प्रमाणीकरण और पासवर्ड का क्या होगा? टिप्पणियों के साथ जेवलिन रिपोर्ट "मजबूत प्रमाणीकरण की स्थिति" का अनुवाद

रिपोर्ट के शीर्षक से स्पॉइलर: "नए जोखिमों और नियामक आवश्यकताओं के खतरे के कारण मजबूत प्रमाणीकरण का उपयोग बढ़ता है।"
अनुसंधान कंपनी "जेवलिन स्ट्रैटेजी एंड रिसर्च" ने "द स्टेट ऑफ स्ट्रॉन्ग ऑथेंटिकेशन 2019" रिपोर्ट प्रकाशित की। मूल प्रति पीडीएफ प्रारूप में यहां से डाउनलोड की जा सकती है). यह रिपोर्ट कहती है: कितने प्रतिशत अमेरिकी और यूरोपीय कंपनियां पासवर्ड का उपयोग करती हैं (और अब बहुत कम लोग पासवर्ड का उपयोग क्यों करते हैं); क्रिप्टोग्राफ़िक टोकन पर आधारित दो-कारक प्रमाणीकरण का उपयोग इतनी तेज़ी से क्यों बढ़ रहा है; एसएमएस के माध्यम से भेजे गए एकमुश्त कोड सुरक्षित क्यों नहीं हैं?

उद्यमों और उपभोक्ता अनुप्रयोगों में प्रमाणीकरण के वर्तमान, अतीत और भविष्य में रुचि रखने वाले किसी भी व्यक्ति का स्वागत है।

अनुवादक से

अफ़सोस, जिस भाषा में यह रिपोर्ट लिखी गई है वह काफी "सूखी" और औपचारिक है। और एक छोटे वाक्य में "प्रमाणीकरण" शब्द का पांच बार उपयोग अनुवादक के टेढ़े हाथ (या दिमाग) नहीं, बल्कि लेखकों की सनक है। दो विकल्पों से अनुवाद करते समय - पाठकों को मूल के करीब या अधिक दिलचस्प पाठ देने के लिए, मैंने कभी पहले को चुना, और कभी दूसरे को। लेकिन धैर्य रखें, प्रिय पाठकों, रिपोर्ट की सामग्री इसके लायक है।

कहानी के लिए कुछ महत्वहीन और अनावश्यक अंश हटा दिए गए, अन्यथा अधिकांश लोग पूरे पाठ को पढ़ने में सक्षम नहीं होते। जो लोग "अनकट" रिपोर्ट पढ़ना चाहते हैं, वे लिंक का अनुसरण करके मूल भाषा में ऐसा कर सकते हैं।

दुर्भाग्य से, लेखक हमेशा शब्दावली को लेकर सावधान नहीं रहते हैं। इस प्रकार, वन-टाइम पासवर्ड (वन टाइम पासवर्ड - ओटीपी) को कभी-कभी "पासवर्ड" और कभी-कभी "कोड" कहा जाता है। प्रमाणीकरण विधियों के साथ तो यह और भी बुरा है। अप्रशिक्षित पाठक के लिए यह अनुमान लगाना हमेशा आसान नहीं होता है कि "क्रिप्टोग्राफ़िक कुंजियों का उपयोग करके प्रमाणीकरण" और "मजबूत प्रमाणीकरण" एक ही चीज़ हैं। मैंने यथासंभव शब्दों को एकीकृत करने का प्रयास किया, और रिपोर्ट में ही उनके विवरण के साथ एक अंश है।

फिर भी, रिपोर्ट को पढ़ने की अत्यधिक अनुशंसा की जाती है क्योंकि इसमें अद्वितीय शोध परिणाम और सही निष्कर्ष शामिल हैं।

सभी आंकड़े और तथ्य थोड़े से बदलाव के बिना प्रस्तुत किए गए हैं, और यदि आप उनसे सहमत नहीं हैं, तो अनुवादक के साथ नहीं, बल्कि रिपोर्ट के लेखकों के साथ बहस करना बेहतर है। और यहां मेरी टिप्पणियाँ हैं (उद्धरण के रूप में रखी गई हैं, और पाठ में चिह्नित हैं इतालवी) मेरा मूल्य निर्णय है और मुझे उनमें से प्रत्येक पर (साथ ही अनुवाद की गुणवत्ता पर) बहस करने में खुशी होगी।

Обзор

आजकल, व्यवसायों के लिए ग्राहकों के साथ संचार के डिजिटल चैनल पहले से कहीं अधिक महत्वपूर्ण हैं। और कंपनी के भीतर, कर्मचारियों के बीच संचार पहले से कहीं अधिक डिजिटल रूप से उन्मुख है। और ये इंटरैक्शन कितने सुरक्षित होंगे यह उपयोगकर्ता प्रमाणीकरण की चुनी गई विधि पर निर्भर करता है। उपयोगकर्ता खातों को बड़े पैमाने पर हैक करने के लिए हमलावर कमजोर प्रमाणीकरण का उपयोग करते हैं। जवाब में, नियामक व्यवसायों को उपयोगकर्ता खातों और डेटा की बेहतर सुरक्षा के लिए बाध्य करने के लिए मानकों को कड़ा कर रहे हैं।

प्रमाणीकरण-संबंधी खतरे उपभोक्ता अनुप्रयोगों से परे हैं; हमलावर उद्यम के अंदर चल रहे अनुप्रयोगों तक भी पहुंच प्राप्त कर सकते हैं। यह ऑपरेशन उन्हें कॉर्पोरेट उपयोगकर्ताओं का प्रतिरूपण करने की अनुमति देता है। कमजोर प्रमाणीकरण वाले एक्सेस प्वाइंट का उपयोग करने वाले हमलावर डेटा चुरा सकते हैं और अन्य धोखाधड़ी वाली गतिविधियां कर सकते हैं। सौभाग्य से, इससे निपटने के उपाय मौजूद हैं। मजबूत प्रमाणीकरण उपभोक्ता अनुप्रयोगों और उद्यम व्यापार प्रणालियों दोनों पर किसी हमलावर द्वारा हमले के जोखिम को काफी कम करने में मदद करेगा।

