પ્રમાણીકરણ અને પાસવર્ડ્સનું શું થશે? ટિપ્પણીઓ સાથે જેવલિન રિપોર્ટ "સ્ટેટ ઓફ સ્ટ્રોંગ ઓથેન્ટિકેશન" નો અનુવાદ

રિપોર્ટના શીર્ષકમાંથી સ્પોઇલર: "નવા જોખમો અને નિયમનકારી જરૂરિયાતોની ધમકીઓને કારણે મજબૂત પ્રમાણીકરણનો ઉપયોગ વધે છે."
સંશોધન કંપની "જેવલિન સ્ટ્રેટેજી એન્ડ રિસર્ચ" એ "ધ સ્ટેટ ઓફ સ્ટ્રોંગ ઓથેન્ટિકેશન 2019" નો અહેવાલ પ્રકાશિત કર્યો ( પીડીએફ ફોર્મેટમાં મૂળ અહીં ડાઉનલોડ કરી શકાય છે). આ રિપોર્ટ કહે છે: કેટલા ટકા અમેરિકન અને યુરોપિયન કંપનીઓ પાસવર્ડનો ઉપયોગ કરે છે (અને હવે શા માટે થોડા લોકો પાસવર્ડનો ઉપયોગ કરે છે); ક્રિપ્ટોગ્રાફિક ટોકન્સ પર આધારિત દ્વિ-પરિબળ પ્રમાણીકરણનો ઉપયોગ આટલી ઝડપથી કેમ વધી રહ્યો છે; એસએમએસ દ્વારા મોકલવામાં આવતા વન-ટાઇમ કોડ્સ કેમ સુરક્ષિત નથી.

એન્ટરપ્રાઇઝ અને ગ્રાહક એપ્લિકેશન્સમાં પ્રમાણીકરણના વર્તમાન, ભૂતકાળ અને ભવિષ્યમાં રસ ધરાવનાર કોઈપણનું સ્વાગત છે.

અનુવાદક તરફથી

અરે, આ અહેવાલ જે ભાષામાં લખવામાં આવ્યો છે તે તદ્દન “શુષ્ક” અને ઔપચારિક છે. અને એક ટૂંકા વાક્યમાં "પ્રમાણીકરણ" શબ્દનો પાંચ વખત ઉપયોગ એ અનુવાદકના કુટિલ હાથ (અથવા મગજ) નથી, પરંતુ લેખકોની ધૂન છે. બે વિકલ્પોમાંથી અનુવાદ કરતી વખતે - વાચકોને મૂળની નજીક અથવા વધુ રસપ્રદ ટેક્સ્ટ આપવા માટે, મેં ક્યારેક પ્રથમ પસંદ કર્યું, અને ક્યારેક બીજું. પરંતુ ધીરજ રાખો, પ્રિય વાચકો, અહેવાલની સામગ્રી તે મૂલ્યવાન છે.

વાર્તા માટેના કેટલાક બિનમહત્વપૂર્ણ અને બિનજરૂરી ટુકડાઓ દૂર કરવામાં આવ્યા છે, નહીં તો બહુમતી આખા લખાણમાંથી પસાર થઈ શક્યા ન હોત. જે લોકો "અનકટ" અહેવાલ વાંચવા માંગતા હોય તેઓ લિંકને અનુસરીને મૂળ ભાષામાં આમ કરી શકે છે.

કમનસીબે, લેખકો હંમેશા પરિભાષા સાથે સાવચેત રહેતા નથી. આમ, વન-ટાઇમ પાસવર્ડ્સ (વન ટાઇમ પાસવર્ડ - OTP) ને ક્યારેક "પાસવર્ડ્સ" અને ક્યારેક "કોડ" કહેવામાં આવે છે. પ્રમાણીકરણ પદ્ધતિઓ સાથે તે વધુ ખરાબ છે. અપ્રશિક્ષિત વાચક માટે અનુમાન લગાવવું હંમેશા સરળ નથી કે "ક્રિપ્ટોગ્રાફિક કીનો ઉપયોગ કરીને પ્રમાણીકરણ" અને "મજબૂત પ્રમાણીકરણ" સમાન વસ્તુ છે. મેં શક્ય તેટલી શરતોને એકીકૃત કરવાનો પ્રયાસ કર્યો, અને અહેવાલમાં જ તેમના વર્ણન સાથે એક ટુકડો છે.

તેમ છતાં, અહેવાલ વાંચવાની ખૂબ ભલામણ કરવામાં આવે છે કારણ કે તેમાં અનન્ય સંશોધન પરિણામો અને સાચા તારણો છે.

બધા આંકડાઓ અને તથ્યો સહેજ ફેરફારો વિના રજૂ કરવામાં આવે છે, અને જો તમે તેમની સાથે સંમત ન હોવ, તો અનુવાદક સાથે નહીં, પરંતુ અહેવાલના લેખકો સાથે દલીલ કરવી વધુ સારું છે. અને અહીં મારી ટિપ્પણીઓ છે (અવતરણ તરીકે મૂકવામાં આવી છે, અને ટેક્સ્ટમાં ચિહ્નિત છે ઇટાલિયન) એ મારા મૂલ્યનો નિર્ણય છે અને મને તે દરેક પર દલીલ કરવામાં આનંદ થશે (તેમજ અનુવાદની ગુણવત્તા પર).

ઝાંખી

આજકાલ, ગ્રાહકો સાથે સંચારની ડિજિટલ ચેનલો વ્યવસાયો માટે પહેલા કરતાં વધુ મહત્વપૂર્ણ છે. અને કંપનીની અંદર, કર્મચારીઓ વચ્ચેના સંચાર પહેલા કરતાં વધુ ડિજિટલી લક્ષી છે. અને આ ક્રિયાપ્રતિક્રિયાઓ કેટલી સુરક્ષિત રહેશે તે વપરાશકર્તા પ્રમાણીકરણની પસંદ કરેલી પદ્ધતિ પર આધારિત છે. હુમલાખોરો યુઝર એકાઉન્ટ્સને મોટા પાયે હેક કરવા માટે નબળા પ્રમાણીકરણનો ઉપયોગ કરે છે. પ્રતિસાદમાં, નિયમનકારો વ્યવસાયોને વપરાશકર્તા એકાઉન્ટ્સ અને ડેટાને વધુ સારી રીતે સુરક્ષિત કરવા દબાણ કરવા માટે ધોરણોને કડક કરી રહ્યા છે.

પ્રમાણીકરણ-સંબંધિત ધમકીઓ ઉપભોક્તા એપ્લિકેશનોથી આગળ વિસ્તરે છે; હુમલાખોરો એન્ટરપ્રાઇઝની અંદર ચાલતી એપ્લિકેશન્સની ઍક્સેસ પણ મેળવી શકે છે. આ કામગીરી તેમને કોર્પોરેટ વપરાશકર્તાઓનો ઢોંગ કરવાની મંજૂરી આપે છે. નબળા પ્રમાણીકરણ સાથે એક્સેસ પોઈન્ટનો ઉપયોગ કરતા હુમલાખોરો ડેટા ચોરી શકે છે અને અન્ય કપટપૂર્ણ પ્રવૃત્તિઓ કરી શકે છે. સદનસીબે, આનો સામનો કરવા માટેના પગલાં છે. મજબૂત પ્રમાણીકરણ ગ્રાહક એપ્લિકેશન અને એન્ટરપ્રાઇઝ બિઝનેસ સિસ્ટમ બંને પર હુમલાખોર દ્વારા હુમલાના જોખમને નોંધપાત્ર રીતે ઘટાડવામાં મદદ કરશે.

