Какво ще стане с автентикацията и паролите? Втората част на доклада Javelin „Състояние на строгата автентикация“

Близо възможностите за аутентикация и използваните методи в корпоративна среда и потребителски приложения бяха изследвани в отчета „Състоянието на силната аутентикация 2019“, публикуван от изследователската компания „Javelin Strategy & Research“. Творците на отчета събраха информация относно начините на аутентикация, които се използват, и направиха интересни изводи за бъдещето на строгата аутентикация.

Преводът на първата част с изводите на авторите на отчета, ние вече публикувахме в Хабра. А сега ви представяме втората част - с данни и графики.

От преводача

Няма да копирам изцяло целия едноименен блок от първата част, но все пак ще дублирам един абзац.

Всички цифри и факти са представени без най-малки промени, и ако не сте съгласни с тях, е по-добре да не спорите с преводача, а с авторите на доклада. А ето и моите коментари (форматирани като цитати, а в текста отбелязани курсив) са моята оценка и по всеки от тях с удоволствие бих спорил (както и по качеството на превода).

Потребителска аутентикация

От 2017 година приложението на строгата аутентикация в потребителските приложения е нараснало драстично, основно поради наличието на криптографски методи за аутентикация на мобилни устройства, въпреки че с малко по-малък процент компании използват строга аутентикация за интернет приложения.

По принцип, процентът на компаниите, които използват строга аутентикация в бизнеса си, е нараснал три пъти от 5% през 2017 до 16% през 2018 година (фигура 3).

Възможностите за използване на строга аутентикация за уеб приложения все още са ограничени (заради това, че само съвсем нови версии на някои браузъри поддържат взаимодействие с криптографски токени, но този проблем се решава с инсталирането на допълнителен софтуер, като RUTOKEN Plugin), така че много компании използват алтернативни методи за онлайн аутентикация, като приложения за мобилни устройства, които генерират еднократни пароли.

Хардуерни криптографски ключове (тук се имат предвид само съответстващи на стандартите на FIDO), като предлаганите от Google, Feitian, One Span и Yubico, могат да бъдат използвани за строга аутентикация без инсталиране на допълнителен софтуер на стационарни компютри и лаптопи (защото повечето браузъри вече поддържат стандарта WebAuthn от FIDO), но само 3% от компаниите използват тази възможност за влизане на своите потребители.

Сравнение на криптографски токени (като Рутокен ЕЦП PKI) и секретни ключове, работещи по стандартите FIDO, надхвърля не само обхвата на този отчет, но и моите коментари към него. В най-кратки редове, и двата вида токени използват сходни алгоритми и принципи на работа. Токените FIDO в момента се поддържат най-добре от производителите на браузъри, но ситуацията скоро ще се промени, тъй като все повече браузъри ще започнат да ги поддържат Web USB API. Затова класическите криптографски токени са защитени с ПИН-код, могат да подписват електронни документи и да се използват за двуфакторна автентикация в Windows (всяка версия), Linux и Mac OS X, имат API за различни програмни езици, позволяващи реализиране на 2ФА и ЕП в настолни, мобилни и Web приложения, а токените, произведени в Русия, поддържат руските алгоритми ГОСТ. Във всеки случай, криптографският токен, независимо от стандарта, по който е създаден, е най-надеждният и удобен метод за автентикация.

Освен безопасността: други предимства на строгата автентикация

Не е изненадващо, че прилагането на строга автентикация е тясно свързано с важността на данните, съхранявани от бизнеса. Най-голямо юридическо и нормативно натиск изпитват компании, които съхраняват конфиденциална лична информация (Personally Identifiable Information — PII), като социални осигуровки или лична медицинска информация (Personal Health Information — PHI). Именно тези компании са най-агресивни поддържатели на строгата автентикация. Натискът върху бизнеса се засилва от клиентските очаквания, които искат да знаят, че организациите, на които доверяват своите най-конфиденциални данни, използват надеждни методи за автентикация. Организациите, които обработват чувствителни PII или PHI, повече от два пъти по-често прилагат строга автентикация в сравнение с организациите, които съхраняват само контактна информация на потребители (фигура 7).

За съжаление, компаниите все още не искат да внедрят надеждни методи за автентикация. Почти една трета от лицата, вземащи бизнес решения, считат паролите за най-ефективен метод за автентикация сред всички посочени в фигура 9, а 43% считат паролите за най-простия метод за автентикация.