यह अध्ययन जांच करता है: उद्यम अंतिम-उपयोगकर्ता अनुप्रयोगों और उद्यम व्यवसाय प्रणालियों की सुरक्षा के लिए प्रमाणीकरण कैसे लागू करते हैं; प्रमाणीकरण समाधान चुनते समय वे जिन कारकों पर विचार करते हैं; उनके संगठनों में मजबूत प्रमाणीकरण की भूमिका; इन संगठनों को जो लाभ मिलता है।

सारांश

मुख्य निष्कर्ष

2017 के बाद से मजबूत प्रमाणीकरण का उपयोग तेजी से बढ़ा है। पारंपरिक प्रमाणीकरण समाधानों को प्रभावित करने वाली कमजोरियों की बढ़ती संख्या के साथ, संगठन मजबूत प्रमाणीकरण के साथ अपनी प्रमाणीकरण क्षमताओं को मजबूत कर रहे हैं। उपभोक्ता अनुप्रयोगों के लिए क्रिप्टोग्राफ़िक मल्टी-फैक्टर प्रमाणीकरण (एमएफए) का उपयोग करने वाले संगठनों की संख्या 2017 से तीन गुना हो गई है और एंटरप्राइज़ अनुप्रयोगों के लिए लगभग 50% की वृद्धि हुई है। बायोमेट्रिक प्रमाणीकरण की बढ़ती उपलब्धता के कारण मोबाइल प्रमाणीकरण में सबसे तेज़ वृद्धि देखी जा रही है।

यहाँ हम इस कहावत का एक उदाहरण देखते हैं "जब तक गड़गड़ाहट न हो, एक आदमी खुद को पार नहीं करेगा।" जब विशेषज्ञों ने पासवर्ड की असुरक्षा के बारे में चेतावनी दी, तो किसी को भी दो-कारक प्रमाणीकरण लागू करने की कोई जल्दी नहीं थी। जैसे ही हैकर्स ने पासवर्ड चुराना शुरू किया, लोगों ने टू-फैक्टर ऑथेंटिकेशन लागू करना शुरू कर दिया।

सच है, व्यक्ति 2FA को अधिक सक्रिय रूप से कार्यान्वित कर रहे हैं। सबसे पहले, उनके लिए स्मार्टफ़ोन में निर्मित बायोमेट्रिक प्रमाणीकरण पर भरोसा करके अपने डर को शांत करना आसान है, जो वास्तव में बहुत अविश्वसनीय है। संगठनों को टोकन खरीदने पर पैसा खर्च करने और उन्हें लागू करने के लिए काम (वास्तव में, बहुत सरल) करने की आवश्यकता है। और दूसरी बात, केवल आलसी लोगों ने फेसबुक और ड्रॉपबॉक्स जैसी सेवाओं से पासवर्ड लीक के बारे में नहीं लिखा है, लेकिन किसी भी परिस्थिति में इन संगठनों के सीआईओ कहानियों को साझा नहीं करेंगे कि संगठनों में पासवर्ड कैसे चोरी हुए (और आगे क्या हुआ)।

जो लोग मजबूत प्रमाणीकरण का उपयोग नहीं करते हैं वे अपने व्यवसाय और ग्राहकों के लिए जोखिम को कम आंक रहे हैं। कुछ संगठन जो वर्तमान में मजबूत प्रमाणीकरण का उपयोग नहीं करते हैं, वे लॉगिन और पासवर्ड को उपयोगकर्ता प्रमाणीकरण के सबसे प्रभावी और उपयोग में आसान तरीकों में से एक के रूप में देखते हैं। अन्य लोग अपनी डिजिटल संपत्तियों का मूल्य नहीं देखते हैं। आख़िरकार, यह विचार करने योग्य है कि साइबर अपराधी किसी भी उपभोक्ता और व्यावसायिक जानकारी में रुचि रखते हैं। दो-तिहाई कंपनियां जो अपने कर्मचारियों को प्रमाणित करने के लिए केवल पासवर्ड का उपयोग करती हैं, वे ऐसा इसलिए करती हैं क्योंकि उनका मानना ​​है कि वे जिस प्रकार की जानकारी की सुरक्षा करते हैं, उसके लिए पासवर्ड काफी अच्छे हैं।

हालाँकि, पासवर्ड कब्र की ओर जा रहे हैं। उपभोक्ता और उद्यम दोनों अनुप्रयोगों के लिए पासवर्ड निर्भरता पिछले वर्ष में काफी कम हो गई है (क्रमशः 44% से 31% और 56% से 47% तक) क्योंकि संगठन पारंपरिक एमएफए और मजबूत प्रमाणीकरण का उपयोग बढ़ाते हैं।
लेकिन अगर हम स्थिति को समग्र रूप से देखें, तो कमजोर प्रमाणीकरण विधियाँ अभी भी प्रचलित हैं। उपयोगकर्ता प्रमाणीकरण के लिए, लगभग एक चौथाई संगठन सुरक्षा प्रश्नों के साथ एसएमएस ओटीपी (वन-टाइम पासवर्ड) का उपयोग करते हैं। परिणामस्वरूप, लागत बढ़ने वाली भेद्यता से बचाने के लिए अतिरिक्त सुरक्षा उपाय लागू किए जाने चाहिए। हार्डवेयर क्रिप्टोग्राफ़िक कुंजियों जैसी अधिक सुरक्षित प्रमाणीकरण विधियों का उपयोग लगभग 5% संगठनों में बहुत कम बार किया जाता है।

