ດັ່ງນັ້ນສິ່ງທີ່ຈະເກີດຂຶ້ນກັບການກວດສອບຄວາມຖືກຕ້ອງແລະລະຫັດຜ່ານ? ພາກທີສອງຂອງ Javelin State of Strong Authentication Report

ບໍ່ດົນມານີ້, ບໍລິສັດຄົ້ນຄ້ວາ Javelin Strategy & Research ເຜີຍແຜ່ບົດລາຍງານ, "ສະຖານະຂອງການກວດສອບທີ່ເຂັ້ມແຂງ 2019." ຜູ້ສ້າງຂອງມັນໄດ້ລວບລວມຂໍ້ມູນກ່ຽວກັບວິທີການກວດສອບຄວາມຖືກຕ້ອງທີ່ຖືກນໍາໃຊ້ໃນສະພາບແວດລ້ອມຂອງບໍລິສັດແລະຄໍາຮ້ອງສະຫມັກຂອງຜູ້ບໍລິໂພກ, ແລະຍັງໄດ້ສະຫຼຸບທີ່ຫນ້າສົນໃຈກ່ຽວກັບອະນາຄົດຂອງການກວດສອບທີ່ເຂັ້ມແຂງ.

ການແປພາກທໍາອິດທີ່ມີບົດສະຫຼຸບຂອງຜູ້ຂຽນບົດລາຍງານ, ພວກເຮົາ ຈັດພີມມາຢູ່ Habre. ແລະໃນປັດຈຸບັນພວກເຮົາສະເຫນີໃຫ້ຄວາມສົນໃຈຂອງທ່ານສ່ວນທີສອງ - ມີຂໍ້ມູນແລະກາຟ.

ຈາກນັກແປ

ຂ້າ​ພະ​ເຈົ້າ​ຈະ​ບໍ່​ສໍາ​ເນົາ​ທັງ​ຫມົດ block ຂອງ​ຊື່​ດຽວ​ກັນ​ຈາກ​ພາກ​ສ່ວນ​ທໍາ​ອິດ​, ແຕ່​ຂ້າ​ພະ​ເຈົ້າ​ຍັງ​ຈະ​ຊ​້​ໍາ​ກັນ​ຫນຶ່ງ​ວັກ​.

ຕົວເລກແລະຂໍ້ເທັດຈິງທັງຫມົດຖືກນໍາສະເຫນີໂດຍບໍ່ມີການປ່ຽນແປງເລັກນ້ອຍ, ແລະຖ້າທ່ານບໍ່ເຫັນດີກັບພວກມັນ, ມັນກໍ່ດີກວ່າທີ່ຈະໂຕ້ຖຽງກັບນັກແປ, ແຕ່ກັບຜູ້ຂຽນຂອງບົດລາຍງານ. ແລະນີ້ແມ່ນຄໍາເຫັນຂອງຂ້ອຍ (ວາງໄວ້ເປັນວົງຢືມ, ແລະຫມາຍໃນຂໍ້ຄວາມ ອິຕາລຽນ) ແມ່ນຄໍາຕັດສິນມູນຄ່າຂອງຂ້ອຍແລະຂ້ອຍຈະຍິນດີທີ່ຈະໂຕ້ຖຽງກ່ຽວກັບພວກເຂົາແຕ່ລະຄົນ (ເຊັ່ນດຽວກັນກັບຄຸນນະພາບຂອງການແປພາສາ).

ການກວດສອບຜູ້ໃຊ້

ນັບຕັ້ງແຕ່ປີ 2017, ການນໍາໃຊ້ການພິສູດຢືນຢັນທີ່ເຂັ້ມແຂງໃນຄໍາຮ້ອງສະຫມັກຂອງຜູ້ບໍລິໂພກໄດ້ເຕີບໂຕຢ່າງແຂງແຮງ, ສ່ວນໃຫຍ່ແມ່ນຍ້ອນການມີວິທີການກວດສອບລະຫັດລັບໃນອຸປະກອນມືຖື, ເຖິງແມ່ນວ່າບໍລິສັດພຽງແຕ່ມີສ່ວນນ້ອຍກວ່າເລັກນ້ອຍທີ່ຈະໃຊ້ການຢືນຢັນທີ່ເຂັ້ມແຂງສໍາລັບຄໍາຮ້ອງສະຫມັກອິນເຕີເນັດ.

ໂດຍລວມແລ້ວ, ອັດຕາສ່ວນຂອງບໍລິສັດທີ່ໃຊ້ການຢັ້ງຢືນທີ່ເຂັ້ມແຂງໃນທຸລະກິດຂອງພວກເຂົາເພີ່ມຂຶ້ນສາມເທົ່າຈາກ 5% ໃນປີ 2017 ເປັນ 16% ໃນປີ 2018 (ຮູບ 3).