Тази диаграма ни показва, че разработчиците на бизнес приложения по цял свят са еднакви... Те не виждат печалба в внедряването на напреднали механизми за защита на достъпа до акаунти и споделят едни и същи заблуждения. И само действията на регулаторите могат да променят ситуацията.

Няма да засягаме паролите. Но во какво трябва да вярваме, за да смятаме, че контрольните въпроси са по-безопасни от криптографските токени?? Ефективността на контрольните въпроси, които лесно могат да бъдат подбрани, е оценена на 15%, а на неимуемите токени – само на 10. Поне да бяха гледали филма „Илюзия на измамата“, там макар и в алегорична форма, е показано колко лесно фокусниците са извадили от бизнесмена-комарджия всичките необходими отговори и го оставили без пари.

И още един факт, който много говори за квалификацията на тези, които отговарят за механизмите за безопасност в потребителските приложения. В тяхното разбиране процесът на въвеждане на парола е по-лесна операция от аутентификацията с помощта на криптографски токен. Въпреки че, какво би могло да бъде по-просто от свързването на токен към USB порта и въвеждането на прост PIN код.

Важно е да се отбележи, че внедряването на строга аутентификация позволява на предприятията да не мислят повече за методите на аутентификация и правилата на работа, необходими за блокиране на измамни схеми, с цел задоволяване на реалните нужди на своите клиенти.

Докато спазването на нормативните изисквания е напълно разумен главен приоритет както за предприятията, които използват строга аутентификация, така и за тези, които не го правят, компаниите, които вече използват строга аутентификация, с много по-голяма вероятност ще кажат, че увеличаването на лоялността на клиентите е най-важният показател, който те вземат под внимание при оценка на метода на аутентификация. (18% срещу 12%) (графика 10).

Корпоративна аутентификация

От 2017 година внедряването на стриктна автентикация в предприятията нараства, но е малко по-слабо, отколкото за потребителските приложения. Делът на предприятията, които използват стриктна автентикация, се е увеличил от 7% през 2017 до 12% през 2018. За разлика от потребителските приложения, в корпоративната среда използването на методи без пароли за автентикация е малко по-разпространено в уеб приложенията, отколкото в мобилните устройства. Около половината от предприятията съобщават, че използват само имена на потребители и пароли за автентикация при влизане в системата, като всеки пети (22%) разчита изцяло на пароли за вторична автентикация при достъп до важни данни.т.е. потребителят първо влизат в приложението, използвайки по-прост метод за автентикация, а ако иска да получи достъп до критични данни, извършва още една процедура за автентикация, този път обикновено използвайки по-надежден метод.).

Трябва да се разбере, че в отчета не е отчетено използването на криптографски токени за двуфакторна автентикация в операционни системи Windows, Linux и Mac OS X. А това в момента е най-масовото използване на 2ФА. (Уви, токените, създадени по стандартите FIDO, могат да реализират 2ФА само за Windows 10).

Освен това, ако за внедряването на 2ФА в онлайн и мобилни приложения е необходим комплекс от мероприятия, включващ разработка на тези приложения, то за внедряването на 2ФА в Windows е необходимо само да се настрои PKI (например, на база Microsoft Certification Server) и политиките за автентикация в AD.

И тъй като защитата на входа в работния ПК и домейн е важен елемент от защитата на корпоративните данни, внедряването на двуфакторна автентикация нараства.

Следващите два най-разпространени метода за автентикация на потребителите при влизане в системата са еднократни пароли, предоставяни чрез отделно приложение (13% от предприятията), и еднократни пароли, доставяни чрез SMS (12%). Въпреки че процентът на използване на двата метода е доста сходен, но OTP SMS най-често се използва за повишаване на нивото на авторизация (в 24% от компаниите). (Рисунок 12).

Увеличението на използването на строга аутентификация в предприятието вероятно може да бъде обяснено с нарастващата наличност на реализации на криптографски методи за аутентификация на платформите за управление на идентичността в предприятията (по-просто казано – корпоративните системи за SSO и IAM научиха как да използват токени).

При мобилната аутентификация на служители и подизпълнители, предприятията в значителна степен разчитат на пароли, в сравнение с аутентификацията в потребителските приложения. Малко над половината (53%) от предприятията използват пароли при аутентификация на достъпа на потребителите до данните на компанията чрез мобилно устройство (фигура 13).

В случая с мобилните устройства би могло да се повярва в голямата сила на биометрията, ако не бяха многото случаи на фалшификации на пръстови отпечатъци, гласове, лица и дори ириси. Едно търсене в интернет ще покаже, че надеждното решение за биометрична аутентификация просто не съществува. Истински точните сензори наистина съществуват, но те са много скъпи и с голям размер — и не се инсталират в смартфоните.