विकसित हो रहा नियामक वातावरण उपभोक्ता अनुप्रयोगों के लिए मजबूत प्रमाणीकरण को अपनाने में तेजी लाने का वादा करता है। PSD2 की शुरूआत के साथ-साथ यूरोपीय संघ और कैलिफ़ोर्निया जैसे कई अमेरिकी राज्यों में नए डेटा सुरक्षा नियमों के साथ, कंपनियों को परेशानी महसूस हो रही है। लगभग 70% कंपनियां इस बात से सहमत हैं कि उन्हें अपने ग्राहकों को मजबूत प्रमाणीकरण प्रदान करने के लिए मजबूत नियामक दबाव का सामना करना पड़ता है। आधे से अधिक उद्यमों का मानना ​​है कि कुछ वर्षों के भीतर उनके प्रमाणीकरण तरीके नियामक मानकों को पूरा करने के लिए पर्याप्त नहीं होंगे।

कार्यक्रमों और सेवाओं के उपयोगकर्ताओं के व्यक्तिगत डेटा की सुरक्षा के लिए रूसी और अमेरिकी-यूरोपीय विधायकों के दृष्टिकोण में अंतर स्पष्ट रूप से दिखाई देता है। रूसी कहते हैं: प्रिय सेवा मालिकों, आप जो चाहते हैं और जैसा चाहते हैं वैसा करें, लेकिन यदि आपका व्यवस्थापक डेटाबेस का विलय करता है, तो हम आपको दंडित करेंगे। वे विदेश में कहते हैं: आपको उपायों का एक सेट लागू करना होगा अनुमति नहीं देगा आधार को सूखा दें. इसीलिए वहां सख्त दो-कारक प्रमाणीकरण की आवश्यकताएं लागू की जा रही हैं।
सच है, यह इस तथ्य से बहुत दूर है कि हमारी विधायी मशीन एक दिन अपने होश में नहीं आएगी और पश्चिमी अनुभव को ध्यान में नहीं रखेगी। फिर यह पता चला कि सभी को 2FA लागू करने की आवश्यकता है, जो रूसी क्रिप्टोग्राफ़िक मानकों का अनुपालन करता है, और तत्काल।

एक मजबूत प्रमाणीकरण ढांचा स्थापित करने से कंपनियों को नियामक आवश्यकताओं को पूरा करने से लेकर ग्राहकों की जरूरतों को पूरा करने पर अपना ध्यान केंद्रित करने की अनुमति मिलती है। उन संगठनों के लिए जो अभी भी सरल पासवर्ड का उपयोग कर रहे हैं या एसएमएस के माध्यम से कोड प्राप्त कर रहे हैं, प्रमाणीकरण विधि चुनते समय सबसे महत्वपूर्ण कारक नियामक आवश्यकताओं का अनुपालन होगा। लेकिन वे कंपनियाँ जो पहले से ही मजबूत प्रमाणीकरण का उपयोग करती हैं, वे उन प्रमाणीकरण तरीकों को चुनने पर ध्यान केंद्रित कर सकती हैं जो ग्राहक वफादारी बढ़ाते हैं।

किसी उद्यम के भीतर कॉर्पोरेट प्रमाणीकरण विधि चुनते समय, नियामक आवश्यकताएँ अब एक महत्वपूर्ण कारक नहीं रह जाती हैं। इस मामले में, एकीकरण में आसानी (32%) और लागत (26%) अधिक महत्वपूर्ण हैं।

फ़िशिंग के युग में, हमलावर घोटाले के लिए कॉर्पोरेट ईमेल का उपयोग कर सकते हैं धोखाधड़ी से डेटा, खातों (उचित पहुंच अधिकारों के साथ) तक पहुंच प्राप्त करना, और यहां तक ​​कि कर्मचारियों को अपने खाते में धन हस्तांतरण करने के लिए राजी करना। इसलिए, कॉर्पोरेट ईमेल और पोर्टल खातों को विशेष रूप से अच्छी तरह से संरक्षित किया जाना चाहिए।

Google ने मजबूत प्रमाणीकरण लागू करके अपनी सुरक्षा को मजबूत किया है। दो साल से अधिक समय पहले, Google ने FIDO U2F मानक का उपयोग करके क्रिप्टोग्राफ़िक सुरक्षा कुंजी के आधार पर दो-कारक प्रमाणीकरण के कार्यान्वयन पर एक रिपोर्ट प्रकाशित की थी, जिसमें प्रभावशाली परिणाम बताए गए थे। कंपनी के मुताबिक, 85 से ज्यादा कर्मचारियों पर एक भी फिशिंग हमला नहीं किया गया.

अनुशंसाएँ

मोबाइल और ऑनलाइन एप्लिकेशन के लिए मजबूत प्रमाणीकरण लागू करें। क्रिप्टोग्राफ़िक कुंजियों पर आधारित बहु-कारक प्रमाणीकरण पारंपरिक एमएफए तरीकों की तुलना में हैकिंग के खिलाफ काफी बेहतर सुरक्षा प्रदान करता है। इसके अलावा, क्रिप्टोग्राफ़िक कुंजियों का उपयोग अधिक सुविधाजनक है क्योंकि उपयोगकर्ता के डिवाइस से प्रमाणीकरण सर्वर तक अतिरिक्त जानकारी - पासवर्ड, वन-टाइम पासवर्ड या बायोमेट्रिक डेटा का उपयोग करने और स्थानांतरित करने की कोई आवश्यकता नहीं है। इसके अतिरिक्त, प्रमाणीकरण प्रोटोकॉल को मानकीकृत करने से नई प्रमाणीकरण विधियों के उपलब्ध होने पर उन्हें लागू करना बहुत आसान हो जाता है, कार्यान्वयन लागत कम हो जाती है और अधिक परिष्कृत धोखाधड़ी योजनाओं से बचाव होता है।