ຄວາມສາມາດໃນການນໍາໃຊ້ການກວດສອບທີ່ເຂັ້ມແຂງສໍາລັບຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ແມ່ນຍັງຈໍາກັດ (ເນື່ອງຈາກຄວາມຈິງທີ່ວ່າພຽງແຕ່ຮຸ່ນໃຫມ່ຂອງບາງຕົວທ່ອງເວັບສະຫນັບສະຫນູນການໂຕ້ຕອບກັບ tokens cryptographic, ແນວໃດກໍ່ຕາມບັນຫານີ້ສາມາດແກ້ໄຂໄດ້ໂດຍການຕິດຕັ້ງຊອບແວເພີ່ມເຕີມເຊັ່ນ: Rutoken Plugin), ດັ່ງນັ້ນບໍລິສັດຈໍານວນຫຼາຍໃຊ້ວິທີການທາງເລືອກສໍາລັບການຢັ້ງຢືນອອນໄລນ໌, ເຊັ່ນໂຄງການສໍາລັບອຸປະກອນມືຖືທີ່ສ້າງລະຫັດຜ່ານຄັ້ງດຽວ.

ກະແຈເຂົ້າລະຫັດຮາດແວ (ໃນທີ່ນີ້ພວກເຮົາຫມາຍເຖິງພຽງແຕ່ຜູ້ທີ່ປະຕິບັດຕາມມາດຕະຖານ FIDO), ເຊັ່ນວ່າສະເໜີໃຫ້ໂດຍ Google, Feitian, One Span, ແລະ Yubico ສາມາດໃຊ້ສໍາລັບການພິສູດຢືນຢັນທີ່ເຂັ້ມແຂງໂດຍບໍ່ຕ້ອງຕິດຕັ້ງຊອບແວເພີ່ມເຕີມໃນຄອມພິວເຕີຕັ້ງໂຕະ ແລະແລັບທັອບ (ເນື່ອງຈາກວ່າຕົວທ່ອງເວັບສ່ວນໃຫຍ່ສະຫນັບສະຫນູນມາດຕະຖານ WebAuthn ຈາກ FIDO ແລ້ວ), ແຕ່ວ່າມີພຽງແຕ່ 3% ຂອງບໍລິສັດທີ່ໃຊ້ຄຸນສົມບັດນີ້ເພື່ອເຂົ້າສູ່ລະບົບຜູ້ໃຊ້ຂອງພວກເຂົາ.

ການປຽບທຽບ tokens cryptographic (ເຊັ່ນ Rutoken EDS PKI) ແລະກະແຈລັບທີ່ເຮັດວຽກຕາມມາດຕະຖານ FIDO ແມ່ນເກີນຂອບເຂດຂອງບົດລາຍງານນີ້, ແຕ່ຍັງມີຄໍາເຫັນຂອງຂ້ອຍຕໍ່ມັນ. ໃນສັ້ນ, ທັງສອງປະເພດຂອງ tokens ໃຊ້ algorithms ທີ່ຄ້າຍຄືກັນແລະຫຼັກການການດໍາເນີນງານ. FIDO tokens ປະຈຸບັນໄດ້ຮັບການສະຫນັບສະຫນູນທີ່ດີກວ່າໂດຍຜູ້ຂາຍຕົວທ່ອງເວັບ, ເຖິງແມ່ນວ່ານີ້ຈະມີການປ່ຽນແປງໃນໄວໆນີ້ຍ້ອນວ່າຕົວທ່ອງເວັບຫຼາຍສະຫນັບສະຫນູນ Web USB API. ແຕ່ tokens cryptographic ຄລາສສິກຖືກປົກປ້ອງໂດຍລະຫັດ PIN, ສາມາດເຊັນເອກະສານເອເລັກໂຕຣນິກແລະຖືກນໍາໃຊ້ສໍາລັບການພິສູດຢືນຢັນສອງປັດໃຈໃນ Windows (ທຸກລຸ້ນ), Linux ແລະ Mac OS X, ມີ APIs ສໍາລັບພາສາການຂຽນໂປຼແກຼມຕ່າງໆ, ຊ່ວຍໃຫ້ທ່ານປະຕິບັດ 2FA ແລະເອເລັກໂຕຣນິກ. ລາຍເຊັນໃນແອັບພລິເຄຊັນ desktop, ມືຖືແລະເວັບ , ແລະ tokens ທີ່ຜະລິດຢູ່ໃນລັດເຊຍສະຫນັບສະຫນູນລະບົບ GOST ລັດເຊຍ. ໃນກໍລະນີໃດກໍ່ຕາມ, token cryptographic, ໂດຍບໍ່ຄໍານຶງເຖິງມາດຕະຖານທີ່ມັນຖືກສ້າງຂື້ນໂດຍ, ແມ່ນວິທີການກວດສອບທີ່ເຊື່ອຖືໄດ້ແລະສະດວກທີ່ສຸດ.