આ અભ્યાસ તપાસે છે: એન્ટરપ્રાઈઝ એન્ડ-યુઝર એપ્લિકેશન્સ અને એન્ટરપ્રાઈઝ બિઝનેસ સિસ્ટમ્સને સુરક્ષિત રાખવા માટે પ્રમાણીકરણનો અમલ કેવી રીતે કરે છે; પ્રમાણીકરણ ઉકેલ પસંદ કરતી વખતે તેઓ ધ્યાનમાં લેતા પરિબળો; મજબૂત પ્રમાણીકરણ તેમની સંસ્થાઓમાં ભૂમિકા ભજવે છે; આ સંસ્થાઓને મળતા લાભો.

સારાંશ

મુખ્ય તારણો

2017 થી, મજબૂત પ્રમાણીકરણનો ઉપયોગ તીવ્રપણે વધ્યો છે. પરંપરાગત પ્રમાણીકરણ ઉકેલોને અસર કરતી નબળાઈઓની વધતી સંખ્યા સાથે, સંસ્થાઓ મજબૂત પ્રમાણીકરણ સાથે તેમની પ્રમાણીકરણ ક્ષમતાઓને મજબૂત બનાવી રહી છે. ક્રિપ્ટોગ્રાફિક મલ્ટિ-ફેક્ટર ઓથેન્ટિકેશન (MFA) નો ઉપયોગ કરતી સંસ્થાઓની સંખ્યા ગ્રાહક એપ્લિકેશનો માટે 2017 થી ત્રણ ગણી વધી છે અને એન્ટરપ્રાઇઝ એપ્લિકેશન્સ માટે લગભગ 50% વધી છે. બાયોમેટ્રિક ઓથેન્ટિકેશનની વધતી જતી ઉપલબ્ધતાને કારણે મોબાઈલ ઓથેન્ટિકેશનમાં સૌથી ઝડપી વૃદ્ધિ જોવા મળે છે.

અહીં આપણે કહેવતનું એક ઉદાહરણ જોઈએ છીએ "જ્યાં સુધી વીજળીનો અવાજ ન આવે ત્યાં સુધી, માણસ પોતાને પાર કરી શકશે નહીં." જ્યારે નિષ્ણાતોએ પાસવર્ડ્સની અસુરક્ષા વિશે ચેતવણી આપી હતી, ત્યારે કોઈએ દ્વિ-પરિબળ પ્રમાણીકરણને અમલમાં મૂકવાની ઉતાવળ કરી ન હતી. હેકર્સે પાસવર્ડ ચોરી કરવાનું શરૂ કરતાં જ લોકોએ ટુ-ફેક્ટર ઓથેન્ટિકેશનનો અમલ શરૂ કર્યો.

સાચું, વ્યક્તિઓ વધુ સક્રિય રીતે 2FA ને અમલમાં મૂકે છે. સૌપ્રથમ, તેમના માટે સ્માર્ટફોનમાં બનેલા બાયોમેટ્રિક પ્રમાણીકરણ પર આધાર રાખીને તેમના ડરને શાંત કરવાનું સરળ છે, જે હકીકતમાં ખૂબ જ અવિશ્વસનીય છે. સંસ્થાઓએ ટોકન્સ ખરીદવા પર નાણાં ખર્ચવાની જરૂર છે અને તેને અમલમાં મૂકવા માટે કાર્ય (હકીકતમાં, ખૂબ જ સરળ) હાથ ધરવું પડશે. અને બીજું, માત્ર આળસુ લોકોએ ફેસબુક અને ડ્રૉપબૉક્સ જેવી સેવાઓમાંથી પાસવર્ડ લીક થવા વિશે લખ્યું નથી, પરંતુ કોઈ પણ સંજોગોમાં આ સંસ્થાઓના CIOs સંસ્થાઓમાં પાસવર્ડ્સ કેવી રીતે ચોરાઈ ગયા (અને પછી શું થયું) તે વિશે વાર્તાઓ શેર કરશે નહીં.

જેઓ મજબૂત પ્રમાણીકરણનો ઉપયોગ કરતા નથી તેઓ તેમના વ્યવસાય અને ગ્રાહકો માટે તેમના જોખમને ઓછો અંદાજ આપી રહ્યા છે. કેટલીક સંસ્થાઓ કે જેઓ હાલમાં મજબૂત પ્રમાણીકરણનો ઉપયોગ કરતી નથી તેઓ લૉગિન અને પાસવર્ડ્સને વપરાશકર્તા પ્રમાણીકરણની સૌથી અસરકારક અને ઉપયોગમાં સરળ પદ્ધતિઓમાંની એક તરીકે જોવાનું વલણ ધરાવે છે. અન્ય લોકો તેમની માલિકીની ડિજિટલ સંપત્તિનું મૂલ્ય જોતા નથી. છેવટે, તે ધ્યાનમાં લેવું યોગ્ય છે કે સાયબર અપરાધીઓને કોઈપણ ગ્રાહક અને વ્યવસાયિક માહિતીમાં રસ છે. બે-તૃતીયાંશ કંપનીઓ કે જેઓ તેમના કર્મચારીઓને પ્રમાણિત કરવા માટે માત્ર પાસવર્ડ્સનો ઉપયોગ કરે છે તેઓ આમ કરે છે કારણ કે તેઓ માને છે કે પાસવર્ડ તેઓ જે પ્રકારની માહિતીનું રક્ષણ કરે છે તેના માટે પૂરતા પ્રમાણમાં સારા છે.

જો કે, પાસવર્ડ કબર તરફ જવાના છે. પાછલા વર્ષમાં ગ્રાહક અને એન્ટરપ્રાઇઝ બંને એપ્લિકેશન્સ માટે પાસવર્ડ નિર્ભરતા નોંધપાત્ર રીતે ઘટી છે (44% થી 31% અને અનુક્રમે 56% થી 47%) કારણ કે સંસ્થાઓ તેમના પરંપરાગત MFA અને મજબૂત પ્રમાણીકરણનો ઉપયોગ વધારે છે.
પરંતુ જો આપણે સમગ્ર પરિસ્થિતિને જોઈએ તો, સંવેદનશીલ પ્રમાણીકરણ પદ્ધતિઓ હજુ પણ પ્રવર્તે છે. વપરાશકર્તા પ્રમાણીકરણ માટે, લગભગ એક ક્વાર્ટર સંસ્થાઓ સુરક્ષા પ્રશ્નો સાથે SMS OTP (વન-ટાઇમ પાસવર્ડ) નો ઉપયોગ કરે છે. પરિણામે, નબળાઈ સામે રક્ષણ આપવા માટે વધારાના સુરક્ષા પગલાં લાગુ કરવા જોઈએ, જે ખર્ચમાં વધારો કરે છે. વધુ સુરક્ષિત પ્રમાણીકરણ પદ્ધતિઓનો ઉપયોગ, જેમ કે હાર્ડવેર ક્રિપ્ટોગ્રાફિક કી, લગભગ 5% સંસ્થાઓમાં ઘણી ઓછી વાર વપરાય છે.