वन-टाइम पासवर्ड (ओटीपी) की समाप्ति के लिए तैयार रहें। ओटीपी में निहित कमजोरियां तेजी से स्पष्ट हो रही हैं क्योंकि साइबर अपराधी प्रमाणीकरण के इन साधनों से समझौता करने के लिए सोशल इंजीनियरिंग, स्मार्टफोन क्लोनिंग और मैलवेयर का उपयोग करते हैं। और अगर कुछ मामलों में ओटीपी के कुछ फायदे हैं, तो केवल सभी उपयोगकर्ताओं के लिए सार्वभौमिक उपलब्धता के दृष्टिकोण से, लेकिन सुरक्षा के दृष्टिकोण से नहीं।

यह नोटिस करना असंभव नहीं है कि एसएमएस या पुश नोटिफिकेशन के माध्यम से कोड प्राप्त करना, साथ ही स्मार्टफ़ोन के लिए प्रोग्राम का उपयोग करके कोड उत्पन्न करना, उन्हीं वन-टाइम पासवर्ड (ओटीपी) का उपयोग है जिसके लिए हमें गिरावट के लिए तैयार रहने के लिए कहा जाता है। तकनीकी दृष्टिकोण से, समाधान बहुत सही है, क्योंकि यह एक दुर्लभ धोखेबाज है जो किसी भोले-भाले उपयोगकर्ता से वन-टाइम पासवर्ड जानने की कोशिश नहीं करता है। लेकिन मुझे लगता है कि ऐसी प्रणालियों के निर्माता आख़िर तक मरती हुई प्रौद्योगिकी से चिपके रहेंगे।

ग्राहक विश्वास बढ़ाने के लिए मार्केटिंग टूल के रूप में मजबूत प्रमाणीकरण का उपयोग करें। मजबूत प्रमाणीकरण आपके व्यवसाय की वास्तविक सुरक्षा में सुधार के अलावा और भी बहुत कुछ कर सकता है। ग्राहकों को यह सूचित करना कि आपका व्यवसाय मजबूत प्रमाणीकरण का उपयोग करता है, उस व्यवसाय की सुरक्षा के बारे में सार्वजनिक धारणा को मजबूत कर सकता है - एक महत्वपूर्ण कारक जब मजबूत प्रमाणीकरण विधियों के लिए ग्राहक की महत्वपूर्ण मांग होती है।

कॉर्पोरेट डेटा की संपूर्ण सूची और गंभीरता का मूल्यांकन करें और महत्व के अनुसार इसकी सुरक्षा करें। यहां तक ​​कि कम जोखिम वाला डेटा जैसे ग्राहक संपर्क जानकारी (नहीं, वास्तव में, रिपोर्ट "कम जोखिम" कहती है, यह बहुत अजीब है कि वे इस जानकारी के महत्व को कम आंकते हैं), धोखेबाजों के लिए महत्वपूर्ण मूल्य ला सकता है और कंपनी के लिए समस्याएँ पैदा कर सकता है।

मजबूत एंटरप्राइज़ प्रमाणीकरण का उपयोग करें. कई प्रणालियाँ अपराधियों के लिए सबसे आकर्षक लक्ष्य हैं। इनमें आंतरिक और इंटरनेट से जुड़े सिस्टम जैसे अकाउंटिंग प्रोग्राम या कॉर्पोरेट डेटा वेयरहाउस शामिल हैं। मजबूत प्रमाणीकरण हमलावरों को अनधिकृत पहुंच प्राप्त करने से रोकता है, और यह सटीक रूप से निर्धारित करना भी संभव बनाता है कि किस कर्मचारी ने दुर्भावनापूर्ण गतिविधि की है।

सशक्त प्रमाणीकरण क्या है?

मजबूत प्रमाणीकरण का उपयोग करते समय, उपयोगकर्ता की प्रामाणिकता को सत्यापित करने के लिए कई तरीकों या कारकों का उपयोग किया जाता है:

• ज्ञान कारक: उपयोगकर्ता और उपयोगकर्ता के प्रमाणित विषय के बीच साझा रहस्य (जैसे पासवर्ड, सुरक्षा प्रश्नों के उत्तर, आदि)
• स्वामित्व कारक: एक उपकरण जो केवल उपयोगकर्ता के पास है (उदाहरण के लिए, एक मोबाइल डिवाइस, एक क्रिप्टोग्राफ़िक कुंजी, आदि)
• वफ़ादारी कारक: उपयोगकर्ता की भौतिक (अक्सर बायोमेट्रिक) विशेषताएं (उदाहरण के लिए, फ़िंगरप्रिंट, आईरिस पैटर्न, आवाज़, व्यवहार, आदि)

कई कारकों को हैक करने की आवश्यकता से हमलावरों के लिए विफलता की संभावना बहुत बढ़ जाती है, क्योंकि विभिन्न कारकों को दरकिनार करने या धोखा देने के लिए प्रत्येक कारक के लिए अलग से कई प्रकार की हैकिंग रणनीति का उपयोग करने की आवश्यकता होती है।

उदाहरण के लिए, 2FA "पासवर्ड + स्मार्टफोन" के साथ, एक हमलावर उपयोगकर्ता के पासवर्ड को देखकर और उसके स्मार्टफोन की एक सटीक सॉफ्टवेयर कॉपी बनाकर प्रमाणीकरण कर सकता है। और यह केवल पासवर्ड चुराने से कहीं अधिक कठिन है।

लेकिन अगर 2FA के लिए पासवर्ड और क्रिप्टोग्राफ़िक टोकन का उपयोग किया जाता है, तो कॉपी करने का विकल्प यहां काम नहीं करता है - टोकन की नकल करना असंभव है। जालसाज को उपयोगकर्ता से चुपचाप टोकन चुराना होगा। यदि उपयोगकर्ता समय पर नुकसान को नोटिस करता है और व्यवस्थापक को सूचित करता है, तो टोकन अवरुद्ध कर दिया जाएगा और जालसाज के प्रयास व्यर्थ हो जाएंगे। यही कारण है कि स्वामित्व कारक के लिए सामान्य प्रयोजन उपकरणों (स्मार्टफोन) के बजाय विशेष सुरक्षित उपकरणों (टोकन) के उपयोग की आवश्यकता होती है।

