{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Mis saab autentimisest ja paroolidest? Javelini raporti \"Range autentimise seis\" t\u00f5lge koos kommentaaridega","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Mis
\n
\nRaporti pealkirjast \"Tugeva autentimise kasutamise juhtumite arv on suurenenud uute riskide ja regulaatorite n\u00f5udmiste t\u00f5ttu.\"
\n\"Javelin Strategy & Research\" uurimisettev\u00f5te avaldas raporti \"Tugeva autentimise seis 2019\" ( originaali PDF-formaadis saab allalaadida siit<\/a><\/noindex>). K\u00e4sitletakse, milline protsent Ameerika ja Euroopa ettev\u00f5tetest kasutab paroole (ja miks on paroolid t\u00e4nap\u00e4eval harva kasutuses); miks on kr\u00fcptograafilistel v\u00f5tmetel p\u00f5hineva kahefaktorilise autentimise kasutamine kiiresti kasvanud; miks on SMS-idega saadetud \u00fchekordsed koodid ebausaldusv\u00e4\u00e4rsed.<\/p>\n

K\u00f5ik, keda huvitab autentimise t\u00f5eline, mineviku ja tuleviku teema ettev\u00f5tetes ja kasutajarakendustes \u2014 tere tulemast.
\n<\/a><\/noindex>
\nT\u00f5lkijalt<\/b><\/p>\n

Kahjuks on see raport \u00fcsna \"kuiv\" ja formaalne. Ja viie korda s\u00f5na \"autentimine\" kasutamine \u00fches l\u00fchikeses lauses ei ole t\u00f5lkija asjatuse (ega ka toimetaja) s\u00fc\u00fc, vaid autorite kapriis. T\u00f5lkes kahe variandi vahel \u2014 anda lugemiseks originaalile l\u00e4hedasem v\u00f5i huvitavam tekst, valisin m\u00f5nikord esimese, m\u00f5nikord teise. Kuid palun kannatage, head lugejad, raporti sisu on seda v\u00e4\u00e4rt.<\/p>\n

M\u00f5ningaid v\u00e4hemolulisi ja jutustamiseks mittevajalikke osi on v\u00e4lja j\u00e4etud, muidu ei suudaks enamik kogu teksti l\u00e4bi lugeda. Need, kes soovivad lugeda raporteid \u201eilma k\u00e4rpimisteta\u201d, saavad seda teha originaalkeeles, kl\u00f5psates lingil.<\/p>\n

Kahjuks ei ole autorid alati terminoloogias t\u00e4psed. N\u00e4iteks \u00fchekordsed paroolid (One Time Password \u2013 OTP) nimetavad nad m\u00f5nikord lihtsalt 'paroolideks' ja teinekord 'koodideks'. Autentimise meetoditega on lood veel hullemad. Harimata lugejal ei ole alati lihtne arva, et 'kr\u00fcptograafiliste v\u00f5tmete kasutamine autentimiseks' ja 'range autentimine' on sama asi. Olen p\u00fc\u00fcdnud terminoloogia v\u00f5imalikult \u00fchtlustada, lisaks on aruandes fragment nende kirjeldamisega.<\/p>\n

Siiski soovitatakse aruannet tungivalt lugeda, kuna see sisaldab ainulaadseid uurimistulemusi ja \u00f5igeid j\u00e4reldusi. <\/b><\/p>\n

K\u00f5ik numbrid ja faktid on toodud ilma v\u00e4himagi muutmiseta, ja kui te nendega ei n\u00f5ustu, siis on parem vaielda mitte t\u00f5lkijaga, vaid aruande autoritega. Aga minu kommentaarid (vormindatud kui tsitaadid ja tekstis on m\u00e4rgitud kaldkirjas<\/i>) on minu hinnanguline arvamus ja igas nende osas olen ma r\u00f5\u00f5muga vaidlema, (nagu ka t\u00f5lke kvaliteedi \u00fcle). <\/p><\/blockquote>\n

<\/p>\n

\u00dclevaade<\/h2>\n

\nT\u00e4nap\u00e4eval on ettev\u00f5tte jaoks \u00e4\u00e4rmiselt olulised digitaalsed suhtluskeskkonnad klientidega. Samuti on ettev\u00f5tte sees t\u00f6\u00f6tajate omavahelised suhted j\u00e4rjest enam suunatud digitaalsesse keskkonda. See, kui turvalised need suhtlused on, s\u00f5ltub valitud kasutaja autentimise viisist. Kurjategijad kasutavad n\u00f5rku autentimismeetodeid kasutajakontode massiliseks h\u00e4kkimiseks. Vastuseks sellele karmistavad reguleerivad asutused \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u044b, et sundida ettev\u00f5tteid paremini kaitsma kasutajakontosid ja andmeid.<\/p>\n