વિકસતું નિયમનકારી વાતાવરણ ઉપભોક્તા એપ્લિકેશનો માટે મજબૂત પ્રમાણીકરણને અપનાવવાની પ્રક્રિયાને વેગ આપવાનું વચન આપે છે. PSD2 ની રજૂઆત સાથે, તેમજ EU અને કેલિફોર્નિયા જેવા કેટલાક યુએસ રાજ્યોમાં ડેટા સંરક્ષણના નવા નિયમો, કંપનીઓ ગરમી અનુભવી રહી છે. લગભગ 70% કંપનીઓ સંમત છે કે તેઓ તેમના ગ્રાહકોને મજબૂત પ્રમાણીકરણ પ્રદાન કરવા માટે મજબૂત નિયમનકારી દબાણનો સામનો કરે છે. અડધાથી વધુ સાહસો માને છે કે થોડા વર્ષોમાં તેમની પ્રમાણીકરણ પદ્ધતિઓ નિયમનકારી ધોરણોને પૂર્ણ કરવા માટે પૂરતી નહીં હોય.

પ્રોગ્રામ્સ અને સેવાઓના વપરાશકર્તાઓના વ્યક્તિગત ડેટાના રક્ષણ માટે રશિયન અને અમેરિકન-યુરોપિયન ધારાસભ્યોના અભિગમમાં તફાવત સ્પષ્ટપણે દૃશ્યમાન છે. રશિયનો કહે છે: પ્રિય સેવા માલિકો, તમે જે ઇચ્છો છો અને તમે કેવી રીતે ઇચ્છો છો તે કરો, પરંતુ જો તમારો સંચાલક ડેટાબેઝને મર્જ કરશે, તો અમે તમને સજા કરીશું. તેઓ વિદેશમાં કહે છે: તમારે પગલાંનો સમૂહ અમલમાં મૂકવો જોઈએ પરવાનગી નહીં આપે આધાર ડ્રેઇન કરે છે. તેથી જ ત્યાં કડક દ્વિ-પરિબળ પ્રમાણીકરણ માટેની આવશ્યકતાઓ લાગુ કરવામાં આવી રહી છે.
સાચું, તે હકીકતથી દૂર છે કે આપણું કાયદાકીય મશીન એક દિવસ તેના હોશમાં આવશે નહીં અને પશ્ચિમી અનુભવને ધ્યાનમાં લેશે નહીં. પછી તે તારણ આપે છે કે દરેકને 2FA લાગુ કરવાની જરૂર છે, જે રશિયન ક્રિપ્ટોગ્રાફિક ધોરણોનું પાલન કરે છે, અને તાત્કાલિક.

મજબૂત પ્રમાણીકરણ માળખું સ્થાપિત કરવાથી કંપનીઓ તેમના ધ્યાનને નિયમનકારી જરૂરિયાતોને પહોંચી વળવાથી ગ્રાહકની જરૂરિયાતોને પહોંચી વળવા તરફ સ્થાનાંતરિત કરી શકે છે. તે સંસ્થાઓ માટે કે જે હજી પણ સરળ પાસવર્ડ્સનો ઉપયોગ કરી રહી છે અથવા SMS દ્વારા કોડ પ્રાપ્ત કરી રહી છે, પ્રમાણીકરણ પદ્ધતિ પસંદ કરતી વખતે સૌથી મહત્વપૂર્ણ પરિબળ એ નિયમનકારી આવશ્યકતાઓનું પાલન હશે. પરંતુ તે કંપનીઓ જે પહેલાથી જ મજબૂત પ્રમાણીકરણનો ઉપયોગ કરે છે તે તે પ્રમાણીકરણ પદ્ધતિઓ પસંદ કરવા પર ધ્યાન કેન્દ્રિત કરી શકે છે જે ગ્રાહકની વફાદારી વધારે છે.

એન્ટરપ્રાઇઝમાં કોર્પોરેટ પ્રમાણીકરણ પદ્ધતિ પસંદ કરતી વખતે, નિયમનકારી આવશ્યકતાઓ હવે નોંધપાત્ર પરિબળ નથી. આ કિસ્સામાં, એકીકરણની સરળતા (32%) અને ખર્ચ (26%) વધુ મહત્વપૂર્ણ છે.

ફિશિંગના યુગમાં, હુમલાખોરો કૌભાંડ કરવા માટે કોર્પોરેટ ઇમેઇલનો ઉપયોગ કરી શકે છે છેતરપિંડીથી ડેટા, એકાઉન્ટ્સ (યોગ્ય ઍક્સેસ અધિકારો સાથે) ની ઍક્સેસ મેળવવા માટે, અને કર્મચારીઓને તેના ખાતામાં નાણાં ટ્રાન્સફર કરવા માટે સમજાવવા માટે પણ. તેથી, કોર્પોરેટ ઈમેલ અને પોર્ટલ એકાઉન્ટ્સ ખાસ કરીને સારી રીતે સુરક્ષિત હોવા જોઈએ.

ગૂગલે મજબૂત પ્રમાણીકરણ લાગુ કરીને તેની સુરક્ષાને મજબૂત બનાવી છે. બે વર્ષ કરતાં વધુ પહેલાં, Google એ FIDO U2F સ્ટાન્ડર્ડનો ઉપયોગ કરીને ક્રિપ્ટોગ્રાફિક સુરક્ષા કીના આધારે બે-પરિબળ પ્રમાણીકરણના અમલીકરણ પર એક અહેવાલ પ્રકાશિત કર્યો, પ્રભાવશાળી પરિણામોની જાણ કરી. કંપનીના જણાવ્યા અનુસાર, 85 થી વધુ કર્મચારીઓ સામે એક પણ ફિશિંગ હુમલો કરવામાં આવ્યો નથી.

ભલામણો

મોબાઇલ અને ઓનલાઈન એપ્લિકેશન માટે મજબૂત પ્રમાણીકરણ લાગુ કરો. ક્રિપ્ટોગ્રાફિક કી પર આધારિત બહુ-પરિબળ પ્રમાણીકરણ પરંપરાગત MFA પદ્ધતિઓ કરતાં હેકિંગ સામે વધુ સારું રક્ષણ પૂરું પાડે છે. વધુમાં, ક્રિપ્ટોગ્રાફિક કીનો ઉપયોગ વધુ અનુકૂળ છે કારણ કે વપરાશકર્તાના ઉપકરણમાંથી પ્રમાણીકરણ સર્વર પર વધારાની માહિતી - પાસવર્ડ્સ, વન-ટાઇમ પાસવર્ડ્સ અથવા બાયોમેટ્રિક ડેટાનો ઉપયોગ કરવાની અને સ્થાનાંતરિત કરવાની કોઈ જરૂર નથી. વધુમાં, પ્રમાણીકરણ પ્રોટોકોલનું પ્રમાણીકરણ નવી પ્રમાણીકરણ પદ્ધતિઓનો અમલ કરવાનું વધુ સરળ બનાવે છે કારણ કે તેઓ ઉપલબ્ધ થાય છે, અમલીકરણ ખર્ચ ઘટાડે છે અને વધુ અત્યાધુનિક છેતરપિંડી યોજનાઓ સામે રક્ષણ આપે છે.

વન-ટાઇમ પાસવર્ડ્સ (OTP) ના મૃત્યુ માટે તૈયાર રહો. ઓટીપીમાં રહેલી નબળાઈઓ વધુને વધુ સ્પષ્ટ થઈ રહી છે કારણ કે સાયબર અપરાધીઓ પ્રમાણીકરણના આ માધ્યમો સાથે ચેડા કરવા માટે સોશિયલ એન્જિનિયરિંગ, સ્માર્ટફોન ક્લોનિંગ અને માલવેરનો ઉપયોગ કરે છે. અને જો કેટલાક કિસ્સાઓમાં OTP ના ચોક્કસ ફાયદા છે, તો પછી માત્ર બધા વપરાશકર્તાઓ માટે સાર્વત્રિક ઉપલબ્ધતાના દૃષ્ટિકોણથી, પરંતુ સુરક્ષાના દૃષ્ટિકોણથી નહીં.

