តើនឹងមានអ្វីកើតឡើងចំពោះការផ្ទៀងផ្ទាត់ និងពាក្យសម្ងាត់? ការបកប្រែរបាយការណ៍ Javelin "ស្ថានភាពនៃការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ" ជាមួយនឹងមតិយោបល់

Spoiler ពីចំណងជើងនៃរបាយការណ៍៖ "ការប្រើប្រាស់ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវកើនឡើងដោយសារតែការគំរាមកំហែងនៃហានិភ័យថ្មី និងតម្រូវការបទប្បញ្ញត្តិ។"
ក្រុមហ៊ុនស្រាវជ្រាវ "Javelin Strategy & Research" បានបោះពុម្ពរបាយការណ៍ "រដ្ឋនៃការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ 2019" ( ដើមជាទម្រង់ pdf អាចទាញយកបាននៅទីនេះ) របាយការណ៍នេះនិយាយថា៖ តើក្រុមហ៊ុនអាមេរិក និងអឺរ៉ុបប៉ុន្មានភាគរយប្រើពាក្យសម្ងាត់ (ហើយហេតុអ្វីបានជាមានមនុស្សតិចណាស់ប្រើពាក្យសម្ងាត់ឥឡូវនេះ); ហេតុអ្វីបានជាការប្រើប្រាស់ការផ្ទៀងផ្ទាត់ពីរកត្តាផ្អែកលើសញ្ញាសម្ងាត់គ្រីបកំពុងរីកចម្រើនយ៉ាងឆាប់រហ័ស។ ហេតុអ្វី​បាន​ជា​លេខ​កូដ​ប្រើ​តែ​ម្ដង​តាម​រយៈ​សារ SMS មិន​មាន​សុវត្ថិភាព។

នរណាម្នាក់ដែលចាប់អារម្មណ៍លើការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនាពេលបច្ចុប្បន្ន អតីតកាល និងអនាគតនៅក្នុងសហគ្រាស និងកម្មវិធីអ្នកប្រើប្រាស់ត្រូវបានស្វាគមន៍។

ពីអ្នកបកប្រែ

Alas, ភាសាដែលរបាយការណ៍នេះត្រូវបានសរសេរគឺ "ស្ងួត" និងផ្លូវការ។ ហើយការប្រើប្រាស់ប្រាំដងនៃពាក្យ "ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ" នៅក្នុងប្រយោគខ្លីមួយមិនមែនជាដៃកោង (ឬខួរក្បាល) របស់អ្នកបកប្រែនោះទេ ប៉ុន្តែជាការចង់បានរបស់អ្នកនិពន្ធ។ នៅពេលបកប្រែពីជម្រើសពីរ - ដើម្បីផ្តល់ឱ្យអ្នកអាននូវអត្ថបទដែលខិតទៅជិតដើមឬគួរឱ្យចាប់អារម្មណ៍ជាងនេះ ពេលខ្លះខ្ញុំបានជ្រើសរើសទីមួយ ហើយជួនកាលទីពីរ។ ប៉ុន្តែត្រូវអត់ធ្មត់ អ្នកអានជាទីគោរព ខ្លឹមសារនៃរបាយការណ៍គឺមានតម្លៃ។

បំណែកដែលមិនសំខាន់ និងមិនចាំបាច់មួយចំនួនសម្រាប់សាច់រឿងត្រូវបានដកចេញ បើមិនដូច្នេះទេ ភាគច្រើននឹងមិនអាចទទួលបានតាមរយៈអត្ថបទទាំងមូលនោះទេ។ អ្នក​ដែល​ចង់​អាន​របាយការណ៍ "មិន​កាត់​" អាច​ធ្វើ​ដូច្នេះ​ជា​ភាសា​ដើម​ដោយ​ធ្វើ​តាម​តំណ។

ជាអកុសល អ្នកនិពន្ធមិនតែងតែប្រុងប្រយ័ត្នជាមួយវាក្យស័ព្ទទេ។ ដូច្នេះ ពាក្យសម្ងាត់តែម្តង (One Time Password - OTP) ជួនកាលត្រូវបានគេហៅថា "ពាក្យសម្ងាត់" ហើយជួនកាល "លេខកូដ" ។ វាកាន់តែអាក្រក់ជាមួយនឹងវិធីសាស្ត្រផ្ទៀងផ្ទាត់។ វាមិនតែងតែងាយស្រួលសម្រាប់អ្នកអានដែលមិនបានទទួលការបណ្តុះបណ្តាលក្នុងការទាយថា "ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដោយប្រើសោគ្រីប" និង "ការផ្ទៀងផ្ទាត់ខ្លាំង" គឺជារឿងដូចគ្នា។ ខ្ញុំបានព្យាយាមបង្រួបបង្រួមលក្ខខណ្ឌឱ្យបានច្រើនតាមដែលអាចធ្វើទៅបាន ហើយនៅក្នុងរបាយការណ៍ខ្លួនវាមានបំណែកជាមួយនឹងការពិពណ៌នារបស់ពួកគេ។

យ៉ាង​ណា​ក៏​ដោយ របាយការណ៍​នេះ​ត្រូវ​បាន​ផ្ដល់​អនុសាសន៍​ឱ្យ​អាន​យ៉ាង​ខ្លាំង​ព្រោះ​វា​មាន​លទ្ធផល​ស្រាវជ្រាវ​តែ​មួយ​គត់ និង​ការ​សន្និដ្ឋាន​ត្រឹមត្រូវ។

តួរលេខ និងអង្គហេតុទាំងអស់ត្រូវបានបង្ហាញដោយគ្មានការផ្លាស់ប្តូរតិចតួចបំផុត ហើយប្រសិនបើអ្នកមិនយល់ស្របជាមួយពួកគេទេនោះ វាជាការប្រសើរជាងក្នុងការជជែកតវ៉ាមិនមែនជាមួយអ្នកបកប្រែនោះទេ ប៉ុន្តែជាមួយនឹងអ្នកនិពន្ធនៃរបាយការណ៍។ ហើយនេះគឺជាយោបល់របស់ខ្ញុំ (ដាក់ចេញជាសម្រង់ និងសម្គាល់ក្នុងអត្ថបទ អ៊ីតាលី) គឺជាការវិនិច្ឆ័យតម្លៃរបស់ខ្ញុំ ហើយខ្ញុំនឹងរីករាយក្នុងការជជែកវែកញែកអំពីពួកគេម្នាក់ៗ (ក៏ដូចជាអំពីគុណភាពនៃការបកប្រែ)។

ទិដ្ឋភាពទូទៅ

សព្វថ្ងៃនេះ បណ្តាញឌីជីថលនៃការប្រាស្រ័យទាក់ទងជាមួយអតិថិជនមានសារៈសំខាន់ជាងពេលណាទាំងអស់សម្រាប់អាជីវកម្ម។ ហើយនៅក្នុងក្រុមហ៊ុន ការប្រាស្រ័យទាក់ទងរវាងបុគ្គលិកគឺមានលក្ខណៈឌីជីថលជាងពេលមុនៗ។ ហើយថាតើអន្តរកម្មទាំងនេះមានសុវត្ថិភាពកម្រិតណា អាស្រ័យលើវិធីសាស្ត្រដែលបានជ្រើសរើសនៃការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់។ អ្នកវាយប្រហារប្រើការផ្ទៀងផ្ទាត់ខ្សោយដើម្បីលួចចូលគណនីអ្នកប្រើប្រាស់យ៉ាងច្រើន។ ជាការឆ្លើយតប និយតករកំពុងរឹតបន្តឹងស្តង់ដារដើម្បីបង្ខំឱ្យអាជីវកម្មការពារគណនីអ្នកប្រើប្រាស់ និងទិន្នន័យកាន់តែប្រសើរឡើង។

