Што ќе се случи со автентикацијата и лозинките? Превод на извештајот Javelin „Состојба на силна автентикација“ со коментари

Спојлер од насловот на извештајот: „Употребата на силна автентикација се зголемува поради заканата од нови ризици и регулаторни барања“.
Истражувачката компанија „Javelin Strategy & Research“ го објави извештајот „The State of Strong Authentication 2019“ ( Оригиналот во pdf формат може да се преземе овде). Овој извештај вели: колкав процент од американските и европските компании користат лозинки (и зошто малку луѓе користат лозинки сега); зошто употребата на двофакторна автентикација базирана на криптографски токени расте толку брзо; Зошто еднократните кодови испратени преку СМС не се безбедни.

Секој кој е заинтересиран за сегашноста, минатото и иднината на автентикацијата во претпријатијата и потрошувачките апликации е добредојден.

Од преведувачот

За жал, јазикот на кој е напишан овој извештај е прилично „сув“ и формален. И петкратната употреба на зборот „автентикација“ во една кратка реченица не е криви раце (или мозоци) на преведувачот, туку каприц на авторите. Кога преведував од две опции - на читателите да им дадам текст поблизок до оригиналот или поинтересен, понекогаш ја избирав првата, а понекогаш втората. Но, бидете трпеливи, драги читатели, содржината на извештајот вреди.

Некои неважни и непотребни парчиња за приказната беа отстранети, инаку мнозинството немаше да може да го пробие целиот текст. Оние кои сакаат да го прочитаат извештајот „неотсечен“ можат да го сторат тоа на оригиналниот јазик следејќи ја врската.

За жал, авторите не се секогаш внимателни со терминологијата. Така, еднократните лозинки (Еднократна лозинка - OTP) понекогаш се нарекуваат „лозинки“, а понекогаш „шифри“. Уште полошо е со методите за автентикација. Не е секогаш лесно за необучениот читател да погоди дека „автентикацијата со помош на криптографски клучеви“ и „силната автентикација“ се иста работа. Се обидов да ги унифицирам поимите што е можно повеќе, а во самиот извештај има фрагмент со нивниот опис.

Сепак, многу се препорачува да се прочита извештајот бидејќи содржи уникатни резултати од истражувањето и точни заклучоци.

Сите бројки и факти се претставени без најмали промени, а ако не се согласувате со нив, тогаш подобро е да се расправате не со преведувачот, туку со авторите на извештајот. И еве ги моите коментари (поставени како цитати и означени во текстот италијански) се мојот вредносен суд и со задоволство ќе се расправам за секоја од нив (како и за квалитетот на преводот).

Преглед

Во денешно време, дигиталните канали за комуникација со клиентите се поважни од кога било за бизнисите. И во рамките на компанијата, комуникациите меѓу вработените се дигитално ориентирани повеќе од кога било досега. А колку ќе бидат сигурни овие интеракции зависи од избраниот метод за автентикација на корисникот. Напаѓачите користат слаба автентикација за масовно да ги хакираат корисничките сметки. Како одговор, регулаторите ги заоструваат стандардите за да ги принудат бизнисите подобро да ги заштитат корисничките сметки и податоци.

Заканите поврзани со автентикација се протегаат надвор од апликациите на потрошувачите; напаѓачите исто така можат да добијат пристап до апликациите што работат во претпријатието. Оваа операција им овозможува да имитираат корпоративни корисници. Напаѓачите кои користат пристапни точки со слаба автентикација можат да украдат податоци и да вршат други измамнички активности. За среќа, постојат мерки за борба против ова. Силната автентикација ќе помогне значително да се намали ризикот од напад од напаѓач, како на апликациите на потрошувачите, така и на деловните системи на претпријатијата.

Оваа студија испитува: како претпријатијата спроведуваат автентикација за да ги заштитат апликациите на крајните корисници и деловните системи на претпријатијата; фактори кои ги земаат предвид при изборот на решение за автентикација; улогата што ја игра силната автентикација во нивните организации; придобивките што ги добиваат овие организации.

Краток преглед

Клучни наоди

Од 2017 година, употребата на силна автентикација нагло се зголеми. Со зголемениот број на пропусти кои влијаат на традиционалните решенија за автентикација, организациите ги зајакнуваат своите способности за автентикација со силна автентикација. Бројот на организации кои користат криптографска мулти-факторска автентикација (MFA) се зголеми за тројно од 2017 година за апликации за потрошувачи и се зголеми за речиси 50% за апликации за претпријатија. Најбрзиот раст е забележан кај мобилната автентикација поради зголемената достапност на биометриската автентикација.