सभी तीन कारकों का उपयोग करने से यह प्रमाणीकरण विधि लागू करना काफी महंगा हो जाएगा और उपयोग करने में काफी असुविधाजनक हो जाएगा। इसलिए, आमतौर पर तीन में से दो कारकों का उपयोग किया जाता है।

दो-कारक प्रमाणीकरण के सिद्धांतों का अधिक विस्तार से वर्णन किया गया है यहां, "दो-कारक प्रमाणीकरण कैसे काम करता है" ब्लॉक में।

यह ध्यान रखना महत्वपूर्ण है कि मजबूत प्रमाणीकरण में उपयोग किए जाने वाले प्रमाणीकरण कारकों में से कम से कम एक को सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करना चाहिए।

मजबूत प्रमाणीकरण क्लासिक पासवर्ड और पारंपरिक एमएफए पर आधारित एकल-कारक प्रमाणीकरण की तुलना में अधिक मजबूत सुरक्षा प्रदान करता है। कीलॉगर्स, फ़िशिंग साइट्स, या सोशल इंजीनियरिंग हमलों (जहां पीड़ित को अपना पासवर्ड प्रकट करने के लिए धोखा दिया जाता है) का उपयोग करके पासवर्ड की जासूसी की जा सकती है या उसे इंटरसेप्ट किया जा सकता है। इसके अलावा, पासवर्ड के मालिक को चोरी के बारे में कुछ भी पता नहीं चलेगा। पारंपरिक एमएफए (स्मार्टफोन या सिम कार्ड से जुड़े ओटीपी कोड सहित) को भी काफी आसानी से हैक किया जा सकता है, क्योंकि यह सार्वजनिक कुंजी क्रिप्टोग्राफी पर आधारित नहीं है (वैसे, ऐसे कई उदाहरण हैं, जब समान सोशल इंजीनियरिंग तकनीकों का उपयोग करके, स्कैमर्स ने उपयोगकर्ताओं को उन्हें वन-टाइम पासवर्ड देने के लिए राजी किया).

सौभाग्य से, मजबूत प्रमाणीकरण और पारंपरिक एमएफए का उपयोग पिछले साल से उपभोक्ता और उद्यम दोनों अनुप्रयोगों में जोर पकड़ रहा है। उपभोक्ता अनुप्रयोगों में मजबूत प्रमाणीकरण का उपयोग विशेष रूप से तेजी से बढ़ा है। यदि 2017 में केवल 5% कंपनियों ने इसका उपयोग किया, तो 2018 में यह पहले से ही तीन गुना अधिक - 16% था। इसे सार्वजनिक कुंजी क्रिप्टोग्राफी (पीकेसी) एल्गोरिदम का समर्थन करने वाले टोकन की बढ़ती उपलब्धता से समझाया जा सकता है। इसके अलावा, PSD2 और जीडीपीआर जैसे नए डेटा सुरक्षा नियमों को अपनाने के बाद यूरोपीय नियामकों के बढ़ते दबाव का यूरोप के बाहर भी गहरा प्रभाव पड़ा है (रूस सहित).

आइए इन नंबरों पर करीब से नज़र डालें। जैसा कि हम देख सकते हैं, बहु-कारक प्रमाणीकरण का उपयोग करने वाले निजी व्यक्तियों का प्रतिशत वर्ष के दौरान प्रभावशाली 11% बढ़ गया है। और यह स्पष्ट रूप से पासवर्ड प्रेमियों की कीमत पर हुआ, क्योंकि पुश नोटिफिकेशन, एसएमएस और बायोमेट्रिक्स की सुरक्षा में विश्वास करने वालों की संख्या में कोई बदलाव नहीं आया है।

लेकिन कॉर्पोरेट उपयोग के लिए दो-कारक प्रमाणीकरण के साथ, चीजें इतनी अच्छी नहीं हैं। सबसे पहले, रिपोर्ट के अनुसार, केवल 5% कर्मचारियों को पासवर्ड प्रमाणीकरण से टोकन में स्थानांतरित किया गया था। और दूसरी बात, कॉर्पोरेट वातावरण में वैकल्पिक एमएफए विकल्पों का उपयोग करने वालों की संख्या में 4% की वृद्धि हुई है।

मैं विश्लेषक की भूमिका निभाने और अपनी व्याख्या देने का प्रयास करूंगा। व्यक्तिगत उपयोगकर्ताओं की डिजिटल दुनिया के केंद्र में स्मार्टफोन है। इसलिए, इसमें कोई आश्चर्य की बात नहीं है कि अधिकांश लोग उन क्षमताओं का उपयोग करते हैं जो डिवाइस उन्हें प्रदान करता है - बायोमेट्रिक प्रमाणीकरण, एसएमएस और पुश सूचनाएं, साथ ही स्मार्टफोन पर एप्लिकेशन द्वारा उत्पन्न वन-टाइम पासवर्ड। लोग आमतौर पर उन उपकरणों का उपयोग करते समय सुरक्षा और विश्वसनीयता के बारे में नहीं सोचते जिनके वे आदी हैं।

यही कारण है कि आदिम "पारंपरिक" प्रमाणीकरण कारकों के उपयोगकर्ताओं का प्रतिशत अपरिवर्तित रहता है। लेकिन जिन लोगों ने पहले पासवर्ड का उपयोग किया है, वे समझते हैं कि वे कितना जोखिम उठा रहे हैं, और एक नया प्रमाणीकरण कारक चुनते समय, वे नवीनतम और सबसे सुरक्षित विकल्प चुनते हैं - एक क्रिप्टोग्राफ़िक टोकन।