એ નોંધવું અશક્ય છે કે SMS અથવા પુશ સૂચનાઓ દ્વારા કોડ્સ પ્રાપ્ત કરવા, તેમજ સ્માર્ટફોન માટે પ્રોગ્રામ્સનો ઉપયોગ કરીને કોડ્સ જનરેટ કરવા, તે જ વન-ટાઇમ પાસવર્ડ્સ (OTP) નો ઉપયોગ છે જેના માટે અમને નકારવાની તૈયારી કરવાનું કહેવામાં આવે છે. ટેકનિકલ દૃષ્ટિકોણથી, ઉકેલ ખૂબ જ સાચો છે, કારણ કે તે એક દુર્લભ છેતરપિંડી કરનાર છે કે જેઓ કોઈ ભોળી વપરાશકર્તા પાસેથી વન-ટાઇમ પાસવર્ડ શોધવાનો પ્રયાસ કરતા નથી. પરંતુ મને લાગે છે કે આવી સિસ્ટમોના ઉત્પાદકો અંતિમ સમય સુધી ડાઇંગ ટેકનોલોજીને વળગી રહેશે.

ગ્રાહક વિશ્વાસ વધારવા માટે માર્કેટિંગ સાધન તરીકે મજબૂત પ્રમાણીકરણનો ઉપયોગ કરો. મજબૂત પ્રમાણીકરણ તમારા વ્યવસાયની વાસ્તવિક સુરક્ષાને સુધારવા કરતાં વધુ કરી શકે છે. ગ્રાહકોને જાણ કરવી કે તમારો વ્યવસાય મજબૂત પ્રમાણીકરણનો ઉપયોગ કરે છે તે વ્યવસાયની સલામતી અંગેની સાર્વજનિક ધારણાને મજબૂત બનાવી શકે છે - જ્યારે મજબૂત પ્રમાણીકરણ પદ્ધતિઓ માટે ગ્રાહકની નોંધપાત્ર માંગ હોય ત્યારે એક મહત્વપૂર્ણ પરિબળ.

કોર્પોરેટ ડેટાની સંપૂર્ણ ઇન્વેન્ટરી અને વિવેચનાત્મક મૂલ્યાંકન કરો અને મહત્વ અનુસાર તેનું રક્ષણ કરો. ગ્રાહક સંપર્ક માહિતી જેવા ઓછા જોખમનો ડેટા પણ (ના, ખરેખર, અહેવાલ "ઓછું જોખમ" કહે છે, તે ખૂબ જ વિચિત્ર છે કે તેઓ આ માહિતીના મહત્વને ઓછો અંદાજ આપે છે), છેતરપિંડી કરનારાઓ માટે નોંધપાત્ર મૂલ્ય લાવી શકે છે અને કંપની માટે સમસ્યાઓ ઊભી કરી શકે છે.

મજબૂત એન્ટરપ્રાઇઝ પ્રમાણીકરણનો ઉપયોગ કરો. ગુનેગારો માટે સંખ્યાબંધ સિસ્ટમો સૌથી આકર્ષક લક્ષ્યો છે. આમાં એકાઉન્ટિંગ પ્રોગ્રામ અથવા કોર્પોરેટ ડેટા વેરહાઉસ જેવી આંતરિક અને ઇન્ટરનેટ-કનેક્ટેડ સિસ્ટમ્સનો સમાવેશ થાય છે. મજબૂત પ્રમાણીકરણ હુમલાખોરોને અનધિકૃત ઍક્સેસ મેળવવાથી અટકાવે છે અને કયા કર્મચારીએ દૂષિત પ્રવૃત્તિ કરી છે તે ચોક્કસપણે નિર્ધારિત કરવાનું શક્ય બનાવે છે.

મજબૂત પ્રમાણીકરણ શું છે?

મજબૂત પ્રમાણીકરણનો ઉપયોગ કરતી વખતે, વપરાશકર્તાની અધિકૃતતા ચકાસવા માટે ઘણી પદ્ધતિઓ અથવા પરિબળોનો ઉપયોગ કરવામાં આવે છે:

• જ્ઞાન પરિબળ: વપરાશકર્તા અને વપરાશકર્તાના પ્રમાણિત વિષય (જેમ કે પાસવર્ડ્સ, સુરક્ષા પ્રશ્નોના જવાબો, વગેરે) વચ્ચે વહેંચાયેલ રહસ્ય.
• માલિકી પરિબળ: એક ઉપકરણ કે જે ફક્ત વપરાશકર્તા પાસે છે (ઉદાહરણ તરીકે, મોબાઇલ ઉપકરણ, ક્રિપ્ટોગ્રાફિક કી, વગેરે)
• અખંડિતતા પરિબળ: વપરાશકર્તાની ભૌતિક (ઘણીવાર બાયોમેટ્રિક) લાક્ષણિકતાઓ (ઉદાહરણ તરીકે, ફિંગરપ્રિન્ટ, આઇરિસ પેટર્ન, અવાજ, વર્તન, વગેરે)

બહુવિધ પરિબળોને હેક કરવાની જરૂરિયાત હુમલાખોરો માટે નિષ્ફળતાની સંભાવનાને મોટા પ્રમાણમાં વધારી દે છે, કારણ કે વિવિધ પરિબળોને બાયપાસ કરવા અથવા છેતરવા માટે દરેક પરિબળ માટે અલગ-અલગ વિવિધ પ્રકારની હેકિંગ યુક્તિઓનો ઉપયોગ કરવો જરૂરી છે.

ઉદાહરણ તરીકે, 2FA “પાસવર્ડ + સ્માર્ટફોન” સાથે, હુમલાખોર વપરાશકર્તાનો પાસવર્ડ જોઈને અને તેના સ્માર્ટફોનની ચોક્કસ સોફ્ટવેર કોપી બનાવીને પ્રમાણીકરણ કરી શકે છે. અને આ ફક્ત પાસવર્ડ ચોરી કરવા કરતાં વધુ મુશ્કેલ છે.

પરંતુ જો 2FA માટે પાસવર્ડ અને ક્રિપ્ટોગ્રાફિક ટોકનનો ઉપયોગ કરવામાં આવે છે, તો નકલ કરવાનો વિકલ્પ અહીં કામ કરતું નથી - ટોકનનું ડુપ્લિકેટ કરવું અશક્ય છે. છેતરપિંડી કરનારને ચોરીછૂપીથી વપરાશકર્તા પાસેથી ટોકન ચોરી કરવાની જરૂર પડશે. જો વપરાશકર્તા સમયસર નુકસાનની નોંધ લે છે અને એડમિનને સૂચિત કરે છે, તો ટોકન અવરોધિત કરવામાં આવશે અને છેતરપિંડી કરનારના પ્રયત્નો નિરર્થક રહેશે. આથી માલિકી પરિબળને સામાન્ય હેતુના ઉપકરણો (સ્માર્ટફોન) ને બદલે વિશિષ્ટ સુરક્ષિત ઉપકરણો (ટોકન્સ) નો ઉપયોગ કરવાની જરૂર છે.

