तो प्रमाणीकरण और पासवर्ड का क्या होगा? जेवलिन स्टेट ऑफ़ स्ट्रॉन्ग ऑथेंटिकेशन रिपोर्ट का भाग दो

हाल ही में रिसर्च कंपनी जेवलिन स्ट्रैटेजी एंड रिसर्च ने "द स्टेट ऑफ स्ट्रॉन्ग ऑथेंटिकेशन 2019" रिपोर्ट प्रकाशित की। इसके रचनाकारों ने कॉर्पोरेट वातावरण और उपभोक्ता अनुप्रयोगों में कौन से प्रमाणीकरण तरीकों का उपयोग किया जाता है, इसके बारे में जानकारी एकत्र की, और मजबूत प्रमाणीकरण के भविष्य के बारे में दिलचस्प निष्कर्ष भी निकाले।

रिपोर्ट के लेखकों के निष्कर्षों के साथ पहले भाग का अनुवाद, हम हैबे पर पहले ही प्रकाशित हो चुका है. और अब हम आपके ध्यान में दूसरा भाग प्रस्तुत करते हैं - डेटा और ग्राफ़ के साथ।

अनुवादक से

मैं पहले भाग से एक ही नाम के पूरे ब्लॉक को पूरी तरह से कॉपी नहीं करूंगा, लेकिन फिर भी मैं एक पैराग्राफ को डुप्लिकेट करूंगा।

सभी आंकड़े और तथ्य थोड़े से बदलाव के बिना प्रस्तुत किए गए हैं, और यदि आप उनसे सहमत नहीं हैं, तो अनुवादक के साथ नहीं, बल्कि रिपोर्ट के लेखकों के साथ बहस करना बेहतर है। और यहां मेरी टिप्पणियाँ हैं (उद्धरण के रूप में रखी गई हैं, और पाठ में चिह्नित हैं इतालवी) मेरा मूल्य निर्णय है और मुझे उनमें से प्रत्येक पर (साथ ही अनुवाद की गुणवत्ता पर) बहस करने में खुशी होगी।

प्रयोक्ता प्रमाणीकरण

2017 के बाद से, उपभोक्ता अनुप्रयोगों में मजबूत प्रमाणीकरण का उपयोग तेजी से बढ़ा है, इसका मुख्य कारण मोबाइल उपकरणों पर क्रिप्टोग्राफ़िक प्रमाणीकरण विधियों की उपलब्धता है, हालांकि केवल कुछ ही प्रतिशत कंपनियां इंटरनेट अनुप्रयोगों के लिए मजबूत प्रमाणीकरण का उपयोग करती हैं।

कुल मिलाकर, अपने व्यवसाय में मजबूत प्रमाणीकरण का उपयोग करने वाली कंपनियों का प्रतिशत 5 में 2017% से तीन गुना बढ़कर 16 में 2018% हो गया (चित्र 3)।

वेब अनुप्रयोगों के लिए मजबूत प्रमाणीकरण का उपयोग करने की क्षमता अभी भी सीमित है (इस तथ्य के कारण कि कुछ ब्राउज़रों के केवल बहुत नए संस्करण क्रिप्टोग्राफ़िक टोकन के साथ इंटरैक्शन का समर्थन करते हैं, हालांकि इस समस्या को अतिरिक्त सॉफ़्टवेयर स्थापित करके हल किया जा सकता है जैसे कि रुटोकन प्लगइन), इसलिए कई कंपनियां ऑनलाइन प्रमाणीकरण के लिए वैकल्पिक तरीकों का उपयोग करती हैं, जैसे मोबाइल उपकरणों के लिए प्रोग्राम जो वन-टाइम पासवर्ड उत्पन्न करते हैं।

हार्डवेयर क्रिप्टोग्राफ़िक कुंजियाँ (यहां हमारा मतलब केवल उनसे है जो FIDO मानकों का अनुपालन करते हैं), जैसे कि Google, Feitian, One Span, और Yubico द्वारा पेश किए गए सॉफ़्टवेयर का उपयोग डेस्कटॉप कंप्यूटर और लैपटॉप पर अतिरिक्त सॉफ़्टवेयर इंस्टॉल किए बिना मजबूत प्रमाणीकरण के लिए किया जा सकता है (क्योंकि अधिकांश ब्राउज़र पहले से ही FIDO के WebAuthn मानक का समर्थन करते हैं), लेकिन केवल 3% कंपनियां ही अपने उपयोगकर्ताओं को लॉग इन करने के लिए इस सुविधा का उपयोग करती हैं।