जहां तक ​​कॉरपोरेट बाजार का सवाल है, यह समझना महत्वपूर्ण है कि प्रमाणीकरण किस सिस्टम में किया जाता है। यदि विंडोज़ डोमेन में लॉगिन लागू किया जाता है, तो क्रिप्टोग्राफ़िक टोकन का उपयोग किया जाता है। 2FA के लिए उनका उपयोग करने की संभावनाएं पहले से ही विंडोज और लिनक्स दोनों में शामिल हैं, और वैकल्पिक विकल्प लंबे हैं और उन्हें लागू करना मुश्किल है। पासवर्ड से टोकन में 5% के माइग्रेशन के लिए इतना ही।

और कॉर्पोरेट सूचना प्रणाली में 2FA का कार्यान्वयन बहुत हद तक डेवलपर्स की योग्यता पर निर्भर करता है। और डेवलपर्स के लिए क्रिप्टोग्राफ़िक एल्गोरिदम के संचालन को समझने की तुलना में वन-टाइम पासवर्ड बनाने के लिए तैयार मॉड्यूल लेना बहुत आसान है। और परिणामस्वरूप, सिंगल साइन-ऑन या प्रिविलेज्ड एक्सेस मैनेजमेंट सिस्टम जैसे अविश्वसनीय रूप से सुरक्षा-महत्वपूर्ण एप्लिकेशन भी दूसरे कारक के रूप में ओटीपी का उपयोग करते हैं।

पारंपरिक प्रमाणीकरण विधियों में कई कमजोरियाँ

जबकि कई संगठन विरासती एकल-कारक प्रणालियों पर निर्भर रहते हैं, पारंपरिक बहु-कारक प्रमाणीकरण में कमजोरियाँ तेजी से स्पष्ट होती जा रही हैं। एक बार के पासवर्ड, आमतौर पर लंबाई में छह से आठ अक्षर, एसएमएस के माध्यम से वितरित, प्रमाणीकरण का सबसे सामान्य रूप बने रहते हैं (पासवर्ड कारक के अलावा, निश्चित रूप से)। और जब लोकप्रिय प्रेस में "दो-कारक प्रमाणीकरण" या "दो-चरणीय सत्यापन" शब्द का उल्लेख किया जाता है, तो वे लगभग हमेशा एसएमएस वन-टाइम पासवर्ड प्रमाणीकरण का उल्लेख करते हैं।

यहाँ लेखक थोड़ा गलत है। एसएमएस के माध्यम से वन-टाइम पासवर्ड वितरित करना कभी भी दो-कारक प्रमाणीकरण नहीं रहा है। यह अपने शुद्धतम रूप में दो-चरणीय प्रमाणीकरण का दूसरा चरण है, जहां पहला चरण आपका लॉगिन और पासवर्ड दर्ज करना है।

2016 में, नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी (एनआईएसटी) ने एसएमएस के माध्यम से भेजे गए वन-टाइम पासवर्ड के उपयोग को खत्म करने के लिए अपने प्रमाणीकरण नियमों को अपडेट किया। हालाँकि, उद्योग जगत के विरोध के बाद इन नियमों में काफी ढील दी गई।

तो, आइए कथानक का अनुसरण करें। अमेरिकी नियामक ठीक ही मानता है कि पुरानी तकनीक उपयोगकर्ता सुरक्षा सुनिश्चित करने में सक्षम नहीं है और नए मानक पेश कर रही है। ऑनलाइन और मोबाइल एप्लिकेशन (बैंकिंग एप्लिकेशन सहित) के उपयोगकर्ताओं की सुरक्षा के लिए डिज़ाइन किए गए मानक। उद्योग गणना कर रहा है कि उसे वास्तव में विश्वसनीय क्रिप्टोग्राफ़िक टोकन खरीदने, अनुप्रयोगों को फिर से डिज़ाइन करने, सार्वजनिक कुंजी बुनियादी ढांचे को तैनात करने पर कितना पैसा खर्च करना होगा, और "अपने पिछले पैरों पर बढ़ रहा है।" एक ओर, उपयोगकर्ता वन-टाइम पासवर्ड की विश्वसनीयता के बारे में आश्वस्त थे, और दूसरी ओर, एनआईएसटी पर हमले हुए। परिणामस्वरूप, मानक को नरम कर दिया गया, और हैक और पासवर्ड की चोरी (और बैंकिंग अनुप्रयोगों से धन) की संख्या में तेजी से वृद्धि हुई। लेकिन इंडस्ट्री को पैसा खर्च नहीं करना पड़ा।

तब से, एसएमएस ओटीपी की अंतर्निहित कमजोरियां और अधिक स्पष्ट हो गई हैं। जालसाज़ एसएमएस संदेशों से समझौता करने के लिए विभिन्न तरीकों का उपयोग करते हैं:

• सिम कार्ड डुप्लिकेशन. हमलावर सिम की एक प्रति बनाते हैं (मोबाइल ऑपरेटर कर्मचारियों की मदद से, या स्वतंत्र रूप से, विशेष सॉफ़्टवेयर और हार्डवेयर का उपयोग करके). परिणामस्वरूप, हमलावर को वन-टाइम पासवर्ड वाला एक एसएमएस प्राप्त होता है। एक विशेष रूप से प्रसिद्ध मामले में, हैकर्स क्रिप्टोक्यूरेंसी निवेशक माइकल टर्पिन के एटी एंड टी खाते से समझौता करने में भी सक्षम थे, और क्रिप्टोकरेंसी में लगभग 24 मिलियन डॉलर की चोरी की। परिणामस्वरूप, टर्पिन ने कहा कि कमजोर सत्यापन उपायों के कारण एटी एंड टी की गलती थी जिसके कारण सिम कार्ड की नकल हुई।
  

  अद्भुत तर्क. तो क्या यह वास्तव में केवल AT&T की गलती है? नहीं, यह निस्संदेह मोबाइल ऑपरेटर की गलती है कि संचार स्टोर के सेल्सपर्सन ने डुप्लिकेट सिम कार्ड जारी किया। क्रिप्टोक्यूरेंसी एक्सचेंज प्रमाणीकरण प्रणाली के बारे में क्या? उन्होंने मजबूत क्रिप्टोग्राफ़िक टोकन का उपयोग क्यों नहीं किया? क्या कार्यान्वयन पर पैसा खर्च करना अफ़सोस की बात थी? क्या माइकल स्वयं दोषी नहीं है? उन्होंने प्रमाणीकरण तंत्र को बदलने या केवल उन एक्सचेंजों का उपयोग करने पर जोर क्यों नहीं दिया जो क्रिप्टोग्राफ़िक टोकन के आधार पर दो-कारक प्रमाणीकरण लागू करते हैं?

