🥇Mis siis juhtub autentimise ja paroolidega? Javelini aruande „Range autentimise seisund“ teine osa

Hiljuti avaldas uurimisettevõte «Javelin Strategy & Research» aruande «The State of Strong Authentication 2019». Selle koostajad kogusid teavet selle kohta, milliseid autentimisviise kasutatakse ettevõtte keskkonnas ja kasutajarakendustes, ning tegid huvitavaid järeldusi tugeva autentimise tuleviku kohta.

Oleme juba avaldanud aruande autorite järelduste esimese osa, Habr's.. Praegu esitame teie tähelepanu teise osa — andmete ja graafikutega.

Tõlkijalt

Ma ei hakka kogu sama pealkirjaga lõiku esimesest osast täielikult kopeerima, kuid ühe lõigu siiski dubleerin.

Kõik numbrid ja faktid on esitatud muutumatult ning kui te nendega ei nõustu, siis on parem vaielda mitte tõlkijaga, vaid raporti autoritega. Siin on minu kommentaarid (kujundatud kui tsitaadid ja tekstis märgitud kursiivis) on minu subjektiivne hinnang ja igaühega neist olen ma valmis vaidlema (nagu ka tõlke kvaliteedi osas).

Kasutaja autentimine

Alates 2017. aastast on tugeva autentimise rakendamine kasutajarakendustes järsult kasvanud, peamiselt tänu krüptograafiliste autentimismeetodite kergemale kättesaadavusele mobiilseadmetes, kuigi siiski veidi vähem protsent ettevõtteid kasutab tugevat autentimist veebirakenduste jaoks.

Kokkuvõttes on ettevõtete protsent, kes kasutavad oma tegevuses tugevat autentimist, kolmekordistunud 5% -lt 2017. aastal 16% -le 2018. aastal (joonis 3).

Tugeva autentimise kasutamise võimalused veebirakendustes on endiselt piiratud (sest ainult täiesti uued versioonid mõnest brauserist toetavad krüptograafiliste tokenite kasutamist, kuid see probleem lahendatakse täiendava tarkvara, nagu Ruthoken Plugin, abil, seetõttu kasutavad paljud ettevõtted alternatiivseid meetodeid veebiautentimiseks, nagu mobiilseadmete programmid, mis genereerivad ühekordseid salasõnu.

Riistvaralised krüptograafilised võtmed (siin mõeldakse ainult FIDO standarditele vastavaid võtmeid), nagu näiteks Google, Feitian, One Span ja Yubico pakutavad, võivad tugeva autentimise jaoks olla kasutatavad ilma täiendava tarkvara installimiseta lauaarvutites ja sülearvutites (sest enamik brausereid toetab juba FIDO WebAuthn standardit), kuid ainult 3% ettevõtetest kasutab seda võimalust oma kasutajate sisselogimiseks.

Krüptograafiliste tokenite võrdlemine (nagu RUTOKEN ECP PKI) ja salajaste võtmete, mis töötab vastavalt FIDO standarditele, ulatub mitte ainult sellest aruanne, vaid ka minu kommentaaridest sellele. Kui lühidalt öelda, siis mõlemad tokenitüübid kasutavad sarnaseid algoritme ja tööpõhimõtteid. FIDO tokenid on praegu paremini toetatud brauserite tootjate poolt, kuid olukord muutub varsti, kuna üha rohkem brausereid hakkab toetama. Web USB API. Küll aga on klassikalised krüptograafilised tokenid kaitstud PIN-koodiga, saavad allkirjastada elektroonilisi dokumente ja neid saab kasutada kaheastmeliseks autentimiseks Windows (igal versioonil), Linux ja Mac OS X, omavad API-d erinevates programmeerimiskeeltes, mis võimaldavad 2FA ja EID rakendamist lauaarvutites, mobiilides ja veebirakendustes, samas kui Venemaal toodetud tokenid toetavad Venemaa GOST algoritme. Igatahes on krüptograafiline token, sõltumata sellest, millise standardi järgi see on loodud, kõige usaldusväärsem ja mugavam autentimise meetod.