ការគំរាមកំហែងដែលទាក់ទងនឹងការផ្ទៀងផ្ទាត់បានពង្រីកលើសពីកម្មវិធីអ្នកប្រើប្រាស់ អ្នកវាយប្រហារក៏អាចចូលប្រើកម្មវិធីដែលកំពុងដំណើរការនៅក្នុងសហគ្រាសផងដែរ។ ប្រតិបត្តិការនេះអនុញ្ញាតឱ្យពួកគេក្លែងបន្លំអ្នកប្រើប្រាស់សាជីវកម្ម។ អ្នកវាយប្រហារដោយប្រើចំណុចចូលដំណើរការជាមួយនឹងការផ្ទៀងផ្ទាត់ខ្សោយអាចលួចទិន្នន័យ និងធ្វើសកម្មភាពក្លែងបន្លំផ្សេងទៀត។ ជាសំណាងល្អមានវិធានការដើម្បីប្រយុទ្ធប្រឆាំងនឹងបញ្ហានេះ។ ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនឹងជួយកាត់បន្ថយយ៉ាងខ្លាំងនូវហានិភ័យនៃការវាយប្រហារដោយអ្នកវាយប្រហារ ទាំងនៅលើកម្មវិធីអ្នកប្រើប្រាស់ និងនៅលើប្រព័ន្ធអាជីវកម្មសហគ្រាស។

ការសិក្សានេះពិនិត្យ៖ របៀបដែលសហគ្រាសអនុវត្តការផ្ទៀងផ្ទាត់ ដើម្បីការពារកម្មវិធីអ្នកប្រើប្រាស់ចុងក្រោយ និងប្រព័ន្ធអាជីវកម្មសហគ្រាស។ កត្តាដែលពួកគេពិចារណានៅពេលជ្រើសរើសដំណោះស្រាយការផ្ទៀងផ្ទាត់។ តួនាទីដែលការផ្ទៀងផ្ទាត់ខ្លាំងដើរតួនៅក្នុងអង្គការរបស់ពួកគេ; អត្ថប្រយោជន៍ដែលអង្គការទាំងនេះទទួលបាន។

សង្ខេប

ការរកឃើញសំខាន់ៗ

ចាប់តាំងពីឆ្នាំ 2017 មក ការប្រើប្រាស់ការផ្ទៀងផ្ទាត់ដ៏រឹងមាំបានកើនឡើងយ៉ាងខ្លាំង។ ជាមួយនឹងការកើនឡើងនៃចំនួនភាពងាយរងគ្រោះដែលប៉ះពាល់ដល់ដំណោះស្រាយការផ្ទៀងផ្ទាត់បែបប្រពៃណី អង្គការនានាកំពុងពង្រឹងសមត្ថភាពផ្ទៀងផ្ទាត់របស់ពួកគេជាមួយនឹងការផ្ទៀងផ្ទាត់ខ្លាំង។ ចំនួនអង្គការដែលប្រើប្រាស់ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវពហុកត្តា (MFA) បានកើនឡើងបីដងចាប់តាំងពីឆ្នាំ 2017 សម្រាប់កម្មវិធីអ្នកប្រើប្រាស់ និងកើនឡើងជិត 50% សម្រាប់កម្មវិធីសហគ្រាស។ ការរីកចម្រើនលឿនបំផុតត្រូវបានគេមើលឃើញនៅក្នុងការផ្ទៀងផ្ទាត់តាមទូរស័ព្ទ ដោយសារតែការកើនឡើងនៃការផ្ទៀងផ្ទាត់ជីវមាត្រ។

នៅទីនេះយើងឃើញឧទាហរណ៍នៃពាក្យថា "រហូតដល់ផ្គរលាន់, បុរសម្នាក់នឹងមិនឆ្លងខ្លួនឯង" ។ នៅពេលដែលអ្នកជំនាញបានព្រមានអំពីសុវត្ថិភាពនៃពាក្យសម្ងាត់ គ្មាននរណាម្នាក់ប្រញាប់ដើម្បីអនុវត្តការផ្ទៀងផ្ទាត់ពីរកត្តានោះទេ។ នៅពេលដែលពួក Hacker ចាប់ផ្តើមលួចពាក្យសម្ងាត់ មនុស្សចាប់ផ្តើមអនុវត្តការផ្ទៀងផ្ទាត់ពីរកត្តា។

ជាការពិត បុគ្គលកំពុងអនុវត្ត 2FA កាន់តែសកម្ម។ ទីមួយ វាកាន់តែងាយស្រួលសម្រាប់ពួកគេក្នុងការរំងាប់ការភ័យខ្លាចរបស់ពួកគេ ដោយពឹងផ្អែកលើការផ្ទៀងផ្ទាត់ជីវមាត្រដែលបានបង្កើតឡើងនៅក្នុងស្មាតហ្វូន ដែលតាមពិតមិនគួរឱ្យទុកចិត្តបំផុត។ អង្គការត្រូវចំណាយប្រាក់លើការទិញសញ្ញាសម្ងាត់ និងអនុវត្តការងារ (តាមពិតទៅសាមញ្ញណាស់) ដើម្បីអនុវត្តវា។ ហើយទីពីរ មានតែមនុស្សខ្ជិលប៉ុណ្ណោះដែលមិនបានសរសេរអំពីការលេចធ្លាយពាក្យសម្ងាត់ពីសេវាកម្មដូចជា Facebook និង Dropbox ទេ ប៉ុន្តែ CIOs នៃអង្គការទាំងនេះនឹងចែករំលែករឿងរ៉ាវអំពីរបៀបដែលពាក្យសម្ងាត់ត្រូវបានលួច (និងអ្វីដែលបានកើតឡើងបន្ទាប់) នៅក្នុងអង្គការ។

អ្នកដែលមិនប្រើការផ្ទៀងផ្ទាត់ខ្លាំងកំពុងវាយតម្លៃហានិភ័យរបស់ពួកគេចំពោះអាជីវកម្ម និងអតិថិជនរបស់ពួកគេ។ អង្គការមួយចំនួនដែលបច្ចុប្បន្នមិនប្រើការផ្ទៀងផ្ទាត់ខ្លាំងមានទំនោរមើលការចូល និងពាក្យសម្ងាត់ជាវិធីសាស្រ្តមួយក្នុងចំណោមវិធីសាស្ត្រដែលមានប្រសិទ្ធភាព និងងាយស្រួលប្រើបំផុតនៃការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់។ អ្នកផ្សេងទៀតមើលមិនឃើញតម្លៃនៃទ្រព្យសម្បត្តិឌីជីថលដែលខ្លួនមាននោះទេ។ យ៉ាងណាមិញ វាមានតម្លៃពិចារណាថា ឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតចាប់អារម្មណ៍លើព័ត៌មានអ្នកប្រើប្រាស់ និងអាជីវកម្មណាមួយ។ ពីរភាគបីនៃក្រុមហ៊ុនដែលប្រើតែពាក្យសម្ងាត់ដើម្បីផ្ទៀងផ្ទាត់និយោជិតរបស់ពួកគេធ្វើដូច្នេះដោយសារតែពួកគេជឿថាពាក្យសម្ងាត់គឺល្អគ្រប់គ្រាន់សម្រាប់ប្រភេទព័ត៌មានដែលពួកគេការពារ។

ទោះយ៉ាងណាក៏ដោយ ពាក្យសម្ងាត់កំពុងធ្វើដំណើរទៅកាន់ផ្នូរ។ ភាពអាស្រ័យនៃពាក្យសម្ងាត់បានធ្លាក់ចុះយ៉ាងខ្លាំងក្នុងឆ្នាំមុនសម្រាប់ទាំងកម្មវិធីអ្នកប្រើប្រាស់ និងសហគ្រាស (ពី 44% ទៅ 31% និងពី 56% ទៅ 47% រៀងគ្នា) ដោយសារអង្គការបង្កើនការប្រើប្រាស់ MFA ប្រពៃណី និងការផ្ទៀងផ្ទាត់ខ្លាំង។
ប៉ុន្តែប្រសិនបើយើងពិនិត្យមើលស្ថានភាពទាំងមូល វិធីសាស្ត្រផ្ទៀងផ្ទាត់ដែលងាយរងគ្រោះនៅតែមាន។ សម្រាប់ការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ ប្រហែលមួយភាគបួននៃស្ថាប័នប្រើប្រាស់ SMS OTP (ពាក្យសម្ងាត់តែម្តង) រួមជាមួយនឹងសំណួរសុវត្ថិភាព។ ជាលទ្ធផល វិធានការសុវត្ថិភាពបន្ថែមត្រូវតែត្រូវបានអនុវត្តដើម្បីការពារប្រឆាំងនឹងភាពងាយរងគ្រោះ ដែលបង្កើនការចំណាយ។ ការប្រើប្រាស់វិធីសាស្ត្រផ្ទៀងផ្ទាត់ដែលមានសុវត្ថិភាពច្រើនជាងមុន ដូចជាសោរគ្រីបផ្នែករឹង ត្រូវបានគេប្រើតិចជាងញឹកញាប់ ក្នុងប្រមាណ 5% នៃស្ថាប័ន។

