그렇다면 인증과 비밀번호는 어떻게 될까요? Javelin의 강력한 인증 상태 보고서 XNUMX부

최근 리서치업체 재블린 스트래티지 앤 리서치(Javelin Strategy & Research)는 '2019년 강력한 인증 현황'이라는 보고서를 내놨다. 제작자는 기업 환경과 소비자 애플리케이션에서 어떤 인증 방법이 사용되는지에 대한 정보를 수집하고 강력한 인증의 미래에 대해 흥미로운 결론을 내렸습니다.

보고서 작성자의 결론을 바탕으로 첫 번째 부분을 번역했습니다. 이미 Habré에 게재되었습니다.. 이제 우리는 데이터와 그래프가 포함된 두 번째 부분을 여러분에게 소개합니다.

번역가로부터

첫 번째 부분에서 같은 이름의 전체 블록을 완전히 복사하지는 않지만 여전히 한 단락을 복제합니다.

모든 수치와 사실은 최소한의 변경 없이 제시되며, 이에 동의하지 않을 경우 번역가가 아닌 보고서 작성자와 논쟁하는 것이 좋습니다. 그리고 여기에 내 의견이 있습니다(인용문으로 배치되고 텍스트에 표시됨). 이탈리아 사람)은 나의 가치판단이며 각 가치판단에 대해(번역의 질에 대해서도) 기꺼이 논의하겠습니다.

사용자 인증

2017년 이후 소비자 애플리케이션에서 강력한 인증의 사용은 모바일 장치에서 암호화 인증 방법의 가용성으로 인해 급격히 증가했지만 인터넷 애플리케이션에 강력한 인증을 사용하는 기업의 비율은 약간 낮습니다.

전반적으로 비즈니스에서 강력한 인증을 사용하는 기업의 비율은 5년 2017%에서 16년 2018%로 3배 증가했습니다(그림 XNUMX).

웹 애플리케이션에 대한 강력한 인증을 사용하는 기능은 여전히 ​​제한적입니다(일부 브라우저의 최신 버전만 암호화 토큰과의 상호 작용을 지원하기 때문에 이 문제는 다음과 같은 추가 소프트웨어를 설치하여 해결할 수 있습니다. 루토켄 플러그인), 따라서 많은 회사에서는 일회용 비밀번호를 생성하는 모바일 장치용 프로그램과 같은 온라인 인증을 위한 대체 방법을 사용합니다.

하드웨어 암호화 키(여기서는 FIDO 표준을 준수하는 것만을 의미합니다.), Google, Feitian, One Span, Yubico 등에서 제공하는 제품을 사용하면 데스크톱 컴퓨터와 노트북에 별도의 소프트웨어를 설치하지 않고도 강력한 인증이 가능합니다(대부분의 브라우저는 이미 FIDO의 WebAuthn 표준을 지원하기 때문입니다.), 그러나 회사 중 3%만이 이 기능을 사용하여 사용자를 로그인합니다.

암호화 토큰 비교(예: 루토켄 EDS PKI) 및 FIDO 표준에 따라 작동하는 비밀 키는 이 보고서의 범위를 벗어나지만 이에 대한 나의 의견도 마찬가지입니다. 즉, 두 가지 유형의 토큰 모두 유사한 알고리즘과 작동 원리를 사용합니다. FIDO 토큰은 현재 브라우저 공급업체에서 더 잘 지원되지만 더 많은 브라우저가 지원하면 곧 변경될 예정입니다. 웹 USB API. 그러나 기존 암호화 토큰은 PIN 코드로 보호되고 전자 문서에 서명할 수 있으며 Windows(모든 버전), Linux 및 Mac OS X에서 2단계 인증에 사용할 수 있으며 다양한 프로그래밍 언어에 대한 API가 있어 XNUMXFA 및 전자 구현이 가능합니다. 데스크톱, 모바일 및 웹 애플리케이션의 서명과 러시아에서 생산된 토큰은 러시아 GOST 알고리즘을 지원합니다. 어쨌든 암호화 토큰은 어떤 표준으로 생성되었는지에 관계없이 가장 안정적이고 편리한 인증 방법입니다.

