Was wird nun mit der Authentifizierung und den Passwörtern? Der zweite Teil des Javelin-Berichts „Zustand der starken Authentifizierung“

Kürzlich hat das Forschungsunternehmen „Javelin Strategy & Research“ den Bericht „The State of Strong Authentication 2019“ veröffentlicht. Die Autoren haben Informationen darüber gesammelt, welche Authentifizierungsmethoden in Unternehmensumgebungen und Benutzeranwendungen verwendet werden, und interessante Schlussfolgerungen über die Zukunft der starken Authentifizierung gezogen.

Die Übersetzung des ersten Teils mit den Schlussfolgerungen der Autoren des Berichts haben wir bereits auf Habr veröffentlicht. Jetzt präsentieren wir Ihnen den zweiten Teil - mit Daten und Grafiken.

Vom Übersetzer

Ich werde nicht den gesamten gleichnamigen Abschnitt aus dem ersten Teil vollständig kopieren, aber einen Absatz werde ich dennoch wiederholen.

Alle Zahlen und Fakten werden ohne die geringsten Änderungen dargestellt, und wenn Sie damit nicht einverstanden sind, diskutieren Sie besser nicht mit dem Übersetzer, sondern mit den Autoren des Berichts. Meine Kommentare (als Zitate gesetzt und im Text markiert kursiv) sind meine eigene Einschätzung, und ich bin gerne bereit, zu jedem einzelnen davon eine Diskussion zu führen (wie auch über die Qualität der Übersetzung).

Benutzerauthentifizierung

Seit 2017 ist die Anwendung starker Authentifizierung in Benutzeranwendungen stark gestiegen, hauptsächlich aufgrund der Verfügbarkeit kryptografischer Authentifizierungsmethoden auf mobilen Geräten, obwohl nur geringfügig weniger Unternehmen starke Authentifizierung für Webanwendungen verwenden.

Insgesamt hat sich der Anteil der Unternehmen, die starke Authentifizierung in ihrem Geschäft nutzen, von 5 % im Jahr 2017 auf 16 % im Jahr 2018 verdreifacht (Abbildung 3).

Die Möglichkeiten zur Nutzung starker Authentifizierung für Webanwendungen sind weiterhin begrenzt (da nur die ganz neuen Versionen einiger Browser die Interaktion mit kryptografischen Tokens unterstützen; dieses Problem lässt sich jedoch durch die Installation zusätzlicher Software, wie zum Beispiel Routoken Plugin), dennoch verwenden viele Unternehmen alternative Methoden zur Online-Authentifizierung, wie zum Beispiel mobile Anwendungen, die Einmalpasswörter generieren.

Kryptografische Hardware-Keys (hier sind nur die entsprechenden Standards von FIDO gemeint), wie sie von Google, Feitian, One Span und Yubico angeboten werden, können für starke Authentifizierung verwendet werden, ohne zusätzliche Software auf Desktop-Computern und Laptops installieren zu müssen (weil die meisten Browser bereits den WebAuthn-Standard von FIDO unterstützen), aber nur 3 % der Unternehmen nutzen diese Möglichkeit für das Login ihrer Benutzer.

Vergleich von kryptografischen Token (wie RUTOKEN EDS PKI) und geheimen Schlüsseln, die nach FIDO-Standards arbeiten, geht nicht nur über den Rahmen dieses Berichts hinaus, sondern auch über meine Kommentare dazu. Kurz gesagt, verwenden beide Arten von Token ähnliche Algorithmen und Arbeitsprinzipien. FIDO-Token werden derzeit besser von Browserherstellern unterstützt, aber die Situation wird sich bald ändern, da immer mehr Browser unterstützen werden Web USB API. Im Gegensatz dazu sind klassische kryptografische Token durch eine PIN geschützt, können elektronische Dokumente signieren und werden für die Zwei-Faktor-Authentifizierung in Windows (jeder Version), Linux und Mac OS X verwendet. Sie verfügen über APIs für verschiedene Programmiersprachen, die die Implementierung von 2FA und EDS in Desktop-, Mobil- und Webanwendungen ermöglichen. Token, die in Russland produziert werden, unterstützen die russischen GOST-Algorithmen. In jedem Fall ist ein kryptografisches Token, unabhängig davon, nach welchem Standard es erstellt wurde, die sicherste und bequemste Methode zur Authentifizierung.