បរិយាកាសបទប្បញ្ញត្តិដែលកំពុងរីកចម្រើនសន្យាថានឹងពន្លឿនការអនុម័តការផ្ទៀងផ្ទាត់ដ៏រឹងមាំសម្រាប់កម្មវិធីអ្នកប្រើប្រាស់។ ជាមួយនឹងការណែនាំអំពី PSD2 ក៏ដូចជាច្បាប់ការពារទិន្នន័យថ្មីនៅក្នុងសហភាពអឺរ៉ុប និងរដ្ឋមួយចំនួនរបស់សហរដ្ឋអាមេរិកដូចជាកាលីហ្វ័រញ៉ា ក្រុមហ៊ុននានាកំពុងមានអារម្មណ៍ក្តៅក្រហាយ។ ស្ទើរតែ 70% នៃក្រុមហ៊ុនយល់ស្របថាពួកគេប្រឈមមុខនឹងសម្ពាធបទប្បញ្ញត្តិយ៉ាងខ្លាំងដើម្បីផ្តល់នូវការផ្ទៀងផ្ទាត់យ៉ាងរឹងមាំដល់អតិថិជនរបស់ពួកគេ។ ជាងពាក់កណ្តាលនៃសហគ្រាសជឿថាក្នុងរយៈពេលពីរបីឆ្នាំវិធីសាស្រ្តផ្ទៀងផ្ទាត់របស់ពួកគេនឹងមិនគ្រប់គ្រាន់ដើម្បីបំពេញតាមស្តង់ដារបទប្បញ្ញត្តិ។

ភាពខុសគ្នានៃវិធីសាស្រ្តរបស់សមាជិកសភារុស្ស៊ី និងអាមេរិក-អឺរ៉ុប ចំពោះការការពារទិន្នន័យផ្ទាល់ខ្លួនរបស់អ្នកប្រើប្រាស់កម្មវិធី និងសេវាកម្មគឺអាចមើលឃើញយ៉ាងច្បាស់។ ជនជាតិរុស្សីនិយាយថា៖ ម្ចាស់សេវាកម្មជាទីគោរព ធ្វើអ្វីដែលអ្នកចង់បាន និងរបៀបដែលអ្នកចង់បាន ប៉ុន្តែប្រសិនបើអ្នកគ្រប់គ្រងរបស់អ្នកបញ្ចូលគ្នានូវមូលដ្ឋានទិន្នន័យ យើងនឹងដាក់ទោសអ្នក។ ពួកគេនិយាយថានៅបរទេស៖ អ្នកត្រូវតែអនុវត្តសំណុំនៃវិធានការនោះ។ នឹងមិនអនុញ្ញាត បង្ហូរមូលដ្ឋាន។ នោះហើយជាមូលហេតុដែលតម្រូវការសម្រាប់ការផ្ទៀងផ្ទាត់កត្តាពីរយ៉ាងតឹងរឹងកំពុងត្រូវបានអនុវត្តនៅទីនោះ។
ពិតមែន វានៅឆ្ងាយពីការពិតដែលថាម៉ាស៊ីននីតិប្បញ្ញត្តិរបស់យើងនៅថ្ងៃណាមួយនឹងមិនអាចយល់បាន ហើយគិតពីបទពិសោធន៍របស់លោកខាងលិច។ បន្ទាប់មក វាប្រែថាអ្នកគ្រប់គ្នាត្រូវអនុវត្ត 2FA ដែលអនុលោមតាមស្តង់ដារគ្រីបគ្រីបរបស់រុស្ស៊ី និងជាបន្ទាន់។

ការបង្កើតក្របខណ្ឌការផ្ទៀងផ្ទាត់ដ៏រឹងមាំអនុញ្ញាតឱ្យក្រុមហ៊ុនផ្លាស់ប្តូរការផ្តោតអារម្មណ៍របស់ពួកគេពីការបំពេញតាមតម្រូវការបទប្បញ្ញត្តិទៅបំពេញតម្រូវការអតិថិជន។ សម្រាប់អង្គការទាំងនោះដែលនៅតែប្រើពាក្យសម្ងាត់សាមញ្ញ ឬទទួលលេខកូដតាមរយៈសារ SMS កត្តាសំខាន់បំផុតនៅពេលជ្រើសរើសវិធីសាស្ត្រផ្ទៀងផ្ទាត់នឹងជាការអនុលោមតាមតម្រូវការបទប្បញ្ញត្តិ។ ប៉ុន្តែក្រុមហ៊ុនទាំងនោះដែលប្រើការផ្ទៀងផ្ទាត់ខ្លាំងរួចហើយអាចផ្តោតលើការជ្រើសរើសវិធីសាស្ត្រផ្ទៀងផ្ទាត់ទាំងនោះដែលបង្កើនភាពស្មោះត្រង់របស់អតិថិជន។

នៅពេលជ្រើសរើសវិធីសាស្ត្រផ្ទៀងផ្ទាត់សាជីវកម្មនៅក្នុងសហគ្រាស តម្រូវការបទប្បញ្ញត្តិលែងជាកត្តាសំខាន់ទៀតហើយ។ ក្នុងករណីនេះភាពងាយស្រួលនៃការរួមបញ្ចូល (32%) និងការចំណាយ (26%) មានសារៈសំខាន់ជាង។

នៅក្នុងយុគសម័យនៃការបន្លំ អ្នកវាយប្រហារអាចប្រើអ៊ីមែលសាជីវកម្មដើម្បីបោកប្រាស់ ដើម្បីក្លែងបន្លំចូលប្រើប្រាស់ទិន្នន័យ គណនី (ជាមួយសិទ្ធិចូលប្រើប្រាស់សមស្រប) និងសូម្បីតែដើម្បីបញ្ចុះបញ្ចូលបុគ្គលិកឱ្យធ្វើការផ្ទេរប្រាក់ទៅគណនីរបស់គាត់។ ដូច្នេះ គណនីអ៊ីម៉ែល និងវិបផតថលសាជីវកម្មត្រូវតែត្រូវបានការពារជាពិសេស។

Google បានពង្រឹងសុវត្ថិភាពរបស់ខ្លួនដោយអនុវត្តការផ្ទៀងផ្ទាត់យ៉ាងរឹងមាំ។ ជាង 2 ឆ្នាំមុន Google បានបោះពុម្ពរបាយការណ៍ស្តីពីការអនុវត្តការផ្ទៀងផ្ទាត់កត្តាពីរដោយផ្អែកលើសោសុវត្ថិភាពគ្រីបដោយប្រើស្តង់ដារ FIDO U85F ដោយរាយការណ៍ពីលទ្ធផលគួរឱ្យចាប់អារម្មណ៍។ យោងតាមក្រុមហ៊ុន មិនមែនការវាយប្រហារដោយបន្លំមួយត្រូវបានធ្វើឡើងប្រឆាំងនឹងបុគ្គលិកជាង 000 នោះទេ។

អនុសាសន៍

អនុវត្តការផ្ទៀងផ្ទាត់ដ៏រឹងមាំសម្រាប់កម្មវិធីទូរស័ព្ទ និងអ៊ីនធឺណិត។ ការផ្ទៀងផ្ទាត់ពហុកត្តាផ្អែកលើសោគ្រីបផ្តល់ការការពារប្រសើរជាងការលួចស្តាប់ជាងវិធីសាស្ត្រ MFA ប្រពៃណី។ លើសពីនេះ ការប្រើប្រាស់សោគ្រីបគឺមានភាពងាយស្រួលជាងមុន ដោយសារមិនចាំបាច់ប្រើ និងផ្ទេរព័ត៌មានបន្ថែម - ពាក្យសម្ងាត់ ពាក្យសម្ងាត់តែម្តង ឬទិន្នន័យជីវមាត្រពីឧបករណ៍របស់អ្នកប្រើប្រាស់ទៅកាន់ម៉ាស៊ីនមេផ្ទៀងផ្ទាត់។ លើសពីនេះ ការធ្វើឱ្យស្តង់ដារនៃពិធីការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវធ្វើឱ្យកាន់តែងាយស្រួលក្នុងការអនុវត្តវិធីសាស្ត្រផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវថ្មី នៅពេលដែលវាមាន កាត់បន្ថយការចំណាយលើការអនុវត្ត និងការពារប្រឆាំងនឹងគ្រោងការណ៍ក្លែងបន្លំដ៏ស្មុគ្រស្មាញ។