ત્રણેય પરિબળોનો ઉપયોગ આ પ્રમાણીકરણ પદ્ધતિને અમલમાં મૂકવા માટે ખૂબ ખર્ચાળ અને ઉપયોગમાં તદ્દન અસુવિધાજનક બનાવશે. તેથી, સામાન્ય રીતે ત્રણમાંથી બે પરિબળોનો ઉપયોગ થાય છે.

દ્વિ-પરિબળ પ્રમાણીકરણના સિદ્ધાંતો વધુ વિગતવાર વર્ણવેલ છે અહીં, "બે-પરિબળ પ્રમાણીકરણ કેવી રીતે કાર્ય કરે છે" બ્લોકમાં.

એ નોંધવું અગત્યનું છે કે મજબૂત પ્રમાણીકરણમાં વપરાતા પ્રમાણીકરણ પરિબળો પૈકી ઓછામાં ઓછા એકે સાર્વજનિક કી સંકેતલિપીનો ઉપયોગ કરવો આવશ્યક છે.

મજબૂત પ્રમાણીકરણ ક્લાસિક પાસવર્ડ્સ અને પરંપરાગત MFA પર આધારિત સિંગલ-ફેક્ટર પ્રમાણીકરણ કરતાં વધુ મજબૂત સુરક્ષા પ્રદાન કરે છે. કીલોગર્સ, ફિશિંગ સાઇટ્સ અથવા સોશિયલ એન્જિનિયરિંગ હુમલાઓ (જ્યાં પીડિતને તેનો પાસવર્ડ જાહેર કરવામાં છેતરવામાં આવે છે)નો ઉપયોગ કરીને પાસવર્ડ્સની જાસૂસી અથવા અટકાવી શકાય છે. તદુપરાંત, પાસવર્ડના માલિકને ચોરી વિશે કંઈપણ ખબર નહીં હોય. પરંપરાગત MFA (ઓટીપી કોડ સહિત, સ્માર્ટફોન અથવા સિમ કાર્ડ સાથે બંધનકર્તા) પણ ખૂબ જ સરળતાથી હેક કરી શકાય છે, કારણ કે તે સાર્વજનિક કી સંકેતલિપી પર આધારિત નથી (માર્ગ દ્વારા, એવા ઘણા ઉદાહરણો છે જ્યારે, સમાન સામાજિક ઇજનેરી તકનીકોનો ઉપયોગ કરીને, સ્કેમર્સે વપરાશકર્તાઓને તેમને વન-ટાઇમ પાસવર્ડ આપવા માટે સમજાવ્યા હતા.).

સદનસીબે, ગયા વર્ષથી મજબૂત પ્રમાણીકરણ અને પરંપરાગત MFA નો ઉપયોગ ગ્રાહક અને એન્ટરપ્રાઇઝ બંને એપ્લિકેશન્સમાં ટ્રેક્શન મેળવી રહ્યો છે. ગ્રાહક એપ્લિકેશન્સમાં મજબૂત પ્રમાણીકરણનો ઉપયોગ ખાસ કરીને ઝડપથી વિકસ્યો છે. જો 2017 માં ફક્ત 5% કંપનીઓએ તેનો ઉપયોગ કર્યો, તો 2018 માં તે પહેલાથી જ ત્રણ ગણો વધુ હતો - 16%. પબ્લિક કી ક્રિપ્ટોગ્રાફી (PKC) અલ્ગોરિધમ્સને સમર્થન આપતા ટોકન્સની વધેલી ઉપલબ્ધતા દ્વારા આ સમજાવી શકાય છે. આ ઉપરાંત, પીએસડી2 અને જીડીપીઆર જેવા નવા ડેટા સંરક્ષણ નિયમો અપનાવવાને પગલે યુરોપીયન નિયમનકારોના વધેલા દબાણની યુરોપની બહાર પણ મજબૂત અસર થઈ છે (રશિયા સહિત).

ચાલો આ સંખ્યાઓ પર નજીકથી નજર કરીએ. જેમ આપણે જોઈ શકીએ છીએ, મલ્ટિ-ફેક્ટર ઓથેન્ટિકેશનનો ઉપયોગ કરતી ખાનગી વ્યક્તિઓની ટકાવારી એક વર્ષમાં પ્રભાવશાળી 11% વધી છે. અને આ સ્પષ્ટપણે પાસવર્ડ પ્રેમીઓના ભોગે બન્યું છે, કારણ કે જેઓ પુશ સૂચનાઓ, એસએમએસ અને બાયોમેટ્રિક્સની સુરક્ષામાં વિશ્વાસ રાખે છે તેમની સંખ્યા બદલાઈ નથી.

પરંતુ કોર્પોરેટ ઉપયોગ માટે દ્વિ-પરિબળ પ્રમાણીકરણ સાથે, વસ્તુઓ એટલી સારી નથી. પ્રથમ, અહેવાલ મુજબ, ફક્ત 5% કર્મચારીઓને પાસવર્ડ પ્રમાણીકરણથી ટોકન્સમાં સ્થાનાંતરિત કરવામાં આવ્યા હતા. અને બીજું, કોર્પોરેટ વાતાવરણમાં વૈકલ્પિક MFA વિકલ્પોનો ઉપયોગ કરનારાઓની સંખ્યામાં 4%નો વધારો થયો છે.

હું વિશ્લેષકની ભૂમિકા ભજવવાનો અને મારું અર્થઘટન આપવાનો પ્રયત્ન કરીશ. વ્યક્તિગત વપરાશકર્તાઓના ડિજિટલ વિશ્વના કેન્દ્રમાં સ્માર્ટફોન છે. તેથી, તેમાં કોઈ અજાયબી નથી કે મોટાભાગના લોકો તે ક્ષમતાઓનો ઉપયોગ કરે છે જે ઉપકરણ તેમને પ્રદાન કરે છે - બાયોમેટ્રિક પ્રમાણીકરણ, એસએમએસ અને પુશ સૂચનાઓ, તેમજ સ્માર્ટફોન પર જ એપ્લિકેશન્સ દ્વારા જનરેટ કરાયેલ વન-ટાઇમ પાસવર્ડ્સ. લોકો સામાન્ય રીતે તેઓ ઉપયોગમાં લેવાતા સાધનોનો ઉપયોગ કરતી વખતે સલામતી અને વિશ્વસનીયતા વિશે વિચારતા નથી.

આ કારણે આદિમ "પરંપરાગત" પ્રમાણીકરણ પરિબળોના વપરાશકર્તાઓની ટકાવારી યથાવત છે. પરંતુ જેમણે અગાઉ પાસવર્ડ્સનો ઉપયોગ કર્યો છે તેઓ સમજે છે કે તેઓ કેટલા જોખમમાં છે, અને નવા પ્રમાણીકરણ પરિબળને પસંદ કરતી વખતે, તેઓ સૌથી નવો અને સૌથી સુરક્ષિત વિકલ્પ પસંદ કરે છે - એક ક્રિપ્ટોગ્રાફિક ટોકન.