क्रिप्टोग्राफ़िक टोकन की तुलना (जैसे रूटोकेन ईडीएस पीकेआई) और FIDO मानकों के अनुसार काम करने वाली गुप्त कुंजियाँ इस रिपोर्ट के दायरे से बाहर हैं, लेकिन इस पर मेरी टिप्पणियाँ भी हैं। संक्षेप में, दोनों प्रकार के टोकन समान एल्गोरिदम और ऑपरेटिंग सिद्धांतों का उपयोग करते हैं। FIDO टोकन वर्तमान में ब्राउज़र विक्रेताओं द्वारा बेहतर समर्थित हैं, हालाँकि अधिक ब्राउज़र समर्थन के रूप में यह जल्द ही बदल जाएगा वेब यूएसबी एपीआई. लेकिन क्लासिक क्रिप्टोग्राफ़िक टोकन एक पिन कोड द्वारा संरक्षित होते हैं, इलेक्ट्रॉनिक दस्तावेज़ों पर हस्ताक्षर कर सकते हैं और विंडोज़ (किसी भी संस्करण), लिनक्स और मैक ओएस एक्स में दो-कारक प्रमाणीकरण के लिए उपयोग किए जा सकते हैं, इसमें विभिन्न प्रोग्रामिंग भाषाओं के लिए एपीआई हैं, जो आपको 2एफए और इलेक्ट्रॉनिक को लागू करने की अनुमति देते हैं। डेस्कटॉप, मोबाइल और वेब अनुप्रयोगों में हस्ताक्षर, और रूस में उत्पादित टोकन रूसी GOST एल्गोरिदम का समर्थन करते हैं। किसी भी मामले में, एक क्रिप्टोग्राफ़िक टोकन, चाहे वह किसी भी मानक द्वारा बनाया गया हो, सबसे विश्वसनीय और सुविधाजनक प्रमाणीकरण विधि है।

सुरक्षा से परे: सशक्त प्रमाणीकरण के अन्य लाभ

इसमें कोई आश्चर्य की बात नहीं है कि मजबूत प्रमाणीकरण का उपयोग व्यवसाय द्वारा संग्रहीत डेटा के महत्व से निकटता से जुड़ा हुआ है। जो कंपनियां संवेदनशील व्यक्तिगत रूप से पहचान योग्य जानकारी (पीआईआई), जैसे कि सामाजिक सुरक्षा नंबर या व्यक्तिगत स्वास्थ्य जानकारी (पीएचआई) संग्रहीत करती हैं, उन्हें सबसे बड़े कानूनी और नियामक दबाव का सामना करना पड़ता है। ये वे कंपनियाँ हैं जो मजबूत प्रमाणीकरण की सबसे आक्रामक समर्थक हैं। व्यवसायों पर दबाव उन ग्राहकों की अपेक्षाओं से बढ़ जाता है जो यह जानना चाहते हैं कि जिन संगठनों पर वे अपने सबसे संवेदनशील डेटा पर भरोसा करते हैं वे मजबूत प्रमाणीकरण विधियों का उपयोग करते हैं। संवेदनशील पीआईआई या पीएचआई को संभालने वाले संगठनों में उन संगठनों की तुलना में मजबूत प्रमाणीकरण का उपयोग करने की संभावना दोगुनी से अधिक है जो केवल उपयोगकर्ताओं की संपर्क जानकारी संग्रहीत करते हैं (चित्रा 7)।

दुर्भाग्य से, कंपनियाँ अभी तक मजबूत प्रमाणीकरण विधियों को लागू करने की इच्छुक नहीं हैं। लगभग एक तिहाई व्यावसायिक निर्णय निर्माता चित्र 9 में सूचीबद्ध सभी के बीच पासवर्ड को सबसे प्रभावी प्रमाणीकरण विधि मानते हैं, और 43% पासवर्ड को सबसे सरल प्रमाणीकरण विधि मानते हैं।