보안 그 이상: 강력한 인증의 다른 이점

강력한 인증의 사용이 기업이 저장하는 데이터의 중요성과 밀접하게 연관되어 있다는 것은 놀라운 일이 아닙니다. 사회보장번호나 개인 건강 정보(PHI)와 같은 민감한 개인 식별 정보(PII)를 저장하는 회사는 가장 큰 법적 및 규제적 압력에 직면해 있습니다. 이들은 강력한 인증을 가장 공격적으로 지지하는 회사입니다. 가장 민감한 데이터를 가지고 신뢰하는 조직이 강력한 인증 방법을 사용한다는 사실을 알고 싶어하는 고객의 기대로 인해 기업에 대한 압박이 가중되고 있습니다. 민감한 PII 또는 PHI를 처리하는 조직은 사용자의 연락처 정보만 저장하는 조직보다 강력한 인증을 사용할 가능성이 7배 이상 높습니다(그림 XNUMX).

안타깝게도 기업에서는 아직 강력한 인증 방법을 구현하려는 의지가 없습니다. 비즈니스 의사 결정자의 거의 9/43이 그림 XNUMX에 나열된 모든 인증 방법 중에서 비밀번호를 가장 효과적인 인증 방법으로 간주하고 XNUMX%는 비밀번호를 가장 간단한 인증 방법으로 간주합니다.

이 차트는 전 세계의 비즈니스 애플리케이션 개발자가 동일하다는 것을 증명합니다. 그들은 고급 계정 액세스 보안 메커니즘 구현의 이점을 보지 못하고 동일한 오해를 공유합니다. 그리고 규제 당국의 행동만이 상황을 바꿀 수 있습니다.

비밀번호는 건드리지 맙시다. 하지만 보안 질문이 암호화 토큰보다 더 안전하다고 믿으려면 무엇을 믿어야 할까요? 간단히 선택된 제어 질문의 효과는 해킹 가능한 토큰이 아닌 15%로 추정되었습니다. 단 10개입니다. 적어도 우화적인 형태이기는 하지만 마술사가 얼마나 쉽게 보여지는 영화 "Illusion of Deception"을 시청하십시오. 사업가 사기꾼의 답변에서 필요한 모든 것을 유인하고 돈없이 남겨 두었습니다.

그리고 사용자 애플리케이션의 보안 메커니즘을 담당하는 사람들의 자격에 대해 많은 것을 말해주는 또 하나의 사실이 있습니다. 그들이 이해하는 바에 따르면, 비밀번호를 입력하는 과정은 암호화 토큰을 사용한 인증보다 간단한 작업입니다. 하지만 토큰을 USB 포트에 연결하고 간단한 PIN 코드를 입력하는 것이 더 간단할 수도 있습니다.

중요한 것은 강력한 인증을 구현하면 기업이 사기 행위를 차단하는 데 필요한 인증 방법과 운영 규칙에 대해 생각하는 것에서 벗어나 고객의 실제 요구 사항을 충족할 수 있다는 것입니다.

강력한 인증을 사용하는 기업과 그렇지 않은 기업 모두 규제 준수가 최우선 사항이지만 이미 강력한 인증을 사용하는 기업은 고객 충성도를 높이는 것이 인증을 평가할 때 고려하는 가장 중요한 지표라고 말할 가능성이 훨씬 더 높습니다. 방법. (18% 대 12%) (그림 10)

기업 인증

2017년부터 기업에서 강력한 인증을 채택하는 사례가 증가하고 있지만 소비자 애플리케이션에 비해 그 비율은 약간 낮습니다. 강력한 인증을 사용하는 기업의 비율은 7년 2017%에서 12년 2018%로 증가했습니다. 소비자 애플리케이션과 달리 기업 환경에서는 모바일 장치보다 웹 애플리케이션에서 비밀번호가 아닌 인증 방법을 사용하는 것이 다소 더 일반적입니다. 약 절반의 기업이 로그인 시 사용자를 인증하기 위해 사용자 이름과 비밀번호만 사용한다고 보고했으며, 22명 중 XNUMX명(XNUMX%)은 민감한 데이터에 액세스할 때 보조 인증을 위해 비밀번호에만 의존한다고 답했습니다(즉, 사용자는 먼저 더 간단한 인증 방법을 사용하여 애플리케이션에 로그인하고 중요한 데이터에 액세스하려는 경우 이번에는 일반적으로 더 안정적인 방법을 사용하여 또 다른 인증 절차를 수행합니다.).