រៀបចំសម្រាប់ការបាត់ពាក្យសម្ងាត់តែម្តង (OTP)។ ភាពងាយរងគ្រោះដែលមាននៅក្នុង OTPs កាន់តែច្បាស់ឡើង នៅពេលដែលឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតប្រើប្រាស់វិស្វកម្មសង្គម ការក្លូនស្មាតហ្វូន និងមេរោគ ដើម្បីសម្របសម្រួលមធ្យោបាយនៃការផ្ទៀងផ្ទាត់ទាំងនេះ។ ហើយប្រសិនបើ OTPs ក្នុងករណីខ្លះមានគុណសម្បត្តិជាក់លាក់ នោះមានតែពីចំណុចនៃទិដ្ឋភាពនៃភាពអាចរកបានជាសកលសម្រាប់អ្នកប្រើប្រាស់ទាំងអស់ ប៉ុន្តែមិនមែនមកពីទស្សនៈនៃសុវត្ថិភាពនោះទេ។

វាមិនអាចទៅរួចទេដែលមិនកត់សំគាល់ថាការទទួលលេខកូដតាមរយៈសារ SMS ឬការជូនដំណឹង Push ក៏ដូចជាការបង្កើតលេខកូដដោយប្រើកម្មវិធីសម្រាប់ស្មាតហ្វូនគឺជាការប្រើប្រាស់ពាក្យសម្ងាត់តែមួយដងដូចគ្នា (OTP) ដែលយើងត្រូវបានស្នើសុំឱ្យរៀបចំសម្រាប់ការធ្លាក់ចុះ។ តាមទស្សនៈបច្ចេកទេស ដំណោះស្រាយគឺត្រឹមត្រូវណាស់ ព្រោះវាជាអ្នកបោកប្រាស់ដ៏កម្រដែលមិនព្យាយាមស្វែងរកពាក្យសម្ងាត់តែម្តងពីអ្នកប្រើប្រាស់ដែលងាយយល់។ ប៉ុន្តែខ្ញុំគិតថាអ្នកផលិតប្រព័ន្ធបែបនេះនឹងប្រកាន់ខ្ជាប់នូវបច្ចេកវិទ្យាស្លាប់រហូតដល់ចុងក្រោយ។

ប្រើការផ្ទៀងផ្ទាត់ខ្លាំងជាឧបករណ៍ទីផ្សារដើម្បីបង្កើនទំនុកចិត្តរបស់អតិថិជន។ ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវអាចធ្វើលើសពីការកែលម្អសុវត្ថិភាពជាក់ស្តែងនៃអាជីវកម្មរបស់អ្នក។ ការជូនដំណឹងដល់អតិថិជនថាអាជីវកម្មរបស់អ្នកប្រើប្រាស់ការផ្ទៀងផ្ទាត់យ៉ាងរឹងមាំអាចពង្រឹងការយល់ឃើញជាសាធារណៈអំពីសុវត្ថិភាពនៃអាជីវកម្មនោះ ដែលជាកត្តាសំខាន់នៅពេលដែលមានតម្រូវការអតិថិជនយ៉ាងសំខាន់សម្រាប់វិធីសាស្ត្រផ្ទៀងផ្ទាត់ខ្លាំង។

ធ្វើការវាយតម្លៃសារពើភ័ណ្ឌ និងការវាយតម្លៃយ៉ាងម៉ត់ចត់នៃទិន្នន័យសាជីវកម្ម និងការពារវាទៅតាមសារៈសំខាន់។ សូម្បីតែទិន្នន័យដែលមានហានិភ័យទាប ដូចជាព័ត៌មានទំនាក់ទំនងអតិថិជន (ទេ របាយការណ៍និយាយថា "ហានិភ័យទាប" វាពិតជាចម្លែកណាស់ដែលពួកគេបានមើលស្រាលសារៈសំខាន់នៃព័ត៌មាននេះ), អាចនាំមកនូវតម្លៃសំខាន់ដល់អ្នកបោកប្រាស់ និងបង្កបញ្ហាដល់ក្រុមហ៊ុន។

ប្រើការផ្ទៀងផ្ទាត់សហគ្រាសខ្លាំង។ ប្រព័ន្ធមួយចំនួនគឺជាគោលដៅទាក់ទាញបំផុតសម្រាប់ឧក្រិដ្ឋជន។ ទាំងនេះរាប់បញ្ចូលទាំងប្រព័ន្ធខាងក្នុង និងអ៊ីនធឺណែតដែលភ្ជាប់មកជាមួយ ដូចជាកម្មវិធីគណនេយ្យ ឬឃ្លាំងទិន្នន័យសាជីវកម្ម។ ការផ្ទៀងផ្ទាត់យ៉ាងរឹងមាំការពារអ្នកវាយប្រហារពីការទទួលបានសិទ្ធិចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត ហើយថែមទាំងធ្វើឱ្យវាអាចកំណត់បានយ៉ាងត្រឹមត្រូវថាតើបុគ្គលិកណាដែលប្រព្រឹត្តសកម្មភាពព្យាបាទ។

តើការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវខ្លាំងគឺជាអ្វី?

នៅពេលប្រើការផ្ទៀងផ្ទាត់ខ្លាំង វិធីសាស្ត្រ ឬកត្តាជាច្រើនត្រូវបានប្រើដើម្បីផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវរបស់អ្នកប្រើ៖

• កត្តាចំណេះដឹង៖ ចែករំលែកសម្ងាត់រវាងអ្នកប្រើប្រាស់ និងប្រធានបទដែលបានផ្ទៀងផ្ទាត់របស់អ្នកប្រើ (ដូចជាពាក្យសម្ងាត់ ចម្លើយចំពោះសំណួរសុវត្ថិភាព។ល។)
• កត្តាកម្មសិទ្ធិ៖ ឧបករណ៍​ដែល​មាន​តែ​អ្នក​ប្រើ​ប៉ុណ្ណោះ (ឧទាហរណ៍ ឧបករណ៍​ចល័ត សោ​គ្រីប ។ល។)
• កត្តាសុចរិតភាព៖ លក្ខណៈរូបវន្ត (ជាញឹកញាប់ជីវមាត្រ) របស់អ្នកប្រើប្រាស់ (ឧទាហរណ៍ ស្នាមម្រាមដៃ លំនាំ iris សំឡេង អាកប្បកិរិយា។ល។)

តម្រូវការក្នុងការ hack កត្តាច្រើនយ៉ាងបង្កើនលទ្ធភាពនៃការបរាជ័យសម្រាប់អ្នកវាយប្រហារ ចាប់តាំងពីការរំលង ឬការបញ្ឆោតកត្តាផ្សេងៗតម្រូវឱ្យប្រើវិធីសាស្ត្រ hacking ច្រើនប្រភេទ សម្រាប់កត្តានីមួយៗដាច់ដោយឡែកពីគ្នា។

ជាឧទាហរណ៍ ជាមួយនឹង 2FA “password + smartphone” អ្នកវាយប្រហារអាចធ្វើការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដោយមើលពាក្យសម្ងាត់របស់អ្នកប្រើប្រាស់ និងបង្កើតច្បាប់ចម្លងកម្មវិធីពិតប្រាកដនៃស្មាតហ្វូនរបស់គាត់។ ហើយនេះគឺពិបាកជាងការលួចលេខសម្ងាត់ទៅទៀត។

ប៉ុន្តែប្រសិនបើពាក្យសម្ងាត់ និងនិមិត្តសញ្ញាសម្ងាត់ត្រូវបានប្រើសម្រាប់ 2FA នោះជម្រើសចម្លងមិនដំណើរការនៅទីនេះទេ - វាមិនអាចទៅរួចទេក្នុងការចម្លងសញ្ញាសម្ងាត់។ អ្នកបោកប្រាស់នឹងត្រូវលួចយកសញ្ញាសម្ងាត់ពីអ្នកប្រើប្រាស់។ ប្រសិនបើអ្នកប្រើកត់សម្គាល់ការខាតបង់ទាន់ពេលវេលា និងជូនដំណឹងដល់អ្នកគ្រប់គ្រង សញ្ញាសម្ងាត់នឹងត្រូវបានរារាំង ហើយការខិតខំប្រឹងប្រែងរបស់អ្នកបោកប្រាស់នឹងគ្មានប្រយោជន៍។ នេះជាមូលហេតុដែលកត្តាកម្មសិទ្ធិតម្រូវឱ្យប្រើប្រាស់ឧបករណ៍សុវត្ថិភាពឯកទេស (សញ្ញាសម្ងាត់) ជាជាងឧបករណ៍គោលបំណងទូទៅ (ស្មាតហ្វូន)។

