🥇Какво ще се случи с идентификацията и паролите? Втората част от доклада на Javelin «Състоянието на строгата идентификация»

Скоро изследователската компания «Javelin Strategy & Research» публикува доклад «Състояние на строгата аутентификация 2019». Неговите създатели събраха информация за това какви методи за аутентификация се използват в корпоративната среда и в потребителските приложения, както и направиха любопитни заключения за бъдещето на строгата аутентификация.

Превод на първата част с заключенията на авторите на доклада, ние вече публикувахме в Хабра. А сега представяме на вашето внимание втората част — с данни и графики.

От преводача

Няма да копирам напълно целия едноименен блок от първата част, но един абзац все пак ще дублирам.

Всички цифри и факти са приведени без никакви промени, и ако не сте съгласни с тях, по-добре оспорвайте не с преводача, а с авторите на доклада. А моите коментари (изградени като цитати, а в текста отбелязани с курсив) са мои оценъчни съждения и по всеки от тях ще бъда радостен да поспорим (както и по качеството на превода).

Потребителска аутентификация

От 2017 година използването на строга аутентификация в потребителските приложения рязко нарасна, главно поради достъпността на криптографските методи за аутентификация на мобилни устройства, въпреки че само малко по-малък процент от компаниите използват строга аутентификация за интернет приложения.

В общи линии, процентът на компаниите, използващи строга аутентификация в бизнеса си, е увеличен три пъти от 5% през 2017 до 16% през 2018 (рисунка 3).

Възможностите за използване на строга аутентификация за уеб приложения все още са ограничени (поради факта, че само съвсем новите версии на някои браузъри поддържат взаимодействие с криптографски токени, но този проблем се решава с помощта на инсталиране на допълнителен софтуер, такъв като Routoken Plugin), затова много компании използват алтернативни методи за онлайн аутентификация, като приложения за мобилни устройства, генериращи еднократни пароли.

Апаратурни криптографски ключове (тук се имат предвид само съответстващите на стандартите FIDO), като предлаганите от Google, Feitian, One Span и Yubico могат да бъдат използвани за строга аутентификация без инсталиране на допълнителен софтуер на настолни компютри и лаптопи (тъй като повечето браузъри вече поддържат стандарт WebAuthn от FIDO), но само 3% от компаниите използват тази възможност за вход на своите потребители.

Сравнение на криптографски токени (като Рутокен ЕЦП PKI) и секретни ключове, работещи по стандартите на FIDO, излизат не само извън обхвата на този доклад, но и извън моите коментари към него. С две думи, и двата вида токени използват сходни алгоритми и принципи на работа. Токените на FIDO в момента се поддържат по-добре от производителите на браузъри, въпреки че ситуацията скоро ще се промени, тъй като все повече браузъри ще започнат да поддържат Web USB API. Затова класическите криптографски токени са защитени с PIN код, могат да подписват електронни документи и да се използват за двуфакторна автентикация в Windows (всяка версия), Linux и Mac OS X, имат API за различни програмни езици, позволяващи реализирането на 2FA и ЕП в настолен, мобилен и уеб приложения, а токените, произведени в Русия, поддържат руски алгоритми ГОСТ. Във всеки случай, криптографският токен, независимо от стандарта, по който е създаден, е най-надеждният и удобен метод за автентикация.

Освен сигурността: други предимства на строгата автентикация

Не е изненада, че използването на строга автентикация е тясно свързано с важността на данните, съхранявани от бизнеса. С най-голямо правно и нормативно налягане се сблъскват компаниите, които съ хранят конфиденциална лична информация (Personally Identifiable Information — PII), като номера на социални осигуровки или лична медицинска информация (Personal Health Information — PHI). Именно тези компании са най-агресивните привърженици на строгата автентикация. Налянето върху бизнеса се засилва от очакванията на клиентите, които искат да знаят, че организациите, на които доверяват своите най-конфиденциални данни, използват надеждни методи за автентикация. Организациите, които обработват чувствителен PII или PHI, е по-вероятно да използват строга автентикация повече от два пъти в сравнение с организациите, които съхраняват само контактната информация на потребителите (фигура 7).

За съжаление, компаниите все още не искат да внедряват надеждни методи за автентикация. Почти една трета от лицата, взимащи бизнес решения, смятат паролите за най-ефективния метод за автентикация сред всички изброени на изображение 9, а 43% ги считат за най-простия метод за автентикация.