यह चार्ट हमें साबित करता है कि दुनिया भर में व्यावसायिक एप्लिकेशन डेवलपर्स एक जैसे हैं... वे उन्नत खाता पहुंच सुरक्षा तंत्र को लागू करने का लाभ नहीं देखते हैं और समान गलत धारणाएं साझा करते हैं। और केवल नियामकों की कार्रवाई ही स्थिति को बदल सकती है।

आइए पासवर्ड को न छुएं। लेकिन आपको यह मानने में क्या ज़रूरत है कि सुरक्षा प्रश्न क्रिप्टोग्राफ़िक टोकन से अधिक सुरक्षित हैं? नियंत्रण प्रश्नों की प्रभावशीलता, जो कि सरलता से चुने गए हैं, 15% आंकी गई थी, और हैक करने योग्य टोकन नहीं - केवल 10। कम से कम फिल्म "भ्रम का भ्रम" देखें, जहां, अलंकारिक रूप में, यह दिखाया गया है कि जादूगर कितनी आसानी से एक व्यापारी-ठग जवाब से सभी आवश्यक चीजों का लालच दिया और उसे बिना पैसे के छोड़ दिया।

और एक और तथ्य जो उपयोगकर्ता अनुप्रयोगों में सुरक्षा तंत्र के लिए जिम्मेदार लोगों की योग्यता के बारे में बहुत कुछ कहता है। उनकी समझ में, पासवर्ड दर्ज करने की प्रक्रिया क्रिप्टोग्राफ़िक टोकन का उपयोग करके प्रमाणीकरण की तुलना में एक सरल ऑपरेशन है। हालाँकि, ऐसा प्रतीत होता है कि टोकन को यूएसबी पोर्ट से कनेक्ट करना और एक साधारण पिन कोड दर्ज करना आसान हो सकता है।

महत्वपूर्ण रूप से, मजबूत प्रमाणीकरण लागू करने से व्यवसायों को अपने ग्राहकों की वास्तविक जरूरतों को पूरा करने के लिए धोखाधड़ी वाली योजनाओं को रोकने के लिए आवश्यक प्रमाणीकरण विधियों और परिचालन नियमों के बारे में सोचने से दूर जाने की अनुमति मिलती है।

जबकि विनियामक अनुपालन उन दोनों व्यवसायों के लिए एक उचित सर्वोच्च प्राथमिकता है जो मजबूत प्रमाणीकरण का उपयोग करते हैं और जो नहीं करते हैं, जो कंपनियां पहले से ही मजबूत प्रमाणीकरण का उपयोग करती हैं, उनके यह कहने की अधिक संभावना है कि प्रमाणीकरण का मूल्यांकन करते समय ग्राहक वफादारी बढ़ाना सबसे महत्वपूर्ण मीट्रिक है जिस पर वे विचार करते हैं। तरीका। (18% बनाम 12%) (चित्र 10)।

उद्यम प्रमाणीकरण

2017 के बाद से, उद्यमों में मजबूत प्रमाणीकरण को अपनाना बढ़ रहा है, लेकिन उपभोक्ता अनुप्रयोगों की तुलना में थोड़ी कम दर पर। मजबूत प्रमाणीकरण का उपयोग करने वाले उद्यमों की हिस्सेदारी 7 में 2017% से बढ़कर 12 में 2018% हो गई। उपभोक्ता अनुप्रयोगों के विपरीत, उद्यम वातावरण में मोबाइल उपकरणों की तुलना में वेब अनुप्रयोगों में गैर-पासवर्ड प्रमाणीकरण विधियों का उपयोग कुछ हद तक आम है। लगभग आधे व्यवसाय लॉग इन करते समय अपने उपयोगकर्ताओं को प्रमाणित करने के लिए केवल उपयोगकर्ता नाम और पासवर्ड का उपयोग करते हुए रिपोर्ट करते हैं, पांच में से एक (22%) संवेदनशील डेटा तक पहुंचने के दौरान द्वितीयक प्रमाणीकरण के लिए केवल पासवर्ड पर निर्भर होता है (यानी, उपयोगकर्ता पहले सरल प्रमाणीकरण विधि का उपयोग करके एप्लिकेशन में लॉग इन करता है, और यदि वह महत्वपूर्ण डेटा तक पहुंच प्राप्त करना चाहता है, तो वह एक और प्रमाणीकरण प्रक्रिया करेगा, इस बार आमतौर पर अधिक विश्वसनीय विधि का उपयोग करेगा).