Lisaks turvalisusele: teised range autentimise eelised

Ei ole üllatav, et range autentimise kasutamine on tihedalt seotud andmete tähtsusega, mida ettevõtted hoiavad. Suuremate juriidiliste ja regulatiivsete surve all on ettevõtted, kes hoiavad isikuandmeid (Personally Identifiable Information – PII), nagu sotsiaalkindlustuse numbrid või isiklikud meditsiinilised andmed (Personal Health Information – PHI). Just need ettevõtted on range autentimise kõige aktiivsemad toetajad. Surve ettevõttele suureneb klientide ootuste tõttu, kes soovivad teada, et organisatsioonid, kellele nad usaldavad oma kõige tundlikumad andmed, kasutavad usaldusväärseid autentimise meetodeid. Organisatsioonid, mis töötlevad tundlikku PII või PHI-d, kasutavad range autentimist rohkem kui kaks korda sagedamini kui organisatsioonid, kes hoiavad ainult kasutajate kontaktandmeid (joonis 7).

Kahjuks ei soovi ettevõtted praegu rakendada usaldusväärseid autentimise meetodeid. Peaaegu kolmandik ärilisi otsuseid langetavatest isikutest peab paroole kõige tõhusamaks autentimise meetodiks kõigist, mis on esitatud joonisel 9, ja 43% arvab, et paroolid on kõige lihtsam autentimise meetod.

See diagramm tõestab, et äri rakenduste arendajad üle kogu maailma on samasugused... Nad ei näe kasu arenenud juurdepääsukaitse mehhanismide rakendamisest ning jagavad samu ekslikke arvamusi. Ainult regulatsioonide tegevus võib olukorda muuta.
Ärgem ründagem paroole. Aga millesse tuleb uskuda, et arvata, et kontrollküsitlused on turvalisemad kui krüptograafilised tokenid?? Kontrollküsitluste efektiivsus, mida on lihtne ära arvata, on hinnatud 15% -le, samas kui häkitamatud tokenid on vaid 10. Olgugi et vaatasite filmi 'Vale illusioon', kus allegoorilisel kujul näidati, kui kergesti nõidurid suutsid äri petja käest välja võtta kõik vajalikud vastused ja jättis ta rahast ilma.
Ja üks fakt, mis räägib palju nende kvalifikatsioonist, kes vastutavad turvamehanismide eest kasutajarakendustes. Nende arusaama kohaselt on parooli sisestamise protsess palju lihtsam tegevus kui autentimine krüptograafilise tokeni abil. Kuigi, näiliselt, mis võiks olla lihtsam kui tokeni ühendamine USB-pordiga ja lihtsa PIN-koodi sisestamine.

On oluline märkida, et range autentimise rakendamine võimaldab ettevõtetel enam mitte muretseda autentimismeetodite ning tööreeglite üle, mis on vajalikud petuskeemide blokeerimiseks, täites oma klientide reaalseid vajadusi.

Samal ajal, kui regulatiivsete nõuete järgimine on täiesti mõistlik prioriteet nii ettevõtetele, kes kasutavad rangeid autentimismeetodeid, kui ka neile, kes seda ei tee, ettevõtted, kes juba kasutavad rangeid autentimismeetodeid, ütlevad tõenäolisemalt, et klientide lojaalsuse suurendamine on kõige olulisem kriteerium, mida nad autentimismeetodi hindamisel arvestavad. (18% võrreldes 12%-ga) (joonis 10).

Ettevõtte autentimine

Alates 2017. aastast on ettevõtetes range autentimise rakendamine kasvanud, kuid see on pisut tagasihoidlikum kui tarbijarakendustes. Ettevõtete osakaal, kes kasutavad ranget autentimist, on suurenenud 7%-lt 2017. aastal 12%-ni 2018. aastal. Erinevalt tarbijarakendustest on ettevõtte keskkonnas mitte-parooli autentimismeetodite kasutamine veebirakendustes veidi levinum kui mobiilseadmetes. Ligikaudu pool ettevõtteid teatab, et nende kasutajad logivad süsteemi sisse ainult kasutajanime ja parooliga, samas kui iga viies (22%) toetub kriitilistele andmetele juurdepääsul ainuisikuliselt paroolidele kaheteistkümnenda autentimise puhul.Kuid kasutaja logib esmalt rakendusse sisse lihtsama autentimismeetodi abil ja kui ta soovib saada juurde juurdepääsul kriitilistele andmetele, peab ta läbima veel ühe autentimisprotseduuri, tavaliselt usaldusväärse meetodi abil.).

