אז מה יקרה לאימות וסיסמאות? חלק שני של דוח האימות החזק של Javelin State of Strong

לאחרונה, חברת המחקר Javelin Strategy & Research פרסמה דו"ח, "המצב של אימות חזק 2019". יוצריו אספו מידע על אילו שיטות אימות משמשות בסביבות ארגוניות ויישומים צרכניים, וגם הסיקו מסקנות מעניינות לגבי עתיד האימות החזק.

תרגום החלק הראשון עם מסקנות מחברי הדו"ח, אנחנו כבר פורסם באתר Habré. ועכשיו אנו מציגים לתשומת לבכם את החלק השני - עם נתונים וגרפים.

מהמתרגם

אני לא אעתיק לגמרי את כל הבלוק באותו שם מהחלק הראשון, אבל עדיין אשכפל פסקה אחת.

כל הנתונים והעובדות מוצגים ללא כל שינוי, ואם אינך מסכים איתם, אז עדיף להתווכח לא עם המתרגם, אלא עם מחברי הדו"ח. והנה ההערות שלי (מובאות כציטוטים, ומסומנות בטקסט אִיטַלְקִית) הם השיפוט הערכי שלי ואשמח להתווכח על כל אחד מהם (כמו גם על איכות התרגום).

אימות משתמש

מאז 2017, השימוש באימות חזק באפליקציות צרכניות גדל בחדות, בעיקר בשל הזמינות של שיטות אימות קריפטוגרפי במכשירים ניידים, אם כי רק אחוז קטן מעט יותר מהחברות משתמשות באימות חזק עבור יישומי אינטרנט.

בסך הכל, אחוז החברות המשתמשות באימות חזק בעסק שלהן שילש מ-5% ב-2017 ל-16% ב-2018 (איור 3).

היכולת להשתמש באימות חזק עבור יישומי אינטרנט עדיין מוגבלת (בשל העובדה שרק גרסאות חדשות מאוד של חלק מהדפדפנים תומכות באינטראקציה עם אסימונים קריפטוגרפיים, אולם ניתן לפתור בעיה זו על ידי התקנת תוכנות נוספות כגון תוסף Rutoken), לכן חברות רבות משתמשות בשיטות חלופיות לאימות מקוון, כגון תוכניות למכשירים ניידים שמייצרות סיסמאות חד פעמיות.

מפתחות קריפטוגרפיים של חומרה (כאן אנו מתכוונים רק לאלה העומדים בתקני FIDO), כגון אלה המוצעות על ידי Google, Feitian, One Span ו-Yubico יכולים לשמש לאימות חזק מבלי להתקין תוכנה נוספת במחשבים שולחניים ומחשבים ניידים (מכיוון שרוב הדפדפנים כבר תומכים בתקן WebAuthn מ-FIDO), אך רק 3% מהחברות משתמשות בתכונה זו כדי להתחבר למשתמשים שלהן.

השוואה של אסימונים קריפטוגרפיים (כמו Rutoken EDS PKI) ומפתחות סודיים הפועלים על פי תקני FIDO הם מעבר לתחום של דוח זה, אבל גם הערות שלי אליו. בקיצור, שני סוגי האסימונים משתמשים באלגוריתמים ובעקרונות פעולה דומים. אסימוני FIDO נתמכים כעת טוב יותר על ידי ספקי דפדפנים, אם כי זה ישתנה בקרוב ככל שדפדפנים נוספים יתמכו אינטרנט USB API. אבל אסימוני הצפנה קלאסיים מוגנים על ידי קוד PIN, יכולים לחתום על מסמכים אלקטרוניים ולשמש לאימות דו-גורמי ב-Windows (כל גרסה), לינוקס ו-Mac OS X, יש APIs לשפות תכנות שונות, המאפשרים לך ליישם 2FA ואלקטרוני חתימה ביישומי שולחן עבודה, ניידים ואינטרנט, ואסימונים המיוצרים ברוסיה תומכים באלגוריתמי GOST רוסיים. בכל מקרה, אסימון קריפטוגרפי, ללא קשר לאיזה תקן הוא נוצר, הוא שיטת האימות האמינה והנוחה ביותר.