보고서에서는 Windows, Linux 및 Mac OS X 운영 체제에서 2단계 인증을 위한 암호화 토큰 사용을 고려하지 않았다는 점을 이해해야 합니다. 이는 현재 2FA가 가장 널리 사용되는 방식입니다. (아쉽게도 FIDO 표준에 따라 생성된 토큰은 Windows 10에 대해서만 XNUMXFA를 구현할 수 있습니다.)

또한 온라인 및 모바일 애플리케이션에서 2FA를 구현하려면 이러한 애플리케이션 수정을 포함한 일련의 조치가 필요한 경우 Windows에서 2FA를 구현하려면 PKI(예: Microsoft 인증 서버 기반) 및 인증 정책만 구성하면 됩니다. 광고에서.

그리고 업무용 PC와 도메인에 대한 로그인을 보호하는 것이 기업 데이터 보호의 중요한 요소이기 때문에 이중 인증 구현이 점점 보편화되고 있습니다.

로그인 시 사용자를 인증하는 다음으로 가장 일반적인 두 가지 방법은 별도의 앱을 통해 제공되는 일회용 비밀번호(기업의 13%)와 SMS를 통해 전달되는 일회용 비밀번호(12%)입니다. 두 가지 방법의 사용 비율이 매우 유사함에도 불구하고 인증 수준을 높이기 위해 OTP SMS가 가장 자주 사용됩니다(회사의 24%). (그림 12).

기업에서 강력한 인증 사용이 증가하는 것은 기업 ID 관리 플랫폼에서 암호화 인증 구현의 가용성이 높아졌기 때문일 수 있습니다(즉, 기업 SSO 및 IAM 시스템이 토큰 사용 방법을 학습했습니다).

직원과 계약자의 모바일 인증을 위해 기업은 소비자 애플리케이션의 인증보다 비밀번호에 더 많이 의존합니다. 기업의 절반 이상(53%)이 모바일 장치를 통해 회사 데이터에 대한 사용자 액세스를 인증할 때 비밀번호를 사용합니다(그림 13).

모바일 기기의 경우 지문, 음성, 얼굴, 심지어 홍채까지 위조하는 사례가 많지 않다면 생체인식의 위력을 믿을 것입니다. 한 검색 엔진 쿼리에 따르면 신뢰할 수 있는 생체 인증 방법이 존재하지 않는다는 사실이 드러납니다. 물론 매우 정확한 센서가 존재하지만 매우 비싸고 크기가 크며 스마트폰에는 설치되지 않습니다.

따라서 모바일 장치에서 작동하는 유일한 2FA 방법은 NFC, Bluetooth 및 USB Type-C 인터페이스를 통해 스마트폰에 연결하는 암호화 토큰을 사용하는 것입니다.

회사의 금융 데이터 보호는 비밀번호 없는 인증에 투자하는 가장 큰 이유(44%)로, 2017년 이후 가장 빠른 성장(40% 포인트 증가)을 기록했습니다. 그 뒤를 이어 지적 재산 보호(39%), 인사(HR) 데이터 보호(14%)가 이어졌습니다. 그리고 그 이유는 분명합니다. 이러한 유형의 데이터와 관련된 가치가 널리 인식되고 있을 뿐만 아니라, 이를 사용하는 직원은 상대적으로 적습니다. 즉, 구현 비용이 그리 크지 않으며 더 복잡한 인증 시스템을 사용하려면 소수의 사람만 교육하면 됩니다. 반면, 대부분의 기업 직원이 일상적으로 액세스하는 데이터 및 장치 유형은 여전히 ​​비밀번호로만 보호됩니다. 직원 문서, 워크스테이션 및 기업 이메일 포털은 가장 큰 위험이 있는 영역입니다. 기업의 XNUMX분의 XNUMX만이 비밀번호 없는 인증을 통해 이러한 자산을 보호하고 있기 때문입니다(그림 XNUMX).

