რა დაემართება ავთენტიფიკაციას და პაროლებს? Javelin-ის მოხსენების თარგმანი „ძლიერი ავთენტიფიკაციის მდგომარეობა“ კომენტარებით

სპოილერი მოხსენების სათაურიდან: „ძლიერი ავთენტიფიკაციის გამოყენება იზრდება ახალი რისკების საფრთხისა და მარეგულირებელი მოთხოვნების გამო“.
კვლევითმა კომპანიამ "Javelin Strategy & Research" გამოაქვეყნა მოხსენება "Strong Authentication 2019" ( ორიგინალი pdf ფორმატში შეგიძლიათ ჩამოტვირთოთ აქ). ამ ანგარიშში ნათქვამია: ამერიკული და ევროპული კომპანიების რამდენი პროცენტი იყენებს პაროლს (და რატომ იყენებს ახლა პაროლს ცოტა ადამიანი); რატომ იზრდება კრიპტოგრაფიულ ნიშნებზე დაფუძნებული ორფაქტორიანი ავთენტიფიკაციის გამოყენება ასე სწრაფად; რატომ არ არის დაცული SMS-ით გაგზავნილი ერთჯერადი კოდები.

ნებისმიერს, ვინც დაინტერესებულია საწარმოებში და სამომხმარებლო აპლიკაციებში ავთენტიფიკაციის აწმყოთ, წარსულით და მომავლით, მისასალმებელია.

მთარგმნელისგან

სამწუხაროდ, ენა, რომელზეც ეს მოხსენება არის დაწერილი, საკმაოდ "მშრალი" და ფორმალურია. და სიტყვა "ავთენტიფიკაციის" ხუთჯერ გამოყენება ერთ მოკლე წინადადებაში არ არის მთარგმნელის დახრილი ხელები (ან ტვინი), არამედ ავტორების ახირება. ორი ვარიანტიდან თარგმნისას - მკითხველს ორიგინალთან უფრო მიახლოებული ტექსტი მივცე, ან უფრო საინტერესო, ხან პირველს ვარჩევდი, ხან მეორეს. მაგრამ იყავით მოთმინება, ძვირფასო მკითხველებო, მოხსენების შინაარსი ღირს.

მოთხრობისთვის ზოგიერთი უმნიშვნელო და არასაჭირო ნაწილი ამოიღეს, წინააღმდეგ შემთხვევაში უმრავლესობა ვერ შეძლებდა მთელ ტექსტს. მოხსენების „დაუჭრელი“ წაკითხვის მსურველებს შეუძლიათ ამის გაკეთება ორიგინალ ენაზე ბმულზე გადასვლით.

სამწუხაროდ, ავტორები ყოველთვის არ არიან ფრთხილად ტერმინოლოგიაში. ამრიგად, ერთჯერად პაროლებს (One Time Password - OTP) ზოგჯერ უწოდებენ "პაროლებს", ზოგჯერ კი "კოდებს". ეს კიდევ უფრო უარესია ავთენტიფიკაციის მეთოდებით. უვარგისი მკითხველისთვის ყოველთვის ადვილი არ არის გამოიცნოს, რომ „ავტენტიფიკაცია კრიპტოგრაფიული გასაღებების გამოყენებით“ და „ძლიერი ავთენტიფიკაცია“ ერთი და იგივეა. შევეცადე შეძლებისდაგვარად გაერთიანებულიყო ტერმინები და თავად მოხსენებაში არის ფრაგმენტი მათი აღწერით.

მიუხედავად ამისა, მოხსენების წაკითხვა რეკომენდებულია, რადგან ის შეიცავს უნიკალურ კვლევის შედეგებს და სწორ დასკვნებს.

ყველა ფიგურა და ფაქტი წარმოდგენილია ოდნავი ცვლილებების გარეშე და თუ არ ეთანხმებით მათ, მაშინ უმჯობესია ეკამათოთ არა მთარგმნელს, არამედ მოხსენების ავტორებს. და აქ არის ჩემი კომენტარები (მოყვანილი ციტატების სახით და მონიშნული ტექსტში იტალიური) ჩემი ღირებულებითი განსჯაა და სიამოვნებით ვიკამათებ თითოეულ მათგანზე (ასევე თარგმანის ხარისხზე).

განიხილოს

დღესდღეობით, მომხმარებლებთან კომუნიკაციის ციფრული არხები ბიზნესისთვის უფრო მნიშვნელოვანია, ვიდრე ოდესმე. და კომპანიის შიგნით, თანამშრომლებს შორის კომუნიკაცია უფრო ციფრული ორიენტირებულია, ვიდრე ოდესმე. და რამდენად უსაფრთხო იქნება ეს ურთიერთქმედება, დამოკიდებულია მომხმარებლის ავთენტიფიკაციის არჩეულ მეთოდზე. თავდამსხმელები იყენებენ სუსტ ავთენტიფიკაციას მომხმარებლის ანგარიშების მასიურად გატეხვის მიზნით. ამის საპასუხოდ, მარეგულირებლები ამკაცრებენ სტანდარტებს, რათა აიძულონ ბიზნესები უკეთ დაიცვან მომხმარებლის ანგარიშები და მონაცემები.

ავთენტიფიკაციასთან დაკავშირებული საფრთხეები სცილდება სამომხმარებლო აპლიკაციებს; თავდამსხმელებს ასევე შეუძლიათ მიიღონ წვდომა საწარმოში გაშვებულ აპლიკაციებზე. ეს ოპერაცია მათ საშუალებას აძლევს მიიღონ საკუთარი თავის კორპორატიული მომხმარებლები. თავდამსხმელებს, რომლებიც იყენებენ წვდომის წერტილებს სუსტი ავთენტიფიკაციით, შეუძლიათ მოიპარონ მონაცემები და განახორციელონ სხვა თაღლითური მოქმედებები. საბედნიეროდ, არსებობს ზომები ამის წინააღმდეგ საბრძოლველად. ძლიერი ავთენტიფიკაცია მნიშვნელოვნად შეამცირებს თავდამსხმელის მიერ თავდასხმის რისკს, როგორც სამომხმარებლო აპლიკაციებზე, ასევე საწარმოს ბიზნეს სისტემებზე.