ນອກເຫນືອຈາກຄວາມປອດໄພ: ຜົນປະໂຫຍດອື່ນໆຂອງການພິສູດຢືນຢັນທີ່ເຂັ້ມແຂງ

ມັນບໍ່ແປກໃຈວ່າການນໍາໃຊ້ການຢັ້ງຢືນທີ່ເຂັ້ມແຂງແມ່ນຕິດພັນກັບຄວາມສໍາຄັນຂອງຂໍ້ມູນທີ່ຮ້ານທຸລະກິດ. ບໍລິສັດທີ່ເກັບຂໍ້ມູນທີ່ລະອຽດອ່ອນທີ່ສາມາດລະບຸຕົວຕົນໄດ້ (PII), ເຊັ່ນ: ຕົວເລກປະກັນສັງຄົມ ຫຼື ຂໍ້ມູນສຸຂະພາບສ່ວນບຸກຄົນ (PHI), ປະເຊີນກັບຄວາມກົດດັນທາງດ້ານກົດໝາຍ ແລະ ລະບຽບການທີ່ໃຫຍ່ທີ່ສຸດ. ເຫຼົ່ານີ້ແມ່ນບໍລິສັດທີ່ຮຸກຮານທີ່ສຸດຂອງການຢັ້ງຢືນທີ່ເຂັ້ມແຂງ. ຄວາມກົດດັນຕໍ່ທຸລະກິດແມ່ນເພີ່ມຂຶ້ນໂດຍຄວາມຄາດຫວັງຂອງລູກຄ້າທີ່ຕ້ອງການຮູ້ວ່າອົງການຈັດຕັ້ງທີ່ພວກເຂົາໄວ້ວາງໃຈກັບຂໍ້ມູນທີ່ມີຄວາມອ່ອນໄຫວທີ່ສຸດຂອງພວກເຂົາໃຊ້ວິທີການກວດສອບທີ່ເຂັ້ມແຂງ. ອົງການຈັດຕັ້ງທີ່ຈັດການ PII ຫຼື PHI ທີ່ລະອຽດອ່ອນມີແນວໂນ້ມທີ່ຈະໃຊ້ການພິສູດຢືນຢັນທີ່ເຂັ້ມແຂງກວ່າສອງເທົ່າຂອງອົງການຈັດຕັ້ງທີ່ເກັບຂໍ້ມູນຕິດຕໍ່ຂອງຜູ້ໃຊ້ເທົ່ານັ້ນ (ຮູບ 7).

ແຕ່ຫນ້າເສຍດາຍ, ບໍລິສັດຍັງບໍ່ທັນເຕັມໃຈທີ່ຈະປະຕິບັດວິທີການກວດສອບທີ່ເຂັ້ມແຂງ. ເກືອບຫນຶ່ງສ່ວນສາມຂອງຜູ້ຕັດສິນໃຈທາງທຸລະກິດພິຈາລະນາລະຫັດຜ່ານເປັນວິທີການພິສູດຢືນຢັນທີ່ມີປະສິດທິພາບຫຼາຍທີ່ສຸດໃນບັນດາທັງຫມົດທີ່ລະບຸໄວ້ໃນຮູບ 9, ແລະ 43% ພິຈາລະນາລະຫັດຜ່ານເປັນວິທີການກວດສອບທີ່ງ່າຍດາຍທີ່ສຸດ.

ຕາຕະລາງນີ້ພິສູດໃຫ້ພວກເຮົາວ່ານັກພັດທະນາແອັບພລິເຄຊັນທຸລະກິດທົ່ວໂລກແມ່ນຄືກັນ ... ພວກເຂົາບໍ່ເຫັນຜົນປະໂຫຍດຂອງການປະຕິບັດກົນໄກຄວາມປອດໄພການເຂົ້າເຖິງບັນຊີຂັ້ນສູງແລະແບ່ງປັນຄວາມເຂົ້າໃຈຜິດດຽວກັນ. ແລະພຽງແຕ່ການກະທໍາຂອງຜູ້ຄວບຄຸມສາມາດປ່ຽນແປງສະຖານະການ.

ຢ່າແຕະຕ້ອງລະຫັດຜ່ານ. ແຕ່ສິ່ງທີ່ເຈົ້າຕ້ອງເຊື່ອທີ່ຈະເຊື່ອວ່າຄໍາຖາມຄວາມປອດໄພແມ່ນປອດໄພກວ່າ tokens cryptographic? ປະສິດທິຜົນຂອງຄໍາຖາມຄວບຄຸມ, ເຊິ່ງຖືກຄັດເລືອກຢ່າງງ່າຍດາຍ, ໄດ້ຖືກຄາດຄະເນຢູ່ທີ່ 15%, ແລະບໍ່ແມ່ນ tokens hackable - ພຽງແຕ່ 10. ຢ່າງຫນ້ອຍເບິ່ງຮູບເງົາ "ພາບລວງຕາຂອງການຫຼອກລວງ", ບ່ອນທີ່, ເຖິງແມ່ນວ່າໃນຮູບແບບທີ່ສົມມຸດຕິຖານ, ມັນສະແດງໃຫ້ເຫັນເຖິງ magicians ໄດ້ຢ່າງງ່າຍດາຍ. ຊັກຊວນທຸກສິ່ງທີ່ຈໍາເປັນອອກຈາກຄໍາຕອບຂອງນັກທຸລະກິດ - swindler ແລະປະໄວ້ລາວໂດຍບໍ່ມີເງິນ.