Тази диаграма доказва, че разработчиците на бизнес приложения по света са едни и същи… Те не виждат полза от реализирането на напреднали механизми за защита на достъпа до акаунти и споделят същите заблуждения. И само действията на регулаторите могат да променят ситуацията.
Няма да се засягаме на паролите. Но на какво трябва да се вярва, за да се смята, че контролните въпроси са по-безопасни от криптографските токени? Эфективността на контролни въпроси, които лесно могат да се открият, е оценена на 15%, а на неодобрените токени – само на 10. Дори един филм „Илюзия на измамата“ е стойностен за гледане, там, макар и в алегорична форма, е показано колко лесно магьосниците измамили бизнесмена-мошеник и взели всичките му необходими отговори, оставяйки го без пари.
И още един факт, който много говори за квалификацията на тези, които отговарят за механизмите за безопасност в потребителските приложения. Според тях процесът на въвеждане на парола е по-проста операция от автентикацията чрез криптографски токен. В крайна сметка, какво може да е по-просто от свързването на токена с USB порта и въвеждането на прост PIN код?

Важно е да се отбележи, че внедряването на строга автентикация позволява на предприятията да не мислят повече за методите на автентикация и правилата за работа, необходими за блокиране на измамническите схеми, отговаряйки на реалните нужди на своите клиенти.

Докато спазването на нормативните изисквания е напълно разумен основен приоритет, както за предприятия, които използват строга автентикация, така и за тези, които не го правят, компаниите, които вече използват строга автентикация, с много по-голяма вероятност ще кажат, че повишаването на лоялността на клиентите е най-важният показател, който вземат предвид при оценката на метода за автентикация. (18% срещу 12%) (изображение 10).

Корпоративна автентикация

От 2017 година внедряването на строгата автентикация в предприятията нараства, но е малко по-скромно в сравнение с потребителските приложения. Делът на предприятията, които използват строга автентикация, се е увеличил от 7% през 2017 г. до 12% през 2018 г. За разлика от потребителските приложения, в корпоративната среда използването на метода на автентикация без парола е малко по-разпространено в уеб приложенията отколкото на мобилни устройства. Около половината от предприятията съобщават, че използват само имена на потребители и пароли за автентикация при влизане в системата, като всеки пети (22%) също разчита единствено на пароли за вторична автентикация при достъп до особено важни данни (тоест потребителят първоначално логва в приложението, използвайки по-прост метод на автентикация, а ако желае да получи достъп до критични данни, тогава извършва още една процедура на автентикация, този път обикновено използвайки по-надежден метод).

Трябва да се има предвид, че в отчета не е отчетено използването на криптографски токени за двуфакторна автентикация в операционните системи Windows, Linux и Mac OS X. А това в момента е най-широко разпространеното използване на 2FA. (Уви, токените, създадени по стандартите FIDO, могат да реализират 2FA само за Windows 10).
Освен това, ако за внедряване на 2FA в онлайн и мобилни приложения е необходимо да се проведат комплексни мероприятия, включващи доработка на тези приложения, то за внедряване на 2FA в Windows е необходимо само да се конфигурира PKI (например на базата на Microsoft Certification Server) и политиките за автентикация в AD.
И тъй като защитата на входа в работния ПК и домейн е важен елемент от защитата на корпоративни данни, внедряването на двуфакторна автентикация нараства.

Следващите два най-разпространени метода за автентикация на потребителите при влизане в системата са одноразовите пароли, предоставяни чрез отделно приложение (13% от предприятията), и одноразовите пароли, изпращани чрез SMS (12%). Въпреки че процентът на използване на двата метода е доста сходен, SMS OTP обикновено се използва за повишаване на нивото на авторизация (в 24% от компанията). (Фигура 12).

Ростът на използването на строгата автентикация в предприятието вероятно може да се обясни с повишената достъпност на реализациите на криптографски методи за автентикация на платформите за управление на идентификацията на предприятията (по-просто казано, корпоративните системи SSO и IAM научиха как да използват токени).

За мобилната автентикация на служители и подизпълнители, предприятията в значителна степен разчитат на пароли, в сравнение с автентикацията в потребителските приложения. Малко над половината (53%) от предприятията използват пароли за автентикация на достъпа на потребителите до данните на компанията през мобилно устройство (фигура 13).

