Révision partielle des « Lignes directrices complètes pour la surveillance des opérateurs du secteur des instruments financiers, etc. » (projet)La Fondation américaine OpenID a soumis les commentaires publics suivants concernant la réponse à la fraude boursière. Le site web de la Fondation américaine OpenID n'étant disponible qu'en anglais, nous publions ici la version japonaise.
Commentaires publics sur le projet de lignes directrices complètes sur la surveillance des opérateurs du secteur des instruments financiers (tableau comparatif des anciennes et des nouvelles lignes directrices)
1. Évaluation de la FSA et importance des révisions proposées
Tout d'abord, je tiens à exprimer mon profond respect pour la vision globale de cette proposition de révision. Cette révision des Lignes directrices de surveillance est extrêmement importante, car elle fournit des lignes directrices concrètes et réalistes permettant à l'ensemble du secteur de prendre des mesures efficaces contre les cybermenaces telles que le phishing et les accès non autorisés, qui sont devenues de plus en plus sophistiquées et ingénieuses ces dernières années. En particulier,Authentification multifactorielle obligatoire et résistante au phishingOuDétection comportementale améliorée,Systématisation des mesures visant à prévenir les transactions frauduleusesNous apprécions grandement l'inclusion d'exigences internationales de haut niveau, telles que celles mentionnées ci-dessus. De plus, la structure qui encourage l'utilisation de lignes directrices sectorielles et d'organismes de partage d'informations tels que les ISAC n'est pas une simple réglementation, mais un cadre pratique fondé sur l'amélioration continue, et nous pensons qu'elle peut être considérée comme un modèle en matière de lignes directrices de surveillance.
2. Problèmes et suggestions d'amélioration
(1) P.5 Concernant l'interdiction des liens dans les e-mails et les SMS
La révision proposée stipule que « les URL des pages ou les liens de connexion invitant les utilisateurs à saisir leur mot de passe ne doivent pas être inclus dans les e-mails ou les SMS ». Bien que cela soit important pour la protection des utilisateurs, dans la pratique, il existe des cas où des liens sont envoyés pour des raisons légitimes (liens de réinitialisation de mot de passe, liens magiques, SMS compatibles WebOTP, etc.). WebOTP en particulier est une technologie très résistante au phishing, car elle fonctionne en conjonction avec le navigateur pour saisir automatiquement les informations sur le bon site sans intervention humaine.
D’un autre côté, on s’attend à ce que les attaquants continuent d’envoyer des messages contenant des liens utiles.Plutôt qu’une interdiction générale, il s’agit d’une « interdiction de principe et seulement autorisée lorsqu’il n’existe pas d’alternatives appropriées ».Nous pensons qu'il serait préférable de déplacer le positionnement de la mesure à un stade ultérieur en tant que « mesure complémentaire visant à garantir la sécurité », afin de trouver un équilibre entre la commodité de l'utilisateur et la sécurité.
(2) P.5 Positionnement des mesures pour vérifier l'authenticité du site
« Les mesures visant à vérifier que le site auquel l’utilisateur accède est authentique » sont également importantes, mais les mesures qui s’appuient sur la reconnaissance visuelle humaine ont une résistance limitée au phishing.Des mesures supplémentaires sont énumérées ci-dessousCependant, nous pensons que la principale défense devrait être une technologie d’authentification automatisée, basée sur le cryptage et résistante au phishing.
(3) P.6 Mise en œuvre et utilisation obligatoire de l'authentification multifacteur résistante au phishing
Il est crucial de rendre obligatoire l'authentification multifacteur anti-hameçonnage pour les opérations importantes telles que la connexion, le retrait de fonds et le changement de compte bancaire. Cependant, en pratique, il arrive fréquemment que les clients reviennent à l'authentification par mot de passe en raison des difficultés de configuration, ou que l'authentification par mot de passe soit réservée à certains comptes de transactions. Il va sans dire que même si l'authentification avancée est mise en place pour les transactions, elle est inutile si les comptes d'authentification par mot de passe sont conservés.