Oluline on mõista, et aruandes ei ole arvesse võetud krüptograafiliste tokenite kasutamist kahefaasilise autentimise jaoks Windowsi, Linuxi ja Mac OS X operatsioonisüsteemides. Praegu on see 2FA kõige laialdasem kasutus. (Kahjuks suudavad FIDO standardite järgi loodud tokenid rakendada 2FA vaid Windows 10 puhul).
Kuid kui 2FA rakendamine veebis ja mobiilirakendustes nõuab mitmeid meetmeid, sealhulgas nende rakenduste arendamist, siis Windowsis on 2FA rakendamiseks vajalik vaid PKI seadistamine (näiteks Microsoft Certification Serveri baasil) ja autentimispoliitikad AD-s.
Ja kuna tööjaama ja domeeni sisselogimise kaitse on oluline element ettevõtte andmete kaitsmisel, suureneb kahefaasilise autentimise rakendamine järjest enam.

Kaks järgmist levinumat autentimismeetodit süsteemi sisselogimise puhul on ühekordsed paroolid, mis on saadaval eraldi rakenduse kaudu (13% ettevõtetest), ja ühekordsed paroolid, mis saadetakse SMS-i teel (12%). Kuigi mõlema meetodi kasutamise protsent on üsna sarnane, kasutatakse SMS-i OTP-d kõige enam autentimise taseme tõstmiseks (24% ettevõtteid). (Joonis 12).

Ettevõttes rakendatava range autentimise kasutamise kasvu võib tõenäoliselt seletada krüptograafiliste autentimismetoodikate suurema kergesti kättesaadavuse kaudu ettevõtte identiteedi haldussüsteemides (teisisõnu – ettevõtte SSO ja IAM süsteemid on õppinud kasutama tokeneid).

Töötajate ja alltöövõtjate mobiilse autentimise puhul usaldavad ettevõtted rohkem paroole kui tarbijarakendustes. Veidi enam kui pooled (53%) ettevõtetest kasutavad paroole, et autentida kasutajate juurdepääsu ettevõtte andmetele mobiilseadme kaudu (joonis 13).

Mobiilseadmestiku puhul võiks uskuda biomeditsiini suurt jõudu, kui mitte pidevad juhtumid sõrmejälgede, häälte, nägude ja isegi iiriste valeautentimisega. Üks otsingutegevus näitab, et usaldusväärset biomeetrilise autentimise meetodit ei eksisteeri. Tõeliselt täpsed andurid tõepoolest eksisteerivad, kuid need on üsna kallid ja suured – ning neid ei paigaldata nutitelefonidesse.
Seetõttu on mobiilseadmetes ainus toimiv 2FA meetod krüptograafiliste tokenite kasutamine, mis ühendatakse nutitelefoniga NFC, Bluetoothi ja USB Type-C liideste kaudu.

Ettevõtte finantsandmete kaitsmine on peamine põhjus paroolivaba autentimise toetuseks (44%) ning see on alates 2017. aastast kiiresti kasvanud (kasv kaheksa protsendipunkti võrra). Järgnevad on intellektuaalne omand (40%) ja personal (HR) andmed (39%). Ja see pole üllatav – mitte ainult nende andmete väärtus on laialdaselt tunnustatud, vaid nende haldamisega tegeleb ka suhteliselt väike töötajate arv. See tähendab, et rakendamise kulud ei ole nii suured ja keerukama autentimissüsteemi käitamise õppimiseks on vaja vaid mõnda inimest. Vastupidi, andmed ja seadmed, millele enamik ettevõtte töötajatest tavaliselt pöördub, on endiselt kaitstud ainult paroolide abil. Töötajate dokumendid, tööjaamad ja ettevõtte e-posti portaalid on kõrgeima riski valdkonnad, kuna vaid veerand ettevõtetest kaitseb neid väärtusi paroolivaba autentimise abil (joonis 14).