કોર્પોરેટ માર્કેટ માટે, તે સમજવું મહત્વપૂર્ણ છે કે કઈ સિસ્ટમ પ્રમાણીકરણ હાથ ધરવામાં આવે છે. જો વિન્ડોઝ ડોમેનમાં લૉગિન લાગુ કરવામાં આવે છે, તો ક્રિપ્ટોગ્રાફિક ટોકન્સનો ઉપયોગ કરવામાં આવે છે. 2FA માટે તેનો ઉપયોગ કરવાની શક્યતાઓ પહેલેથી જ Windows અને Linux બંનેમાં સમાવિષ્ટ છે, અને વૈકલ્પિક વિકલ્પો લાંબા અને અમલ કરવા મુશ્કેલ છે. પાસવર્ડ્સથી ટોકન્સમાં 5% ના સ્થાનાંતરણ માટે ઘણું બધું.

અને કોર્પોરેટ માહિતી પ્રણાલીમાં 2FA નું અમલીકરણ વિકાસકર્તાઓની લાયકાત પર ખૂબ આધાર રાખે છે. અને વિકાસકર્તાઓ માટે ક્રિપ્ટોગ્રાફિક અલ્ગોરિધમ્સના સંચાલનને સમજવા કરતાં વન-ટાઇમ પાસવર્ડ્સ જનરેટ કરવા માટે તૈયાર મોડ્યુલો લેવાનું ખૂબ સરળ છે. અને પરિણામે, સિંગલ સાઇન-ઓન અથવા વિશેષાધિકૃત એક્સેસ મેનેજમેન્ટ સિસ્ટમ્સ જેવી અદ્ભુત સુરક્ષા-જટિલ એપ્લિકેશનો પણ બીજા પરિબળ તરીકે OTP નો ઉપયોગ કરે છે.

પરંપરાગત પ્રમાણીકરણ પદ્ધતિઓમાં ઘણી નબળાઈઓ

જ્યારે ઘણી સંસ્થાઓ લેગસી સિંગલ-ફેક્ટર સિસ્ટમ્સ પર નિર્ભર રહે છે, ત્યારે પરંપરાગત બહુ-પરિબળ પ્રમાણીકરણમાં નબળાઈઓ વધુને વધુ સ્પષ્ટ થઈ રહી છે. એક-વખતના પાસવર્ડ્સ, સામાન્ય રીતે છ થી આઠ અક્ષરોની લંબાઈ, SMS દ્વારા વિતરિત, પ્રમાણીકરણનું સૌથી સામાન્ય સ્વરૂપ રહે છે (અલબત્ત પાસવર્ડ પરિબળ ઉપરાંત). અને જ્યારે લોકપ્રિય પ્રેસમાં "ટુ-ફેક્ટર ઓથેન્ટિકેશન" અથવા "ટુ-સ્ટેપ વેરિફિકેશન" શબ્દોનો ઉલ્લેખ કરવામાં આવે છે, ત્યારે તેઓ હંમેશા SMS વન-ટાઇમ પાસવર્ડ પ્રમાણીકરણનો સંદર્ભ આપે છે.

અહીં લેખકની થોડી ભૂલ છે. એસએમએસ દ્વારા વન-ટાઇમ પાસવર્ડ્સ વિતરિત કરવું એ ક્યારેય દ્વિ-પરિબળ પ્રમાણીકરણ નથી. આ તેના શુદ્ધ સ્વરૂપમાં દ્વિ-પગલાની પ્રમાણીકરણનો બીજો તબક્કો છે, જ્યાં પ્રથમ તબક્કો તમારું લોગિન અને પાસવર્ડ દાખલ કરે છે.

2016 માં, નેશનલ ઇન્સ્ટિટ્યૂટ ઓફ સ્ટાન્ડર્ડ્સ એન્ડ ટેક્નોલોજી (NIST) એ SMS દ્વારા મોકલવામાં આવતા વન-ટાઇમ પાસવર્ડના ઉપયોગને દૂર કરવા માટે તેના પ્રમાણીકરણ નિયમો અપડેટ કર્યા. જો કે, ઉદ્યોગના વિરોધને પગલે આ નિયમોમાં નોંધપાત્ર રાહત આપવામાં આવી હતી.

તેથી, ચાલો પ્લોટને અનુસરીએ. અમેરિકન રેગ્યુલેટર યોગ્ય રીતે ઓળખે છે કે જૂની ટેક્નોલોજી યુઝરની સલામતીને સુનિશ્ચિત કરવામાં સક્ષમ નથી અને નવા ધોરણો રજૂ કરી રહી છે. ઓનલાઈન અને મોબાઈલ એપ્લીકેશન (બેંકીંગ સહિત) ના વપરાશકર્તાઓને સુરક્ષિત કરવા માટે રચાયેલ ધોરણો. ઉદ્યોગ ગણતરી કરી રહ્યું છે કે તેને ખરેખર વિશ્વસનીય ક્રિપ્ટોગ્રાફિક ટોકન્સ ખરીદવા, એપ્લિકેશનને ફરીથી ડિઝાઇન કરવા, સાર્વજનિક કી ઇન્ફ્રાસ્ટ્રક્ચર જમાવવા અને "તેના પાછળના પગ પર ઉભરી" માટે કેટલા પૈસા ખર્ચવા પડશે. એક તરફ, વપરાશકર્તાઓને વન-ટાઇમ પાસવર્ડ્સની વિશ્વસનીયતાની ખાતરી થઈ, અને બીજી તરફ, NIST પર હુમલાઓ થયા. પરિણામે, ધોરણ નરમ પડ્યું, અને હેક્સની સંખ્યામાં અને પાસવર્ડની ચોરી (અને બેંકિંગ એપ્લિકેશનોમાંથી નાણાં) તીવ્ર વધારો થયો. પરંતુ ઉદ્યોગે પૈસા ખર્ચવાની જરૂર નહોતી.

ત્યારથી, SMS OTP ની અંતર્ગત નબળાઈઓ વધુ સ્પષ્ટ થઈ ગઈ છે. છેતરપિંડી કરનારાઓ SMS સંદેશાઓ સાથે ચેડા કરવા માટે વિવિધ પદ્ધતિઓનો ઉપયોગ કરે છે:

• સિમ કાર્ડ ડુપ્લિકેશન. હુમલાખોરો સિમની નકલ બનાવે છે (મોબાઇલ ઓપરેટરના કર્મચારીઓની મદદથી અથવા સ્વતંત્ર રીતે, ખાસ સોફ્ટવેર અને હાર્ડવેરનો ઉપયોગ કરીને). પરિણામે, હુમલાખોરને વન-ટાઇમ પાસવર્ડ સાથેનો SMS પ્રાપ્ત થાય છે. એક ખાસ કરીને પ્રસિદ્ધ કેસમાં, હેકરો ક્રિપ્ટોકરન્સી રોકાણકાર માઈકલ ટર્પિનના AT&T એકાઉન્ટ સાથે ચેડા કરવામાં પણ સક્ષમ હતા અને લગભગ $24 મિલિયન ક્રિપ્ટોકરન્સીની ચોરી કરી શક્યા હતા. પરિણામે, ટર્પિને જણાવ્યું કે AT&T નબળા વેરિફિકેશન માપદંડોને કારણે ભૂલમાં હતું જેના કારણે સિમ કાર્ડ ડુપ્લિકેશન થયું.
  