מעבר לאבטחה: יתרונות נוספים של אימות חזק

אין זה מפתיע שהשימוש באימות חזק קשור קשר הדוק לחשיבות הנתונים שעסק מאחסן. חברות המאחסנות מידע אישי רגיש (PII), כגון מספרי תעודת זהות או מידע בריאותי אישי (PHI), עומדות בפני הלחץ המשפטי והרגולטורי הגדול ביותר. אלו החברות שהן התומכות האגרסיביות ביותר של אימות חזק. הלחץ על עסקים מוגבר בגלל הציפיות של לקוחות שרוצים לדעת שהארגונים שהם סומכים עליהם עם הנתונים הרגישים ביותר שלהם משתמשים בשיטות אימות חזקות. ארגונים המטפלים ב-PII או PHI רגישים נוטים יותר מפי שניים להשתמש באימות חזק מאשר ארגונים שמאחסנים רק את פרטי הקשר של משתמשים (איור 7).

למרבה הצער, חברות עדיין לא מוכנות ליישם שיטות אימות חזקות. כמעט שליש ממקבלי ההחלטות העסקיים מחשיבים סיסמאות כשיטת האימות היעילה ביותר מבין כל אלו המפורטות באיור 9, ו-43% מחשיבים סיסמאות כשיטת האימות הפשוטה ביותר.

התרשים הזה מוכיח לנו שמפתחי אפליקציות עסקיות ברחבי העולם זהים... הם לא רואים את היתרון ביישום מנגנוני אבטחת גישה מתקדמים לחשבון וחולקים את אותן תפיסות שגויות. ורק פעולות הרגולטורים יכולות לשנות את המצב.

בואו לא ניגע בסיסמאות. אבל במה אתה צריך להאמין כדי להאמין ששאלות אבטחה בטוחות יותר מאסימוני קריפטוגרפיים? האפקטיביות של שאלות בקרה, שנבחרות פשוט, נאמדה ב-15%, ולא אסימונים ניתנים לפריצה - רק 10. לפחות צפו בסרט "אשליה של הונאה", שם, אם כי בצורה אלגורית, מוצג באיזו קלות קוסמים פיתה את כל הדברים הדרושים מתוך תשובות איש עסקים-נוכל והשאיר אותו בלי כסף.

ועוד עובדה אחת שאומרת הרבה על הכישורים של מי שאחראי על מנגנוני אבטחה ביישומי משתמש. להבנתם, תהליך הזנת סיסמה הוא פעולה פשוטה יותר מאשר אימות באמצעות אסימון קריפטוגרפי. אם כי, נראה כי זה עשוי להיות פשוט יותר לחבר את האסימון ליציאת USB ולהזין קוד PIN פשוט.

חשוב לציין, הטמעת אימות חזק מאפשר לעסקים להתרחק מלחשוב על שיטות האימות וכללי התפעול הדרושים לחסימת תוכניות הונאה כדי לענות על הצרכים האמיתיים של הלקוחות שלהם.

בעוד שציות לרגולציה היא בעדיפות עליונה סבירה הן לעסקים המשתמשים באימות חזק והן לאלו שלא, חברות שכבר משתמשות באימות חזק נוטים הרבה יותר לומר שהגדלת נאמנות הלקוחות היא המדד החשוב ביותר שהם לוקחים בחשבון בעת ​​הערכת אימות שיטה. (18% לעומת 12%) (איור 10).

אימות ארגוני

מאז 2017, האימוץ של אימות חזק בארגונים הולך וגדל, אך בקצב נמוך במקצת מאשר עבור יישומי צרכנים. חלקם של ארגונים המשתמשים באימות חזק גדל מ-7% בשנת 2017 ל-12% בשנת 2018. בניגוד ליישומים צרכניים, בסביבה הארגונית השימוש בשיטות אימות ללא סיסמה נפוץ מעט יותר ביישומי אינטרנט מאשר במכשירים ניידים. כמחצית מהעסקים מדווחים על שימוש בשמות משתמש וסיסמאות בלבד כדי לאמת את המשתמשים שלהם בעת הכניסה, כאשר אחד מכל חמישה (22%) מסתמך גם על סיסמאות לאימות משני בעת גישה לנתונים רגישים (כלומר, המשתמש נכנס תחילה לאפליקציה באמצעות שיטת אימות פשוטה יותר, ואם הוא רוצה לקבל גישה לנתונים קריטיים, הוא יבצע הליך אימות נוסף, הפעם בדרך כלל בשיטה אמינה יותר).