ការប្រើកត្តាទាំងបីនឹងធ្វើឱ្យវិធីសាស្ត្រផ្ទៀងផ្ទាត់នេះមានតម្លៃថ្លៃក្នុងការអនុវត្ត និងពិបាកប្រើប្រាស់ណាស់។ ដូច្នេះ កត្តាពីរក្នុងចំនោមកត្តាបីត្រូវបានប្រើប្រាស់ជាធម្មតា។

គោលការណ៍នៃការផ្ទៀងផ្ទាត់កត្តាពីរត្រូវបានពិពណ៌នាលម្អិតបន្ថែមទៀត នៅទីនេះនៅក្នុងប្លុក "របៀបដែលការផ្ទៀងផ្ទាត់កត្តាពីរដំណើរការ" ។

វាជាការសំខាន់ក្នុងការកត់សម្គាល់ថាយ៉ាងហោចណាស់កត្តាផ្ទៀងផ្ទាត់មួយដែលត្រូវបានប្រើក្នុងការផ្ទៀងផ្ទាត់ខ្លាំងត្រូវតែប្រើការគ្រីបសោសាធារណៈ។

ការផ្ទៀងផ្ទាត់ខ្លាំងផ្តល់នូវការការពារខ្លាំងជាងការផ្ទៀងផ្ទាត់កត្តាតែមួយដោយផ្អែកលើពាក្យសម្ងាត់បុរាណ និង MFA ប្រពៃណី។ ពាក្យសម្ងាត់អាចត្រូវបានចារកម្ម ឬស្ទាក់ចាប់ដោយប្រើ keyloggers គេហទំព័របន្លំ ឬការវាយប្រហារផ្នែកវិស្វកម្មសង្គម (កន្លែងដែលជនរងគ្រោះត្រូវបានបោកបញ្ឆោតឱ្យបង្ហាញពាក្យសម្ងាត់របស់ពួកគេ)។ លើសពីនេះទៅទៀត ម្ចាស់ពាក្យសម្ងាត់នឹងមិនដឹងអ្វីទាំងអស់អំពីការលួច។ MFA ប្រពៃណី (រាប់បញ្ចូលទាំងលេខកូដ OTP ភ្ជាប់ជាមួយស្មាតហ្វូន ឬស៊ីមកាត) ក៏អាចត្រូវបានគេលួចចូលយ៉ាងងាយដែរ ព្រោះវាមិនផ្អែកលើការគ្រីបសោសាធារណៈ (ដោយវិធីនេះ មានឧទាហរណ៍ជាច្រើននៅពេលដែល ដោយប្រើបច្ចេកទេសវិស្វកម្មសង្គមដូចគ្នា អ្នកបោកប្រាស់បានបញ្ចុះបញ្ចូលអ្នកប្រើប្រាស់ឱ្យផ្តល់ឱ្យពួកគេនូវពាក្យសម្ងាត់តែម្តង។).

ជាសំណាងល្អ ការប្រើប្រាស់ការផ្ទៀងផ្ទាត់ដ៏រឹងមាំ និង MFA បែបប្រពៃណីកំពុងទទួលបានភាពទាក់ទាញនៅក្នុងកម្មវិធីអ្នកប្រើប្រាស់ និងសហគ្រាសចាប់តាំងពីឆ្នាំមុន។ ការប្រើប្រាស់ការផ្ទៀងផ្ទាត់យ៉ាងរឹងមាំនៅក្នុងកម្មវិធីអ្នកប្រើប្រាស់បានរីកចម្រើនយ៉ាងខ្លាំងជាពិសេស។ ប្រសិនបើនៅឆ្នាំ 2017 មានតែ 5% នៃក្រុមហ៊ុនបានប្រើវាបន្ទាប់មកនៅឆ្នាំ 2018 វាមានបីដងច្រើនជាងមុន - 16% ។ នេះអាចត្រូវបានពន្យល់ដោយការបង្កើនភាពអាចរកបាននៃសញ្ញាសម្ងាត់ដែលគាំទ្រក្បួនដោះស្រាយការគ្រីបសោសាធារណៈ (PKC) ។ លើសពីនេះទៀត ការកើនឡើងសម្ពាធពីនិយតករអឺរ៉ុបបន្ទាប់ពីការអនុម័តច្បាប់ការពារទិន្នន័យថ្មីដូចជា PSD2 និង GDPR មានឥទ្ធិពលខ្លាំងសូម្បីតែនៅខាងក្រៅអឺរ៉ុប (រួមទាំងនៅក្នុងប្រទេសរុស្ស៊ី).

សូមក្រឡេកមើលលេខទាំងនេះឱ្យបានដិតដល់។ ដូចដែលយើងអាចឃើញភាគរយនៃបុគ្គលឯកជនដែលប្រើប្រាស់ការផ្ទៀងផ្ទាត់ពហុកត្តាបានកើនឡើងគួរឱ្យចាប់អារម្មណ៍ 11% ក្នុងមួយឆ្នាំ។ ហើយរឿងនេះបានកើតឡើងយ៉ាងច្បាស់នៅក្នុងការចំណាយរបស់អ្នកស្រឡាញ់ពាក្យសម្ងាត់ចាប់តាំងពីលេខនៃអ្នកដែលជឿជាក់លើសុវត្ថិភាពនៃការជូនដំណឹង Push សារ SMS និងជីវមាត្រមិនផ្លាស់ប្តូរ។

ប៉ុន្តែជាមួយនឹងការផ្ទៀងផ្ទាត់ពីរកត្តាសម្រាប់ការប្រើប្រាស់សាជីវកម្ម អ្វីៗគឺមិនល្អទាល់តែសោះ។ ទីមួយ យោងតាមរបាយការណ៍ មានតែបុគ្គលិក 5% ប៉ុណ្ណោះដែលត្រូវបានផ្ទេរពីការផ្ទៀងផ្ទាត់ពាក្យសម្ងាត់ទៅជាសញ្ញាសម្ងាត់។ ហើយទីពីរចំនួនអ្នកដែលប្រើជម្រើស MFA ជំនួសនៅក្នុងបរិយាកាសសាជីវកម្មបានកើនឡើង 4% ។

ខ្ញុំនឹងព្យាយាមលេងអ្នកវិភាគ និងផ្តល់ការបកស្រាយរបស់ខ្ញុំ។ នៅកណ្តាលនៃពិភពឌីជីថលនៃអ្នកប្រើប្រាស់ម្នាក់ៗគឺស្មាតហ្វូន។ ដូច្នេះវាមិនមែនជារឿងចម្លែកទេដែលភាគច្រើនប្រើសមត្ថភាពដែលឧបករណ៍ផ្តល់ឱ្យពួកគេ - ការផ្ទៀងផ្ទាត់ជីវមាត្រ ការជូនដំណឹងសារ SMS និងការជំរុញ ក៏ដូចជាពាក្យសម្ងាត់តែម្តងដែលបង្កើតដោយកម្មវិធីនៅលើស្មាតហ្វូនខ្លួនឯង។ មនុស្សជាធម្មតាមិនគិតពីសុវត្ថិភាព និងភាពជឿជាក់នៅពេលប្រើឧបករណ៍ដែលពួកគេធ្លាប់ប្រើ។

នេះជាមូលហេតុដែលភាគរយនៃអ្នកប្រើប្រាស់នៃកត្តាផ្ទៀងផ្ទាត់ "ប្រពៃណី" បឋមនៅតែមិនផ្លាស់ប្តូរ ប៉ុន្តែអ្នកដែលបានប្រើពាក្យសម្ងាត់ពីមុនយល់ថាពួកគេប្រថុយនឹងកម្រិតណា ហើយនៅពេលជ្រើសរើសកត្តាផ្ទៀងផ្ទាត់ថ្មី ពួកគេជ្រើសរើសជម្រើសថ្មីបំផុត និងសុវត្ថិភាពបំផុត - សញ្ញាសម្ងាត់គ្រីប។