Така единствено работещият метод за 2FA в мобилни устройства е използването на криптографски токени, които се свързват със смартфона чрез интерфейсите NFC, Bluetooth и USB Type-C.

Защита на финансовите данни на компанията е главната причина за инвестиции в безпаролна аутентификация (44%) с най-бърз растеж от 2017 година (увеличение с осем процентни пункта). Следват защитата на интелектуалната собственост (40%) и данните за човешките ресурси (39%). И е ясно защо — освен че стойността, свързана с тези типове данни, е широко призната, с тях работи сравнително малък брой служители. Тоест, разходите за внедряване не са толкова големи, а научаването на работа с по-сложна система за аутентификация изисква само няколко души. От друга страна, типовете данни и устройства, до които обикновено имат достъп повечето служители на предприятието, все още са защитени единствено с пароли. Документите на служителите, работните станции и корпоративните портали за електронна поща представляват областите с най-висок риск, тъй като само една четвърт от предприятията защитават тези активи с помощта на безпаролна аутентификация (фигура 14).

Корпоративната електронна поща е доста опасно и "прободна" нещо, степента на потенциална опасност, която е подценена от повечето ИТ директори. Всекидневно служителите получават десетки имейли, така че защо сред тях да не се озове поне един фишинг имейл (т.е. мошенически). Този имейл ще бъде оформен в стила на писмата на компанията, затова служителят без притеснение ще натисне линка в него. А след това може да последва всичко - например, инсталиране на вирус на атакуваната машина или изтичане на пароли (включително чрез социално инженерство, чрез въвеждане в създадена от престъпника фалшива форма за автентикация).

За да не се случват подобни неща, електронните имейли трябва да бъдат подписвани. По този начин веднага ще е ясно кое съобщение е създадено от легален служител и кое от злонамерен. В Outlook / Exchange, например, електронният подпис на базата на криптографски токени се включва сравнително бързо и лесно и може да се използва заедно с двуфакторна автентикация в ПК и домейни Windows.

Сред ръководителите, които разчитат единствено на парола за автентикация вътре в предприятието, две трети (66%) го правят, защото считат, че паролите осигуряват достатъчна сигурност за типа информация, която тяхната компания трябва да защити (рис. 15).

Но строгите автентикационни методи стават все по-разпространени. Отчасти защото стават по-достъпни. Все повече системи за управление на идентичността и достъпа (IAM), браузъри и операционни системи поддържат автентикация с помощта на криптографски токени.

Строгата автентикация има и още едно предимство. Тъй като паролата вече не се използва (заменена с прост PIN код), няма и запитвания от служителите с молби за смяна на забравена парола. Това, от своя страна, намалява натоварването на ИТ отдела на предприятието.

Резюме и изводи

1. Ръководителите често нямат необходимите знания, за да оценят истинската ефективност на различните варианти за автентикация. Те са свикнали да разчитат на остарели методи за защита като пароли и таен въпрос просто защото "преди това работеше".
2. Потребителите нямат дори по-малко, за тях най-важно е – простота и удобство. Все още нямат мотивация да избират по-защитени решения.
3. Разработчиците на потребителски приложения често нямат причини, за да внедрят двуфакторна аутентификация вместо паролна. Конкуренцията по ниво на защита в потребителските приложения липсва.
4. Цялата отговорност за хакване е прехвърлена на потребителя. Ако споделиш еднократна парола с хакер – виновен си. Ако паролата ти е била прихваната или подслушвана – виновен си. Ако не си изискал от разработчика да използва надеждни методи на аутентификация в продукта – виновен си.
5. Правилният регулатор първо трябва да изисква от компаниите да внедрят решения, които блокират изтичането на данни (включително двуфакторна аутентификация), а не да наказват за вече настъпилото изтичане на данни.
6. Някои разработчици на софтуер се опитват да продават на потребителите стари и не особено надеждни решаване в красиви опаковки «иновативен» продукт. Например, аутентификация, свързана с конкретен смартфон или използване на биометрия. Както е видно от доклада, по наистина надеждни може да бъде само решение на база строга аутентификация, тоест криптографски токени.
7. Един и същ криптографски токен може да се използва за цял набор от задачи: за строга аутентификация в операционната система на предприятието, в корпоративното и потребителското приложение, за електронен подпис финансови транзакции (важно за банкови приложения), документи и електронна поща.

Източник: habr.com