{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Mis juhtub autentimise ja paroolidega? T\u00f5lkimine Javelini aruandest \"Range autentimise olek\" koos kommentaaridega","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Mis
\n
\nRaporti pealkirja spikker \u201eTugeva autentimise kasutamise juhtumid on langenud uute riskide ja regulaatorite n\u00f5udmiste t\u00f5ttu\u201d.
\nUuringufirma \u201eJavelin Strategy & Research\u201d on avaldanud aruande \u201eTugeva autentimise seisund 2019\u201d ( originaali pdf-vormingus saab alla laadida siit<\/a><\/noindex>). Selles aruandes k\u00e4sitletakse, kui suur protsent Ameerika ja Euroopa ettev\u00f5tetest kasutab paroole (ja miks kasutatakse t\u00e4na v\u00e4ga h\u00e4sti paroole); miks kasvab kiiresti kahe faktoriga autentimise osakaal, mis p\u00f5hineb kr\u00fcptograafilistel tokenitel; miks on SMS-iga saadetud \u00fchekordsed koodid ebaohutud.<\/p>\n

K\u00f5ik, keda huvitab autentimise t\u00f5eline, minevik ja tulevik ettev\u00f5tetes ja kasutaja rakendustes - tere tulemast.
\n<\/a><\/noindex>
\nT\u00f5lkijalt<\/b><\/p>\n

Kahjuks on see aruanne kirjutatud \u00fcsna \u201ekuivas\u201d ja formaalses keeles. Ja s\u00f5na \u201eautentimine\u201d kordamine viies l\u00fchikeses lauses pole mitte t\u00f5lkija ebat\u00e4psuste, vaid autorite n\u00f5udmine. T\u00f5lkes kahe variandi vahel - anda lugejatele l\u00e4hemal originaalile v\u00f5i huvitavam k\u00f5rvale, olen m\u00f5nikord valinud esimese, m\u00f5nikord teise. Kuid palun, head lugejad, kannatage, aruande sisu on seda v\u00e4\u00e4rt.<\/p>\n

M\u00f5ned ebaolulised ja jutustamiseks mitte vajalikud osad on v\u00e4lja j\u00e4etud, muidu ei suudaks enamik t\u00e4ielikku teksti l\u00e4bi lugeda. Soovijad saavad tuttavaks aruande \u201eilma k\u00e4rbeteta\u201d originaalkeeles, minnes linki.<\/p>\n

Kahjuks pole autorid terminoloogias alati t\u00e4psed. N\u00e4iteks \u00fchekordsed paroolid (One Time Password - OTP) nimetavad nad m\u00f5nikord \u201eparoolideks\u201d ja m\u00f5nikord \u201ekoodideks\u201d. Autentimismeetoditega on asjad veel hullemad. Kvalifitseerimata lugejal pole alati lihtne m\u00f5ista, et \u201ekr\u00fcptograafiliste v\u00f5tmete kasutamise autentimine\u201d ja \u201erange autentimine\u201d on sama asi. Olen p\u00fc\u00fcdnud termineid maksimaalselt \u00fchtlustada, pealegi on aruandes lahknevusi nende kirjeldamiseks.<\/p>\n

Sellegipoolest on aruanne kindlasti soovitatav lugeda, kuna see sisaldab ainulaadseid uurimistulemusi ja \u00f5igeid j\u00e4reldusi. <\/b><\/p>\n

K\u00f5ik numbrid ja faktid on esitatud muutumatult ning kui te nendega ei n\u00f5ustu, siis on parem vaielda mitte t\u00f5lkijaga, vaid raporti autoritega. Siin on minu kommentaarid (kujundatud kui tsitaadid ja tekstis m\u00e4rgitud kursiivis<\/i>) on minu subjektiivne hinnang ja iga\u00fchega neist olen ma valmis vaidlema (nagu ka t\u00f5lke kvaliteedi osas). <\/p><\/blockquote>\n

<\/p>\n

\u00dclevaade<\/h2>\n

\nT\u00e4nap\u00e4eval on ettev\u00f5tte jaoks digitaalsete suhtlemiskanali olulisus suurem kui kunagi varem. Ent ka ettev\u00f5tte sees on t\u00f6\u00f6tajate vaheline kommunikatsioon suunatud rohkem digitaalses keskkonnas kui kunagi varem. Ja kui turvalised need suhtlemised on, s\u00f5ltub valitud kasutaja autentimise viisist. K\u00fcberkurjategijad kasutavad n\u00f5rku autentimismeetodeid, et massiliselt kasutajakontosid h\u00e4kkida. Vastuseks sellele karmistavad regulatiivorganid standardeid, et sundida ettev\u00f5tteid paremini kaitsma kasutajakontosid ja andmeid.<\/p>\n