אתה צריך להבין שהדוח לא לוקח בחשבון את השימוש באסימונים קריפטוגרפיים לאימות דו-גורמי במערכות ההפעלה Windows, Linux ו-Mac OS X. וזהו כרגע השימוש הנפוץ ביותר ב-2FA. (אבוי, אסימונים שנוצרו על פי תקני FIDO יכולים ליישם 2FA רק עבור Windows 10).

יתרה מכך, אם היישום של 2FA ביישומים מקוונים וניידים מצריך סדרה של אמצעים, כולל שינוי של יישומים אלה, אז כדי ליישם 2FA ב-Windows אתה רק צריך להגדיר PKI (לדוגמה, מבוסס על Microsoft Certification Server) ומדיניות אימות במודעה.

ומכיוון שהגנה על ההתחברות למחשב עבודה ולדומיין היא מרכיב חשוב בהגנה על נתונים ארגוניים, היישום של אימות דו-גורמי הופך נפוץ יותר ויותר.

שתי השיטות הבאות הנפוצות ביותר לאימות משתמשים בעת הכניסה הן סיסמאות חד פעמיות המסופקות באמצעות אפליקציה נפרדת (13% מהעסקים) וסיסמאות חד פעמיות המועברות באמצעות SMS (12%). למרות העובדה שאחוז השימוש בשתי השיטות דומה מאוד, לרוב משתמשים ב-OTP SMS להגדלת רמת ההרשאה (ב-24% מהחברות). (איור 12).

ניתן לייחס את העלייה בשימוש באימות חזק בארגון לזמינות המוגברת של יישומי אימות קריפטוגרפי בפלטפורמות ניהול זהויות ארגוניות (במילים אחרות, מערכות SSO ו-IAM ארגוניות למדו להשתמש באסימונים).

עבור אימות נייד של עובדים וקבלנים, ארגונים מסתמכים יותר על סיסמאות מאשר על אימות ביישומי צרכנים. קצת יותר ממחצית (53%) מהארגונים משתמשים בסיסמאות בעת אימות גישת משתמשים לנתוני החברה באמצעות מכשיר נייד (איור 13).

במקרה של מכשירים ניידים, אפשר היה להאמין בכוחה הרב של הביומטריה, אלמלא המקרים הרבים של טביעות אצבע מזויפות, קולות, פרצופים ואפילו קשתיות. שאילתה אחת במנועי חיפוש תגלה ששיטת אימות ביומטרי אמינה פשוט לא קיימת. חיישנים מדויקים באמת קיימים, כמובן, אבל הם מאוד יקרים וגדולים במידותיהם - ואינם מותקנים בסמארטפונים.

לכן, שיטת ה-2FA העובדת היחידה במכשירים ניידים היא השימוש באסימונים קריפטוגרפיים המתחברים לסמארטפון באמצעות ממשקי NFC, Bluetooth ו-USB Type-C.

הגנה על הנתונים הפיננסיים של החברה היא הסיבה העיקרית להשקעה באימות ללא סיסמה (44%), עם הצמיחה המהירה ביותר מאז 2017 (עלייה של שמונה נקודות אחוז). לאחר מכן, הגנה על קניין רוחני (40%) ונתוני כוח אדם (HR) (39%). וברור למה - לא רק שהערך הקשור לסוגי נתונים אלה מוכר ברבים, אלא שעובדים איתם מעטים יחסית. כלומר, עלויות ההטמעה אינן כל כך גדולות, ורק כמה אנשים צריכים לעבור הכשרה לעבודה עם מערכת אימות מורכבת יותר. לעומת זאת, סוגי הנתונים וההתקנים שרוב עובדי הארגון ניגשים אליהם באופן שוטף עדיין מוגנים רק על ידי סיסמאות. מסמכי עובדים, תחנות עבודה ופורטלי דוא"ל ארגוניים הם תחומי הסיכון הגדולים ביותר, שכן רק רבע מהעסקים מגנים על נכסים אלה באמצעות אימות ללא סיסמה (איור 14).