  અદ્ભુત તર્ક. તો તે ખરેખર માત્ર એટી એન્ડ ટીનો દોષ છે? ના, તે નિઃશંકપણે મોબાઇલ ઓપરેટરની ભૂલ છે કે કોમ્યુનિકેશન સ્ટોરમાં વેચાણકર્તાઓએ ડુપ્લિકેટ સિમ કાર્ડ જારી કર્યું. ક્રિપ્ટોકરન્સી એક્સચેન્જ ઓથેન્ટિકેશન સિસ્ટમ વિશે શું? શા માટે તેઓએ મજબૂત ક્રિપ્ટોગ્રાફિક ટોકન્સનો ઉપયોગ કર્યો નથી? અમલીકરણ પર નાણાં ખર્ચવા તે દયા હતી? શું માઈકલ પોતે જ દોષિત નથી? શા માટે તેણે પ્રમાણીકરણ પદ્ધતિ બદલવાનો આગ્રહ ન રાખ્યો અથવા ફક્ત તે જ એક્સચેન્જોનો ઉપયોગ કર્યો જે ક્રિપ્ટોગ્રાફિક ટોકન્સ પર આધારિત દ્વિ-પરિબળ પ્રમાણીકરણનો અમલ કરે છે?

  ખરેખર વિશ્વસનીય પ્રમાણીકરણ પદ્ધતિઓનો પરિચય ચોક્કસ રીતે વિલંબિત છે કારણ કે વપરાશકર્તાઓ હેકિંગ પહેલાં અદ્ભુત બેદરકારી બતાવે છે, અને પછીથી તેઓ તેમની મુશ્કેલીઓને પ્રાચીન અને "લીકી" પ્રમાણીકરણ તકનીકો સિવાય અન્ય કોઈપણ પર દોષી ઠેરવે છે.

• માલવેર. મોબાઇલ માલવેરના પ્રારંભિક કાર્યોમાંનું એક હુમલાખોરોને ટેક્સ્ટ સંદેશાઓ અટકાવવાનું અને ફોરવર્ડ કરવાનું હતું. ઉપરાંત, મેન-ઇન-ધ-બ્રાઉઝર અને મેન-ઇન-ધ-મિડલ હુમલાઓ જ્યારે ચેપગ્રસ્ત લેપટોપ અથવા ડેસ્કટોપ ઉપકરણો પર દાખલ કરવામાં આવે ત્યારે વન-ટાઇમ પાસવર્ડ્સને અટકાવી શકે છે.
  

  જ્યારે તમારા સ્માર્ટફોન પરની Sberbank એપ્લીકેશન સ્ટેટસ બારમાં લીલા આઇકનને ઝબકાવે છે, ત્યારે તે તમારા ફોન પર "માલવેર" પણ જુએ છે. આ ઇવેન્ટનો ધ્યેય સામાન્ય સ્માર્ટફોનના અવિશ્વસનીય અમલીકરણ પર્યાવરણને ઓછામાં ઓછા અમુક રીતે, વિશ્વસનીયમાં ફેરવવાનો છે.
  માર્ગ દ્વારા, સ્માર્ટફોન, એક સંપૂર્ણ અવિશ્વસનીય ઉપકરણ તરીકે, જેના પર કંઈપણ કરી શકાય છે, પ્રમાણીકરણ માટે તેનો ઉપયોગ કરવાનું બીજું કારણ છે. માત્ર હાર્ડવેર ટોકન્સ, જે વાયરસ અને ટ્રોજનથી સુરક્ષિત અને મુક્ત છે.

• સામાજિક ઈજનેરી. જ્યારે સ્કેમર્સ જાણતા હોય છે કે પીડિત પાસે એસએમએસ દ્વારા વન-ટાઇમ પાસવર્ડ્સ સક્ષમ છે, ત્યારે તેઓ પીડિતનો સીધો સંપર્ક કરી શકે છે, તેમની બેંક અથવા ક્રેડિટ યુનિયન જેવી વિશ્વસનીય સંસ્થા તરીકે, પીડિતને તેમને હમણાં જ પ્રાપ્ત થયેલ કોડ પ્રદાન કરવા માટે છેતરવા માટે.
  

  મેં વ્યક્તિગત રીતે ઘણી વખત આ પ્રકારની છેતરપિંડીનો સામનો કર્યો છે, ઉદાહરણ તરીકે, જ્યારે લોકપ્રિય ઑનલાઇન ચાંચડ બજાર પર કંઈક વેચવાનો પ્રયાસ કરી રહ્યો છું. મેં જાતે જ છેતરપિંડી કરનારની મજાક ઉડાવી જેણે મને મારા હૃદયની સામગ્રીમાં મૂર્ખ બનાવવાનો પ્રયાસ કર્યો. પરંતુ અફસોસ, હું નિયમિતપણે સમાચારોમાં વાંચું છું કે કેવી રીતે સ્કેમર્સનો બીજો શિકાર "વિચાર્યું ન હતું," પુષ્ટિકરણ કોડ આપ્યો અને મોટી રકમ ગુમાવી. અને આ બધું એટલા માટે છે કારણ કે બેંક તેની એપ્લિકેશનમાં ક્રિપ્ટોગ્રાફિક ટોકન્સના અમલીકરણ સાથે વ્યવહાર કરવા માંગતી નથી. છેવટે, જો કંઈક થાય છે, તો પછી ગ્રાહકો "પોતાને દોષ આપે છે."

જ્યારે વૈકલ્પિક OTP ડિલિવરી પદ્ધતિઓ આ પ્રમાણીકરણ પદ્ધતિમાંની કેટલીક નબળાઈઓને ઓછી કરી શકે છે, અન્ય નબળાઈઓ રહે છે. સ્ટેન્ડઅલોન કોડ જનરેશન એપ્લીકેશન્સ એવ્સડ્રોપિંગ સામે શ્રેષ્ઠ રક્ષણ છે, કારણ કે માલવેર પણ ભાગ્યે જ કોડ જનરેટર સાથે સીધો સંપર્ક કરી શકે છે (ગંભીરતાથી? શું રિપોર્ટના લેખક રિમોટ કંટ્રોલ વિશે ભૂલી ગયા?), પરંતુ બ્રાઉઝરમાં દાખલ થવા પર OTP હજુ પણ અટકાવી શકાય છે (ઉદાહરણ તરીકે કીલોગરનો ઉપયોગ કરીને), હેક કરેલ મોબાઇલ એપ્લિકેશન દ્વારા; અને સોશિયલ એન્જિનિયરિંગનો ઉપયોગ કરીને વપરાશકર્તા પાસેથી સીધો મેળવી શકાય છે.
બહુવિધ જોખમ મૂલ્યાંકન સાધનોનો ઉપયોગ કરવો જેમ કે ઉપકરણ ઓળખ (કાનૂની વપરાશકર્તાના ન હોય તેવા ઉપકરણોમાંથી વ્યવહારો કરવા માટેના પ્રયાસોની શોધ), ભૌગોલિક સ્થાન (એક વપરાશકર્તા જે હમણાં જ મોસ્કોમાં છે તે નોવોસિબિર્સ્કથી ઓપરેશન કરવાનો પ્રયાસ કરે છે) અને વર્તણૂક વિશ્લેષણ નબળાઈઓને સંબોધવા માટે મહત્વપૂર્ણ છે, પરંતુ બેમાંથી કોઈ ઉકેલ રામબાણ નથી. દરેક પરિસ્થિતિ અને ડેટાના પ્રકાર માટે, જોખમોનું કાળજીપૂર્વક મૂલ્યાંકન કરવું અને કઈ પ્રમાણીકરણ તકનીકનો ઉપયોગ કરવો જોઈએ તે પસંદ કરવું જરૂરી છે.