Овде гледаме илустрација на изреката „додека не удри гром, човек нема да се прекрсти“. Кога експертите предупредија за несигурноста на лозинките, никој не брзаше да спроведе двофакторна автентикација. Штом хакерите почнаа да крадат лозинки, луѓето почнаа да спроведуваат двофакторна автентикација.

Точно, поединците многу поактивно го спроведуваат 2FA. Прво, полесно им е да ги смират своите стравови потпирајќи се на биометриската автентикација вградена во паметните телефони, што всушност е многу несигурно. Организациите треба да трошат пари за купување токени и да спроведат работа (всушност, многу едноставна) за нивно спроведување. И второ, само мрзливите луѓе не пишувале за протекување лозинки од сервиси како Facebook и Dropbox, но под никакви околности CIO на овие организации нема да споделуваат приказни за тоа како биле украдени лозинки (и што се случило потоа) во организациите.

Оние кои не користат силна автентикација го потценуваат својот ризик за нивниот бизнис и клиенти. Некои организации кои во моментов не користат силна автентикација имаат тенденција да ги гледаат најавувањата и лозинките како еден од најефективните и најлесни за употреба методи за автентикација на корисниците. Други не ја гледаат вредноста на дигиталните средства што ги поседуваат. На крајот на краиштата, вреди да се земе предвид дека сајбер криминалците се заинтересирани за какви било потрошувачки и деловни информации. Две третини од компаниите кои користат само лозинки за автентичност на своите вработени го прават тоа затоа што веруваат дека лозинките се доволно добри за типот на информации што ги штитат.

Сепак, лозинките се на пат кон гробот. Зависноста од лозинка значително се намали во текот на изминатата година и за апликациите на потрошувачите и за претпријатијата (од 44% на 31%, и од 56% на 47%, соодветно) бидејќи организациите ја зголемуваат нивната употреба на традиционалното MFA и силната автентикација.
Но, ако ја погледнеме ситуацијата како целина, сè уште преовладуваат ранливите методи за автентикација. За автентикација на корисникот, околу една четвртина од организациите користат SMS OTP (еднократна лозинка) заедно со безбедносни прашања. Како резултат на тоа, мора да се спроведат дополнителни безбедносни мерки за заштита од ранливост, што ги зголемува трошоците. Употребата на многу побезбедни методи за автентикација, како што се хардверските криптографски клучеви, се користи многу поретко, во приближно 5% од организациите.

Еволуирачкото регулаторно опкружување ветува дека ќе го забрза усвојувањето на силна автентикација за потрошувачките апликации. Со воведувањето на PSD2, како и новите правила за заштита на податоците во ЕУ и неколку американски држави како Калифорнија, компаниите ја чувствуваат топлината. Скоро 70% од компаниите се согласуваат дека се соочуваат со силен регулаторен притисок за да обезбедат силна автентикација на нивните клиенти. Повеќе од половина од претпријатијата веруваат дека во рок од неколку години нивните методи за автентикација нема да бидат доволни за исполнување на регулаторните стандарди.

Разликата во пристапите на руските и американско-европските законодавци за заштита на личните податоци на корисниците на програми и услуги е јасно видлива. Русите велат: драги сопственици на сервиси, правете што сакате и како сакате, но ако вашиот админ ја спои базата, ќе ве казниме. Во странство велат: мора да спроведете сет мерки кои нема да дозволи исцедете ја основата. Затоа таму се имплементираат барања за строга двофакторна автентикација.
Точно, далеку од факт е дека нашата законодавна машина еден ден нема да се вразуми и да го земе предвид западното искуство. Потоа излегува дека секој треба да имплементира 2FA, кој е во согласност со руските криптографски стандарди, и тоа итно.

Воспоставувањето силна рамка за автентикација им овозможува на компаниите да го префрлат својот фокус од исполнување на регулаторните барања на задоволување на потребите на клиентите. За оние организации кои сè уште користат едноставни лозинки или примаат кодови преку СМС, најважниот фактор при изборот на метод за автентикација ќе биде усогласеноста со регулаторните барања. Но, оние компании кои веќе користат силна автентикација можат да се фокусираат на изборот на оние методи за автентикација кои ја зголемуваат лојалноста на клиентите.

При изборот на корпоративен метод за автентикација во рамките на претпријатието, регулаторните барања повеќе не се значаен фактор. Во овој случај, леснотијата на интеграција (32%) и трошоците (26%) се многу поважни.

Во ерата на фишинг, напаѓачите можат да користат корпоративна е-пошта за измама со измама да добие пристап до податоци, сметки (со соодветни права за пристап), па дури и да ги убеди вработените да направат трансфер на пари на неговата сметка. Затоа, корпоративните сметки за е-пошта и портали мора да бидат особено добро заштитени.

