{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Hvad vil der ske med autentificeringen og adgangskoderne? Overs\u00e6ttelse af Javelins rapport \"Tilstand for st\u00e6rk autentificering\" med kommentarer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Hvad
\n
\nSpoiler from the report title \"The number of strong authentication use cases has increased due to new risks and regulatory demands.\"
\nThe research company \"Javelin Strategy & Research\" has published the report \"The State of Strong Authentication 2019\" ( the original in PDF format can be downloaded here<\/a><\/noindex>). This report discusses: what percentage of American and European companies use passwords (and why passwords are used less often now); why the percentage of two-factor authentication based on cryptographic tokens is growing so rapidly; and why one-time codes sent via SMS are not secure.<\/p>\n

Everyone interested in the present, past, and future of authentication in enterprises and user applications is welcome.
\n<\/a><\/noindex>
\nFrom the translator<\/b><\/p>\n

Unfortunately, the language in which this report is written is quite \"dry\" and formal. The five-time use of the word \"authentication\" in one short sentence is not the translator's lack of skill (or brain), but the authors' whim. When translating from two options \u2014 providing readers with a text closer to the original, or a more interesting text \u2014 I sometimes chose the first, and sometimes the second. But bear with me, dear readers, the content of the report is worth it.<\/p>\n

Some insignificant and unnecessary parts for the narrative have been removed, otherwise most would not have been able to handle the entire text. Those wishing to read the report \"uncensored\" can do so in the original language by following the link.<\/p>\n

Unfortunately, the authors are not always careful with terminology. Thus, one-time passwords (One Time Password \u2013 OTP) are sometimes referred to as \"passwords,\" and sometimes as \"codes.\" The methods of authentication are even worse. It is not always easy for an unprepared reader to deduce that \"authentication using cryptographic keys\" and \"strong authentication\" mean the same thing. I tried to unify the terms as much as possible; moreover, there is a section in the report that describes them.<\/p>\n

Nevertheless, the report is highly recommended for reading because it contains unique research results and correct conclusions. <\/b><\/p>\n

Alle tal og fakta er pr\u00e6senteret uden nogen \u00e6ndringer, og hvis du ikke er enig i dem, er det bedre at diskutere med forfatterne af rapporten end med overs\u00e6tteren. Mine kommentarer (formateret som citater og angivet i teksten) kursiv<\/i>) er min vurdering, og jeg vil med gl\u00e6de diskutere hver enkelt af dem (ligesom kvaliteten af overs\u00e6ttelsen). <\/p><\/blockquote>\n

<\/p>\n

Oversigt<\/h2>\n

\nI dag er digitale kommunikationskanaler med kunder vigtigere for virksomheder end nogensinde f\u00f8r. Kommunikationsm\u00e5der mellem medarbejdere internt i en virksomhed er ogs\u00e5 mere orienteret mod en digital mediendannelse end nogensinde. Den sikkerhed, disse interaktioner har, afh\u00e6nger af den valgte metode til brugerautentifikation. Kriminelle udnytter svag autentifikation til massivt at bryde ind i brugerkonti. Som svar sk\u00e6rper reguleringsmyndighederne standarderne for at f\u00e5 virksomheder til at beskytte konti og brugerdata bedre.<\/p>\n

Trusler relateret til autentifikation g\u00e6lder ikke kun for forbrugerapplikationer; kriminelle kan ogs\u00e5 f\u00e5 adgang til applikationer, der k\u00f8rer internt i virksomheden. En s\u00e5dan operation g\u00f8r det muligt for dem at udgive sig for at v\u00e6re virksomhedens brugere. Kriminelle kan, ved at udnytte adgangspunkter med svag autentifikation, stj\u00e6le data og udf\u00f8re andre svigagtige aktiviteter. Heldigvis findes der modforanstaltninger. Streng autentifikation vil v\u00e6sentligt reducere risikoen for angreb fra kriminelle, b\u00e5de p\u00e5 forbrugerapplikationer og p\u00e5 virksomhedssystemer.<\/p>\n