ეს კვლევა შეისწავლის: როგორ ახორციელებენ საწარმოები ავთენტიფიკაციას საბოლოო მომხმარებლის აპლიკაციებისა და საწარმოს ბიზნეს სისტემების დასაცავად; ფაქტორები, რომლებსაც ისინი ითვალისწინებენ ავთენტიფიკაციის გადაწყვეტის არჩევისას; როლი, რომელსაც ძლიერი ავთენტიფიკაცია თამაშობს მათ ორგანიზაციებში; სარგებელი, რომელსაც ეს ორგანიზაციები იღებენ.

რეზიუმე

ძირითადი დასკვნები

2017 წლიდან მკვეთრად გაიზარდა ძლიერი ავთენტიფიკაციის გამოყენება. მოწყვლადობის მზარდი რაოდენობასთან ერთად, რომლებიც გავლენას ახდენს ავთენტიფიკაციის ტრადიციულ გადაწყვეტილებებზე, ორგანიზაციები აძლიერებენ ავტორიზაციის შესაძლებლობებს ძლიერი ავტორიზაციის საშუალებით. ორგანიზაციების რიცხვი, რომლებიც იყენებენ კრიპტოგრაფიულ მრავალფაქტორიან ავთენტიფიკაციას (MFA) სამჯერ გაიზარდა 2017 წლიდან სამომხმარებლო აპლიკაციებისთვის და გაიზარდა თითქმის 50%-ით საწარმოს აპლიკაციებისთვის. ყველაზე სწრაფი ზრდა შეინიშნება მობილური ავთენტიფიკაციის დროს ბიომეტრიული ავთენტიფიკაციის მზარდი ხელმისაწვდომობის გამო.

აქ ჩვენ ვხედავთ გამონათქვამის ილუსტრაციას: „სანამ ჭექა-ქუხილი არ დაიძვრება, კაცი თავს არ იჯვარს“. როდესაც ექსპერტებმა გააფრთხილეს პაროლების დაუცველობის შესახებ, არავინ ჩქარობდა ორფაქტორიანი ავთენტიფიკაციის განხორციელებას. როგორც კი ჰაკერებმა დაიწყეს პაროლების მოპარვა, ადამიანებმა დაიწყეს ორფაქტორიანი ავთენტიფიკაციის დანერგვა.

მართალია, ინდივიდები ბევრად უფრო აქტიურად ახორციელებენ 2FA-ს. პირველ რიგში, მათთვის უფრო ადვილია შიშის დამშვიდება სმარტფონებში ჩაშენებულ ბიომეტრიულ ავთენტიფიკაციაზე დაყრდნობით, რაც სინამდვილეში ძალიან არასანდოა. ორგანიზაციებმა უნდა დახარჯონ ფული ტოკენების შესაძენად და განახორციელონ სამუშაო (სინამდვილეში, ძალიან მარტივი) მათ განსახორციელებლად. და მეორეც, მხოლოდ ზარმაცებს არ უწერიათ პაროლის გაჟონვის შესახებ ისეთი სერვისებიდან, როგორიცაა Facebook და Dropbox, მაგრამ ამ ორგანიზაციების CIO არავითარ შემთხვევაში არ გაუზიარებენ ისტორიებს იმის შესახებ, თუ როგორ მოიპარეს პაროლები (და რა მოხდა შემდეგ) ორგანიზაციებში.

ისინი, ვინც არ იყენებენ ძლიერ ავთენტიფიკაციას, არ აფასებენ თავიანთ რისკს თავიანთი ბიზნესისა და მომხმარებლებისთვის. ზოგიერთი ორგანიზაცია, რომელიც ამჟამად არ იყენებს ძლიერ ავთენტიფიკაციას, თვლის, რომ შესვლა და პაროლები მომხმარებლის ავტორიზაციის ერთ-ერთ ყველაზე ეფექტურ და ადვილად გამოსაყენებელ მეთოდს წარმოადგენს. სხვები ვერ ხედავენ მათ საკუთრებაში არსებული ციფრული აქტივების ღირებულებას. ყოველივე ამის შემდეგ, გასათვალისწინებელია, რომ კიბერკრიმინალები დაინტერესებულნი არიან ნებისმიერი მომხმარებლისა და ბიზნესის ინფორმაციით. კომპანიების ორი მესამედი, რომლებიც მხოლოდ პაროლებს იყენებენ თავიანთი თანამშრომლების ავთენტიფიკაციისთვის, ამას აკეთებს, რადგან თვლის, რომ პაროლები საკმარისად კარგია იმ ტიპის ინფორმაციისთვის, რომელსაც ისინი იცავენ.

თუმცა, პაროლები საფლავისკენ მიმავალ გზაზეა. პაროლზე დამოკიდებულება მნიშვნელოვნად შემცირდა გასული წლის განმავლობაში როგორც სამომხმარებლო, ისე საწარმოს აპლიკაციებისთვის (44%-დან 31%-მდე და 56%-დან 47%-მდე), რადგან ორგანიზაციები ზრდიან ტრადიციულ MFA-ს და ძლიერ ავტორიზაციას.
მაგრამ თუ სიტუაციას მთლიანობაში შევხედავთ, ავთენტიფიკაციის დაუცველი მეთოდები მაინც ჭარბობს. მომხმარებლის ავთენტიფიკაციისთვის, ორგანიზაციების დაახლოებით მეოთხედი იყენებს SMS OTP-ს (ერთჯერადი პაროლი) უსაფრთხოების კითხვებთან ერთად. შედეგად, უსაფრთხოების დამატებითი ზომები უნდა განხორციელდეს დაუცველობისგან დასაცავად, რაც ზრდის ხარჯებს. ავთენტიფიკაციის ბევრად უფრო უსაფრთხო მეთოდების გამოყენება, როგორიცაა აპარატურის კრიპტოგრაფიული გასაღებები, გამოიყენება გაცილებით იშვიათად, ორგანიზაციების დაახლოებით 5%-ში.