일반적으로 기업 이메일은 매우 위험하고 누출이 많은 것이므로 대부분의 CIO는 잠재적 위험 정도를 과소평가합니다. 직원들은 매일 수십 통의 이메일을 받습니다. 그렇다면 그중에 최소한 하나의 피싱(즉, 사기성) 이메일을 포함시켜 보는 것은 어떨까요? 이 편지는 회사 편지 스타일로 작성되므로 직원은 이 편지에 있는 링크를 클릭하는 데 편안함을 느낄 것입니다. 그렇다면 공격받은 시스템에 바이러스를 다운로드하거나 암호를 유출하는 등의 모든 일이 발생할 수 있습니다(사회 공학을 통해 공격자가 만든 가짜 인증 양식을 입력하는 것을 포함).

이런 일이 발생하지 않도록 하려면 이메일에 서명을 해야 합니다. 그러면 어떤 편지가 합법적인 직원에 의해 작성되었는지, 어떤 편지가 공격자에 의해 작성되었는지 즉시 알 수 있습니다. 예를 들어 Outlook/Exchange에서는 암호화 토큰 기반 전자 서명이 매우 빠르고 쉽게 활성화되며 PC 및 Windows 도메인 전반에 걸쳐 XNUMX단계 인증과 함께 사용할 수 있습니다.

기업 내에서 비밀번호 인증에만 의존하는 임원 중 66/15(XNUMX%)는 비밀번호가 회사에서 보호해야 하는 정보 유형에 대해 충분한 보안을 제공한다고 믿기 때문에 그렇게 합니다(그림 XNUMX).

그러나 강력한 인증 방법이 점점 일반화되고 있습니다. 주로 가용성이 증가하고 있기 때문입니다. 점점 더 많은 IAM(ID 및 액세스 관리) 시스템, 브라우저 및 운영 체제가 암호화 토큰을 사용한 인증을 지원하고 있습니다.

강력한 인증에는 또 다른 장점이 있습니다. 비밀번호는 더 이상 사용되지 않기 때문에(간단한 PIN으로 대체), 잊어버린 비밀번호를 변경해 달라는 직원의 요청이 없습니다. 결과적으로 기업 IT 부서의 부담이 줄어듭니다.

결과 및 결론

1. 관리자는 평가에 필요한 지식이 없는 경우가 많습니다. 진짜 다양한 인증 옵션의 효율성. 그들은 그러한 것을 신뢰하는 데 익숙합니다. 구식의 비밀번호나 보안 질문과 같은 보안 방법은 단순히 "이전에는 효과가 있었다"는 이유만으로 가능합니다.
2. 사용자는 여전히 이 지식을 가지고 있습니다. 더 적은, 그들에게 가장 중요한 것은 단순함과 편리함. 선택할 동기가 없는 한 더욱 안전한 솔루션.
3. 맞춤형 애플리케이션 개발자는 종종 이유없이비밀번호 인증 대신 이중 인증을 구현합니다. 사용자 애플리케이션의 보호 수준 경쟁 아니.
4. 해킹에 대한 전적인 책임 사용자에게로 전환됨. 공격자에게 일회용 비밀번호를 제공 - 비난하다. 귀하의 비밀번호가 가로채거나 염탐당했습니다 - 비난하다. 제품에서는 개발자가 신뢰할 수 있는 인증 방법을 사용하도록 요구하지 않았습니다. 비난하다.
5. 권리 규제 기관 우선 기업이 다음과 같은 솔루션을 구현하도록 요구해야 합니다. 차단하다 처벌보다는 데이터 유출(특히 이중 인증) 이미 일어난 일 데이터 유출.
6. 일부 소프트웨어 개발자는 소비자에게 판매하려고 합니다. 오래되고 특히 신뢰할 수 없음 솔루션 아름다운 포장에 "혁신적인" 제품. 예를 들어, 특정 스마트폰과 연동하거나 생체인식을 이용한 인증이 가능합니다. 보고서에서 볼 수 있듯이, 정말로 신뢰할 수 있는 강력한 인증, 즉 암호화 토큰을 기반으로 한 솔루션만이 있을 수 있습니다.
7. 똑같다 암호화 토큰은 다음 용도로 사용할 수 있습니다. 여러 가지 작업: 을위한 강력한 인증 기업 운영 체제, 기업 및 사용자 애플리케이션에서 전자 서명 금융 거래(뱅킹 애플리케이션에 중요), 문서 및 이메일.

출처 : habr.com