I denne unders\u00f8gelse unders\u00f8ges, hvordan virksomheder implementerer autentifikation for at beskytte brugerapplikationer og virksomhedens systemer; de faktorer, de tager i betragtning, n\u00e5r de v\u00e6lger en autentifikationsl\u00f8sning; den rolle, streng autentifikation spiller i deres organisationer; fordelene, som disse organisationer opn\u00e5r.<\/p>\n

CV<\/h2>\n

<\/p>\n

Hovedelementer<\/h3>\n

\nSiden 2017 er procentdelen af brugen af streng autentifikation steget dramatisk. <\/b> I takt med en stigende m\u00e6ngde s\u00e5rbarheder, som p\u00e5virker traditionelle autentificeringsl\u00f8sninger, styrker organisationer deres autentificeringsmuligheder med hj\u00e6lp af streng autentificering. Antallet af organisationer, der bruger multifaktorautentificering med kryptografi (MFA), er tredoblet siden 2017 for forbrugeranvendelser og er steget med n\u00e6sten 50% for virksomhedsapplikationer. Den hurtigste v\u00e6kst ses inden for mobilautentificering p\u00e5 grund af den stigende tilg\u00e6ngelighed af biometrisk autentificering.<\/p>\n

Her ser vi en illustration af ordsproget \u00abf\u00f8r lynet sl\u00e5r ned, kaster ingen sig over kors\u00bb. Da eksperterne advarede om usikkerheden ved adgangskoder, var der ingen, der skyndte sig med at implementere to-faktor-autentificering. S\u00e5 snart hackere begyndte at stj\u00e6le adgangskoder, begyndte folk at implementere to-faktor-autentificering.<\/p>\n

Det er sandt, at private personer langt mere aktivt implementerer 2FA. For det f\u00f8rste, s\u00e5 er det lettere for dem at berolige deres frygt ved at stole p\u00e5 den biometriske autentificering, der er indbygget i smartphones, som i realiteten er temmelig usikker. Organisationer derimod skal investere i k\u00f8b af tokens og udf\u00f8re arbejde (som faktisk er temmelig simpelt) for at implementere dem. For det andet, alle har h\u00f8rt om l\u00e6kager af adgangskoder fra tjenester som Facebook og Dropbox, men historierne om hvordan adgangskoder blev stj\u00e5let (og hvad der fulgte derefter) vil IT-cheferne i disse organisationer ikke dele under nogen omst\u00e6ndigheder. <\/p><\/blockquote>\n

\nDe, der ikke bruger streng autentificering, undervurderer deres risici for virksomheden og kunderne. <\/b> Nogle organisationer, der i \u00f8jeblikket ikke bruger streng autentificering, har tendens til at betragte login og adgangskoder som en af de mest effektive og brugervenlige metoder til at autentificere brugere. Andre ser ikke v\u00e6rdien af de digitale aktiver, de ejer. Det skal tages i betragtning, at cyberkriminelle er interesseret i enhver forbruger- og forretningsinformation. To tredjedele af de virksomheder, der kun bruger adgangskoder til at autentificere deres medarbejdere, g\u00f8r det, fordi de mener, at adgangskoder er tilstr\u00e6kkelige til den type information, de beskytter.<\/p>\n

Ikke desto mindre er adgangskoder p\u00e5 vej \u00abi graven\u00bb. <\/b> I l\u00f8bet af det forgangne \u00e5r er afh\u00e6ngigheden af adgangskoder betydeligt faldet, b\u00e5de for forbruger- og virksomhedsapplikationer (fra 44 % til 31 % og fra 56 % til 47 % henholdsvis), da organisationer udvider brugen af traditionel MFA og strenge autentificeringsmetoder.
\nMen ser man p\u00e5 situationen som helhed, dominerer s\u00e5rbare autentificeringsmetoder stadig. Omtrent en fjerdedel af organisationerne bruger SMS OTP (engangskode) sammen med sikre sp\u00f8rgsm\u00e5l til brugerautentificering. Som f\u00f8lge heraf er det n\u00f8dvendigt at implementere yderligere beskyttelsesforanstaltninger for at beskytte mod s\u00e5rbarheder, hvilket \u00f8ger omkostningerne. Brug af langt mere p\u00e5lidelige autentificeringsmetoder, s\u00e5som hardware-kryptografiske n\u00f8gler, anvendes langt sj\u00e6ldnere, omtrent i 5 % af organisationerne.<\/p>\n