Autentimisuhud ei piirdu ainult tarbijarakendustega; kurjategijad saavad juurdep\u00e4\u00e4su ka ettev\u00f5tte sisev\u00f5rgus t\u00f6\u00f6tavatele rakendustele. See v\u00f5imaldab neil end ettev\u00f5tte kasutajatena esitleda. Kurjategijad, kasutades n\u00f5rkade autentimisv\u00f5imalustega juurdep\u00e4\u00e4supunkte, v\u00f5ivad varastada andmeid ja teha muid petturlikke toiminguid. \u00d5nneks on selle vastu kaitsemeetmeid. Rangem autentimine aitab m\u00e4rgatavalt v\u00e4hendada r\u00fcnnakute riski nii tarbijarakendustes kui ka ettev\u00f5tete \u00e4ritegevuses.<\/p>\n

Selles uuringus k\u00e4sitletakse: kuidas ettev\u00f5tted rakendavad autentimist kasutajaj\u00f5udude ja \u00e4ritegevuse kaitsmiseks; tegurid, mida nad arvestavad autentimisv\u00f5tte valimisel; rangema autentimise roll nende organisatsioonides; eelised, mida need organisatsioonid saavad.<\/p>\n

Kokkuv\u00f5te<\/h2>\n

<\/p>\n

Peamised j\u00e4reldused<\/h3>\n

\nAlates 2017. aastast on rangema autentimise kasutamine j\u00e4rsult suurenenud. <\/b> Kuna suureneb haavatavuste arv, mis m\u00f5jutavad traditsioonilisi autentimise lahendusi, tugevdavad organisatsioonid oma autentimise v\u00f5imekust rangete autentimismeetodite kaudu. Organisatsioonide arv, kes kasutavad kr\u00fcptograafiat toetavat mitmeastmelist autentimist (MFA), on alates 2017. aastast kolmekordistunud tarbijasektoris ja suurenenud peaaegu 50% ulatuses \u00e4ritarkvarades. Kiireim kasv on t\u00e4heldatud mobiilse autentimise valdkonnas t\u00e4nu biometraalse autentimise kasvavale k\u00e4ttesaadavusele.<\/p>\n

Siin n\u00e4eme \u00fctluse \u201ekuni \u00e4ike ei l\u00f6\u00f6, pole mees ristitud\u201d illustreerimist. Kui eksperdid hoiatavad paroolide ebausaldusv\u00e4\u00e4rsuse eest, ei s\u00f6andanud keegi kahefaasilist autentimist rakendama. Kuid kui h\u00e4kkerid hakkasid paroole varastama, hakkasid inimesed kahefaasilist autentimist v\u00f5tma t\u00f5siselt.<\/p>\n

T\u00f5epoolest, eraettev\u00f5tted rakendavad 2FA s\u00fcsteemi tunduvalt aktiivsemalt. Esiteks on see neile lihtsam, et rahustada oma hirme, toetudes nutitelefonidesse integreeritud biomeetrilisele autentimisele, mis on tegelikult \u00fcsna ebaturvaline. Organisatsioonid peavad seevastu investeerima tokenite soetamisse ning teostama (tegelikult \u00fcsna lihtsad) rakendust\u00f6\u00f6d. Teiseks, parooli lekkeid teenustest nagu Facebook ja Dropbox ei ole maininud ainult laisk inimesed, kuid lugusid sellest, kuidas ettev\u00f5tetest varastati paroole (ja mis sellest hiljem juhtus), IT-direktorid ei jaga mingil juhul. <\/p><\/blockquote>\n

\nNeed, kes ei kasuta rangeid autentimise meetodeid, alahindavad oma \u00e4ri ja klientide riski. <\/b> M\u00f5ned organisatsioonid, kes ei kasuta praegu ranget autentimist, peavad kasutajanimesid ja paroole \u00fcheks t\u00f5husamaks ja kasutajas\u00f5bralikumaks autentimismeetodiks. Teised ei n\u00e4e digitaalsete varade v\u00e4\u00e4rtust, mis neil on. Tuleb arvestada, et k\u00fcberkurjategijatele on huvitav iga tarbijaga ja \u00e4riga seotud teave. Kaks kolmandikku ettev\u00f5tetest, kes kasutavad oma t\u00f6\u00f6tajate autentimiseks ainult paroole, teevad seda, kuna arvavad, et paroolid on piisavalt head nende kaitstavate andmete t\u00fc\u00fcbi jaoks.<\/p>\n