ចំពោះទីផ្សារសាជីវកម្ម វាមានសារៈសំខាន់ណាស់ក្នុងការយល់ដឹងថាតើការផ្ទៀងផ្ទាត់ប្រព័ន្ធណាមួយត្រូវបានអនុវត្ត។ ប្រសិនបើការចូលទៅកាន់ដែនរបស់ Windows ត្រូវបានអនុវត្ត នោះកូដសម្ងាត់ត្រូវបានប្រើប្រាស់។ លទ្ធភាពសម្រាប់ការប្រើប្រាស់ពួកវាសម្រាប់ 2FA ត្រូវបានបង្កើតឡើងរួចហើយនៅក្នុងទាំង Windows និង Linux ប៉ុន្តែជម្រើសជំនួសគឺមានរយៈពេលយូរ និងពិបាកក្នុងការអនុវត្ត។ ច្រើនណាស់សម្រាប់ការធ្វើចំណាកស្រុក 5% ពីពាក្យសម្ងាត់ទៅសញ្ញាសម្ងាត់។

ហើយការអនុវត្ត 2FA នៅក្នុងប្រព័ន្ធព័ត៌មានសាជីវកម្មគឺអាស្រ័យទៅលើគុណវុឌ្ឍិរបស់អ្នកអភិវឌ្ឍន៍។ ហើយវាកាន់តែងាយស្រួលសម្រាប់អ្នកអភិវឌ្ឍន៍ក្នុងការយកម៉ូឌុលដែលត្រៀមរួចជាស្រេចសម្រាប់បង្កើតពាក្យសម្ងាត់តែម្តងជាជាងយល់ពីប្រតិបត្តិការនៃក្បួនដោះស្រាយគ្រីប។ ហើយជាលទ្ធផល សូម្បីតែកម្មវិធីដែលមានសារៈសំខាន់ផ្នែកសុវត្ថិភាពមិនគួរឱ្យជឿដូចជា Single Sign-On ឬប្រព័ន្ធគ្រប់គ្រងការចូលប្រើដែលមានសិទ្ធិប្រើប្រាស់ OTP ជាកត្តាទីពីរ។

ភាពងាយរងគ្រោះជាច្រើននៅក្នុងវិធីសាស្ត្រផ្ទៀងផ្ទាត់បែបប្រពៃណី

ខណៈពេលដែលអង្គការជាច្រើននៅតែពឹងផ្អែកលើប្រព័ន្ធកត្តាតែមួយដែលមានកេរ្តិ៍ដំណែល ភាពងាយរងគ្រោះក្នុងការផ្ទៀងផ្ទាត់ពហុកត្តាប្រពៃណីកំពុងក្លាយជាជាក់ស្តែងកាន់តែខ្លាំងឡើង។ ពាក្យសម្ងាត់តែមួយដង ជាធម្មតាមានប្រវែងពីប្រាំមួយទៅប្រាំបីតួអក្សរ ដែលត្រូវបានបញ្ជូនតាមរយៈសារ SMS នៅតែជាទម្រង់នៃការផ្ទៀងផ្ទាត់ធម្មតាបំផុត (ជាការពិតណាស់ក្រៅពីកត្តាពាក្យសម្ងាត់)។ ហើយនៅពេលដែលពាក្យ "ការផ្ទៀងផ្ទាត់ពីរកត្តា" ឬ "ការផ្ទៀងផ្ទាត់ពីរជំហាន" ត្រូវបានលើកឡើងនៅក្នុងសារពត៌មានដ៏ពេញនិយម ពួកគេតែងតែសំដៅទៅលើការផ្ទៀងផ្ទាត់ពាក្យសម្ងាត់តែមួយដងរបស់ SMS ។

នៅទីនេះ អ្នកនិពន្ធមានកំហុសបន្តិច។ ការផ្តល់ពាក្យសម្ងាត់តែមួយដងតាមរយៈសារ SMS មិនដែលមានការផ្ទៀងផ្ទាត់ពីរកត្តាទេ។ នេះគឺនៅក្នុងទម្រង់ដ៏បរិសុទ្ធបំផុតរបស់វា ដំណាក់កាលទីពីរនៃការផ្ទៀងផ្ទាត់ពីរជំហាន ដែលដំណាក់កាលដំបូងគឺការបញ្ចូលការចូល និងពាក្យសម្ងាត់របស់អ្នក។

នៅឆ្នាំ 2016 វិទ្យាស្ថានស្តង់ដារ និងបច្ចេកវិទ្យាជាតិ (NIST) បានធ្វើបច្ចុប្បន្នភាពច្បាប់ផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវរបស់ខ្លួន ដើម្បីលុបបំបាត់ការប្រើប្រាស់ពាក្យសម្ងាត់តែម្តងដែលផ្ញើតាមរយៈសារ SMS ។ ទោះជាយ៉ាងណាក៏ដោយ ច្បាប់ទាំងនេះត្រូវបានបន្ធូរបន្ថយយ៉ាងខ្លាំង បន្ទាប់ពីមានការតវ៉ាពីឧស្សាហកម្ម។

ដូច្នេះ ចូរ​យើង​ធ្វើ​តាម​គ្រោង។ និយតករអាមេរិកទទួលស្គាល់យ៉ាងត្រឹមត្រូវថាបច្ចេកវិទ្យាហួសសម័យមិនអាចធានាសុវត្ថិភាពអ្នកប្រើប្រាស់ និងកំពុងណែនាំស្តង់ដារថ្មី។ ស្ដង់ដារដែលបានរចនាឡើងដើម្បីការពារអ្នកប្រើប្រាស់កម្មវិធីអនឡាញ និងទូរស័ព្ទ (រួមទាំងសេវាធនាគារ)។ ឧស្សាហកម្មនេះកំពុងគណនាថាតើវានឹងត្រូវចំណាយប៉ុន្មានលើការទិញនិមិត្តសញ្ញាគ្រីបគ្រីបដែលអាចទុកចិត្តបាន ការរចនាកម្មវិធីឡើងវិញ ការដាក់ពង្រាយហេដ្ឋារចនាសម្ព័ន្ធសោសាធារណៈ ហើយកំពុង "កើនឡើងនៅលើជើងក្រោយរបស់វា"។ ម៉្យាងវិញទៀត អ្នកប្រើប្រាស់បានជឿជាក់លើភាពជឿជាក់នៃពាក្យសម្ងាត់តែម្តង ហើយម្យ៉ាងវិញទៀត មានការវាយប្រហារលើ NIST ។ ជាលទ្ធផល ស្តង់ដារត្រូវបានបន្ទន់ ហើយចំនួននៃការលួចចូល និងការលួចពាក្យសម្ងាត់ (និងលុយពីកម្មវិធីធនាគារ) បានកើនឡើងយ៉ាងខ្លាំង។ ប៉ុន្តែ​ឧស្សាហកម្ម​នេះ​មិន​ត្រូវ​ដក​លុយ​ចេញ​ទេ។

ចាប់តាំងពីពេលនោះមក ចំណុចខ្សោយនៃសារ SMS OTP កាន់តែច្បាស់។ អ្នកបោកប្រាស់ប្រើវិធីសាស្រ្តផ្សេងៗដើម្បីសម្របសម្រួលសារ SMS៖

• ការចម្លងស៊ីមកាត។ អ្នកវាយប្រហារបង្កើតច្បាប់ចម្លងនៃស៊ីម (ដោយ​មាន​ជំនួយ​ពី​បុគ្គលិក​ប្រតិបត្តិករ​ទូរស័ព្ទ​ចល័ត ឬ​ដោយ​ឯករាជ្យ ដោយ​ប្រើ​កម្មវិធី និង​ផ្នែករឹង​ពិសេស) ជាលទ្ធផល អ្នកវាយប្រហារទទួលបានសារ SMS ជាមួយនឹងពាក្យសម្ងាត់តែម្តង។ ក្នុងករណីដ៏ល្បីមួយ ពួក Hacker ថែមទាំងអាចសម្រុះសម្រួលគណនី AT&T របស់អ្នកវិនិយោគរូបិយប័ណ្ណគ្រីបតូ Michael Turpin ហើយលួចលុយជិត 24 លានដុល្លារជារូបិយប័ណ្ណគ្រីបតូ។ ជាលទ្ធផល Turpin បានបញ្ជាក់ថា AT&T មានកំហុសដោយសារវិធានការផ្ទៀងផ្ទាត់ខ្សោយ ដែលនាំឱ្យស៊ីមកាតស្ទួន។
  