В случая с мобилните устройства би могло да се повярва в значимата сила на биометрията, ако не бяха многобройните случаи на подправки на пръстови отпечатъци, гласове, лица и дори ириси. Една заявка в търсачката ще покаже, че надежден метод за биометрична автентикация просто не съществува. Наистина точни сензори съществуват, но те са доста скъпи и с голям размер - и не могат да бъдат инсталирани в смартфони.
Затова единственият работещ метод за 2ФА в мобилните устройства е използването на криптографски токени, които се свързват към смартфона чрез интерфейсите NFC, Bluetooth и USB Type-C.

Защитата на финансовите данни на компанията е основната причина за инвестициите в безпаролна автентикация (44%) с най-бърз растеж от 2017 година (увеличение с осем процентни пункта). След това следва защитата на интелектуалната собственост (40%) и данните за персонала (39%). И е ясно защо - освен че стойността, свързана с тези типове данни, е широко призната, с тях работи сравнително малък брой служители. Тоест разходите за внедряване не са толкова големи, а за обучение на малко хора да работят с по-сложна система за автентикация е достатъчно. Обратно, типовете данни и устройства, към които обикновено се обръщат повечето служители на предприятието, все още са защитени изключително с пароли. Документите на служителите, работните станции и корпоративните портали за електронна поща са области с най-висок риск, тъй като само една четвърт от предприятията защитават тези активи чрез безпаролна автентикация (Фигура 14).

Корпоративната електронна поща е доста опасна и „пробивна“ система, степента на потенциална опасност, от която е недооценена от повечето ИТ директори. Всеки ден служителите получават десетки имейли, така че защо поне един от тях да не бъде фалшив (или мошенически)? Това писмо ще бъде оформено в стил бизнес кореспонденция, затова служителят без опасения ще кликне на линка в това писмо. А нататък може да се случи всичко, например, зареждане на вирус на атакуваното устройство или изтичане на пароли (включително чрез социално инженерство, с въвеждане в създадената от нападателя фалшива форма за автентикация).
За да не се случват подобни неща, електронните писма трябва да бъдат подписани. Тогава веднага ще бъде ясно кое писмо е написано от легален служител и кое от нападател. В Outlook / Exchange, например, електронният подпис на базата на криптографски токени се активира доста бързо и лесно и може да се използва в комбинация с двуфакторна автентикация в компютри и Windows домейни.

Сред ръководителите, които разчитат изцяло на автентикация с пароли вътре в предприятието, две трети (66%) го правят, защото смятат, че паролите осигуряват достатъчна сигурност за информацията, която тяхната компания трябва да защитава (фигура 15).

Но методите за строга автентикация стават все по-разпространени. Отчасти това е поради увеличаване на тяхната достъпност. Все повече системи за управление на идентичността и достъпа (IAM), браузъри и операционни системи поддържат автентикация с криптографски токени.

Строгата автентикация има и още едно предимство. Понеже паролата вече не се използва (заменена е с прост PIN код), няма и заявки от служители да сменят забравени пароли. Това от своя страна намалява натоварването на ИТ отдела на предприятието.

Резюме и заключения

Ръководителите често нямат необходимите знания, за да оценят реалната ефективност на различни опции за автентикация. Те са свикнали да се доверяват на такива остарели методи за защита като пароли и секретни въпроси просто защото „преди това работеше“.

Потребителите имат също така още по-малко знания, за тях най-важно е простотата и удобството. Все още нямат мотиви да избират по-защитени решения.

Разработчиците на потребителски приложения често нямат причини, за да внедрят двуфакторна идентификация вместо паролна. Конкуренцията по нивото на защита в потребителските приложения липсва.

Цялата отговорност за пробив е прехвърлена на потребителя. Определил еднократна парола на злодея – виновен. Твоята парола е била перехващана или подслушвана – виновен. Не си изисквал от разработчика да използва надеждни методи за идентификация в продукта – виновен.

Правилният регулатор в първия ред трябва да изисква от компаниите внедряване на решения, които блокират изтичането на данни (в частност двуфакторна идентификация), а не да наказват за вече настъпилото изтичане на данни.

Някои разработчици на софтуер се опитват да продадат на потребителите стари и не особено надеждни решения в красива опаковка на «иновативен» продукт. Например, идентификация чрез привързване към конкретен смартфон или използване на биометрия. Както се вижда от отчета, по действително надеждно може да бъде само решение на основата на строга идентификация, тоест криптографски токени.

Един и същ криптографски токен може да се използва за цял набор от задачи: за строга идентификация в операционната система на предприятието, в корпоративно и потребителско приложение, за електронен подпис на финансови транзакции (важно за банковите приложения), документи и електронна поща.