Siiski on paroolid matustel. <\/b> Eelmisel aastal on s\u00f5ltuvus paroolidest m\u00e4rkimisv\u00e4\u00e4rselt v\u00e4henenud, nii tarbijarakendustes kui ka ettev\u00f5tte rakendustes (44%-lt 31%-le ja 56%-lt 47%-le vastavalt), kuna organisatsioonid laiendavad traditsioonilise MFA ja rangete autentimismeetodite kasutamist.
\nKuid kui vaadata olukorda laiemalt, siis haavatavad autentimismeetodid on endiselt domineerivad. Kasutaja autentimise jaoks kasutab umbes veerand organisatsioonidest SMS OTP-d (\u00fchekordne parool) koos salajaste k\u00fcsimustega. Seet\u00f5ttu peab haavatavuse kaitseks rakendama t\u00e4iendavaid kaitsevahendeid, mis suurendavad kulusid. Oluliselt usaldusv\u00e4\u00e4rsemate autentimismeetodite, nagu riistvaraline kr\u00fcptograafiline v\u00f5tmed, rakendamine on palju haruldasem, ligikaudu 5% organisatsioonidest.<\/p>\n

Arenev regulatiivne keskkond lubab kiirendada rangete autentimisstandardite rakendamist tarbija rakendustes. <\/b> PSD2 ja uute andmekaitse eeskirjade kehtestamisega EL-is ja mitmetes USA osariikides, nagu California, tunnevad ettev\u00f5tted, et temperatuur t\u00f5useb. Peaaegu 70% ettev\u00f5tetest n\u00f5ustub, et nad seisavad silmitsi tugeva regulatiivse survega tagada ranget autentimist oma klientide jaoks. \u00dcle poole ettev\u00f5tetest usub, et paar aastat hiljem ei piisa nende autentimisv\u00f5tetest regulatiivsete standardite t\u00e4itmiseks.<\/p>\n

Selgelt on n\u00e4ha erinevus Venemaa ja Ameerika-Euroopa seadusandjate l\u00e4henemisviisides isikuandmete kaitsele programmide ja teenuste kasutajate poolt. Venemaal \u00f6eldakse: kallid teenuste omanikud, tehke, mis tahate ja kuidas tahate, aga kui teie administraator lekib andmebaasi, siis me karistame teid. V\u00e4lismaal \u00f6eldakse: te peate rakendama meetmete komplekti, mis ei v\u00f5imalda<\/b> andmebaasi lekimist. Just seet\u00f5ttu rakendatakse seal laialdaselt rangete kahefaktorilise autentimise n\u00f5udeid.
\nT\u00f5si, ei ole sugugi kindel, et meie seadusandlik masin ignoreerib \u00fchel kaunil p\u00e4eval l\u00e4\u00e4ne kogemusi. Siis selgub, et k\u00f5ik peavad viima ellu kahefaktorilise autentimise, mis vastab Venemaa kr\u00fcptograafia standarditele, ja seda kiiresti.\n<\/p><\/blockquote>\n

\nUsaldusv\u00e4\u00e4rse autentimise aluse loomine v\u00f5imaldab ettev\u00f5tetel keskenduda regulatiivsete n\u00f5uete t\u00e4itmise asemel klientide vajaduste rahuldamisele. <\/b> Organisatsioonidele, kes endiselt kasutavad lihtsaid paroole v\u00f5i saavad koode SMS-i teel, on autentimismeetodi valimisel k\u00f5ige olulisem n\u00f5uetele vastavus. Need ettev\u00f5tted, kes juba kasutavad ranget autentimist, saavad keskenduda nende meetodite valimisele, mis suurendavad klientide lojaalsust.<\/p>\n

Ettev\u00f5tte siseses autentimismeetodi valimisel ei ole regulatiivsed n\u00f5uded enam olulised. <\/b> Sellisel juhul on olulisem integratsiooni lihtsus (32%) ja hind (26%). <\/p>\n

Phishing\u2019u ajastul v\u00f5ivad kurjategijad kasutada ettev\u00f5tte e-posti, et petta inimesi<\/b> andmete ja kasutajakontode (vastavate juurdep\u00e4\u00e4su\u00f5igustega) saamiseks ning veenda t\u00f6\u00f6tajaid raha kandma oma kontole. Seet\u00f5ttu peavad ettev\u00f5tte e-posti ja portaalide kontod olema eriti h\u00e4sti kaitstud.<\/p>\n