ແລະຄວາມຈິງອີກຢ່າງຫນຶ່ງທີ່ເວົ້າຫຼາຍກ່ຽວກັບຄຸນສົມບັດຂອງຜູ້ທີ່ມີຄວາມຮັບຜິດຊອບໃນກົນໄກຄວາມປອດໄພໃນຄໍາຮ້ອງສະຫມັກຂອງຜູ້ໃຊ້. ໃນຄວາມເຂົ້າໃຈຂອງພວກເຂົາ, ຂະບວນການປ້ອນລະຫັດຜ່ານແມ່ນການດໍາເນີນງານທີ່ງ່າຍດາຍກວ່າການພິສູດຢືນຢັນໂດຍໃຊ້ token cryptographic. ເຖິງແມ່ນວ່າ, ມັນເບິ່ງຄືວ່າມັນອາດຈະງ່າຍກວ່າທີ່ຈະເຊື່ອມຕໍ່ token ກັບພອດ USB ແລະໃສ່ລະຫັດ PIN ງ່າຍໆ.

ສິ່ງສໍາຄັນ, ການປະຕິບັດການຢັ້ງຢືນທີ່ເຂັ້ມແຂງເຮັດໃຫ້ທຸລະກິດຍ້າຍອອກໄປຈາກການຄິດກ່ຽວກັບວິທີການກວດສອບຄວາມຖືກຕ້ອງແລະກົດລະບຽບການດໍາເນີນງານທີ່ຈໍາເປັນເພື່ອສະກັດກັ້ນການສໍ້ໂກງເພື່ອຕອບສະຫນອງຄວາມຕ້ອງການທີ່ແທ້ຈິງຂອງລູກຄ້າຂອງພວກເຂົາ.

ໃນຂະນະທີ່ການປະຕິບັດຕາມກົດລະບຽບແມ່ນເປັນບູລິມະສິດສູງສຸດທີ່ສົມເຫດສົມຜົນສໍາລັບທັງທຸລະກິດທີ່ໃຊ້ການພິສູດຢືນຢັນທີ່ເຂັ້ມແຂງແລະທີ່ບໍ່, ບໍລິສັດທີ່ໃຊ້ການພິສູດຢືນຢັນທີ່ເຂັ້ມແຂງແລ້ວມີແນວໂນ້ມທີ່ຈະເວົ້າວ່າການເພີ່ມຄວາມສັດຊື່ຂອງລູກຄ້າເປັນຕົວຊີ້ບອກທີ່ສໍາຄັນທີ່ສຸດທີ່ພວກເຂົາພິຈາລະນາໃນເວລາທີ່ການປະເມີນການກວດສອບຄວາມຖືກຕ້ອງ. ວິທີການ. (18% ທຽບກັບ 12%) (ຮູບ 10).

ການຢັ້ງຢືນວິສາຫະກິດ

ນັບຕັ້ງແຕ່ປີ 2017, ການຮັບຮອງເອົາການຢັ້ງຢືນທີ່ເຂັ້ມແຂງໃນວິສາຫະກິດໄດ້ຂະຫຍາຍຕົວ, ແຕ່ໃນອັດຕາຕ່ໍາກວ່າສໍາລັບຄໍາຮ້ອງສະຫມັກຂອງຜູ້ບໍລິໂພກເລັກນ້ອຍ. ສ່ວນແບ່ງຂອງວິສາຫະກິດທີ່ໃຊ້ການກວດສອບຄວາມຖືກຕ້ອງທີ່ເຂັ້ມແຂງເພີ່ມຂຶ້ນຈາກ 7% ໃນປີ 2017 ເປັນ 12% ໃນປີ 2018. ບໍ່ເຫມືອນກັບຄໍາຮ້ອງສະຫມັກຂອງຜູ້ບໍລິໂພກ, ໃນສະພາບແວດລ້ອມວິສາຫະກິດການນໍາໃຊ້ວິທີການກວດສອບຄວາມຖືກຕ້ອງທີ່ບໍ່ແມ່ນລະຫັດຜ່ານແມ່ນຂ້ອນຂ້າງທົ່ວໄປໃນຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ກ່ວາອຸປະກອນມືຖື. ປະມານເຄິ່ງຫນຶ່ງຂອງທຸລະກິດລາຍງານການນໍາໃຊ້ພຽງແຕ່ຊື່ຜູ້ໃຊ້ແລະລະຫັດຜ່ານເພື່ອພິສູດຢືນຢັນຜູ້ໃຊ້ຂອງພວກເຂົາໃນເວລາເຂົ້າສູ່ລະບົບ, ໂດຍຫນຶ່ງໃນຫ້າ (22%) ຍັງອີງໃສ່ພຽງແຕ່ລະຫັດຜ່ານສໍາລັບການພິສູດຢືນຢັນຂັ້ນສອງເມື່ອເຂົ້າເຖິງຂໍ້ມູນທີ່ລະອຽດອ່ອນ (ນັ້ນແມ່ນ, ຜູ້ໃຊ້ທໍາອິດເຂົ້າສູ່ລະບົບຄໍາຮ້ອງສະຫມັກໂດຍໃຊ້ວິທີການກວດສອບທີ່ງ່າຍດາຍກວ່າ, ແລະຖ້າລາວຕ້ອງການທີ່ຈະເຂົ້າເຖິງຂໍ້ມູນທີ່ສໍາຄັນ, ລາວຈະປະຕິບັດຂັ້ນຕອນການພິສູດຢືນຢັນອື່ນ, ເວລານີ້ມັກຈະໃຊ້ວິທີການທີ່ເຊື່ອຖືໄດ້ຫຼາຍ.).