  តក្កវិជ្ជាដ៏អស្ចារ្យ។ ដូច្នេះវាពិតជាកំហុសរបស់ AT&T មែនទេ? ទេ វាច្បាស់ជាកំហុសរបស់ប្រតិបត្តិករទូរស័ព្ទចល័តដែលអ្នកលក់នៅក្នុងហាងទំនាក់ទំនងបានចេញស៊ីមកាតស្ទួន។ ចុះប្រព័ន្ធផ្ទៀងផ្ទាត់ការផ្លាស់ប្តូររូបិយប័ណ្ណគ្រីបតូ? ហេតុអ្វីបានជាពួកគេមិនប្រើនិមិត្តសញ្ញាគ្រីបដ៏រឹងមាំ? តើវាគួរឱ្យអាណិតទេក្នុងការចំណាយប្រាក់លើការអនុវត្ត? មីកែលខ្លួនឯងមិនត្រូវបន្ទោសទេ? ហេតុអ្វីបានជាគាត់មិនទទូចឱ្យផ្លាស់ប្តូរយន្តការផ្ទៀងផ្ទាត់ ឬប្រើតែការផ្លាស់ប្តូរទាំងនោះដែលអនុវត្តការផ្ទៀងផ្ទាត់កត្តាពីរដោយផ្អែកលើនិមិត្តសញ្ញាគ្រីបតូ?

  ការណែនាំអំពីវិធីផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដែលអាចទុកចិត្តបានគឺត្រូវបានពន្យារពេលយ៉ាងជាក់លាក់ ដោយសារតែអ្នកប្រើប្រាស់បង្ហាញការធ្វេសប្រហែសដ៏អស្ចារ្យមុនពេលលួចចូល ហើយក្រោយមកពួកគេបានស្តីបន្ទោសបញ្ហារបស់ពួកគេទៅលើនរណាម្នាក់ និងអ្វីផ្សេងទៀតក្រៅពីបច្ចេកវិទ្យាផ្ទៀងផ្ទាត់បុរាណ និង "លេចធ្លាយ" ។

• មេរោគ។ មុខងារដំបូងបំផុតមួយរបស់មេរោគទូរស័ព្ទគឺដើម្បីស្ទាក់ចាប់ និងបញ្ជូនសារទៅកាន់អ្នកវាយប្រហារ។ ផងដែរ ការវាយប្រហារដោយមនុស្សក្នុងកម្មវិធីរុករក និងមនុស្សនៅកណ្តាលអាចស្ទាក់ចាប់ពាក្យសម្ងាត់តែម្តង នៅពេលដែលពួកវាត្រូវបានបញ្ចូលនៅលើកុំព្យូទ័រយួរដៃ ឬឧបករណ៍កុំព្យូទ័រដែលមានមេរោគ។
  

  នៅពេលដែលកម្មវិធី Sberbank នៅលើស្មាតហ្វូនរបស់អ្នកភ្លឹបភ្លែតៗនូវរូបតំណាងពណ៌បៃតងនៅក្នុងរបារស្ថានភាព វាក៏ស្វែងរក "មេរោគ" នៅលើទូរសព្ទរបស់អ្នកផងដែរ។ គោលដៅនៃព្រឹត្តិការណ៍នេះគឺដើម្បីបង្វែរបរិយាកាសប្រតិបត្តិដែលមិនគួរឱ្យទុកចិត្តនៃស្មាតហ្វូនធម្មតាទៅជា យ៉ាងហោចណាស់តាមមធ្យោបាយណាមួយ ដែលជាការទុកចិត្តមួយ។
  និយាយអញ្ចឹង ស្មាតហ្វូន ជាឧបករណ៍ដែលមិនគួរឱ្យទុកចិត្តទាំងស្រុង ដែលអ្វីៗអាចធ្វើបាន គឺជាហេតុផលមួយទៀតដែលត្រូវប្រើវាសម្រាប់ការផ្ទៀងផ្ទាត់។ ថូខឹនផ្នែករឹងតែប៉ុណ្ណោះដែលត្រូវបានការពារ និងគ្មានមេរោគ និង Trojan ។

• វិស្វកម្ម​សង្គម។ នៅពេលដែលអ្នកបោកប្រាស់ដឹងថាជនរងគ្រោះមាន OTPs បើកដំណើរការតាមរយៈសារ SMS ពួកគេអាចទាក់ទងជនរងគ្រោះដោយផ្ទាល់ដោយដាក់ជាស្ថាប័នដែលគួរឱ្យទុកចិត្តដូចជាធនាគារ ឬសហជីពឥណទានរបស់ពួកគេ ដើម្បីបញ្ឆោតជនរងគ្រោះឱ្យផ្តល់លេខកូដដែលពួកគេទើបតែទទួលបាន។
  

  ខ្ញុំផ្ទាល់បានជួបប្រទះការក្លែងបន្លំប្រភេទនេះជាច្រើនដង ជាឧទាហរណ៍ នៅពេលព្យាយាមលក់អ្វីមួយនៅលើទីផ្សារចៃឆ្នៃអនឡាញដ៏ពេញនិយមមួយ។ ខ្ញុំ​ខ្លួន​ឯង​បាន​សើច​ចំអក​នឹង​អ្នក​បោក​បញ្ឆោត​ដែល​ព្យាយាម​បញ្ឆោត​ខ្ញុំ​ឲ្យ​អស់​ចិត្ត។ ប៉ុន្តែ alas, ខ្ញុំបានអានជាទៀងទាត់នៅក្នុងព័ត៌មានអំពីរបៀបដែលជនរងគ្រោះម្នាក់ទៀតនៃអ្នកបោកប្រាស់ "មិនបានគិត" បានផ្តល់លេខកូដបញ្ជាក់ហើយបានបាត់បង់ប្រាក់យ៉ាងច្រើន។ ហើយទាំងអស់នេះគឺដោយសារតែធនាគារគ្រាន់តែមិនចង់ដោះស្រាយជាមួយនឹងការអនុវត្តនៃសញ្ញាសម្ងាត់គ្រីបនៅក្នុងកម្មវិធីរបស់ខ្លួន។ យ៉ាងណាមិញ ប្រសិនបើមានអ្វីកើតឡើង អតិថិជន "ត្រូវបន្ទោសខ្លួនឯង"។

ខណៈពេលដែលវិធីសាស្ត្រចែកចាយ OTP ជំនួសអាចកាត់បន្ថយភាពងាយរងគ្រោះមួយចំនួននៅក្នុងវិធីសាស្ត្រផ្ទៀងផ្ទាត់នេះ ភាពងាយរងគ្រោះផ្សេងទៀតនៅតែមាន។ កម្មវិធីបង្កើតកូដដោយឯកឯងគឺជាការការពារដ៏ល្អបំផុតប្រឆាំងនឹងការលួចស្តាប់ ចាប់តាំងពីសូម្បីតែមេរោគក៏ស្ទើរតែមិនអាចធ្វើអន្តរកម្មដោយផ្ទាល់ជាមួយម៉ាស៊ីនបង្កើតកូដ (ធ្ងន់ធ្ងរ? តើអ្នកនិពន្ធរបាយការណ៍ភ្លេចអំពីការបញ្ជាពីចម្ងាយឬ?) ប៉ុន្តែ OTPs នៅតែអាចស្ទាក់ចាប់បាន នៅពេលបញ្ចូលទៅក្នុង browser (ឧទាហរណ៍ដោយប្រើ keylogger) តាមរយៈកម្មវិធីទូរស័ព្ទដែលត្រូវបានគេលួចចូល; ហើយក៏អាចទទួលបានដោយផ្ទាល់ពីអ្នកប្រើប្រាស់ដោយប្រើវិស្វកម្មសង្គម។
ការប្រើប្រាស់ឧបករណ៍វាយតម្លៃហានិភ័យជាច្រើនដូចជា ការទទួលស្គាល់ឧបករណ៍ (ការរកឃើញនៃការប៉ុនប៉ងធ្វើប្រតិបត្តិការពីឧបករណ៍ដែលមិនមែនជារបស់អ្នកប្រើប្រាស់ស្របច្បាប់) ទីតាំងភូមិសាស្ត្រ (អ្នកប្រើប្រាស់ដែលទើបតែនៅទីក្រុងមូស្គូព្យាយាមធ្វើប្រតិបត្តិការពី Novosibirsk) និងការវិភាគអាកប្បកិរិយាគឺមានសារៈសំខាន់សម្រាប់ដោះស្រាយភាពងាយរងគ្រោះ ប៉ុន្តែដំណោះស្រាយទាំងពីរមិនមែនជា panacea ទេ។ សម្រាប់ស្ថានភាព និងប្រភេទទិន្នន័យនីមួយៗ ចាំបាច់ត្រូវវាយតម្លៃដោយប្រុងប្រយ័ត្ននូវហានិភ័យ និងជ្រើសរើសបច្ចេកវិទ្យាផ្ទៀងផ្ទាត់ដែលគួរប្រើ។