Neben der Sicherheit: weitere Vorteile strenger Authentifizierung

Es ist nicht überraschend, dass die Anwendung strenger Authentifizierung eng mit der Bedeutung von Daten verbunden ist, die von Unternehmen gespeichert werden. Unternehmen, die vertrauliche persönliche Informationen (Personally Identifiable Information – PII), wie Sozialversicherungsnummern oder persönliche Gesundheitsinformationen (Personal Health Information – PHI) speichern, sehen sich dem höchsten rechtlichen und regulatorischen Druck ausgesetzt. Genau diese Unternehmen sind die aggressivsten Befürworter strenger Authentifizierung. Der Druck auf Unternehmen wird durch die Erwartungen der Kunden verstärkt, die wissen möchten, dass die Organisationen, denen sie ihre sensibelsten Daten anvertrauen, zuverlässige Authentifizierungsmethoden verwenden. Organisationen, die empfindliche PII oder PHI verarbeiten, setzen mehr als doppelt so häufig strenge Authentifizierung ein als Organisationen, die nur Kontaktdaten von Benutzern speichern (Abbildung 7).

Leider wollen Unternehmen bislang keine zuverlässigen Authentifizierungsmethoden einführen. Fast ein Drittel der Personen, die Geschäftsentscheidungen treffen, hält Passwörter für die effektivste Authentifizierungsmethode unter all den im Bild 9 genannten, und 43 % betrachten Passwörter als die einfachste Authentifizierungsmethode.

Dieses Diagramm beweist uns, dass Entwickler von Geschäftsanwendungen weltweit gleich sind… Sie sehen keinen Gewinn in der Implementierung fortschrittlicher Zugangsschutzmechanismen für Konten und teilen dieselben Irrtümer. Nur die Maßnahmen der Regulierungsbehörden können die Situation ändern.

Lassen wir die Passwörter außen vor. Aber woran muss man glauben, um zu denken, dass Sicherheitsfragen sicherer sind als kryptografische Token? Die Effektivität von Sicherheitsfragen, die einfach erraten werden können, wurde auf 15 % geschätzt, während unknackbare Token nur bei 10 % liegen. Hätten sie sich wenigstens den Film „Die Ungeheuerlichkeit“ angesehen, wo sogar in allegorischer Form gezeigt wird, wie leicht Zauberer einem Geschäftsmann-Betrüger alle notwendigen Antworten entlockten und ihn ohne Geld zurückließen.

Und noch eine Tatsache, die viel über die Qualifikation derjenigen aussagt, die für Sicherheitssysteme in Benutzeranwendungen verantwortlich sind. Ihrer Ansicht nach ist der Passworteingabprozess eine einfachere Operation als die Authentifizierung mit einem kryptografischen Token. Obwohl, was könnte einfacher sein, als einen Token an den USB-Port anzuschließen und eine einfache PIN einzugeben.

Es ist wichtig zu beachten, dass die Implementierung strenger Authentifizierung es Unternehmen ermöglicht, nicht mehr über Authentifizierungsmethoden und Regeln nachzudenken, die erforderlich sind, um betrügerische Schemen zu verhindern, und stattdessen den tatsächlichen Bedürfnissen ihrer Kunden gerecht zu werden.

Während die Einhaltung von Vorschriften ein durchaus vernünftiger Hauptfokus sowohl für Unternehmen ist, die strenge Authentifizierung nutzen, als auch für diejenigen, die dies nicht tun, sagen Unternehmen, die bereits strenge Authentifizierung verwenden, mit deutlich höherer Wahrscheinlichkeit, dass die Steigerung der Kundenloyalität der wichtigste Indikator ist, den sie bei der Bewertung der Authentifizierungsmethode berücksichtigen. (18 % gegenüber 12 %) (Bild 10).

Unternehmensauthentifizierung

Seit 2017 wächst die Einführung strenger Authentifizierung in Unternehmen, jedoch etwas langsamer als bei Verbraucher-Anwendungen. Der Anteil der Unternehmen, die strenge Authentifizierung verwenden, stieg von 7 % im Jahr 2017 auf 12 % im Jahr 2018. Im Gegensatz zu Verbraucher-Anwendungen ist die Nutzung von nicht-passwortbasierten Authentifizierungsmethoden in der Unternehmensumgebung in Webanwendungen etwas verbreiteter als auf mobilen Geräten. Etwa die Hälfte der Unternehmen berichtet, dass sie nur Nutzernamen und Passwörter für die Authentifizierung ihrer Benutzer beim Anmelden im System verwenden, wobei jeder fünfte (22 %) sich auch ausschließlich auf Passwörter zur sekundären Authentifizierung beim Zugang zu besonders wichtigen Daten verlässt (das bedeutet, der Benutzer meldet sich zunächst einfach über eine weniger komplexe Authentifizierungsmethode bei der Anwendung an, und wenn er auf kritische Daten zugreifen möchte, führt er einen weiteren Authentifizierungsprozess durch, der normalerweise eine sicherere Methode verwendet.).