განვითარებადი მარეგულირებელი გარემო გვპირდება, რომ დააჩქარებს ძლიერი ავთენტიფიკაციის მიღებას სამომხმარებლო აპლიკაციებისთვის. PSD2-ის შემოღებით, ისევე როგორც მონაცემთა დაცვის ახალი წესები ევროკავშირში და აშშ-ის რამდენიმე შტატში, როგორიცაა კალიფორნია, კომპანიები სიცხეს გრძნობენ. კომპანიების თითქმის 70% ეთანხმება, რომ მათ ემუქრებათ ძლიერი მარეგულირებელი ზეწოლა, რათა უზრუნველყონ ძლიერი ავთენტიფიკაცია თავიანთი მომხმარებლებისთვის. საწარმოების ნახევარზე მეტს მიაჩნია, რომ რამდენიმე წლის განმავლობაში მათი ავტორიზაციის მეთოდები არ იქნება საკმარისი მარეგულირებელი სტანდარტების დასაკმაყოფილებლად.

აშკარად ჩანს რუსული და ამერიკულ-ევროპელი კანონმდებლების მიდგომების განსხვავება პროგრამებისა და სერვისების მომხმარებელთა პერსონალური მონაცემების დაცვის მიმართ. რუსები ამბობენ: ძვირფასო სერვისის მფლობელებო, რაც გინდათ და როგორც გინდათ, გააკეთეთ, მაგრამ თუ თქვენი ადმინი მონაცემთა ბაზას შეაერთებს, ჩვენ დაგსჯით. საზღვარგარეთ ამბობენ: თქვენ უნდა განახორციელოთ ღონისძიებების მთელი რიგი არ დაუშვებს სანიაღვრე ბაზა. სწორედ ამიტომ იქ დანერგილია მკაცრი ორფაქტორიანი ავთენტიფიკაციის მოთხოვნები.
მართალია, შორს არის ის ფაქტი, რომ ჩვენი საკანონმდებლო მანქანა ერთ დღეს გონს არ მოვა და დასავლურ გამოცდილებას არ გაითვალისწინებს. შემდეგ გამოდის, რომ ყველას სჭირდება დანერგვა 2FA, რომელიც შეესაბამება რუსულ კრიპტოგრაფიულ სტანდარტებს და სასწრაფოდ.

ავტორიზაციის ძლიერი ჩარჩოს ჩამოყალიბება კომპანიებს საშუალებას აძლევს გადაიტანონ ყურადღება მარეგულირებელი მოთხოვნების დაკმაყოფილებიდან მომხმარებელთა საჭიროებების დაკმაყოფილებაზე. იმ ორგანიზაციებისთვის, რომლებიც ჯერ კიდევ იყენებენ მარტივ პაროლებს ან იღებენ კოდებს SMS-ით, ავტორიზაციის მეთოდის არჩევისას ყველაზე მნიშვნელოვანი ფაქტორი იქნება მარეგულირებელი მოთხოვნების დაცვა. მაგრამ იმ კომპანიებს, რომლებიც უკვე იყენებენ ძლიერ ავტორიზაციას, შეუძლიათ ყურადღება გაამახვილონ ავტორიზაციის იმ მეთოდების არჩევაზე, რომლებიც გაზრდის მომხმარებლის ლოიალობას.

საწარმოში კორპორატიული ავთენტიფიკაციის მეთოდის არჩევისას, მარეგულირებელი მოთხოვნები აღარ არის მნიშვნელოვანი ფაქტორი. ამ შემთხვევაში ბევრად უფრო მნიშვნელოვანია ინტეგრაციის სიმარტივე (32%) და ღირებულება (26%).

ფიშინგის ეპოქაში თავდამსხმელებს შეუძლიათ გამოიყენონ კორპორატიული ელფოსტა თაღლითობისთვის თაღლითურად მოიპოვოს წვდომა მონაცემებზე, ანგარიშებზე (შესაბამისი წვდომის უფლებით) და თანამშრომელთა დარწმუნებაც კი განახორციელოს ფულის გადარიცხვა მის ანგარიშზე. ამიტომ კორპორატიული ელ.ფოსტისა და პორტალის ანგარიშები განსაკუთრებით კარგად უნდა იყოს დაცული.

Google-მა გააძლიერა თავისი უსაფრთხოება ძლიერი ავთენტიფიკაციის განხორციელებით. ორ წელზე მეტი ხნის წინ Google-მა გამოაქვეყნა ანგარიში FIDO U2F სტანდარტის გამოყენებით კრიპტოგრაფიული უსაფრთხოების გასაღებებზე დაფუძნებული ორფაქტორიანი ავთენტიფიკაციის განხორციელების შესახებ და შთამბეჭდავი შედეგები მოჰყვა. კომპანიის ცნობით, არც ერთი ფიშინგური შეტევა არ განხორციელებულა 85 000-ზე მეტ თანამშრომელზე.

რეკომენდაციები

განახორციელეთ ძლიერი ავთენტიფიკაცია მობილური და ონლაინ აპლიკაციებისთვის. კრიპტოგრაფიულ გასაღებებზე დაფუძნებული მრავალფაქტორიანი ავთენტიფიკაცია უზრუნველყოფს ბევრად უკეთეს დაცვას ჰაკერებისგან, ვიდრე ტრადიციული MFA მეთოდები. გარდა ამისა, კრიპტოგრაფიული გასაღებების გამოყენება ბევრად უფრო მოსახერხებელია, რადგან არ არის საჭირო დამატებითი ინფორმაციის გამოყენება და გადაცემა - პაროლები, ერთჯერადი პაროლები ან ბიომეტრიული მონაცემები მომხმარებლის მოწყობილობიდან ავთენტიფიკაციის სერვერზე. გარდა ამისა, ავტორიზაციის პროტოკოლების სტანდარტიზაცია ბევრად აადვილებს ავტორიზაციის ახალი მეთოდების დანერგვას, როგორც კი ისინი ხელმისაწვდომი გახდება, ამცირებს განხორციელების ხარჯებს და იცავს უფრო დახვეწილი თაღლითობის სქემებისგან.