Autentimisega seotud ohud ei piirdu ainult tarbija rakendustega; k\u00fcberkurjategijad v\u00f5ivad p\u00e4\u00e4seda ligi ka ettev\u00f5tte sees t\u00f6\u00f6tavale rakendusele. Selline tegevus v\u00f5imaldab neil end esitada ettev\u00f5tte kasutajatena. K\u00fcberkurjategijad, kes kasutavad n\u00f5rga autentimisega juurdep\u00e4\u00e4supunkte, saavad varastada andmeid ja teostada muid petuskeeme. \u00d5nneks on sellele vastu v\u00f5itlemiseks meetmeid. Rangem autentimine aitab oluliselt v\u00e4hendada r\u00fcnnaku riski nii tarbija rakenduste kui ka ettev\u00f5tte \u00e4ris\u00fcsteemide osas.<\/p>\n

Selles uuringus k\u00e4sitletakse: kuidas ettev\u00f5tted rakendavad autentimist kasutajarakenduste ja ettev\u00f5tte \u00e4ris\u00fcsteemide kaitsmiseks; tegurid, mida nad arvestavad autentimislahenduse valimisel; range autentimise roll, mida see nende organisatsioonides m\u00e4ngib; ja eelised, mida need organisatsioonid saavad.<\/p>\n

Elulookirjeldus<\/h2>\n

<\/p>\n

Peamised j\u00e4reldused<\/h3>\n

\nAlates 2017. aastast on rangete autentimismeetodite kasutamise protsent j\u00e4rsult t\u00f5usnud. <\/b> Kuna arukate haavatavuste arv, mis m\u00f5jutavad traditsioonilisi autentimislahendusi, suureneb, tugevdatakse organisatsioonide autentimisv\u00f5imet tugeva autentimisega. Organisatsioonide arv, kes kasutavad kr\u00fcptograafiaga mitme teguri autentimist (MFA), on alates 2017. aastast enam kui kolmekordistunud tarbijate seas ja ettev\u00f5tte rakendustes pea 50% suurenenud. Kiireim kasv on mobiilse autentimise vallas, mida soodustab biomeetrilise autentimise kasvav k\u00e4ttesaadavus.<\/p>\n

Siin n\u00e4eme vanas\u00f5na illustreerimist \u201ekui \u00e4ikest ei k\u00f5la, siis mees ei risti end\u201c. Kui eksperdid hoiatavad paroolide ebakindluse eest, siis ei kiirusta keegi kahe faktoriga autentimist rakendama. Kuid kohe kui h\u00e4kkerid hakkasid paroole varastama, hakkasid inimesed kahekordset autentimist kasutama.<\/p>\n

T\u00f5si, eraisikud rakendavad 2FA tunduvalt aktiivsemalt. Esiteks, see aitab neil oma hirme rahustada, toetudes nutitelefonidesse sisseehitatud biomeetrilisele autentimisele, mis tegelikult on \u00fcsna ebausaldusv\u00e4\u00e4rne. Organisatsioonid peavad seevastu investeerima tokenitesse ja tegema (tegelikult \u00fcsna lihtsaid) rakendamisprotseduure. Teiseks, paroolide lekked teenustest nagu Facebook ja Dropbox pole ainult n\u00f5rkade mure, kuid lood sellest, kuidas paroolid organisatsioonides varastati (ja mis edasi juhtus), ei jaga need organisatsioonide IT-juhid mingil juhul. <\/p><\/blockquote>\n

\nNeed, kes ei kasuta tugevat autentimist, alahindavad oma \u00e4ririske ja kliente. <\/b> M\u00f5ned organisatsioonid, kes praegu ei kasuta tugevat autentimist, peavad logisid ja paroole \u00fcheks efektiivsemaks ja kasutajas\u00f5bralikumaks viieks kasutajate autentimiseks. Teised ei n\u00e4e omaniku digitaalsete varade v\u00e4\u00e4rtust. On oluline arvestada, et k\u00fcberkurjategijatele on huvi mistahes tarbijate ja \u00e4riteabe vastu. Kaks kolmandikku ettev\u00f5tetest, kes kasutavad oma t\u00f6\u00f6tajate autentimiseks ainult paroole, teevad seda, kuna arvavad, et paroolid on piisavalt head n\u00f5nda kaitstava teabe t\u00fc\u00fcbi jaoks.<\/p>\n