Es ist wichtig zu verstehen, dass im Bericht die Nutzung kryptografischer Token für die Zwei-Faktor-Authentifizierung in den Betriebssystemen Windows, Linux und Mac OS X nicht berücksichtigt wurde. Aktuell ist dies die häufigste Nutzung von 2FA. (Leider können Token, die nach FIDO-Standards erstellt wurden, 2FA nur für Windows 10 umsetzen).

Für die Einführung von 2FA in Online- und mobilen Anwendungen sind umfangreiche Maßnahmen erforderlich, die auch Anpassungen dieser Anwendungen beinhalten, während für die Einführung von 2FA in Windows lediglich die PKI (zum Beispiel auf Basis des Microsoft Certification Servers) und die Authentifizierungsrichtlinien in AD konfiguriert werden müssen.

Da der Schutz des Zugangs zu Arbeits-PCs und Domänen ein wichtiges Element zum Schutz von Unternehmensdaten darstellt, nimmt die Anzahl der Implementierungen der Zwei-Faktor-Authentifizierung stetig zu.

Die zwei nächsthäufigsten Methoden zur Authentifizierung von Benutzern beim Anmelden sind Einmalpasswörter, die über eine separate Anwendung bereitgestellt werden (13 % der Unternehmen), und Einmalpasswörter, die per SMS gesendet werden (12 %). Obwohl der Prozentsatz der Nutzung beider Methoden ziemlich ähnlich ist, wird OTP SMS häufig zur Steigerung des Autorisierungsniveaus verwendet (in 24 % der Unternehmen). (Abbildung 12).

Der Anstieg der Nutzung strenger Authentifizierung in Unternehmen lässt sich wahrscheinlich durch die gestiegene Verfügbarkeit von Implementierungen kryptografischer Authentifizierungsmethoden auf Plattformen für das Identitätsmanagement im Unternehmen erklären (vereinfach gesagt – Unternehmens-SSO- und IAM-Systeme haben gelernt, Tokens zu verwenden).

Für die mobile Authentifizierung von Mitarbeitern und Auftragnehmern verlassen sich Unternehmen stärker auf Passwörter als bei der Authentifizierung in Verbraucher-Anwendungen. Etwas mehr als die Hälfte (53 %) der Unternehmen verwendet Passwörter für die Authentifizierung des Zugriffs der Benutzer auf Unternehmensdaten über mobile Geräte (Abbildung 13).

Im Fall von mobilen Geräten könnte man an die große Kraft der Biometrie glauben, wenn nicht unzählige Fälle von gefälschten Fingerabdrücken, Stimmen, Gesichtern und sogar Irisen bekannt wären. Eine Anfrage in einer Suchmaschine wird zeigen, dass es einfach keine zuverlässige Methode zur biometrischen Authentifizierung gibt. Echte, präzise Sensoren existieren natürlich, sind aber sehr teuer und groß – und werden nicht in Smartphones eingebaut.

Daher ist die einzige funktionierende Methode der 2FA auf mobilen Geräten die Verwendung kryptografischer Tokens, die über NFC-, Bluetooth- und USB Type-C-Schnittstellen mit Smartphones verbunden werden.

Der Schutz finanzieller Unternehmensdaten ist der Hauptgrund für Investitionen in passwortlose Authentifizierung (44 %) mit dem schnellsten Wachstum seit 2017 (ein Anstieg um acht Prozentpunkte). Danach folgt der Schutz geistigen Eigentums (40 %) und personenbezogener (HR) Daten (39 %). Und das ist verständlich – nicht nur wird der Wert dieser Datentypen allgemein anerkannt, sondern es arbeiten auch vergleichsweise wenige Mitarbeiter damit. Das heißt, die Implementierungskosten sind nicht so hoch, und man muss nur wenige Personen schulen, um mit einem komplexeren Authentifizierungssystem zu arbeiten. Im Gegensatz dazu sind die Datentypen und Geräte, auf die die meisten Mitarbeiter eines Unternehmens normalerweise zugreifen, nach wie vor ausschließlich durch Passwörter geschützt. Mitarbeiterdokumente, Arbeitsstationen und Unternehmens-E-Mail-Portale sind die Bereiche mit dem höchsten Risiko, da nur ein Viertel der Unternehmen diese Vermögenswerte mit passwortloser Authentifizierung schützt (Abbildung 14).