ທ່ານຈໍາເປັນຕ້ອງເຂົ້າໃຈວ່າບົດລາຍງານບໍ່ໄດ້ຄໍານຶງເຖິງການນໍາໃຊ້ tokens cryptographic ສໍາລັບການພິສູດຢືນຢັນສອງປັດໃຈໃນລະບົບປະຕິບັດການ Windows, Linux ແລະ Mac OS X. ແລະປະຈຸບັນນີ້ແມ່ນການນໍາໃຊ້ຢ່າງກວ້າງຂວາງທີ່ສຸດຂອງ 2FA. (ອະນິຈາ, tokens ທີ່ສ້າງຂຶ້ນຕາມມາດຕະຖານ FIDO ສາມາດປະຕິບັດ 2FA ສະເພາະ Windows 10).

ຍິ່ງໄປກວ່ານັ້ນ, ຖ້າການປະຕິບັດ 2FA ໃນຄໍາຮ້ອງສະຫມັກອອນໄລນ໌ແລະມືຖືຮຽກຮ້ອງໃຫ້ມີການກໍານົດມາດຕະການ, ລວມທັງການດັດແປງຄໍາຮ້ອງສະຫມັກເຫຼົ່ານີ້, ຫຼັງຈາກນັ້ນເພື່ອປະຕິບັດ 2FA ໃນ Windows ທ່ານພຽງແຕ່ຕ້ອງການກໍາຫນົດຄ່າ PKI (ຕົວຢ່າງ, ອີງໃສ່ Microsoft Certification Server) ແລະນະໂຍບາຍການຢັ້ງຢືນ. ໃນ AD.

ແລະນັບຕັ້ງແຕ່ການປົກປ້ອງການເຂົ້າສູ່ລະບົບກັບ PC ເຮັດວຽກແລະໂດເມນເປັນອົງປະກອບທີ່ສໍາຄັນໃນການປົກປ້ອງຂໍ້ມູນຂອງບໍລິສັດ, ການປະຕິບັດການກວດສອບສອງປັດໃຈແມ່ນກາຍເປັນເລື່ອງທົ່ວໄປ.

ສອງວິທີການທົ່ວໄປທີ່ສຸດຕໍ່ໄປສໍາລັບການຢັ້ງຢືນຜູ້ໃຊ້ໃນເວລາທີ່ເຂົ້າສູ່ລະບົບແມ່ນລະຫັດຜ່ານຄັ້ງດຽວສະຫນອງໃຫ້ໂດຍຜ່ານ app ແຍກຕ່າງຫາກ (13% ຂອງທຸລະກິດ) ແລະລະຫັດຜ່ານຄັ້ງດຽວສົ່ງຜ່ານ SMS (12%). ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າອັດຕາສ່ວນຂອງການນໍາໃຊ້ທັງສອງວິທີການແມ່ນຄ້າຍຄືກັນຫຼາຍ, OTP SMS ຖືກນໍາໃຊ້ຫຼາຍທີ່ສຸດເພື່ອເພີ່ມລະດັບການອະນຸຍາດ (ໃນ 24% ຂອງບໍລິສັດ). (ຮູບ 12).

ການເພີ່ມຂຶ້ນຂອງການນໍາໃຊ້ການພິສູດຢືນຢັນທີ່ເຂັ້ມແຂງໃນວິສາຫະກິດອາດຈະເປັນຍ້ອນການເພີ່ມຂື້ນຂອງການປະຕິບັດການກວດສອບການເຂົ້າລະຫັດລັບໃນເວທີການຄຸ້ມຄອງຕົວຕົນຂອງວິສາຫະກິດ (ໃນຄໍາສັບຕ່າງໆອື່ນໆ, ລະບົບ SSO ວິສາຫະກິດແລະ IAM ໄດ້ຮຽນຮູ້ການນໍາໃຊ້ tokens).

ສໍາລັບການກວດສອບມືຖືຂອງພະນັກງານແລະຜູ້ຮັບເຫມົາ, ວິສາຫະກິດອີງໃສ່ລະຫັດຜ່ານຫຼາຍກວ່າເກົ່າກ່ວາການພິສູດຢືນຢັນໃນຄໍາຮ້ອງສະຫມັກຂອງຜູ້ບໍລິໂພກ. ພຽງແຕ່ຫຼາຍກວ່າເຄິ່ງຫນຶ່ງ (53%) ຂອງວິສາຫະກິດໃຊ້ລະຫັດຜ່ານໃນເວລາທີ່ການກວດສອບຜູ້ໃຊ້ເຂົ້າເຖິງຂໍ້ມູນຂອງບໍລິສັດຜ່ານອຸປະກອນມືຖື (ຮູບ 13).