  वास्तव में विश्वसनीय प्रमाणीकरण विधियों की शुरूआत में देरी हो रही है क्योंकि उपयोगकर्ता हैकिंग से पहले आश्चर्यजनक लापरवाही दिखाते हैं, और बाद में वे प्राचीन और "लीक" प्रमाणीकरण प्रौद्योगिकियों के अलावा किसी और पर अपनी परेशानियों को दोष देते हैं।

• मैलवेयर. मोबाइल मैलवेयर के शुरुआती कार्यों में से एक पाठ संदेशों को रोकना और हमलावरों को अग्रेषित करना था। इसके अलावा, मैन-इन-द-ब्राउज़र और मैन-इन-द-मिडिल हमले संक्रमित लैपटॉप या डेस्कटॉप डिवाइस पर दर्ज किए गए वन-टाइम पासवर्ड को रोक सकते हैं।
  

  जब आपके स्मार्टफ़ोन पर Sberbank एप्लिकेशन स्टेटस बार में हरे आइकन को ब्लिंक करता है, तो यह आपके फ़ोन पर "मैलवेयर" की भी तलाश करता है। इस इवेंट का लक्ष्य एक सामान्य स्मार्टफोन के अविश्वसनीय निष्पादन वातावरण को, कम से कम किसी तरह से, विश्वसनीय वातावरण में बदलना है।
  वैसे, एक स्मार्टफोन, एक पूरी तरह से अविश्वसनीय डिवाइस है जिस पर कुछ भी किया जा सकता है, प्रमाणीकरण के लिए इसका उपयोग करने का एक और कारण है केवल हार्डवेयर टोकन, जो सुरक्षित हैं और वायरस और ट्रोजन से मुक्त हैं।

• सोशल इंजीनियरिंग। जब स्कैमर्स को पता चलता है कि पीड़ित के पास एसएमएस के माध्यम से ओटीपी सक्षम है, तो वे पीड़ित से सीधे संपर्क कर सकते हैं, खुद को बैंक या क्रेडिट यूनियन जैसे विश्वसनीय संगठन के रूप में प्रस्तुत करके, पीड़ित को अभी प्राप्त कोड प्रदान करने के लिए धोखा दे सकते हैं।
  

  मैंने व्यक्तिगत रूप से कई बार इस प्रकार की धोखाधड़ी का सामना किया है, उदाहरण के लिए, जब किसी लोकप्रिय ऑनलाइन कबाड़ी बाज़ार में कुछ बेचने की कोशिश की जा रही हो। मैंने स्वयं उस ठग का मज़ाक उड़ाया जिसने जी भर कर मुझे मूर्ख बनाने की कोशिश की। लेकिन अफ़सोस, मैं नियमित रूप से समाचारों में पढ़ता हूं कि कैसे घोटालेबाजों के एक और शिकार ने "नहीं सोचा", पुष्टिकरण कोड दिया और एक बड़ी राशि खो दी। और यह सब इसलिए है क्योंकि बैंक अपने अनुप्रयोगों में क्रिप्टोग्राफ़िक टोकन के कार्यान्वयन से निपटना नहीं चाहता है। आख़िरकार, अगर कुछ होता है, तो ग्राहक "खुद को दोषी मानते हैं।"

जबकि वैकल्पिक ओटीपी डिलीवरी विधियां इस प्रमाणीकरण विधि में कुछ कमजोरियों को कम कर सकती हैं, अन्य कमजोरियां बनी हुई हैं। स्टैंडअलोन कोड जनरेशन एप्लिकेशन छिपकर बातें सुनने के विरुद्ध सर्वोत्तम सुरक्षा हैं, क्योंकि मैलवेयर भी मुश्किल से ही कोड जनरेटर के साथ सीधे इंटरैक्ट कर सकता है (गंभीरता से? क्या रिपोर्ट का लेखक रिमोट कंट्रोल के बारे में भूल गया?), लेकिन ब्राउज़र में दर्ज किए जाने पर ओटीपी को अभी भी इंटरसेप्ट किया जा सकता है (उदाहरण के लिए कीलॉगर का उपयोग करना), हैक किए गए मोबाइल एप्लिकेशन के माध्यम से; और इसे सोशल इंजीनियरिंग का उपयोग करके सीधे उपयोगकर्ता से भी प्राप्त किया जा सकता है।
डिवाइस पहचान जैसे अनेक जोखिम मूल्यांकन उपकरणों का उपयोग करना (उन उपकरणों से लेनदेन करने के प्रयासों का पता लगाना जो कानूनी उपयोगकर्ता से संबंधित नहीं हैं), जियोलोकेशन (एक उपयोगकर्ता जो अभी-अभी मास्को आया है, नोवोसिबिर्स्क से एक ऑपरेशन करने का प्रयास करता है) और व्यवहार विश्लेषण कमजोरियों को दूर करने के लिए महत्वपूर्ण हैं, लेकिन कोई भी समाधान रामबाण नहीं है। प्रत्येक स्थिति और डेटा के प्रकार के लिए, जोखिमों का सावधानीपूर्वक आकलन करना और यह चुनना आवश्यक है कि किस प्रमाणीकरण तकनीक का उपयोग किया जाना चाहिए।