គ្មានដំណោះស្រាយការផ្ទៀងផ្ទាត់គឺជា panacea មួយ។

រូបភាពទី 2. តារាងជម្រើសការផ្ទៀងផ្ទាត់

ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ	កត្តា	បរិយាយ	ភាពងាយរងគ្រោះសំខាន់ៗ
លេខសម្ងាត់ ឬលេខសម្ងាត់	ចំណេះដឹង	តម្លៃថេរ ដែលអាចរួមបញ្ចូលអក្សរ លេខ និងចំនួនតួអក្សរផ្សេងទៀត។	អាចត្រូវបានស្ទាក់ចាប់ ចារកម្ម លួច ចាប់យក ឬលួច
ការផ្ទៀងផ្ទាត់ផ្អែកលើចំណេះដឹង	ចំណេះដឹង	សួរចម្លើយដែលមានតែអ្នកប្រើប្រាស់ផ្លូវច្បាប់អាចដឹង	អាចត្រូវបានស្ទាក់ចាប់ ចាប់យក ទទួលបានដោយប្រើវិធីសាស្រ្តវិស្វកម្មសង្គម
ផ្នែករឹង OTP (ឧទាហរណ៍)	ការកាន់កាប់	ឧបករណ៍ពិសេសដែលបង្កើតពាក្យសម្ងាត់តែម្តង	លេខកូដអាចនឹងត្រូវបានស្ទាក់ចាប់ និងធ្វើម្តងទៀត ឬឧបករណ៍អាចត្រូវបានគេលួច
កម្មវិធី OTPs	ការកាន់កាប់	កម្មវិធី (ទូរសព្ទចល័ត អាចចូលប្រើបានតាមរយៈកម្មវិធីរុករកតាមអ៊ីនធឺណិត ឬផ្ញើលេខកូដតាមអ៊ីមែល) ដែលបង្កើតពាក្យសម្ងាត់តែម្តង	លេខកូដអាចនឹងត្រូវបានស្ទាក់ចាប់ និងធ្វើម្តងទៀត ឬឧបករណ៍អាចត្រូវបានគេលួច
សារ SMS OTP	ការកាន់កាប់	ពាក្យសម្ងាត់តែមួយដងត្រូវបានបញ្ជូនតាមរយៈសារ SMS	លេខកូដអាចនឹងត្រូវបានស្ទាក់ចាប់ និងធ្វើម្តងទៀត ឬស្មាតហ្វូន ឬស៊ីមកាតអាចនឹងត្រូវបានគេលួច ឬស៊ីមកាតអាចនឹងស្ទួន
កាតឆ្លាតវៃ (ឧទាហរណ៍)	ការកាន់កាប់	កាតដែលមានបន្ទះឈីបគ្រីបគ្រីប និងអង្គចងចាំសោសុវត្ថិភាព ដែលប្រើហេដ្ឋារចនាសម្ព័ន្ធសោសាធារណៈសម្រាប់ការផ្ទៀងផ្ទាត់	អាចត្រូវបានលួចរាងកាយ (ប៉ុន្តែអ្នកវាយប្រហារនឹងមិនអាចប្រើឧបករណ៍ដោយមិនដឹងពីលេខកូដ PIN បានទេ។ ក្នុងករណីមានការប៉ុនប៉ងបញ្ចូលមិនត្រឹមត្រូវជាច្រើន ឧបករណ៍នឹងត្រូវបានរារាំង)
សោសុវត្ថិភាព - សញ្ញាសម្ងាត់ (ឧទាហរណ៍, ឧទាហរណ៍មួយទៀត)	ការកាន់កាប់	ឧបករណ៍ USB ដែលមានបន្ទះឈីបគ្រីបគ្រីប និងអង្គចងចាំសោសុវត្ថិភាព ដែលប្រើហេដ្ឋារចនាសម្ព័ន្ធសោសាធារណៈសម្រាប់ការផ្ទៀងផ្ទាត់	អាចត្រូវបានលួចដោយរាងកាយ (ប៉ុន្តែអ្នកវាយប្រហារនឹងមិនអាចប្រើឧបករណ៍ដោយមិនដឹងកូដ PIN បានទេ ក្នុងករណីមានការប៉ុនប៉ងចូលមិនត្រឹមត្រូវជាច្រើនដង ឧបករណ៍នឹងត្រូវបានរារាំង)
ការភ្ជាប់ទៅឧបករណ៍	ការកាន់កាប់	ដំណើរការដែលបង្កើតកម្រងព័ត៌មាន ជាញឹកញាប់ដោយប្រើ JavaScript ឬការប្រើសញ្ញាសម្គាល់ដូចជាខូគី និងវត្ថុដែលបានចែករំលែក Flash ដើម្បីធានាថាឧបករណ៍ជាក់លាក់មួយកំពុងត្រូវបានប្រើប្រាស់	ថូខឹនអាចត្រូវបានគេលួច (ចម្លង) ហើយលក្ខណៈនៃឧបករណ៍ស្របច្បាប់អាចត្រូវបានត្រាប់តាមដោយអ្នកវាយប្រហារនៅលើឧបករណ៍របស់គាត់
ឥរិយាបថ	ដើមកំណើត	វិភាគពីរបៀបដែលអ្នកប្រើប្រាស់ធ្វើអន្តរកម្មជាមួយឧបករណ៍ ឬកម្មវិធី	អាកប្បកិរិយាអាចត្រាប់តាម
ស្នាមម្រាមដៃ	ដើមកំណើត	ស្នាមម្រាមដៃដែលបានរក្សាទុកត្រូវបានប្រៀបធៀបជាមួយនឹងស្នាមម្រាមដៃដែលថតដោយអុបទិក ឬអេឡិចត្រូនិក	រូបភាពអាចត្រូវបានលួច និងប្រើប្រាស់សម្រាប់ការផ្ទៀងផ្ទាត់
ស្កេនភ្នែក	ដើមកំណើត	ប្រៀបធៀបលក្ខណៈភ្នែក ដូចជាលំនាំ iris ជាមួយនឹងការស្កែនអុបទិកថ្មី។	រូបភាពអាចត្រូវបានលួច និងប្រើប្រាស់សម្រាប់ការផ្ទៀងផ្ទាត់
ការសម្គាល់មុខ	ដើមកំណើត	លក្ខណៈមុខត្រូវបានប្រៀបធៀបជាមួយនឹងការស្កែនអុបទិកថ្មី។	រូបភាពអាចត្រូវបានលួច និងប្រើប្រាស់សម្រាប់ការផ្ទៀងផ្ទាត់
ការទទួលស្គាល់សំឡេង	ដើមកំណើត	លក្ខណៈ​នៃ​សំណាក​សំឡេង​ដែល​បាន​ថត​ត្រូវ​បាន​ប្រៀបធៀប​ជាមួយ​នឹង​សំណាក​ថ្មី។	កំណត់ត្រាអាចត្រូវបានគេលួច និងប្រើប្រាស់សម្រាប់ការផ្ទៀងផ្ទាត់ ឬត្រាប់តាម

នៅក្នុងផ្នែកទីពីរនៃការបោះពុម្ពផ្សាយ អ្វីដែលឆ្ងាញ់បំផុតកំពុងរង់ចាំយើង - លេខនិងការពិតដែលការសន្និដ្ឋាននិងអនុសាសន៍ដែលបានផ្តល់ឱ្យនៅក្នុងផ្នែកទីមួយគឺផ្អែកលើ។ ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៅក្នុងកម្មវិធីអ្នកប្រើប្រាស់ និងនៅក្នុងប្រព័ន្ធសាជីវកម្មនឹងត្រូវបានពិភាក្សាដោយឡែកពីគ្នា។

ជួបគ្នាឆាប់ៗ!

ប្រភព: www.habr.com