באופן כללי, דוא"ל ארגוני הוא דבר מאוד מסוכן ודלף, שמידת הסכנה הפוטנציאלית שלו מוערכת על ידי רוב מנהלי ה-CIO. עובדים מקבלים עשרות מיילים מדי יום, אז למה לא לכלול לפחות דוא"ל דיוג אחד (כלומר, הונאה) ביניהם. מכתב זה יעוצב בסגנון מכתבי החברה, כך שהעובד ירגיש בנוח ללחוץ על הקישור במכתב זה. ובכן, אז הכל יכול לקרות, למשל, הורדת וירוס למחשב המותקף או דליפת סיסמאות (כולל באמצעות הנדסה חברתית, על ידי הזנת טופס אימות מזויף שנוצר על ידי התוקף).

כדי למנוע דברים כאלה לקרות, יש לחתום על מיילים. אז יתברר מיד איזה מכתב נוצר על ידי עובד לגיטימי ואיזה על ידי תוקף. ב-Outlook/Exchange, למשל, חתימות אלקטרוניות מבוססות אסימון קריפטוגרפי מופעלות די במהירות ובקלות וניתן להשתמש בהן בשילוב עם אימות דו-גורמי על פני מחשבי PC ודומיינים של Windows.

מבין אותם מנהלים המסתמכים אך ורק על אימות סיסמאות בתוך הארגון, שני שלישים (66%) עושים זאת מכיוון שהם מאמינים שסיסמאות מספקות אבטחה מספקת לסוג המידע שהחברה שלהם צריכה להגן עליו (איור 15).

אבל שיטות אימות חזקות הופכות נפוצות יותר. בעיקר בשל העובדה שהזמינות שלהם עולה. מספר הולך וגדל של מערכות ניהול זהויות וגישה (IAM), דפדפנים ומערכות הפעלה תומכות באימות באמצעות אסימונים קריפטוגרפיים.

לאימות חזקה יש יתרון נוסף. מכיוון שהסיסמה אינה בשימוש יותר (מוחלפת בקוד PIN פשוט), אין בקשות של עובדים המבקשות מהם לשנות את הסיסמה שנשכחה. מה שבתורו מפחית את העומס על מחלקת ה-IT של הארגון.

סיכום ומסקנות

1. לרוב אין למנהלים את הידע הדרוש להעריך אמיתי האפקטיביות של אפשרויות אימות שונות. הם רגילים לסמוך על כאלה מְיוּשָׁן שיטות אבטחה כמו סיסמאות ושאלות אבטחה פשוט כי "זה עבד לפני".
2. למשתמשים עדיין יש את הידע הזה פָּחוֹת, עבורם העיקר פשטות ונוחות. כל עוד אין להם תמריץ לבחור פתרונות בטוחים יותר.
3. מפתחים של יישומים מותאמים אישית לעתים קרובות בלי סיבהליישם אימות דו-גורמי במקום אימות סיסמה. תחרות ברמת ההגנה באפליקציות משתמש לא.
4. אחריות מלאה על הפריצה הועבר למשתמש. נתן את הסיסמה החד-פעמית לתוקף - הוא אשם. הסיסמה שלך יורטה או ריגלה - הוא אשם. לא דרש מהמפתח להשתמש בשיטות אימות אמינות במוצר - הוא אשם.
5. נכון וַסָת קודם כל צריך לדרוש מחברות ליישם פתרונות ש לַחסוֹם דליפות נתונים (במיוחד אימות דו-גורמי), במקום ענישה כבר קרה דליפת נתונים.
6. כמה מפתחי תוכנה מנסים למכור לצרכנים ישן ולא אמין במיוחד פתרונות באריזה יפה מוצר "חדשני". למשל, אימות באמצעות קישור לסמארטפון ספציפי או שימוש ביומטרי. כפי שניתן לראות מהדוח, לפי אמין באמת יכול להיות רק פתרון המבוסס על אימות חזק, כלומר, אסימונים קריפטוגרפיים.
7. אותו הדבר ניתן להשתמש באסימון קריפטוגרפי עבור מספר משימות: ל אימות חזק במערכת ההפעלה הארגונית, ביישומים ארגוניים ומשתמשים, עבור חתימה אלקטרונית עסקאות פיננסיות (חשוב ליישומים בנקאיים), מסמכים ודואר אלקטרוני.

מקור: www.habr.com