ໃນກໍລະນີຂອງອຸປະກອນມືຖື, ຄົນຫນຶ່ງຈະເຊື່ອໃນພະລັງງານທີ່ຍິ່ງໃຫຍ່ຂອງ biometrics, ຖ້າບໍ່ແມ່ນສໍາລັບຫຼາຍໆກໍລະນີຂອງລາຍນິ້ວມືປອມ, ສຽງ, ໃບຫນ້າແລະແມ້ກະທັ້ງ irises. ຄໍາຖາມຫນຶ່ງຂອງເຄື່ອງຈັກຊອກຫາຈະເປີດເຜີຍວ່າວິທີການທີ່ເຊື່ອຖືໄດ້ຂອງການກວດສອບທາງຊີວະມິຕິພຽງແຕ່ບໍ່ມີ. ເຊັນເຊີທີ່ຖືກຕ້ອງ, ແນ່ນອນ, ມີຢູ່, ແຕ່ພວກມັນມີລາຄາແພງຫຼາຍແລະມີຂະຫນາດຂະຫນາດໃຫຍ່ - ແລະບໍ່ໄດ້ຕິດຕັ້ງຢູ່ໃນໂທລະສັບສະຫຼາດ.

ດັ່ງນັ້ນ, ວິທີດຽວທີ່ເຮັດວຽກ 2FA ໃນອຸປະກອນມືຖືແມ່ນການນໍາໃຊ້ tokens cryptographic ທີ່ເຊື່ອມຕໍ່ກັບໂທລະສັບສະຫຼາດໂດຍຜ່ານການໂຕ້ຕອບ NFC, Bluetooth ແລະ USB Type-C.

ການປົກປ້ອງຂໍ້ມູນທາງດ້ານການເງິນຂອງບໍລິສັດແມ່ນເຫດຜົນອັນດັບຫນຶ່ງສໍາລັບການລົງທຶນໃນການກວດສອບລະຫັດຜ່ານທີ່ບໍ່ມີລະຫັດ (44%), ການຂະຫຍາຍຕົວໄວທີ່ສຸດນັບຕັ້ງແຕ່ 2017 (ເພີ່ມຂຶ້ນແປດສ່ວນຮ້ອຍ). ນີ້ແມ່ນປະຕິບັດຕາມໂດຍການປົກປ້ອງຊັບສິນທາງປັນຍາ (40%) ແລະຂໍ້ມູນບຸກຄະລາກອນ (HR) (39%). ແລະມັນເປັນທີ່ຊັດເຈນວ່າເປັນຫຍັງ - ບໍ່ພຽງແຕ່ມູນຄ່າທີ່ກ່ຽວຂ້ອງກັບປະເພດຂອງຂໍ້ມູນເຫຼົ່ານີ້ຖືກຮັບຮູ້ຢ່າງກວ້າງຂວາງ, ແຕ່ພະນັກງານຂ້ອນຂ້າງຫນ້ອຍເຮັດວຽກກັບພວກເຂົາ. ນັ້ນແມ່ນ, ຄ່າໃຊ້ຈ່າຍໃນການປະຕິບັດແມ່ນບໍ່ໃຫຍ່ຫຼາຍ, ແລະມີພຽງແຕ່ສອງສາມຄົນເທົ່ານັ້ນທີ່ຕ້ອງໄດ້ຮັບການຝຶກອົບຮົມເພື່ອເຮັດວຽກກັບລະບົບການກວດສອບທີ່ສັບສົນຫຼາຍ. ໃນທາງກົງກັນຂ້າມ, ປະເພດຂອງຂໍ້ມູນແລະອຸປະກອນທີ່ພະນັກງານວິສາຫະກິດສ່ວນໃຫຍ່ເຂົ້າເຖິງເປັນປົກກະຕິແມ່ນຍັງຖືກປົກປ້ອງໂດຍລະຫັດຜ່ານເທົ່ານັ້ນ. ເອກະສານພະນັກງານ, ສະຖານີເຮັດວຽກ, ແລະປະຕູອີເມລ໌ຂອງບໍລິສັດແມ່ນເຂດທີ່ມີຄວາມສ່ຽງທີ່ສຸດ, ຍ້ອນວ່າທຸລະກິດພຽງແຕ່ຫນຶ່ງສ່ວນສີ່ປົກປ້ອງຊັບສິນເຫຼົ່ານີ້ດ້ວຍການຢືນຢັນລະຫັດຜ່ານ (ຮູບ 14).