Par conséquent,Une fois l’authentification avancée configurée, les mots de passe sont supprimés et les utilisateurs ne peuvent pas les modifier à nouveau.Il est souhaitable de l'indiquer clairement. De plus, en utilisant le concept actuel d'authentification basée sur les risques,Mot de passe pour la connexion et clé d'accès pour les transactionsCela permettra aux sociétés de valeurs mobilières qui ne fournissent pas d'API de continuer à utiliser Personal Finance Manager (PFM) et de réduire les risques. À moyen terme,Basculement simultané du provisionnement des API et de l'authentification avancéeCela devrait contribuer à prévenir la fraude tout en minimisant l’impact sur les consommateurs.
(4) Assurer la sécurité lors de l'enregistrement des méthodes d'authentification
Il existe un risque qu'un attaquant utilise la connexion par mot de passe comme point d'appui pour enregistrer sa propre clé d'accès.L'enregistrement initial d'une authentification avancée telle qu'une clé d'accès n'est autorisé que dans le cadre d'une session ayant subi une vérification d'identité forte telle qu'une authentification personnelle publique.Il devrait être clairement indiqué que
(5) P.6 Application continue de la détection de comportement
La proposition actuelle recommande la détection comportementale comme mesure temporaire jusqu’à ce que les clés d’accès deviennent obligatoires.Le détournement de session et la manipulation non autorisée peuvent toujours se produire même après l'introduction des clés d'accès.Par conséquent, la détection et l’analyse comportementales devraient être une exigence permanente.
(6) P.6 Risques de blocage de compte et alternatives
« Le verrouillage automatique du compte lorsque l'authentification échoue à plusieurs reprises » est particulièrement important lorsque vous utilisez des numéros de client séquentiels comme identifiants de connexion.Attaques DoS provoquant des blocages de comptes à grande échelle et des attaques de saturation des centres d'appelsOn s’attend à ce que les attaquants profitent de cette confusion pour prendre le contrôle des comptes.Réponse différée (par exemple, 1 minute d'attente) ou demande d'authentification supplémentaireest efficace et le verrouillage du compte doit être considéré comme un dernier recours.
(7) Renforcement de la sécurité des sessions et de la collaboration interentreprises
Cette proposition semble quelque peu faible en termes de sécurité de session.Restriction d'autorisation en détectant les changements dans le navigateur et l'adresse IP de l'expéditeur du cookieOuPartage d'informations sur la détection de transactions anormales entre entreprises(Par exemple, l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) et l’Agence de sécurité nationale (NSA) recommandent l’utilisation du cadre OpenID Shared Signals.) En incluant ces informations, il devient possible de prévenir la fraude à grande échelle.
(8) Révision de la terminologie : de « l’authentification multifacteur » à « l’authentification avancée » ou « l’authentification client sécurisée »
Bien que cela semble acceptable, compte tenu de l'ajout de la notion de « résistance au phishing » à plusieurs endroits, le terme « authentification multifacteur » est généralement trop large et risque d'être adopté automatiquement par des authentifications multifacteur de mauvaise qualité. Cette proposition doit avant tout mettre l'accent sur la résistance à diverses menaces, notamment la « résistance au phishing ». Remplacer et compléter la terminologie clarifiera l'intention et devrait améliorer la qualité pratique.
3. Conclusion
Cette proposition de révision ne se limite pas à une simple réglementation formelle, mais met l'accent sur l'efficacité au regard des dernières méthodes d'attaque et tendances technologiques. Nous la considérons comme une tentative pionnière visant à concilier protection des utilisateurs et commodité. Les améliorations proposées visent à atteindre des niveaux de défense et de faisabilité opérationnelle plus élevés, en tenant compte des pratiques sur site et des dernières tendances internationales. Nous avons de grandes attentes et un grand respect pour le leadership continu de la FSA dans l'élaboration de directives de ce niveau élevé.