કોઈ પ્રમાણીકરણ ઉકેલ એ રામબાણ ઉપાય નથી

આકૃતિ 2. પ્રમાણીકરણ વિકલ્પો કોષ્ટક

પ્રમાણીકરણ	પરિબળ	વર્ણન	મુખ્ય નબળાઈઓ
પાસવર્ડ અથવા PIN	જ્ knowledgeાન	નિશ્ચિત મૂલ્ય, જેમાં અક્ષરો, સંખ્યાઓ અને અન્ય સંખ્યાબંધ અક્ષરો શામેલ હોઈ શકે છે	અટકાવી શકાય છે, જાસૂસી કરી શકાય છે, ચોરી કરી શકાય છે, ઉપાડી શકાય છે અથવા હેક કરી શકાય છે
જ્ઞાન આધારિત પ્રમાણીકરણ	જ્ knowledgeાન	પ્રશ્નોના જવાબો કે જેના જવાબ ફક્ત કાનૂની વપરાશકર્તા જ જાણી શકે છે	સામાજિક ઇજનેરી પદ્ધતિઓનો ઉપયોગ કરીને અટકાવી શકાય છે, ઉઠાવી શકાય છે, મેળવી શકાય છે
હાર્ડવેર OTP (ઉદાહરણ)	કબ્જો	એક વિશિષ્ટ ઉપકરણ જે વન-ટાઇમ પાસવર્ડ જનરેટ કરે છે	કોડને અટકાવવામાં આવી શકે છે અને પુનરાવર્તિત થઈ શકે છે અથવા ઉપકરણ ચોરાઈ શકે છે
સૉફ્ટવેર OTP	કબ્જો	એક એપ્લિકેશન (મોબાઇલ, બ્રાઉઝર દ્વારા ઍક્સેસિબલ, અથવા ઈ-મેલ દ્વારા કોડ મોકલવા) જે વન-ટાઇમ પાસવર્ડ જનરેટ કરે છે	કોડને અટકાવવામાં આવી શકે છે અને પુનરાવર્તિત થઈ શકે છે અથવા ઉપકરણ ચોરાઈ શકે છે
SMS OTP	કબ્જો	એસએમએસ ટેક્સ્ટ સંદેશ દ્વારા વન-ટાઇમ પાસવર્ડ વિતરિત	કોડને અટકાવવામાં આવી શકે છે અને પુનરાવર્તિત થઈ શકે છે, અથવા સ્માર્ટફોન અથવા સિમ કાર્ડ ચોરાઈ શકે છે, અથવા સિમ કાર્ડ ડુપ્લિકેટ થઈ શકે છે
સ્માર્ટ કાર્ડ્સ (ઉદાહરણ)	કબ્જો	એક કાર્ડ જેમાં ક્રિપ્ટોગ્રાફિક ચિપ અને સુરક્ષિત કી મેમરી હોય છે જે પ્રમાણીકરણ માટે સાર્વજનિક કી ઈન્ફ્રાસ્ટ્રક્ચરનો ઉપયોગ કરે છે	શારીરિક રીતે ચોરી થઈ શકે છે (પરંતુ હુમલાખોર પિન કોડ જાણ્યા વિના ઉપકરણનો ઉપયોગ કરી શકશે નહીં; કેટલાક ખોટા ઇનપુટ પ્રયાસોના કિસ્સામાં, ઉપકરણને અવરોધિત કરવામાં આવશે)
સુરક્ષા કી - ટોકન્સ (ઉદાહરણ, બીજું ઉદાહરણ)	કબ્જો	એક USB ઉપકરણ જેમાં ક્રિપ્ટોગ્રાફિક ચિપ અને સુરક્ષિત કી મેમરી હોય છે જે પ્રમાણીકરણ માટે સાર્વજનિક કી ઈન્ફ્રાસ્ટ્રક્ચરનો ઉપયોગ કરે છે	ભૌતિક રીતે ચોરાઈ શકે છે (પરંતુ હુમલાખોર પિન કોડ જાણ્યા વિના ઉપકરણનો ઉપયોગ કરી શકશે નહીં; ઘણા ખોટા એન્ટ્રીના પ્રયાસોના કિસ્સામાં, ઉપકરણને અવરોધિત કરવામાં આવશે)
ઉપકરણ સાથે લિંક કરવું	કબ્જો	પ્રક્રિયા કે જે પ્રોફાઈલ બનાવે છે, ઘણીવાર JavaScript નો ઉપયોગ કરે છે, અથવા ચોક્કસ ઉપકરણનો ઉપયોગ થઈ રહ્યો છે તેની ખાતરી કરવા માટે કૂકીઝ અને ફ્લેશ શેર કરેલ ઑબ્જેક્ટ્સ જેવા માર્કર્સનો ઉપયોગ કરે છે.	ટોકન્સ ચોરાઈ શકે છે (કોપી કરી શકાય છે), અને કાનૂની ઉપકરણની લાક્ષણિકતાઓ તેના ઉપકરણ પર હુમલાખોર દ્વારા અનુકરણ કરી શકાય છે.
બિહેવિયર	આનુવંશિકતા	વપરાશકર્તા ઉપકરણ અથવા પ્રોગ્રામ સાથે કેવી રીતે ક્રિયાપ્રતિક્રિયા કરે છે તેનું વિશ્લેષણ કરે છે	વર્તનનું અનુકરણ થઈ શકે છે
ફિંગરપ્રિન્ટ્સ	આનુવંશિકતા	સંગ્રહિત ફિંગરપ્રિન્ટ્સની સરખામણી ઓપ્ટિકલી અથવા ઈલેક્ટ્રોનિકલી કેપ્ચર કરાયેલી ફિંગરપ્રિન્ટ્સ સાથે કરવામાં આવે છે	ઇમેજ ચોરી કરી શકાય છે અને પ્રમાણીકરણ માટે ઉપયોગ કરી શકાય છે
આંખનું સ્કેન	આનુવંશિકતા	નવા ઓપ્ટિકલ સ્કેન સાથે આઇરિસ પેટર્ન જેવી આંખની લાક્ષણિકતાઓની તુલના કરે છે	ઇમેજ ચોરી કરી શકાય છે અને પ્રમાણીકરણ માટે ઉપયોગ કરી શકાય છે
ચહેરાની ઓળખ	આનુવંશિકતા	ચહેરાના લક્ષણોની સરખામણી નવા ઓપ્ટિકલ સ્કેન સાથે કરવામાં આવે છે	ઇમેજ ચોરી કરી શકાય છે અને પ્રમાણીકરણ માટે ઉપયોગ કરી શકાય છે
અવાજ ઓળખ	આનુવંશિકતા	રેકોર્ડ કરેલા અવાજના નમૂનાની લાક્ષણિકતાઓની સરખામણી નવા નમૂનાઓ સાથે કરવામાં આવે છે	રેકોર્ડની ચોરી કરી શકાય છે અને તેનો ઉપયોગ પ્રમાણીકરણ અથવા અનુકરણ માટે કરી શકાય છે

પ્રકાશનના બીજા ભાગમાં, સૌથી સ્વાદિષ્ટ વસ્તુઓ આપણી રાહ જુએ છે - સંખ્યાઓ અને તથ્યો, જેના આધારે પ્રથમ ભાગમાં આપેલા તારણો અને ભલામણો આધારિત છે. વપરાશકર્તા એપ્લિકેશન્સમાં અને કોર્પોરેટ સિસ્ટમ્સમાં પ્રમાણીકરણની અલગથી ચર્ચા કરવામાં આવશે.

Встречи встречи!

સોર્સ: www.habr.com