatisierter Angriffe und bösartiger Bot-Aktivitäten erheblich reduzieren. Dies ist besonders wichtig für APIs, die Finanztransaktionen, persönliche Daten oder kritische Infrastruktursteuerungen verarbeiten. Die Implementierung könnte eine POSC-Herausforderung beinhalten, bevor der Zugriff auf ratenbegrenzte Endpunkte oder APIs mit erweiterten Berechtigungen gewährt wird.

Wie Didit hilft

Didit untersucht und integriert POSC-Technologien aktiv in seine Identitätsplattform. Unser Ansatz konzentriert sich auf die Bereitstellung einer nahtlosen und benutzerfreundlichen Erfahrung bei gleichzeitig hohem Sicherheitsniveau. So nutzt Didit POSC:

• Flexible Integration: POSC kann als eigenständiger Verifizierungsschritt integriert oder mit bestehenden Identitätsprüfungsmethoden (ID-Verifizierung, Liveness-Erkennung usw.) kombiniert werden.
• Anpassbarer Schwierigkeitsgrad: Die Rechenherausforderung kann dynamisch an das Risikoprofil des Benutzers und die Sensibilität der angeforderten Aktion angepasst werden.
• Skalierbare Infrastruktur: Die Cloud-basierte Infrastruktur von Didit kann die Rechenanforderungen von POSC im großen Maßstab bewältigen.
• API-First-Ansatz: Unsere robusten APIs ermöglichen es Entwicklern, POSC einfach in ihre bestehenden Anwendungen zu integrieren.

Bereit loszulegen?

Der Schutz Ihrer Website vor Angriffen auf die Web-Physik erfordert einen proaktiven und innovativen Ansatz. POSC bietet eine wirksame Verteidigung gegen diese sich entwickelnden Bedrohungen, verbessert die Cybersicherheit der Website, stärkt interne Kontrollen und unterstützt Ihre Identitätsprüfungsprozesse.

Erfahren Sie mehr darüber, wie Didit Ihnen bei der Implementierung von POSC und der Sicherung Ihrer digitalen Assets helfen kann:

• Besuchen Sie unsere Website
• Erkunden Sie die Didit Business Console
• Lesen Sie unsere technische Dokumentation