ໂດຍທົ່ວໄປແລ້ວ, ອີເມວຂອງບໍລິສັດເປັນສິ່ງທີ່ເປັນອັນຕະລາຍຫຼາຍແລະຮົ່ວໄຫຼ, ລະດັບອັນຕະລາຍທີ່ອາດຈະຖືກຄາດຄະເນໂດຍ CIO ສ່ວນໃຫຍ່. ພະນັກງານໄດ້ຮັບຫຼາຍສິບອີເມລ໌ທຸກໆມື້, ສະນັ້ນເປັນຫຍັງຈຶ່ງບໍ່ລວມເອົາຢ່າງຫນ້ອຍຫນຶ່ງອີເມລ໌ phishing (ນັ້ນແມ່ນການສໍ້ໂກງ) ໃນບັນດາພວກເຂົາ. ຈົດຫມາຍສະບັບນີ້ຈະຖືກຈັດຮູບແບບໃນຮູບແບບຂອງຈົດຫມາຍຂອງບໍລິສັດ, ດັ່ງນັ້ນພະນັກງານຈະຮູ້ສຶກສະດວກສະບາຍໃນການຄລິກໃສ່ການເຊື່ອມຕໍ່ໃນຈົດຫມາຍສະບັບນີ້. ແລ້ວ, ສິ່ງໃດກໍ່ຕາມສາມາດເກີດຂຶ້ນໄດ້, ຕົວຢ່າງເຊັ່ນການດາວໂຫຼດໄວຣັສໃສ່ເຄື່ອງທີ່ຖືກໂຈມຕີຫຼືລະຫັດຜ່ານຮົ່ວໄຫຼ (ລວມທັງຜ່ານວິສະວະກໍາສັງຄົມ, ໂດຍການໃສ່ແບບຟອມການກວດສອບປອມທີ່ສ້າງໂດຍຜູ້ໂຈມຕີ).

ເພື່ອປ້ອງກັນບໍ່ໃຫ້ເຫດການແບບນີ້ເກີດຂຶ້ນ, ອີເມວຕ້ອງຖືກເຊັນ. ຫຼັງຈາກນັ້ນ, ມັນຈະເຫັນໄດ້ຊັດເຈນໃນທັນທີວ່າຈົດຫມາຍສະບັບໃດຖືກສ້າງຂື້ນໂດຍພະນັກງານທີ່ຖືກຕ້ອງຕາມກົດຫມາຍແລະໂດຍຜູ້ໂຈມຕີ. ໃນ Outlook/Exchange, ສໍາລັບການຍົກຕົວຢ່າງ, ລາຍເຊັນອີເລັກໂທຣນິກທີ່ອີງໃສ່ cryptographic token ຖືກເປີດໃຊ້ຂ້ອນຂ້າງໄວແລະງ່າຍດາຍແລະສາມາດຖືກນໍາໃຊ້ຮ່ວມກັບການກວດສອບສອງປັດໃຈໃນທົ່ວ PCs ແລະ Windows domains.

ໃນບັນດາຜູ້ບໍລິຫານທີ່ອີງໃສ່ພຽງແຕ່ການກວດສອບລະຫັດຜ່ານພາຍໃນວິສາຫະກິດ, ສອງສ່ວນສາມ (66%) ເຮັດແນວນັ້ນຍ້ອນວ່າພວກເຂົາເຊື່ອວ່າລະຫັດຜ່ານສະຫນອງຄວາມປອດໄພພຽງພໍສໍາລັບປະເພດຂອງຂໍ້ມູນທີ່ບໍລິສັດຂອງພວກເຂົາຕ້ອງການປົກປ້ອງ (ຮູບ 15).

ແຕ່ວິທີການຢືນຢັນທີ່ເຂັ້ມແຂງແມ່ນກາຍເປັນເລື່ອງທົ່ວໄປ. ສ່ວນໃຫຍ່ແມ່ນຍ້ອນຄວາມຈິງທີ່ວ່າຄວາມພ້ອມຂອງພວກເຂົາແມ່ນເພີ່ມຂຶ້ນ. ຈໍານວນທີ່ເພີ່ມຂຶ້ນຂອງລະບົບການຈັດການຕົວຕົນແລະການເຂົ້າເຖິງ (IAM), ຕົວທ່ອງເວັບ, ແລະລະບົບປະຕິບັດການສະຫນັບສະຫນູນການພິສູດຢືນຢັນໂດຍໃຊ້ tokens cryptographic.

ການພິສູດຢືນຢັນທີ່ເຂັ້ມແຂງມີປະໂຫຍດອີກຢ່າງຫນຶ່ງ. ເນື່ອງຈາກລະຫັດຜ່ານບໍ່ໄດ້ຖືກນໍາໃຊ້ອີກຕໍ່ໄປ (ແທນທີ່ດ້ວຍ PIN ງ່າຍໆ), ບໍ່ມີການຮ້ອງຂໍຈາກພະນັກງານທີ່ຂໍໃຫ້ພວກເຂົາປ່ຽນລະຫັດຜ່ານທີ່ລືມ. ຊຶ່ງ​ໃນ​ນັ້ນ​ຊ່ວຍ​ຫຼຸດ​ຜ່ອນ​ພາ​ລະ​ຂອງ​ພະ​ແນກ IT ຂອງ​ວິ​ສາ​ຫະ​ກິດ​ໄດ້​.