Kuid siiski, paroolid on teel \u201ehauda\u201c. <\/b> Eelmise aasta jooksul on s\u00f5ltuvus paroolidest m\u00e4rgatavalt v\u00e4henenud nii tarbijarakendustes kui ka ettev\u00f5tte rakendustes (44% -lt 31% -le ja 56% -lt 47% -le vastavalt), kuna organisatsioonid laiendavad traditsioonilise MFA ja range autentimise rakendamist.
\nKuid kui vaadata olukorda tervikuna, siis haavatavad autentimise viisid domineerivad endiselt. Ligikaudu neljandik organisatsioonidest kasutab kasutaja autentimiseks SMS OTP-d (\u00fchekordne parool) koos salajaste k\u00fcsimustega. Tulemuseks on see, et haavatavust kaitsmiseks tuleb rakendada t\u00e4iendavaid kaitsemeetmeid, mis suurendavad kulusid. Kaugeltki usaldusv\u00e4\u00e4rsemate autentimismeetodite kasutamine, nagu riistvaralised kr\u00fcptograafilised v\u00f5tmed, on palju harvem, vaid umbes 5% organisatsioonidest.<\/p>\n

Arenev \u00f5iguslik keskkond lubab kiirendada range autentimise rakendamist tarbijarakendustes. <\/b> PSD2 ja uute Euroopa Liidu andmekaitse eeskirjade ning mitme Ameerika osariigi, sealhulgas California, seaduste kehtestamisega tunnevad ettev\u00f5tted, et surve kasvas. Peaaegu 70% ettev\u00f5tetest n\u00f5ustuvad, et nad tunnevad tugevat regulatiivset survet, et tagada oma klientidele range autentimine. \u00dcle poole ettev\u00f5tetest usub, et m\u00f5ne aasta p\u00e4rast ei ole nende autentimismeetodid piisavad vastavuse tagamiseks regulatiivsetele standarditele.<\/p>\n

On selgelt m\u00e4rgatav erinevus Venemaa ja Ameerika-Euroopa seadusandjate l\u00e4henemisviisides kasutajate isikuandmete kaitsmisele. Venemaa seadusandjad \u00fctlevad: kallid teenusepakkujad, tehke, mida tahate, kuid kui teie admin kontrollib andmebaasi, siis karistame teid. V\u00e4lismaal \u00f6eldakse: te peate rakendama meetmeid, mis keeravad<\/b> andmebaasi h\u00e4kkimise. Seep\u00e4rast kehtestatakse seal laialdaselt ranged n\u00f5uded kahe faktoriga autentimise olemasolule.
\nT\u00f5si, pole sugugi kindel, et meie seadusandlik masin ei taipa \u00fchel kaunil hetkel l\u00e4\u00e4ne kogemust arvesse v\u00f5tta. Siis selgub, et k\u00f5igil on h\u00e4dasti vaja rakendada 2FA, mis vastab Venemaa kr\u00fcptograafilistele standarditele.\n<\/p><\/blockquote>\n

\nUsaldusv\u00e4\u00e4rse autentimise aluse loomine v\u00f5imaldab ettev\u00f5tetel keskenduda regulatiivsete n\u00f5uete t\u00e4itmiselt klientide vajaduste rahuldamisele. <\/b> Organisatsioonidele, kes kasutavad veel lihtsaid paroole v\u00f5i SMS-koode, on autentimismeetodi valimisel k\u00f5ige olulisemaks teguriks regulatiivsete n\u00f5uete t\u00e4itmine. Need ettev\u00f5tted, kes on juba rakendanud ranget autentimist, saavad aga keskenduda autentimismeetodite valikule, mis suurendavad klientide lojaalsust.<\/p>\n

Ettev\u00f5tte sisemise autentimismeetodi valimisel ei ole regulatiivide n\u00f5uded enam m\u00e4\u00e4ravad. <\/b> Sel juhul on palju olulisem integratsiooni lihtsus (32%) ja maksumus (26%). <\/p>\n

Phishing'u ajastul saavad k\u00fcberkurjid kasutada ettev\u00f5tte e-postit ka petmiseks,<\/b> et pettusega p\u00e4\u00e4seda ligi andmetele, kontodele (koos vastava juurdep\u00e4\u00e4suga) ja isegi veenda t\u00f6\u00f6tajaid tegema rahakandmisi oma arvele. Seet\u00f5ttu peavad ettev\u00f5tte e-posti ja portaalide kontod olema eriti h\u00e4sti kaitstud.<\/p>\n