आपको यह समझने की आवश्यकता है कि रिपोर्ट ऑपरेटिंग सिस्टम विंडोज़, लिनक्स और मैक ओएस एक्स में दो-कारक प्रमाणीकरण के लिए क्रिप्टोग्राफ़िक टोकन के उपयोग को ध्यान में नहीं रखती है। और यह वर्तमान में 2FA का सबसे व्यापक उपयोग है। (अफ़सोस, FIDO मानकों के अनुसार बनाए गए टोकन केवल Windows 2 के लिए 10FA लागू कर सकते हैं)।

इसके अलावा, यदि ऑनलाइन और मोबाइल अनुप्रयोगों में 2FA के कार्यान्वयन के लिए इन अनुप्रयोगों के संशोधन सहित उपायों के एक सेट की आवश्यकता होती है, तो विंडोज़ में 2FA को लागू करने के लिए आपको केवल PKI (उदाहरण के लिए, Microsoft प्रमाणन सर्वर पर आधारित) और प्रमाणीकरण नीतियों को कॉन्फ़िगर करने की आवश्यकता है। विज्ञापन में।

और चूंकि कार्य पीसी और डोमेन में लॉगिन की सुरक्षा कॉर्पोरेट डेटा की सुरक्षा का एक महत्वपूर्ण तत्व है, इसलिए दो-कारक प्रमाणीकरण का कार्यान्वयन अधिक से अधिक आम होता जा रहा है।

लॉग इन करते समय उपयोगकर्ताओं को प्रमाणित करने के लिए अगले दो सबसे आम तरीके एक अलग ऐप (13% व्यवसायों) के माध्यम से प्रदान किए गए वन-टाइम पासवर्ड और एसएमएस (12%) के माध्यम से दिए गए वन-टाइम पासवर्ड हैं। इस तथ्य के बावजूद कि दोनों विधियों के उपयोग का प्रतिशत बहुत समान है, प्राधिकरण के स्तर को बढ़ाने के लिए ओटीपी एसएमएस का सबसे अधिक उपयोग किया जाता है (24% कंपनियों में)। (चित्र 12)।

एंटरप्राइज़ में मजबूत प्रमाणीकरण के उपयोग में वृद्धि को संभवतः एंटरप्राइज़ पहचान प्रबंधन प्लेटफार्मों में क्रिप्टोग्राफ़िक प्रमाणीकरण कार्यान्वयन की बढ़ती उपलब्धता के लिए जिम्मेदार ठहराया जा सकता है (दूसरे शब्दों में, एंटरप्राइज़ एसएसओ और आईएएम सिस्टम ने टोकन का उपयोग करना सीख लिया है)।

कर्मचारियों और ठेकेदारों के मोबाइल प्रमाणीकरण के लिए, उद्यम उपभोक्ता अनुप्रयोगों में प्रमाणीकरण की तुलना में पासवर्ड पर अधिक भरोसा करते हैं। आधे से अधिक (53%) उद्यम मोबाइल डिवाइस के माध्यम से कंपनी डेटा तक उपयोगकर्ता की पहुंच को प्रमाणित करते समय पासवर्ड का उपयोग करते हैं (चित्र 13)।

मोबाइल उपकरणों के मामले में, कोई भी बायोमेट्रिक्स की महान शक्ति पर विश्वास करेगा, यदि नकली उंगलियों के निशान, आवाज, चेहरे और यहां तक ​​कि आंखों की पुतलियों के कई मामले न हों। एक खोज इंजन क्वेरी से पता चलेगा कि बायोमेट्रिक प्रमाणीकरण का कोई विश्वसनीय तरीका मौजूद ही नहीं है। बेशक, सटीक सेंसर मौजूद हैं, लेकिन वे बहुत महंगे हैं और आकार में बड़े हैं - और स्मार्टफ़ोन में स्थापित नहीं होते हैं।