ຜົນໄດ້ຮັບແລະບົດສະຫຼຸບ

1. ຜູ້ຈັດການມັກຈະບໍ່ມີຄວາມຮູ້ທີ່ຈໍາເປັນເພື່ອປະເມີນ ທີ່ແທ້ຈິງ ປະສິດທິຜົນຂອງທາງເລືອກໃນການກວດສອບຄວາມຖືກຕ້ອງຕ່າງໆ. ພວກເຂົາເຈົ້າໄດ້ຖືກນໍາໃຊ້ເພື່ອໄວ້ວາງໃຈດັ່ງກ່າວ ລ້າສະໄຫມ ວິທີການຄວາມປອດໄພເຊັ່ນລະຫັດຜ່ານແລະຄໍາຖາມຄວາມປອດໄພພຽງແຕ່ເນື່ອງຈາກວ່າ "ມັນເຮັດວຽກກ່ອນ."
2. ຜູ້ໃຊ້ຍັງມີຄວາມຮູ້ນີ້ ຫນ້ອຍ, ສໍາລັບພວກເຂົາສິ່ງທີ່ສໍາຄັນແມ່ນ ຄວາມງ່າຍດາຍແລະຄວາມສະດວກສະບາຍ. ຕາບໃດທີ່ເຂົາເຈົ້າບໍ່ມີແຮງຈູງໃຈທີ່ຈະເລືອກເອົາ ວິທີແກ້ໄຂທີ່ປອດໄພກວ່າ.
3. ນັກພັດທະນາຄໍາຮ້ອງສະຫມັກທີ່ກໍາຫນົດເອງເລື້ອຍໆ ບໍ່​ມີ​ເຫດ​ຜົນເພື່ອປະຕິບັດການກວດສອບສອງປັດໃຈແທນທີ່ຈະເປັນການກວດສອບລະຫັດຜ່ານ. ການແຂ່ງຂັນໃນລະດັບການປົກປ້ອງໃນຄໍາຮ້ອງສະຫມັກຂອງຜູ້ໃຊ້ ບໍ່​ມີ.
4. ຄວາມຮັບຜິດຊອບຢ່າງເຕັມທີ່ສໍາລັບການ hack ໄດ້ ຍ້າຍໄປຜູ້ໃຊ້. ໃຫ້ລະຫັດຜ່ານຄັ້ງດຽວໃຫ້ກັບຜູ້ໂຈມຕີ - ມີຄວາມຜິດ. ລະຫັດຜ່ານຂອງທ່ານຖືກສະກັດ ຫຼືສອດແນມ - ມີຄວາມຜິດ. ບໍ່ໄດ້ຮຽກຮ້ອງໃຫ້ນັກພັດທະນາໃຊ້ວິທີການກວດສອບທີ່ເຊື່ອຖືໄດ້ໃນຜະລິດຕະພັນ - ມີຄວາມຜິດ.
5. ຖືກຕ້ອງ ລະບຽບການ ກ່ອນອື່ນ ໝົດ ຄວນຮຽກຮ້ອງໃຫ້ບໍລິສັດປະຕິບັດວິທີແກ້ໄຂທີ່ ຕັນ ການຮົ່ວໄຫລຂອງຂໍ້ມູນ (ໂດຍສະເພາະການກວດສອບສອງປັດໃຈ), ແທນທີ່ຈະລົງໂທດ ເກີດຂຶ້ນແລ້ວ ຂໍ້ມູນຮົ່ວໄຫຼ.
6. ບາງນັກພັດທະນາຊອບແວກໍາລັງພະຍາຍາມຂາຍໃຫ້ຜູ້ບໍລິໂພກ ເກົ່າແລະບໍ່ຫນ້າເຊື່ອຖືໂດຍສະເພາະ ການແກ້ໄຂ ໃນ​ການ​ຫຸ້ມ​ຫໍ່​ທີ່​ສວຍ​ງາມ​ ຜະລິດຕະພັນ "ນະວັດຕະກໍາ". ຕົວຢ່າງ, ການກວດສອບຄວາມຖືກຕ້ອງໂດຍການເຊື່ອມຕໍ່ກັບໂທລະສັບສະຫຼາດສະເພາະໃດຫນຶ່ງຫຼືການນໍາໃຊ້ biometrics. ດັ່ງທີ່ສາມາດເຫັນໄດ້ຈາກບົດລາຍງານ, ອີງຕາມ ເຊື່ອຖືໄດ້ແທ້ໆ ມີພຽງແຕ່ສາມາດມີການແກ້ໄຂໂດຍອີງໃສ່ການຢືນຢັນທີ່ເຂັ້ມແຂງ, ນັ້ນແມ່ນ, tokens cryptographic.
7. ຄື​ກັນ token cryptographic ສາມາດຖືກນໍາໃຊ້ສໍາລັບ ວຽກງານຈໍານວນຫນຶ່ງ: ສໍາລັບ ການຢືນຢັນທີ່ເຂັ້ມແຂງ ໃນ​ລະ​ບົບ​ປະ​ຕິ​ບັດ​ການ​ວິ​ສາ​ຫະ​ກິດ​, ໃນ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ຂອງ​ບໍ​ລິ​ສັດ​ແລະ​ຜູ້​ໃຊ້​, ສໍາ​ລັບ​ການ​ ລາຍ​ເຊັນ​ອີ​ເລັກ​ໂຕ​ນິກ ທຸລະກໍາທາງດ້ານການເງິນ (ທີ່ສໍາຄັນສໍາລັບຄໍາຮ້ອງສະຫມັກທະນາຄານ), ເອກະສານແລະອີເມລ໌.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com