მოემზადეთ ერთჯერადი პაროლების (OTP) გაქრობისთვის. OTP-ების თანდაყოლილი დაუცველობა სულ უფრო ცხადი ხდება, რადგან კიბერკრიმინალები იყენებენ სოციალურ ინჟინერიას, სმარტფონების კლონირებას და მავნე პროგრამებს ავტორიზაციის ამ საშუალებების კომპრომეტირებისთვის. და თუ OTP-ებს ზოგიერთ შემთხვევაში აქვთ გარკვეული უპირატესობები, მაშინ მხოლოდ ყველა მომხმარებლისთვის უნივერსალური ხელმისაწვდომობის თვალსაზრისით, მაგრამ არა უსაფრთხოების თვალსაზრისით.

შეუძლებელია არ შეამჩნიოთ, რომ კოდების მიღება SMS ან Push შეტყობინებების საშუალებით, ისევე როგორც კოდების გენერირება სმარტფონებისთვის პროგრამების გამოყენებით, არის იმავე ერთჯერადი პაროლების (OTP) გამოყენება, რისთვისაც ჩვენ გვთხოვენ მომზადება შემცირებისთვის. ტექნიკური თვალსაზრისით, გამოსავალი ძალიან სწორია, რადგან ეს არის იშვიათი თაღლითი, რომელიც არ ცდილობს ერთჯერადი პაროლის გარკვევას გულმოდგინე მომხმარებლისგან. მაგრამ მე ვფიქრობ, რომ ასეთი სისტემების მწარმოებლები ბოლომდე მიჰყვებიან მომაკვდავ ტექნოლოგიას.

გამოიყენეთ ძლიერი ავთენტიფიკაცია, როგორც მარკეტინგული ინსტრუმენტი მომხმარებელთა ნდობის გასაზრდელად. ძლიერ ავთენტიფიკაციას შეუძლია მეტის გაკეთება, ვიდრე უბრალოდ გააუმჯობესოს თქვენი ბიზნესის რეალური უსაფრთხოება. კლიენტების ინფორმირება, რომ თქვენი ბიზნესი იყენებს ძლიერ ავთენტიფიკაციას, შეუძლია გააძლიეროს საზოგადოების აღქმა ამ ბიზნესის უსაფრთხოების შესახებ - მნიშვნელოვანი ფაქტორია, როდესაც არსებობს მომხმარებლის მნიშვნელოვანი მოთხოვნა ავტორიზაციის ძლიერ მეთოდებზე.

ჩაატარეთ კორპორატიული მონაცემების საფუძვლიანი ინვენტარიზაცია და კრიტიკულობის შეფასება და დაიცავით ისინი მნიშვნელობის მიხედვით. თუნდაც დაბალი რისკის მონაცემები, როგორიცაა მომხმარებელთა საკონტაქტო ინფორმაცია (არა, მართლაც, მოხსენებაში ნათქვამია "დაბალი რისკი", ძალიან უცნაურია, რომ ისინი არ აფასებენ ამ ინფორმაციის მნიშვნელობას), შეიძლება მნიშვნელოვანი ღირებულება მოუტანოს თაღლითებს და პრობლემები შეუქმნას კომპანიას.

გამოიყენეთ ძლიერი საწარმოს ავთენტიფიკაცია. რიგი სისტემა კრიმინალებისთვის ყველაზე მიმზიდველი სამიზნეა. ეს მოიცავს შიდა და ინტერნეტთან დაკავშირებულ სისტემებს, როგორიცაა სააღრიცხვო პროგრამა ან კორპორატიული მონაცემთა საწყობი. ძლიერი ავთენტიფიკაცია ხელს უშლის თავდამსხმელებს არაავტორიზებული წვდომის მოპოვებაში და ასევე შესაძლებელს ხდის ზუსტად განსაზღვროს რომელმა თანამშრომელმა ჩაიდინა მავნე მოქმედება.

რა არის ძლიერი ავთენტიფიკაცია?

ძლიერი ავთენტიფიკაციის გამოყენებისას, რამდენიმე მეთოდი ან ფაქტორი გამოიყენება მომხმარებლის ავთენტურობის შესამოწმებლად:

• ცოდნის ფაქტორი: გაზიარებული საიდუმლოება მომხმარებელსა და მომხმარებლის ავტორიზაციას შორის (როგორიცაა პაროლები, უსაფრთხოების კითხვებზე პასუხები და ა.შ.)
• საკუთრების ფაქტორი: მოწყობილობა, რომელიც მხოლოდ მომხმარებელს აქვს (მაგალითად, მობილური მოწყობილობა, კრიპტოგრაფიული გასაღები და ა.შ.)
• მთლიანობის ფაქტორი: მომხმარებლის ფიზიკური (ხშირად ბიომეტრიული) მახასიათებლები (მაგალითად, თითის ანაბეჭდი, ირისის ნიმუში, ხმა, ქცევა და ა.შ.)

მრავალი ფაქტორის გატეხვის აუცილებლობა მნიშვნელოვნად ზრდის თავდამსხმელებისთვის წარუმატებლობის ალბათობას, რადგან სხვადასხვა ფაქტორების გვერდის ავლით ან მოტყუებით საჭიროა სხვადასხვა ტიპის ჰაკერული ტაქტიკის გამოყენება, თითოეული ფაქტორისთვის ცალკე.

მაგალითად, 2FA „პაროლი + სმარტფონის“ საშუალებით, თავდამსხმელს შეუძლია შეასრულოს ავტორიზაცია მომხმარებლის პაროლის დათვალიერებით და მისი სმარტფონის ზუსტი პროგრამული ასლის გადაღებით. და ეს ბევრად უფრო რთულია, ვიდრე უბრალოდ პაროლის მოპარვა.