इसलिए, मोबाइल उपकरणों में काम करने वाली एकमात्र 2FA विधि क्रिप्टोग्राफ़िक टोकन का उपयोग है जो एनएफसी, ब्लूटूथ और यूएसबी टाइप-सी इंटरफेस के माध्यम से स्मार्टफोन से कनेक्ट होती है।

किसी कंपनी के वित्तीय डेटा की सुरक्षा करना पासवर्ड रहित प्रमाणीकरण (44%) में निवेश करने का शीर्ष कारण है, 2017 के बाद से सबसे तेज़ वृद्धि (आठ प्रतिशत अंक की वृद्धि)। इसके बाद बौद्धिक संपदा (40%) और कार्मिक (एचआर) डेटा (39%) की सुरक्षा का नंबर आता है। और यह स्पष्ट है कि क्यों - न केवल इस प्रकार के डेटा से जुड़े मूल्य को व्यापक रूप से मान्यता प्राप्त है, बल्कि अपेक्षाकृत कम कर्मचारी उनके साथ काम करते हैं। अर्थात्, कार्यान्वयन लागत इतनी बड़ी नहीं है, और अधिक जटिल प्रमाणीकरण प्रणाली के साथ काम करने के लिए केवल कुछ लोगों को प्रशिक्षित करने की आवश्यकता है। इसके विपरीत, अधिकांश उद्यम कर्मचारी जिस प्रकार के डेटा और उपकरणों तक नियमित रूप से पहुंचते हैं, वे अभी भी केवल पासवर्ड द्वारा सुरक्षित हैं। कर्मचारी दस्तावेज़, वर्कस्टेशन और कॉर्पोरेट ईमेल पोर्टल सबसे बड़े जोखिम के क्षेत्र हैं, क्योंकि केवल एक चौथाई व्यवसाय ही इन परिसंपत्तियों को पासवर्ड रहित प्रमाणीकरण (चित्रा 14) के साथ सुरक्षित रखते हैं।

सामान्य तौर पर, कॉर्पोरेट ईमेल एक बहुत ही खतरनाक और लीक होने वाली चीज़ है, जिसके संभावित खतरे की डिग्री को अधिकांश सीआईओ द्वारा कम करके आंका जाता है। कर्मचारियों को प्रतिदिन दर्जनों ईमेल प्राप्त होते हैं, तो क्यों न उनमें कम से कम एक फ़िशिंग (अर्थात धोखाधड़ी वाला) ईमेल शामिल किया जाए। इस पत्र को कंपनी के पत्रों की शैली में प्रारूपित किया जाएगा, इसलिए कर्मचारी इस पत्र के लिंक पर क्लिक करने में सहज महसूस करेंगे। खैर, फिर कुछ भी हो सकता है, उदाहरण के लिए, हमला की गई मशीन पर वायरस डाउनलोड करना या पासवर्ड लीक करना (सोशल इंजीनियरिंग के माध्यम से, हमलावर द्वारा बनाए गए नकली प्रमाणीकरण फॉर्म को दर्ज करके)।

इस तरह की चीज़ों को होने से रोकने के लिए, ईमेल पर हस्ताक्षर किए जाने चाहिए। तब यह तुरंत स्पष्ट हो जाएगा कि कौन सा पत्र एक वैध कर्मचारी द्वारा बनाया गया था और कौन सा एक हमलावर द्वारा। उदाहरण के लिए, आउटलुक/एक्सचेंज में, क्रिप्टोग्राफ़िक टोकन-आधारित इलेक्ट्रॉनिक हस्ताक्षर काफी तेज़ी से और आसानी से सक्षम किए जाते हैं और इन्हें पीसी और विंडोज़ डोमेन में दो-कारक प्रमाणीकरण के साथ संयोजन में उपयोग किया जा सकता है।

उन अधिकारियों में से जो उद्यम के भीतर पूरी तरह से पासवर्ड प्रमाणीकरण पर भरोसा करते हैं, दो-तिहाई (66%) ऐसा करते हैं क्योंकि उनका मानना ​​​​है कि पासवर्ड उस प्रकार की जानकारी के लिए पर्याप्त सुरक्षा प्रदान करते हैं जिसकी उनकी कंपनी को सुरक्षा करने की आवश्यकता है (चित्र 15)।