Google on oma kaitset tugevdanud, rakendades ranget autentimist.<\/b> \u00dcle kahe aasta tagasi avaldas Google aruande kahefaasilise autentimise rakendamisest kr\u00fcptograafiliste turvav\u00f5tmete p\u00f5hjal standardile FIDO U2F, tuues v\u00e4lja muljetavaldavad tulemused. Ettev\u00f5tte andmetel ei ole rohkem kui 85 000 t\u00f6\u00f6taja suhtes toimunud \u00fchtegi phishing'u r\u00fcnnakut. <\/p>\n

Soovitused<\/h3>\n

\nK\u00e4itage ranget autentimist mobiili- ja veebirakendustes. <\/b> Kr\u00fcptograafiliste v\u00f5tmete p\u00f5hine mitmefaktoriline autentimine kaitseb palju paremini h\u00e4kkerite eest kui traditsioonilised MFA meetodid. Lisaks on kr\u00fcptograafiliste v\u00f5tmete kasutamine palju mugavam, kuna ei ole vaja edastada ega kasutada lisainformatsiooni \u2014 paroole, \u00fchekordseid paroole v\u00f5i biomeetrilisi andmeid kasutaja seadmel autentimise serverisse. Lisaks v\u00f5imaldab autentimise protokollide standardiseerimine uute autentimismeetodite rakendamist lihtsalt, v\u00e4hendades kasutuskulusid ja kaitstes keerukamate petuskeemide eest.<\/p>\n

Valmistuge \u00fchekordsete paroolide (OTP) kadumiseks. <\/b> OTP haavat, mille t\u00f5ttu k\u00fcberkurjategijad kasutavad sotsiaalset inseneeriat, nutitelefonide kloonimist ja pahavara nende autentimismeetodite kompromiteerimiseks, muutuvad \u00fcha silmatorkavamaks. Ja kuigi OTP-l on teatud olukordades teatud eelised, on need vaid universaalse k\u00e4ttesaadavuse osas k\u00f5igile kasutajatele, kuid mitte turvalisuse aspektist.<\/p>\n

Ei saa m\u00e4rkamatuks j\u00e4\u00e4da, et SMS- v\u00f5i Push-teavituste kaudu koodide saamine ja koodide genereerimine nutitelefonide rakendustega ongi need \u00fchekordsed paroolid (OTP), mille loojad soovitavad meil valmuda languse jaoks. Tehniliselt on see lahendus v\u00e4ga \u00f5ige, sest harva proovib petja mitte v\u00e4lja uurida \u00fchekordset parooli usaldusv\u00e4\u00e4rselt kasutajalt. Kuid ma arvan, et selliste s\u00fcsteemide tootjad hakkavad viimase hetkeni kinni hoidma surevast tehnoloogiast. <\/p><\/blockquote>\n

Kasutage ranget autentimist turundusinstrumendina klientide usalduse suurendamiseks. <\/b> Range autentimine v\u00f5ib mitte ainult parandada teie ettev\u00f5tte tegelikku turvalisust. Klientide teavitamine teie ettev\u00f5tte rangest autentimisest v\u00f5ib tugevdada avalikku arusaama selle ettev\u00f5tte turvalisusest \u2014 oluline tegur, kui klientide n\u00f5udlus usaldusv\u00e4\u00e4rsete autentimismeetodite j\u00e4rele on suur.<\/p>\n

Tehke p\u00f5hjalik inventuur ja hindake ettev\u00f5tte andmete t\u00e4htsust ning kaitske neid vastavalt t\u00e4htsusele. <\/b> Isegi madala riski tasemega andmed, nagu kliendi kontaktteave (ei, t\u00f5epoolest, raportis on \u00f6eldud \u201clow-risk\u201d, on v\u00e4ga kummaline, et alahindavad selle teabe t\u00e4htsust<\/i>), v\u00f5ivad petjatele tuua m\u00e4rkimisv\u00e4\u00e4rset v\u00e4\u00e4rtust ja p\u00f5hjustada ettev\u00f5ttele probleeme. <\/p>\n

Kasutage ettev\u00f5ttes ranget autentimist. <\/b> Mitmed s\u00fcsteemid on kurjategijate jaoks k\u00f5ige atraktiivsemad sihtm\u00e4rgid. Nendeks on sellised sise- ja internetti \u00fchendatud s\u00fcsteemid nagu raamatupidamisprogramm v\u00f5i ettev\u00f5tte andmehoidla. Range autentimine takistab kurjategijatel volitamata juurdep\u00e4\u00e4su ning v\u00f5imaldab t\u00e4pselt kindlaks teha, kes t\u00f6\u00f6tajatest on kuritarvitanud.<\/p>\n

Mis on range autentimine? <\/h2>\n

\nRange autentimise kasutamisel kasutaja tuvastamiseks kasutatakse mitmeid meetodeid v\u00f5i faktoreid:<\/p>\n