Google on oma kaitset tugevdanud, rakendades ranget autentimist.<\/b> Rohkem kui kaks aastat tagasi avaldas Google raporti kahefaasilise autentimise juurutamisest FIDO U2F standardi p\u00f5hjal, jagades muljetavaldavaid tulemusi. Ettev\u00f5tte andmetel ei toimunud \u00fchtegi k\u00fcberr\u00fcnnakut \u00fcle 85 000 t\u00f6\u00f6taja vastu. <\/p>\n

Soovitused<\/h3>\n

\nKasutage ranget autentimist mobiilsetes ja veebirakendustes. <\/b> Kr\u00fcptograafiliste v\u00f5tmete kasutamine mitme faktori autentimisel kaitseb palju paremini h\u00e4kkimise eest kui traditsioonilised MFA meetodid. Lisaks on kr\u00fcptograafiliste v\u00f5tmete kasutamine palju mugavam, kuna ei ole vaja edastada lisainfot \u2014 paroolid, \u00fchekordsed paroolid v\u00f5i biomeetrilised andmed kasutaja seadmest autentimisserverisse. Lisaks v\u00f5imaldab autentimisprotokollide standardiseerimine uute autentimismeetodite juurutamist palju lihtsamaks, v\u00e4hendades kasutuskulusid ja kaitstes keerukamate petuskeemide eest.<\/p>\n

Valmistuge \u00fchekordsete paroolide (OTP) kadumiseks. <\/b> OTP-le omased haavat muutuvad \u00fcha selgemaks, kuna k\u00fcberkurjategijad kasutavad sotsiaalset inseneriteadust, nutitelefonide kloonimist ja pahavarakat, et neid autentimise vahendeid kompromiteerida. Ja kuigi OTP-l on m\u00f5nel juhul teatud eelised, siis ainult universaalse k\u00e4ttesaadavuse osas, kuid mitte turvalisuse seisukohalt.<\/p>\n

Ei saa m\u00e4rkamata j\u00e4tta, et SMS- v\u00f5i Push-teadete kaudu koodide saamine ning nutitelefonide rakenduste abil koodide genereerimine ongi need \u00fchekordsed paroolid (OTP), mille jahenemisega me valmistuma peame. Tehniliselt on see v\u00e4ga \u00f5ige lahendus, kuna harva pettur ei p\u00fc\u00fca usaldusv\u00e4\u00e4rselt kasutajalt \u00fchekordset parooli v\u00e4lja petta. Aga arvan, et selliste s\u00fcsteemide tootjad clingivad viimase hetkeni h\u00e4\u00e4buvatele tehnoloogiatele. <\/p><\/blockquote>\n

Kasutage ranget autentimist turundusvahendina klientide usalduse suurendamiseks. <\/b> Tugev autentimine v\u00f5ib mitte ainult parandada teie ettev\u00f5tte tegelikku turvalisust. Klientide teavitamine teie ettev\u00f5tte rangest autentimisest v\u00f5ib tugevdada avalikku arusaama selle ettev\u00f5tte turvalisusest \u2014 oluline tegur, kui kliendid n\u00f5uavad usaldusv\u00e4\u00e4rseid autentimismeetodeid.<\/p>\n

Tehke p\u00f5hjalik varude aruanne ja hinnake ettev\u00f5tte andmete t\u00e4htsust ning kaitske neid vastavalt nende t\u00e4htsusele. <\/b> Ieven andmed madala riskiga, nagu kliendi kontaktinfo (jah, t\u00f5esti, raportis ongi kirjas \u201clow-risk\u201d, v\u00e4ga kummaline, et nad alahindavad selle teabe t\u00e4htsust<\/i>), v\u00f5ivad pakkujatelt tuua m\u00e4rkimisv\u00e4\u00e4rset v\u00e4\u00e4rtust ja p\u00f5hjustada ettev\u00f5ttele probleeme. <\/p>\n

Kasutage ettev\u00f5ttes tugevat autentimist. <\/b> S\u00fcsteemid on kurjategijate k\u00f5ige ihaldatumad sihtm\u00e4rgid. Nende hulka kuuluvad nii sise- kui ka Internetiga seotud s\u00fcsteemid, nagu raamatupidamise programmid v\u00f5i ettev\u00f5tte andmete hoidlad. Range autentimine takistab kurjategijatel omamoodi volitamata juurdep\u00e4\u00e4su saamise ning v\u00f5imaldab t\u00e4pselt kindlaks teha, kes just neist t\u00f6\u00f6tajatest on pahatahtlikke tegusid toime pannud.<\/p>\n

Mis on range autentimine? <\/h2>\n

\nRange autentimise puhul kasutatakse kasutaja autentimiseks mitmeid meetodeid v\u00f5i tegureid:<\/p>\n