Den udviklende lovgivningsm\u00e6ssige ramme lover at fremskynde implementeringen af strenge autentificeringsmetoder for forbrugerapplikationer. <\/b> Med indf\u00f8relsen af PSD2 samt nye databeskyttelsesregler i EU og flere stater i USA, s\u00e5som Californien, f\u00f8ler virksomhederne, at presset stiger. N\u00e6sten 70 % af virksomhederne er enige om, at de st\u00e5r over for st\u00e6rkt regulatorisk pres for at sikre streng autentificering for deres kunder. Mere end halvdelen af virksomhederne mener, at deres autentificeringsmetoder inden for f\u00e5 \u00e5r ikke vil v\u00e6re tilstr\u00e6kkelige til at overholde de regulatoriske standarder.<\/p>\n

Der er en markant forskel p\u00e5 tilgangen fra russiske og amerikansk-europ\u00e6iske lovgivere til beskyttelse af brugernes personlige data i programmer og tjenester. De russiske siger: k\u00e6re tjenesteudbydere, g\u00f8r hvad I vil, men hvis jeres administrator l\u00e6kker databasen, s\u00e5 straffer vi jer. I udlandet siger de: I skal implementere et s\u00e6t foranstaltninger, der forhindrer<\/b> datatab. Derfor implementeres der i stor stil krav om tilstedev\u00e6relse af streng to-faktor-autentificering.
\nSandheden er, at det slet ikke er sikkert, at vores lovgivningsmaskine pludselig en dag ikke v\u00e5gner op og tager h\u00f8jde for den vestlige erfaring. N\u00e5r det sker, viser det sig, at alle skal implementere 2FA i overensstemmelse med de russiske kryptografiske standarder, og det skal ske hurtigt.\n<\/p><\/blockquote>\n

\nAt skabe et p\u00e5lideligt grundlag for autentificering g\u00f8r det muligt for virksomheder at flytte fokus fra at opfylde lovgivningsm\u00e6ssige krav til at tilfredsstille kundernes behov. <\/b> For de organisationer, der stadig bruger enkle adgangskoder eller modtager koder via SMS, vil overholdelse af lovgivningsm\u00e6ssige krav v\u00e6re den vigtigste faktor ved valg af autentificeringsmetode. Mens virksomheder, der allerede anvender streng autentificering, kan fokusere p\u00e5 at v\u00e6lge autentificeringsmetoder, der \u00f8ger kundeloyalitet.<\/p>\n

N\u00e5r der v\u00e6lges en metode til virksomhedens autentificering internt i organisationen, er regulatorernes krav ikke l\u00e6ngere en betydende faktor. <\/b> I dette tilf\u00e6lde er enkel integration (32%) og omkostninger (26%) meget vigtigere. <\/p>\n

I en tid med phishing kan ondsindede akt\u00f8rer bruge virksomhedens e-mail til svindel,<\/b> for at narre adgang til data, brugerkonti (med de relevante adgangsrettigheder) og endda for at overbevise medarbejdere om at udf\u00f8re pengeoverf\u00f8rsler til deres konto. Derfor skal virksomhedens e-mailkonti og portaler v\u00e6re s\u00e6rligt godt beskyttet.<\/p>\n

Google har styrket sin beskyttelse ved at implementere streng autentificering.<\/b> For over to \u00e5r siden offentliggjorde Google en rapport om implementering af tofaktorgodkendelse baseret p\u00e5 sikkerhedsn\u00f8gler i henhold til FIDO U2F-standarden, og rapporterede om imponerende resultater. If\u00f8lge virksomheden har der ikke v\u00e6ret nogen phishing-angreb mod mere end 85.000 medarbejdere. <\/p>\n