მაგრამ თუ პაროლი და კრიპტოგრაფიული ნიშანი გამოიყენება 2FA-სთვის, მაშინ კოპირების ვარიანტი აქ არ მუშაობს - შეუძლებელია ტოკენის დუბლირება. თაღლითს მოუწევს მომხმარებლისგან მალულად მოიპაროს ჟეტონი. თუ მომხმარებელი დროულად შეამჩნევს ზარალს და აცნობებს ადმინს, ჟეტონი დაიბლოკება და თაღლითის ძალისხმევა უშედეგო იქნება. სწორედ ამიტომ, საკუთრების ფაქტორი მოითხოვს სპეციალიზებული უსაფრთხო მოწყობილობების (ტოკენების) გამოყენებას, ვიდრე ზოგადი დანიშნულების მოწყობილობების (სმარტფონები).

სამივე ფაქტორის გამოყენება ავთენტიფიკაციის ამ მეთოდს საკმაოდ ძვირი გახდის განხორციელებას და საკმაოდ მოუხერხებელ გამოყენებას. აქედან გამომდინარე, ჩვეულებრივ გამოიყენება სამი ფაქტორიდან ორი.

ორფაქტორიანი ავთენტიფიკაციის პრინციპები უფრო დეტალურად არის აღწერილი აქ, ბლოკში „როგორ მუშაობს ორფაქტორიანი ავთენტიფიკაცია“.

მნიშვნელოვანია აღინიშნოს, რომ ავტორიზაციის ერთ-ერთმა ფაქტორმა, რომელიც გამოიყენება ძლიერ ავთენტიფიკაციაში, უნდა გამოიყენოს საჯარო გასაღების კრიპტოგრაფია.

ძლიერი ავთენტიფიკაცია უზრუნველყოფს ბევრად უფრო ძლიერ დაცვას, ვიდრე ერთი ფაქტორიანი ავტორიზაცია, რომელიც დაფუძნებულია კლასიკურ პაროლებსა და ტრადიციულ MFA-ზე. პაროლების თვალთვალის ან თვალყურის დევნება შესაძლებელია keylogger-ების, ფიშინგის საიტების ან სოციალური ინჟინერიის თავდასხმების გამოყენებით (სადაც მსხვერპლს ატყუებენ და ავლენენ პაროლს). უფრო მეტიც, პაროლის მფლობელმა არაფერი იცის ქურდობის შესახებ. ტრადიციული MFA (მათ შორის OTP კოდები, სმარტფონთან ან SIM ბარათთან დაკავშირება) ასევე შეიძლება გატეხილი იყოს საკმაოდ მარტივად, რადგან ის არ არის დაფუძნებული საჯარო გასაღების კრიპტოგრაფიაზე (სხვათა შორის, ბევრი მაგალითია, როდესაც სოციალური ინჟინერიის იგივე ტექნიკის გამოყენებით, თაღლითები დაარწმუნეს მომხმარებლები, რომ მიეცათ მათ ერთჯერადი პაროლი.).

საბედნიეროდ, ძლიერი ავთენტიფიკაციისა და ტრადიციული MFA-ს გამოყენება გასული წლიდან სულ უფრო პოპულარული გახდა როგორც სამომხმარებლო, ისე საწარმოს აპლიკაციებში. ძლიერი ავთენტიფიკაციის გამოყენება სამომხმარებლო აპლიკაციებში განსაკუთრებით სწრაფად გაიზარდა. თუ 2017 წელს კომპანიების მხოლოდ 5% იყენებდა, მაშინ 2018 წელს უკვე სამჯერ მეტი იყო – 16%. ეს შეიძლება აიხსნას ტოკენების გაზრდილი ხელმისაწვდომობით, რომლებიც მხარს უჭერენ საჯარო გასაღების კრიპტოგრაფიის (PKC) ალგორითმებს. გარდა ამისა, გაზრდილმა ზეწოლამ ევროპული მარეგულირებლების მხრიდან მონაცემთა დაცვის ახალი წესების მიღების შემდეგ, როგორიცაა PSD2 და GDPR, ძლიერი გავლენა იქონია ევროპის ფარგლებს გარეთაც.მათ შორის რუსეთშიც).

მოდით უფრო ახლოს მივხედოთ ამ ციფრებს. როგორც ვხედავთ, მრავალფაქტორიანი ავთენტიფიკაციის გამოყენებით კერძო პირების პროცენტი შთამბეჭდავი 11%-ით გაიზარდა წლის განმავლობაში. და ეს აშკარად მოხდა პაროლის მოყვარულთა ხარჯზე, რადგან მათ რიცხვი, ვისაც სჯერა Push შეტყობინებების, SMS-ების და ბიომეტრიის უსაფრთხოების შესახებ, არ შეცვლილა.

მაგრამ კორპორატიული გამოყენებისთვის ორფაქტორიანი ავთენტიფიკაციით, ყველაფერი არც ისე კარგია. ჯერ ერთი, მოხსენების თანახმად, თანამშრომლების მხოლოდ 5% გადავიდა პაროლის ავტორიზაციისგან ტოკენებზე. და მეორეც, 4%-ით გაიზარდა მათ რიცხვი, ვინც კორპორატიულ გარემოში იყენებს საგარეო საქმეთა სამინისტროს ალტერნატიულ ვარიანტებს.

ვეცდები ვითამაშო ანალიტიკოსი და გავცე ჩემი ინტერპრეტაცია. ინდივიდუალური მომხმარებლების ციფრული სამყაროს ცენტრში არის სმარტფონი. აქედან გამომდინარე, გასაკვირი არ არის, რომ უმრავლესობა იყენებს იმ შესაძლებლობებს, რომლებსაც მოწყობილობა უზრუნველყოფს - ბიომეტრიული ავთენტიფიკაცია, SMS და Push შეტყობინებები, ასევე ერთჯერადი პაროლები, რომლებიც გენერირებულია თავად სმარტფონის აპლიკაციებით. ადამიანები, როგორც წესი, არ ფიქრობენ უსაფრთხოებაზე და საიმედოობაზე იმ ინსტრუმენტების გამოყენებისას, რომლებსაც ისინი იყენებენ.