Im Allgemeinen ist die Unternehmens-E-Mail eine recht gefährliche und „löchrige“ Angelegenheit, deren potenzielle Gefährlichkeit von den meisten IT-Direktoren unterschätzt wird. Täglich erhalten Mitarbeiter Dutzende von E-Mails, weshalb es durchaus möglich ist, dass sich darunter zumindest eine Phishing-Nachricht (sprich betrügerisch) befindet. Diese E-Mail wird im Stil der Unternehmensnachrichten gestaltet, weshalb der Mitarbeiter ohne Bedenken auf den Link in dieser E-Mail klicken könnte. Und dann kann alles Mögliche geschehen, beispielsweise das Herunterladen eines Virus auf den angegriffenen Computer oder das Abgreifen von Passwörtern (unter anderem durch soziale Ingenieurskunst über das Ausfüllen eines von einem Angreifer erstellten gefälschten Authentifizierungsformulars).

Um solche Vorfälle zu verhindern, sollten E-Mails signiert werden. Dann ist sofort klar, welche E-Mail von einem legitimen Mitarbeiter erstellt wurde und welche von einem Angreifer. In Outlook / Exchange wird beispielsweise die elektronische Signatur auf der Basis von kryptografischen Tokens ziemlich schnell und einfach aktiviert und kann zusammen mit der Zwei-Faktor-Authentifizierung für PCs und Windows-Domänen verwendet werden.

Unter den Führungskräften, die ausschließlich auf Passwort-Authentifizierung im Unternehmen setzen, glauben zwei Drittel (66%), dass Passwörter ausreichende Sicherheit für die Art von Informationen bieten, die ihr Unternehmen schützen sollte (Abbildung 15).

Aber Methoden der strengen Authentifizierung werden immer verbreiteter. Zum großen Teil liegt das an ihrer zunehmenden Verfügbarkeit. Immer mehr Identitäts- und Zugriffsmanagementsysteme (IAM), Browser und Betriebssysteme unterstützen die Authentifizierung durch kryptografische Tokens.

Ein weiterer Vorteil der strengen Authentifizierung ist, dass das Passwort nicht mehr verwendet wird (es wurde durch einen einfachen PIN-Code ersetzt), was bedeutet, dass keine Anfragen von Mitarbeitern einlaufen, die darum bitten, ihr vergessenes Passwort zurückzusetzen. Dies wiederum entlastet die IT-Abteilung des Unternehmens.

Ergebnisse und Schlussfolgerungen

1. Die Führungskräfte verfügen häufig nicht über das notwendige Wissen, um die tatsächliche Effektivität verschiedener Authentifizierungsoptionen zu bewerten. Sie neigen dazu, solchen veralteten Sicherheitsmethoden wie Passwörter und geheime Fragen zu vertrauen, einfach weil sie „früher funktioniert haben“.
2. Die Benutzer haben noch weniger Ahnung, für sie zählt vor allem – Einfachheit und Benutzerfreundlichkeit. Solange sie keine Anreize haben zu wählen sichere Lösungen.
3. Häufig haben Entwickler von Benutzeranwendungen keine Gründe, um die Zwei-Faktor-Authentifizierung anstelle von Passwörtern einzuführen. Der Wettbewerb um das Schutzniveau in Benutzeranwendungen komplett..
4. Die gesamte Verantwortung für einen Hack wird auf den Benutzer übertragen. Einmal ein Einmalpasswort an einen Angreifer genannt – schuld. Wurde dein Passwort abgefangen oder gesehen – schuld: Hast du nicht vom Entwickler verlangt, zuverlässige Authentifizierungsmethoden im Produkt zu nutzen – schuld.
5. Der richtige Regulator sollte in erster Linie von den Unternehmen verlangen, Lösungen zu implementieren, die Datenlecks verhindern (insbesondere die Zwei-Faktor-Authentifizierung), anstatt für bereits eingetretene Datenlecks bestraft zu werden. Einige Softwareentwickler versuchen, Verbrauchern
6. alte und nicht besonders zuverlässige Lösungen in einer schönen Verpackung eines „innovativen“ Produkts zu verkaufen. Zum Beispiel die Authentifizierung durch Bindung an ein bestimmtes Smartphone oder die Verwendung von Biometrie. Wie aus dem Bericht hervorgeht, kann wirklich zuverlässig nur eine Lösung auf Basis strenger Authentifizierung sein, das heißt kryptografische Tokens. Dasselbe
7. kryptografische Token kann für eine Vielzahl von Aufgaben : fürstrenge Authentifizierung im Betriebssystem des Unternehmens, in der Unternehmens- und Benutzeranwendung, für die elektronische Signatur von Finanztransaktionen (wichtig für Bankanwendungen), Dokumenten und E-Mails. 🥇Was wird also mit Authentifizierung und Passwörtern geschehen? Der zweite Teil des Javelin-Berichts „Zustand der strengen Authentifizierung“ | ProHoster

Quelle: habr.com