Anbefalinger<\/h3>\n

\nImplementer streng autentificering for mobile og online applikationer. <\/b> Multifaktorautentifikation baseret p\u00e5 sikkerhedsn\u00f8gler beskytter langt bedre mod angreb end traditionelle MFA-metoder. Desuden er brugen af sikkerhedsn\u00f8gler meget mere bekvemt, da der ikke er behov for at bruge eller overf\u00f8re yderligere information \u2014 adgangskoder, engangskoder eller biometriske data fra brugeren til autentificeringsserveren. Desuden g\u00f8r standardiseringen af autentifikationsprotokoller det meget lettere at implementere nye autentifikationsmetoder, efterh\u00e5nden som de dukker op, hvilket reducerer omkostningerne og beskytter mod mere komplekse svindelschemer.<\/p>\n

Forbered dig p\u00e5 slutningen af engangskoder (OTP). <\/b> S\u00e5rbarhederne i OTP bliver stadig mere tydelige, n\u00e5r cyberkriminelle anvender social engineering, kloning af smartphones og malware til at kompromittere disse autentificeringsmetoder. Og selvom OTP i nogle tilf\u00e6lde har visse fordele, er det kun set fra et universelt tilg\u00e6ngeligt perspektiv for alle brugere, men ikke set fra et sikkerhedsperspektiv.<\/p>\n

Det kan ikke undg\u00e5s, at modtagelsen af koder via SMS eller Push-notifikationer samt genereringen af koder ved hj\u00e6lp af smartphone-programmer er netop det, der udg\u00f8r brugen af disse engangskoder (OTP), som vi nu anbefales at forberede os p\u00e5 at sige farvel til. Teknisk set er l\u00f8sningen meget korrekt, fordi sj\u00e6ldent vil en svindler undlade at fors\u00f8ge at udsp\u00f8rge en engangskode fra en tillidsfuld bruger. Men jeg tror, at producenterne af s\u00e5danne systemer vil klamre sig til den d\u00f8ende teknologi indtil det sidste. <\/p><\/blockquote>\n

Brug striks autentificering som et marketingv\u00e6rkt\u00f8j til at \u00f8ge kundernes tillid. <\/b> Striks autentificering kan ikke kun forbedre den faktiske sikkerhed i din virksomhed. At informere kunderne om, at din virksomhed anvender striks autentificering, kan styrke den offentlige opfattelse af sikkerheden i denne virksomhed \u2014 en vigtig faktor, n\u00e5r der er en betydelig eftersp\u00f8rgsel fra kunderne efter p\u00e5lidelige autentificeringsmetoder.<\/p>\n

Udf\u00f8r en grundig opg\u00f8relse og vurdering af vigtigheden af virksomhedens data og beskytt dem i overensstemmelse med deres vigtighed. <\/b> Selv data med lav risiko, s\u00e5som kontaktinformation for kunder (nej, det st\u00e5r faktisk i rapporten 'low-risk', det er meget underligt, at de undervurderer vigtigheden af disse oplysninger<\/i>), kan give svindlere betydelig v\u00e6rdi og blive \u00e5rsag til problemer for virksomheden. <\/p>\n

Brug striks autentificering i virksomheden. <\/b> R\u00e6kken af systemer er de mest attraktive m\u00e5l for kriminelle. Disse inkluderer b\u00e5de interne og internetforbundne systemer, s\u00e5som regnskabsprogrammer eller lagre af virksomhedsdata. Striks autentificering forhindrer kriminelle i at f\u00e5 uautoriseret adgang og g\u00f8r det ogs\u00e5 muligt pr\u00e6cist at identificere, hvem blandt medarbejderne der har beg\u00e5et skadelig aktivitet.<\/p>\n

Hvad er streng autentifikation? <\/h2>\n

\nVed brug af streng autentifikation anvendes flere metoder eller faktorer til at bekr\u00e6fte en brugers identitet:<\/p>\n