სწორედ ამიტომ უცვლელი რჩება პრიმიტიული „ტრადიციული“ ავთენტიფიკაციის ფაქტორების მომხმარებელთა პროცენტი. მაგრამ მათ, ვინც ადრე იყენებდა პაროლებს, ესმით, რამდენად რისკავს ისინი და ახალი ავტორიზაციის ფაქტორის არჩევისას, ისინი ირჩევენ უახლეს და უსაფრთხო ვარიანტს - კრიპტოგრაფიულ ჟეტონს.

რაც შეეხება კორპორატიულ ბაზარს, მნიშვნელოვანია გვესმოდეს, რომელ სისტემაში ხორციელდება ავტორიზაცია. თუ Windows დომენში შესვლა განხორციელებულია, მაშინ გამოიყენება კრიპტოგრაფიული ნიშნები. 2FA-სთვის მათი გამოყენების შესაძლებლობები უკვე შედის როგორც Windows-ში, ასევე Linux-ში, ხოლო ალტერნატიული ვარიანტები გრძელი და რთულად განსახორციელებელია. იმდენი რამ არის პაროლებიდან ტოკენებზე 5%-ის მიგრაცია.

და 2FA-ს დანერგვა კორპორატიულ საინფორმაციო სისტემაში ძალიან დამოკიდებულია დეველოპერების კვალიფიკაციაზე. და დეველოპერებისთვის ბევრად უფრო ადვილია მზა მოდულების აღება ერთჯერადი პაროლების გენერირებისთვის, ვიდრე კრიპტოგრაფიული ალგორითმების მუშაობის გაგება. და შედეგად, უსაფრთხოებისთვის წარმოუდგენლად კრიტიკული აპლიკაციებიც კი, როგორიცაა Single Sign-On ან Privileged Access Management სისტემები, იყენებენ OTP-ს, როგორც მეორე ფაქტორს.

მრავალი დაუცველობა ტრადიციული ავთენტიფიკაციის მეთოდებში

მიუხედავად იმისა, რომ მრავალი ორგანიზაცია რჩება მემკვიდრეობით ერთფაქტორიან სისტემებზე დამოკიდებული, ტრადიციული მრავალფაქტორიანი ავთენტიფიკაციის ხარვეზები სულ უფრო აშკარა ხდება. ერთჯერადი პაროლები, როგორც წესი, ექვსიდან რვა სიმბოლოს სიგრძით, მიწოდებული SMS-ით, რჩება ავტორიზაციის ყველაზე გავრცელებულ ფორმად (გარდა პაროლის ფაქტორისა, რა თქმა უნდა). და როდესაც პოპულარულ პრესაში ნახსენებია სიტყვები „ორფაქტორიანი ავტორიზაცია“ ან „ორეტაპიანი გადამოწმება“, ისინი თითქმის ყოველთვის ეხება SMS-ის ერთჯერადი პაროლის ავთენტიფიკაციას.

აქ ავტორი ცოტა ცდება. SMS-ის საშუალებით ერთჯერადი პაროლების მიწოდება არასოდეს ყოფილა ორფაქტორიანი ავთენტიფიკაცია. ეს არის მისი სუფთა სახით ორეტაპიანი ავტორიზაციის მეორე ეტაპი, სადაც პირველი ეტაპი არის თქვენი შესვლისა და პაროლის შეყვანა.

2016 წელს სტანდარტებისა და ტექნოლოგიების ეროვნულმა ინსტიტუტმა (NIST) განაახლა ავთენტიფიკაციის წესები SMS-ით გაგზავნილი ერთჯერადი პაროლების გამოყენების აღმოსაფხვრელად. თუმცა, ეს წესები მნიშვნელოვნად შემსუბუქდა ინდუსტრიის პროტესტის შემდეგ.

ასე რომ, მივყვეთ შეთქმულებას. ამერიკული მარეგულირებელი სამართლიანად აღიარებს, რომ მოძველებულ ტექნოლოგიას არ შეუძლია უზრუნველყოს მომხმარებლის უსაფრთხოება და ნერგავს ახალ სტანდარტებს. სტანდარტები, რომლებიც შექმნილია ონლაინ და მობილური აპლიკაციების (მათ შორის, საბანკო) მომხმარებლების დასაცავად. ინდუსტრია ითვლის რა თანხის დახარჯვას მოუწევს ჭეშმარიტად სანდო კრიპტოგრაფიული ტოკენების შესაძენად, აპლიკაციების ხელახალი დიზაინისთვის, საჯარო გასაღების ინფრასტრუქტურის განთავსებაზე და „ამაღლდება უკანა ფეხებზე“. ერთის მხრივ, მომხმარებლები დარწმუნებულნი იყვნენ ერთჯერადი პაროლების სანდოობაში, ხოლო მეორეს მხრივ, იყო თავდასხმები NIST-ზე. შედეგად, სტანდარტი შეარბილა და მკვეთრად გაიზარდა ჰაკერების და პაროლების (და საბანკო აპლიკაციებიდან ფულის) მოპარვის რაოდენობა. მაგრამ ინდუსტრიას არ მოუწია ფულის დახარჯვა.

მას შემდეგ SMS OTP-ის თანდაყოლილი სისუსტეები უფრო აშკარა გახდა. თაღლითები იყენებენ სხვადასხვა მეთოდს SMS შეტყობინებების კომპრომისისთვის:

• SIM ბარათის დუბლირება. თავდამსხმელები ქმნიან SIM-ის ასლს (მობილური ოპერატორის თანამშრომლების დახმარებით, ან დამოუკიდებლად, სპეციალური პროგრამული უზრუნველყოფის და ტექნიკის გამოყენებით). შედეგად, თავდამსხმელი იღებს SMS-ს ერთჯერადი პაროლით. ერთ განსაკუთრებით ცნობილ საქმეში ჰაკერებმა შეძლეს კრიპტოვალუტის ინვესტორის მაიკლ ტურპინის AT&T ანგარიშის კომპრომეტირებაც კი და კრიპტოვალუტაში თითქმის 24 მილიონი დოლარის მოპარვა. შედეგად, ტურპინმა განაცხადა, რომ AT&T იყო დამნაშავე სუსტი გადამოწმების ზომების გამო, რამაც გამოიწვია SIM ბარათის დუბლირება.
  