लेकिन मजबूत प्रमाणीकरण विधियां अधिक आम होती जा रही हैं। मुख्यतः इस तथ्य के कारण कि उनकी उपलब्धता बढ़ रही है। पहचान और पहुंच प्रबंधन (आईएएम) सिस्टम, ब्राउज़र और ऑपरेटिंग सिस्टम की बढ़ती संख्या क्रिप्टोग्राफ़िक टोकन का उपयोग करके प्रमाणीकरण का समर्थन करती है।

मजबूत प्रमाणीकरण का एक और फायदा है. चूंकि पासवर्ड का अब उपयोग नहीं किया जाता है (साधारण पिन के साथ प्रतिस्थापित), कर्मचारियों से भूले हुए पासवर्ड को बदलने के लिए कोई अनुरोध नहीं किया जाता है। जो बदले में उद्यम के आईटी विभाग पर भार को कम करता है।

परिणाम और निष्कर्ष

1. प्रबंधकों के पास अक्सर मूल्यांकन करने के लिए आवश्यक ज्ञान नहीं होता है असली विभिन्न प्रमाणीकरण विकल्पों की प्रभावशीलता। वे ऐसे ही भरोसा करने के आदी हैं अप्रचलित पासवर्ड और सुरक्षा प्रश्न जैसे सुरक्षा तरीके केवल इसलिए क्योंकि "यह पहले काम करता था।"
2. उपयोगकर्ताओं के पास अभी भी यह ज्ञान है कम, उनके लिए मुख्य बात है सादगी और सुविधा. जब तक उनके पास चुनने के लिए कोई प्रोत्साहन नहीं है अधिक सुरक्षित समाधान.
3. कस्टम एप्लिकेशन के डेवलपर अक्सर कोई कारण नहींपासवर्ड प्रमाणीकरण के बजाय दो-कारक प्रमाणीकरण लागू करना। उपयोगकर्ता अनुप्रयोगों में सुरक्षा के स्तर में प्रतिस्पर्धा नहीं.
4. हैक की पूरी जिम्मेदारी उपयोगकर्ता पर स्थानांतरित कर दिया गया. हमलावर को वन-टाइम पासवर्ड दिया - दोष देना है. आपका पासवर्ड इंटरसेप्ट किया गया था या उसकी जासूसी की गई थी - दोष देना है. डेवलपर को उत्पाद में विश्वसनीय प्रमाणीकरण विधियों का उपयोग करने की आवश्यकता नहीं थी - दोष देना है.
5. सही रेगुलेटर सबसे पहले कंपनियों को ऐसे समाधान लागू करने की आवश्यकता होनी चाहिए अवरोध पैदा करना सज़ा देने के बजाय डेटा लीक (विशेष रूप से दो-कारक प्रमाणीकरण)। चुका है डेटा लीक.
6. कुछ सॉफ़्टवेयर डेवलपर उपभोक्ताओं को बेचने का प्रयास कर रहे हैं पुराना और विशेष रूप से विश्वसनीय नहीं समाधान सुंदर पैकेजिंग में "अभिनव" उत्पाद. उदाहरण के लिए, किसी विशिष्ट स्मार्टफोन से लिंक करके या बायोमेट्रिक्स का उपयोग करके प्रमाणीकरण। जैसा कि रिपोर्ट से पता चलता है वास्तव में विश्वसनीय केवल मजबूत प्रमाणीकरण यानी क्रिप्टोग्राफ़िक टोकन के आधार पर ही समाधान हो सकता है।
7. जो उसी क्रिप्टोग्राफ़िक टोकन का उपयोग किया जा सकता है अनेक कार्य: के लिए मजबूत प्रमाणीकरण एंटरप्राइज़ ऑपरेटिंग सिस्टम में, कॉर्पोरेट और उपयोगकर्ता अनुप्रयोगों में, के लिए इलेक्ट्रॉनिक हस्ताक्षर वित्तीय लेनदेन (बैंकिंग अनुप्रयोगों के लिए महत्वपूर्ण), दस्तावेज़ और ईमेल।

स्रोत: www.habr.com