Üldiselt on ettevõtte e-post üsna ohtlik ja "auklik" asi, mille potentsiaalset ohtu alahindavad enamik IKT-direktoreid. Iga päev saavad töötajad kümneid kirju, seega miks mitte, et nende seas oleks vähemalt üks pahatahtlik (st petlik). See kiri on kujundatud ettevõtte kirjade stiilis, seega vajutab töötaja kartmata sellele lingile. Ja edasi võib juhtuda mida iganes, näiteks viiruse laadimine rünnaku all olevasse seadmesse või paroolide lekkimine (sealhulgas sotsiaalse inseneritöö kaudu, sisseviimisega kurjategija loodud vale autentimise vormi).
Kuna selliseid asju ei juhtuks, peavad e-kirjad olema allkirjastatud. Nii on kohe selge, millise kirja on loonud seaduslik töötaja ja millise kurjategija. Outlookis / Exchange'is näiteks aktiveeritakse krüptograafiliste tokenite põhine digitaalne allkiri üsna kiiresti ja lihtsalt ning seda saab kasutada koos kahefaktorilise autentimisega Windowsi arvutites ja domeenides.

Nende seas, kes toetuvad ettevõttes ainult parooliga autentimisele, arvavad kaks kolmandikku (66%), et paroolid tagavad piisava turvalisuse selle tüüpi teabe jaoks, mida nende ettevõte peab kaitsma (joonis 15).

Aga rangemad autentimismeetodid muutuvad üha levinumaks. Suur osa sellest tuleneb nende kergemast kättesaadavusest. Üha enam identiteedi ja juurdepääsu haldust (IAM) süsteeme, brauserite ja opsüsteeme toetavad autentimist krüptograafiliste tokenite abil.

Rangemal autentimisel on veel üks eelis. Kuna parooli ei kasutata enam (see on asendatud lihtsa PIN-koodiga), puuduvad ka töötajate palved unustatud parooli muutmiseks. See omakorda vähendab ettevõtte IKT-osakonna koormust.

Kokkuvõtted ja järeldused

Juhid ei oma sageli vajalikke teadmisi, et hinnata reaalset eri autentimisvõimaluste efektiivsust. Nad on harjunud usaldama selliseid aeganõudvaid kaitsemeetodeid nagu paroolid ja salajased küsimused lihtsalt seetõttu, et "varem see töötas".

Kasutajatel on selles osas veelgi vähem teadmisi, kuna nende jaoks on oluline –, для них главное – lihtsus ja mugavus. Praegu puuduvad neil stiimulid valida kaitsemehhanisme.

Kohandatud rakenduste arendajatel on sageli põhjuseid, et viia sisse kahefaktoriline autentimine traditsioonilise parooli asemel. Konkurents kaitsetaseme osas kohandatud rakendustes puudub.

Kogu süü häkkimise eest on kasutaja kanda. Kui edastasid ühekordse parooli ründajale, siis oled süüdi. Kui su parool rööviti või kuulati pealt, siis oled süüdi. Kui ei nõudnud arendajalt, et ta kasutaks tootes usaldusväärseid autentimise meetodeid, siis oled süüdi.

Õige regulaator peaks esmalt nõudma, et ettevõtted rakendaksid lahendusi, mis tõkestavad andmete lekked (sealhulgas kahefaktoriline autentimine), ja mitte karistama juba toimunud andmete leke. Mõned tarkvaraarendajad üritavad müüa tarbijatele

vana ja mitte väga usaldusväärset ilusas pakendis otsuse „uuenduslikku“ toodet. Näiteks autentimine, sidudes selle konkreetse nutitelefoni või biomeetria kasutamine. Nagu aruandest nähtub, on tõeliselt usaldusväärne ainult lahendus, mis põhineb rangetel autentimismeetoditel, st krüptograafilistel tokenitel. Sama

krüptograafilist tokenit saab kasutada paljude erinevate ülesannete jaoks : rangete autentimisprotsesside jaoksettevõtte operatsioonisüsteemis, äri- ja kasutajarakenduses, elektroonilise allkirja rahatehingute jaoks (oluline pangarakendustele), dokumentide ja e-kirjade jaoks. 🥇Mis siis juhtub autentimise ja paroolidega? Javelini aruande „Range autentimise seisund“ teine osa | ProHoster 🥇Mis siis juhtub autentimise ja paroolidega? Javelini aruande „Range autentimise seisund“ teine osa | ProHoster