OpenAI tuo ChatGPT-tileille uuden lisäsuojauksen ja aloittaa yhteistyön Yubicon kanssa

OpenAI tuo ChatGPT-tileille uuden vapaaehtoisen lisäsuojaustason, jonka tarkoituksena on vaikeuttaa tilikaappauksia ja tietojenkalasteluun perustuvia hyökkäyksiä. Advanced Account Security -niminen ominaisuus koskee myös Codex-tilejä, ja sen käyttöönotto muuttaa merkittävästi sitä, miten käyttäjä kirjautuu sisään, miten tiliä voidaan palauttaa ja millainen vastuu käyttäjälle jää palautuskeinojen säilyttämisestä.

Salasanat korvataan turva-avaimilla

Advanced Account Securityn käyttöön ottavat käyttäjät eivät voi enää käyttää tileillään tavallisia salasanoja. Sen sijaan heidän on lisättävä tilille kaksi fyysistä turva-avainta tai passkey-tunnistetta. Tarkoituksena on pienentää onnistuneiden tietojenkalasteluhyökkäysten riskiä, koska hyökkääjän olisi vaikeampi päästä tilille pelkän salasanan tai huijauksella saadun kirjautumistiedon avulla.

Uusi suojaus poistaa käytöstä myös sähköpostiin ja tekstiviesteihin perustuvat tilinpalautusreitit. Tilin palauttamiseen on tämän jälkeen käytettävä palautusavaimia, varapasskey-tunnisteita tai fyysisiä turva-avaimia. Tämä tekee järjestelmästä tiukemman, mutta samalla käyttäjän vastuusta suuremman: palautusvaihtoehdot on säilytettävä huolellisesti.

OpenAI on kertonut tehneensä yhteistyösopimuksen turva-avaimia valmistavan Yubicon kanssa. Yhteistyön tarkoituksena on tarjota Advanced Account Securityn käyttäjille edullisempia YubiKey-paketteja.

Tiukempi palautus suojaa myös tukihuijauksilta

Ominaisuuden keskeinen muutos liittyy siihen, mitä tapahtuu, jos käyttäjä menettää pääsyn tiliinsä. Kun Advanced Account Security on käytössä, käyttäjä ei voi enää pyytää OpenAI:n tukitiimiä palauttamaan tiliä samalla tavalla kuin tavanomaisissa palautusprosesseissa. Aineiston mukaan tukitiimillä ei tällöin ole pääsyä tai hallintaa käyttäjän palautusvaihtoehtoihin.

Ratkaisun tarkoituksena on estää hyökkääjiä käyttämästä asiakastukea väylänä tilikaappauksiin. Sosiaaliseen manipulointiin perustuvissa hyökkäyksissä rikolliset voivat yrittää huijata tukipalvelua palauttamaan pääsyn tilille. Kun palautus on sidottu käyttäjän omiin avaimiin ja tunnisteisiin, tällainen hyökkäysreitti kapenee.

Lisäsuojaus on suunnattu erityisesti käyttäjille, jotka arvioivat ChatGPT- tai Codex-tiliensä voivan olla hyökkääjien kohteena. Se ei ole pakollinen kaikille, vaan käyttäjän on otettava se käyttöön erikseen. Käytännössä valinta tarkoittaa vahvempaa suojaa, mutta myös sitä, että palautusavainten ja varatunnisteiden menettäminen voi tehdä tilin palauttamisesta huomattavasti vaikeampaa.