  საოცარი ლოგიკა. ანუ მართლა მხოლოდ AT&T-ის ბრალია? არა, უდავოდ მობილური ოპერატორის ბრალია, რომ საკომუნიკაციო მაღაზიაში გამყიდველებმა გასცეს დუბლიკატი SIM ბარათი. რაც შეეხება კრიპტოვალუტის გაცვლის ავთენტიფიკაციის სისტემას? რატომ არ გამოიყენეს ძლიერი კრიპტოგრაფიული ნიშნები? საცოდაობა იყო განხორციელებაზე ფულის დახარჯვა? თვითონ მაიკლი არ არის დამნაშავე? რატომ არ დაჟინებით მოითხოვდა ავტორიზაციის მექანიზმის შეცვლას ან გამოიყენა მხოლოდ ის ბირჟები, რომლებიც ახორციელებენ ორფაქტორიან ავთენტიფიკაციას კრიპტოგრაფიული ნიშნების საფუძველზე?

  ჭეშმარიტად სანდო ავთენტიფიკაციის მეთოდების დანერგვა დაგვიანებულია სწორედ იმიტომ, რომ მომხმარებლები აჩვენებენ საოცარ უყურადღებობას ჰაკერების წინ, შემდეგ კი თავიანთ პრობლემებს აბრალებენ ვინმეს და ყველაფერს, გარდა უძველესი და „გაჟონილი“ ავთენტიფიკაციის ტექნოლოგიებისა.

• მავნე პროგრამა. მობილური მავნე პროგრამის ერთ-ერთი ყველაზე ადრეული ფუნქცია იყო თავდამსხმელებისთვის ტექსტური შეტყობინებების ჩაჭრა და გადაგზავნა. ასევე, ადამიანის ბრაუზერში და ადამიანის შუაგულში შეტევებს შეუძლიათ ერთჯერადი პაროლების ჩაჭრა, როდესაც ისინი შეყვანილია ინფიცირებულ ლეპტოპებზე ან დესკტოპ მოწყობილობებზე.
  

  როდესაც Sberbank აპლიკაცია თქვენს სმარტფონზე ციმციმებს მწვანე ხატულას სტატუსის ზოლში, ის ასევე ეძებს „მავნე პროგრამას“ თქვენს ტელეფონზე. ამ ღონისძიების მიზანია, გადააქციოს ტიპიური სმარტფონის არასანდო შესრულების გარემო, ყოველ შემთხვევაში, გარკვეულწილად სანდო გარემოდ.
  სხვათა შორის, სმარტფონი, როგორც სრულიად არასანდო მოწყობილობა, რომელზედაც ყველაფერი შეიძლება გაკეთდეს, არის მისი ავტორიზაციისთვის გამოყენების კიდევ ერთი მიზეზი. მხოლოდ ტექნიკის ნიშნები, რომლებიც დაცულია და თავისუფალია ვირუსებისა და ტროასებისგან.

• Სოციალური ინჟინერია. როდესაც თაღლითებმა იციან, რომ მსხვერპლს აქვს ჩართული OTP-ები SMS-ის საშუალებით, მათ შეუძლიათ უშუალოდ დაუკავშირდნენ მსხვერპლს, წარმოაჩინონ როგორც სანდო ორგანიზაცია, როგორიცაა მათი ბანკი ან საკრედიტო კავშირი, რათა მოატყუონ მსხვერპლი და მიაწოდოს ის კოდი, რომელიც ახლახან მიიღო.
  

  მე პირადად არაერთხელ შევხვედრივარ ამ ტიპის თაღლითობას, მაგალითად, როდესაც ვცდილობდი გავყიდო რამე პოპულარულ ონლაინ რწყილების ბაზარზე. მე თვითონ დავცინე იმ თაღლითს, რომელიც ჩემს მოტყუებას ცდილობდა. სამწუხაროდ, მე რეგულარულად ვკითხულობდი ახალ ამბებში, თუ როგორ "არ ფიქრობდა" თაღლითების კიდევ ერთი მსხვერპლი, მისცა დადასტურების კოდი და დაკარგა დიდი თანხა. და ეს ყველაფერი იმიტომ ხდება, რომ ბანკს უბრალოდ არ სურს თავის აპლიკაციებში კრიპტოგრაფიული ნიშნების დანერგვასთან გამკლავება. ყოველივე ამის შემდეგ, თუ რამე მოხდება, მაშინ კლიენტებს "საკუთარი თავის დადანაშაულება აქვთ".

მიუხედავად იმისა, რომ OTP მიწოდების ალტერნატიულმა მეთოდებმა შეიძლება შეამციროს ზოგიერთი დაუცველობა ამ ავტორიზაციის მეთოდში, სხვა დაუცველობა რჩება. დამოუკიდებელი კოდის გენერირების აპლიკაციები საუკეთესო დაცვაა მოსმენისაგან, ვინაიდან მავნე პროგრამასაც კი ძნელად შეუძლია უშუალოდ კოდის გენერატორთან ურთიერთობა (სერიოზულად? დაავიწყდა თუ არა მოხსენების ავტორს დისტანციური მართვის პულტი?), მაგრამ ბრაუზერში შესვლისას მაინც შესაძლებელია OTP-ების ჩარევა (მაგალითად keylogger-ის გამოყენებით), გატეხილი მობილური აპლიკაციის საშუალებით; და ასევე შეიძლება მიიღოთ უშუალოდ მომხმარებლისგან სოციალური ინჟინერიის გამოყენებით.
რისკის შეფასების მრავალი ინსტრუმენტის გამოყენება, როგორიცაა მოწყობილობის ამოცნობა (ტრანზაქციების განხორციელების მცდელობების აღმოჩენა მოწყობილობებიდან, რომლებიც არ ეკუთვნის ლეგალურ მომხმარებელს), გეოლოკაცია (მომხმარებელი, რომელიც ახლახან იყო მოსკოვში, ცდილობს ოპერაციის გაკეთებას ნოვოსიბირსკიდან) და ქცევითი ანალიტიკა მნიშვნელოვანია მოწყვლადობის მოსაგვარებლად, მაგრამ არც ერთი გამოსავალი არ არის პანაცეა. თითოეული სიტუაციისა და ტიპის მონაცემებისთვის აუცილებელია რისკების გულდასმით შეფასება და არჩევა, რომელი ავთენტიფიკაციის ტექნოლოგია უნდა იყოს გამოყენებული.