कोई भी प्रमाणीकरण समाधान रामबाण नहीं है

चित्र 2. प्रमाणीकरण विकल्प तालिका

प्रमाणीकरण	फ़ैक्टर	विवरण	प्रमुख कमजोरियाँ
पासवर्ड या पिन	ज्ञान	निश्चित मान, जिसमें अक्षर, संख्याएँ और कई अन्य वर्ण शामिल हो सकते हैं	रोका जा सकता है, जासूसी की जा सकती है, चोरी की जा सकती है, उठाया जा सकता है या हैक किया जा सकता है
ज्ञान आधारित प्रमाणीकरण	ज्ञान	प्रश्न जिनके उत्तर केवल एक कानूनी उपयोगकर्ता ही जान सकता है	सोशल इंजीनियरिंग विधियों का उपयोग करके रोका जा सकता है, उठाया जा सकता है, प्राप्त किया जा सकता है
हार्डवेयर ओटीपी (उदाहरण)	अधिकार	एक विशेष उपकरण जो वन-टाइम पासवर्ड उत्पन्न करता है	कोड को इंटरसेप्ट किया जा सकता है और दोहराया जा सकता है, या डिवाइस चोरी हो सकता है
सॉफ्टवेयर ओटीपी	अधिकार	एक एप्लिकेशन (मोबाइल, ब्राउज़र के माध्यम से पहुंच योग्य, या ई-मेल द्वारा कोड भेजना) जो वन-टाइम पासवर्ड उत्पन्न करता है	कोड को इंटरसेप्ट किया जा सकता है और दोहराया जा सकता है, या डिवाइस चोरी हो सकता है
एसएमएस ओटीपी	अधिकार	वन-टाइम पासवर्ड एसएमएस टेक्स्ट संदेश के माध्यम से दिया गया	कोड को इंटरसेप्ट किया जा सकता है और दोहराया जा सकता है, या स्मार्टफोन या सिम कार्ड चोरी हो सकता है, या सिम कार्ड का डुप्लिकेट बनाया जा सकता है
स्मार्ट कार्ड (उदाहरण)	अधिकार	एक कार्ड जिसमें एक क्रिप्टोग्राफ़िक चिप और एक सुरक्षित कुंजी मेमोरी होती है जो प्रमाणीकरण के लिए सार्वजनिक कुंजी बुनियादी ढांचे का उपयोग करती है	शारीरिक रूप से चोरी हो सकती है (लेकिन कोई हमलावर पिन कोड जाने बिना डिवाइस का उपयोग नहीं कर पाएगा; कई गलत इनपुट प्रयासों के मामले में, डिवाइस ब्लॉक कर दिया जाएगा)
सुरक्षा कुंजियाँ - टोकन (उदाहरण, एक और उदाहरण)	अधिकार	एक यूएसबी डिवाइस जिसमें एक क्रिप्टोग्राफ़िक चिप और सुरक्षित कुंजी मेमोरी होती है जो प्रमाणीकरण के लिए सार्वजनिक कुंजी बुनियादी ढांचे का उपयोग करती है	भौतिक रूप से चोरी की जा सकती है (लेकिन कोई हमलावर पिन कोड जाने बिना डिवाइस का उपयोग नहीं कर पाएगा; कई गलत प्रविष्टि प्रयासों के मामले में, डिवाइस ब्लॉक कर दिया जाएगा)
किसी डिवाइस से लिंक करना	अधिकार	वह प्रक्रिया जो एक प्रोफ़ाइल बनाती है, अक्सर जावास्क्रिप्ट का उपयोग करती है, या कुकीज़ और फ्लैश साझा ऑब्जेक्ट जैसे मार्करों का उपयोग करके यह सुनिश्चित करती है कि एक विशिष्ट डिवाइस का उपयोग किया जा रहा है	टोकन चुराए जा सकते हैं (कॉपी किए जा सकते हैं), और किसी हमलावर द्वारा अपने डिवाइस पर कानूनी डिवाइस की विशेषताओं की नकल की जा सकती है
व्यवहार	अंतर्निहित होना	विश्लेषण करता है कि उपयोगकर्ता किसी डिवाइस या प्रोग्राम के साथ कैसे इंटरैक्ट करता है	व्यवहार का अनुकरण किया जा सकता है
उंगलियों के निशान	अंतर्निहित होना	संग्रहीत फ़िंगरप्रिंट की तुलना ऑप्टिकल या इलेक्ट्रॉनिक रूप से कैप्चर किए गए फ़िंगरप्रिंट से की जाती है	छवि को चुराया जा सकता है और प्रमाणीकरण के लिए उपयोग किया जा सकता है
आँख का स्कैन	अंतर्निहित होना	नए ऑप्टिकल स्कैन के साथ आंखों की विशेषताओं, जैसे आईरिस पैटर्न, की तुलना करता है	छवि को चुराया जा सकता है और प्रमाणीकरण के लिए उपयोग किया जा सकता है
चेहरा पहचान	अंतर्निहित होना	चेहरे की विशेषताओं की तुलना नए ऑप्टिकल स्कैन से की जाती है	छवि को चुराया जा सकता है और प्रमाणीकरण के लिए उपयोग किया जा सकता है
आवाज़ पहचान	अंतर्निहित होना	रिकॉर्ड किए गए आवाज के नमूने की विशेषताओं की तुलना नए नमूनों से की जाती है	रिकॉर्ड को चुराया जा सकता है और प्रमाणीकरण के लिए उपयोग किया जा सकता है, या उसका अनुकरण किया जा सकता है

प्रकाशन के दूसरे भाग में, सबसे स्वादिष्ट चीजें हमारा इंतजार कर रही हैं - संख्याएं और तथ्य, जिस पर पहले भाग में दिए गए निष्कर्ष और सिफारिशें आधारित हैं। उपयोगकर्ता अनुप्रयोगों और कॉर्पोरेट सिस्टम में प्रमाणीकरण पर अलग से चर्चा की जाएगी।

जल्द मिलते हैं!

स्रोत: www.habr.com