ავთენტიფიკაციის გადაწყვეტა არ არის პანაცეა

სურათი 2. ავთენტიფიკაციის პარამეტრების ცხრილი

ავთენტიფიკაცია	ფაქტორი	აღწერა	ძირითადი დაუცველობა
პაროლი ან PIN	ცოდნა	ფიქსირებული მნიშვნელობა, რომელიც შეიძლება შეიცავდეს ასოებს, ციფრებს და უამრავ სხვა სიმბოლოს	შეიძლება ჩაეჭრა, თვალთვალი, მოპარვა, აყვანა ან გატეხვა
ცოდნაზე დაფუძნებული ავთენტიფიკაცია	ცოდნა	კითხულობს პასუხებს, რომლებზეც მხოლოდ ლეგალურ მომხმარებელს შეუძლია იცოდეს	შესაძლებელია დაჭერა, აყვანა, მიღება სოციალური ინჟინერიის მეთოდების გამოყენებით
აპარატურის OTP (მაგალითად)	ფლობა	სპეციალური მოწყობილობა, რომელიც ქმნის ერთჯერადი პაროლებს	კოდი შეიძლება ჩაითვალოს და განმეორდეს, ან მოწყობილობა მოიპაროს
პროგრამული OTP-ები	ფლობა	აპლიკაცია (მობილური, ხელმისაწვდომი ბრაუზერის საშუალებით ან კოდების გაგზავნა ელექტრონული ფოსტით), რომელიც ქმნის ერთჯერადი პაროლებს	კოდი შეიძლება ჩაითვალოს და განმეორდეს, ან მოწყობილობა მოიპაროს
SMS OTP	ფლობა	ერთჯერადი პაროლი მიწოდებული SMS ტექსტური შეტყობინების საშუალებით	კოდი შეიძლება ჩაითვალოს და განმეორდეს, ან სმარტფონი ან SIM ბარათი შეიძლება მოიპაროს, ან SIM ბარათის დუბლირება
ჭკვიანი ბარათები (მაგალითად)	ფლობა	ბარათი, რომელიც შეიცავს კრიპტოგრაფიულ ჩიპს და უსაფრთხო გასაღების მეხსიერებას, რომელიც იყენებს საჯარო გასაღების ინფრასტრუქტურას ავტორიზაციისთვის	შეიძლება ფიზიკურად მოიპარონ (მაგრამ თავდამსხმელი ვერ შეძლებს მოწყობილობის გამოყენებას PIN კოდის ცოდნის გარეშე; რამდენიმე არასწორი შეყვანის მცდელობის შემთხვევაში, მოწყობილობა დაიბლოკება)
უსაფრთხოების გასაღებები - ნიშნები (მაგალითად, სხვა მაგალითი)	ფლობა	USB მოწყობილობა, რომელიც შეიცავს კრიპტოგრაფიულ ჩიპს და უსაფრთხო გასაღების მეხსიერებას, რომელიც იყენებს საჯარო გასაღების ინფრასტრუქტურას ავტორიზაციისთვის	შეიძლება ფიზიკურად მოიპაროს (მაგრამ თავდამსხმელი ვერ შეძლებს მოწყობილობის გამოყენებას PIN კოდის ცოდნის გარეშე; შეყვანის რამდენიმე არასწორი მცდელობის შემთხვევაში, მოწყობილობა დაიბლოკება)
მოწყობილობასთან დაკავშირება	ფლობა	პროცესი, რომელიც ქმნის პროფილს, ხშირად JavaScript-ის გამოყენებით, ან მარკერების გამოყენებით, როგორიცაა ქუქიები და Flash Shared Objects, რათა უზრუნველყოს კონკრეტული მოწყობილობის გამოყენება	ტოკენების მოპარვა (კოპირება) და ლეგალური მოწყობილობის მახასიათებლების იმიტაცია შესაძლებელია თავდამსხმელმა მის მოწყობილობაზე
ქცევა	თანდაყოლილობა	აანალიზებს, თუ როგორ ურთიერთობს მომხმარებელი მოწყობილობასთან ან პროგრამასთან	ქცევის იმიტაცია შეიძლება
თითის ანაბეჭდები	თანდაყოლილობა	შენახული თითის ანაბეჭდები შედარებულია ოპტიკურად ან ელექტრონულად აღბეჭდილ თითის ანაბეჭდებთან	გამოსახულების მოპარვა და ავთენტიფიკაციისთვის გამოყენება შესაძლებელია
თვალის სკანირება	თანდაყოლილობა	ადარებს თვალის მახასიათებლებს, როგორიცაა ირისის ნიმუში, ახალ ოპტიკურ სკანირებას	გამოსახულების მოპარვა და ავთენტიფიკაციისთვის გამოყენება შესაძლებელია
სახის ამოცნობა	თანდაყოლილობა	სახის მახასიათებლები შედარებულია ახალ ოპტიკურ სკანირებასთან	გამოსახულების მოპარვა და ავთენტიფიკაციისთვის გამოყენება შესაძლებელია
Ხმის ამოცნობა	თანდაყოლილობა	ჩაწერილი ხმის ნიმუშის მახასიათებლები შედარებულია ახალ ნიმუშებთან	ჩანაწერი შეიძლება მოიპაროს და გამოიყენოს ავთენტიფიკაციისთვის, ან ემულაცია

პუბლიკაციის მეორე ნაწილში უგემრიელესი რამ გველოდება - რიცხვები და ფაქტები, რომლებზეც პირველ ნაწილში მოცემული დასკვნები და რეკომენდაციებია დაფუძნებული. ავთენტიფიკაცია მომხმარებლის აპლიკაციებში და კორპორატიულ სისტემებში ცალკე იქნება განხილული.

ნახეთ მალე!

წყარო: www.habr.com