Google ја зајакна својата безбедност со спроведување силна автентикација. Пред повеќе од две години, Google објави извештај за имплементација на двофакторна автентикација заснована на криптографски безбедносни клучеви користејќи го стандардот FIDO U2F, известувајќи импресивни резултати. Според компанијата, ниту еден фишинг напад не бил извршен врз повеќе од 85 вработени.

Препораки

Спроведување силна автентикација за мобилни и онлајн апликации. Повеќефакторската автентикација базирана на криптографски клучеви обезбедува многу подобра заштита од хакирање отколку традиционалните методи на МФА. Покрај тоа, употребата на криптографски клучеви е многу поудобна затоа што нема потреба да се користат и пренесуваат дополнителни информации - лозинки, еднократни лозинки или биометриски податоци од уредот на корисникот до серверот за автентикација. Дополнително, стандардизирањето на протоколите за автентикација го олеснува спроведувањето на новите методи за автентикација кога ќе станат достапни, намалувајќи ги трошоците за имплементација и заштитувајќи од пософистицирани шеми за измама.

Подгответе се за исчезнување на еднократните лозинки (OTP). Ранливостите својствени за ОТП стануваат сè поочигледни бидејќи сајбер-криминалците користат социјален инженеринг, клонирање на паметни телефони и малициозен софтвер за да ги загрозат овие средства за автентикација. И ако OTP во некои случаи имаат одредени предности, тогаш само од гледна точка на универзална достапност за сите корисници, но не и од гледна точка на безбедност.

Невозможно е да не се забележи дека примањето кодови преку SMS или Push известувања, како и генерирањето кодови со помош на програми за паметни телефони, е користење на истите еднократни лозинки (OTP) за кои се бара да се подготвиме за падот. Од техничка гледна точка, решението е многу точно, бидејќи се работи за редок измамник кој не се обидува да ја дознае еднократната лозинка од лековерен корисник. Но, мислам дека производителите на такви системи до последно ќе се држат до технологијата што изумира.

Користете силна автентикација како маркетинг алатка за да ја зголемите довербата на клиентите. Силната автентикација може да направи повеќе од само подобрување на вистинската безбедност на вашиот бизнис. Информирањето на клиентите дека вашиот бизнис користи силна автентикација може да ја зајакне јавната перцепција за безбедноста на тој бизнис - важен фактор кога има значителна побарувачка на клиентите за силни методи за автентикација.

Спроведете темелна попис и проценка на критичноста на корпоративните податоци и заштитете ги според важноста. Дури и податоците со низок ризик, како што се информациите за контакт со клиентите (не, навистина, извештајот вели „низок ризик“, многу е чудно што ја потценуваат важноста на оваа информација), може да им донесе значителна вредност на измамниците и да предизвика проблеми за компанијата.

Користете силна автентикација на претпријатието. Голем број системи се најатрактивните цели за криминалците. Тие вклучуваат внатрешни и системи поврзани на Интернет, како што се сметководствена програма или складиште за корпоративни податоци. Силната автентикација ги спречува напаѓачите да добијат неовластен пристап, а исто така овозможува точно да се утврди кој вработен ја извршил злонамерната активност.

Што е силна автентикација?

Кога се користи силна автентикација, се користат неколку методи или фактори за да се потврди автентичноста на корисникот:

• Фактор на знаење: споделена тајна помеѓу корисникот и автентицираниот предмет на корисникот (како лозинки, одговори на безбедносни прашања итн.)
• Фактор на сопственост: уред што го има само корисникот (на пример, мобилен уред, криптографски клуч итн.)
• Фактор на интегритет: физички (често биометриски) карактеристики на корисникот (на пример, отпечаток од прст, шема на ирис, глас, однесување итн.)

Потребата за хакирање на повеќе фактори во голема мера ја зголемува веројатноста за неуспех за напаѓачите, бидејќи заобиколувањето или измамувањето на различни фактори бара користење на повеќе видови тактики за хакирање, за секој фактор посебно.

На пример, со 2FA „лозинка + паметен телефон“, напаѓачот може да изврши автентикација со гледање на лозинката на корисникот и правење точна софтверска копија од неговиот паметен телефон. И ова е многу потешко отколку едноставно да се украде лозинка.

Но, ако за 2FA се користат лозинка и криптографски токен, тогаш опцијата за копирање не работи овде - невозможно е да се дуплира токенот. Измамникот ќе треба скришум да го украде токенот од корисникот. Ако корисникот навреме ја забележи загубата и го извести администраторот, токенот ќе биде блокиран и напорите на измамникот ќе бидат залудни. Ова е причината зошто факторот на сопственост бара употреба на специјализирани безбедни уреди (токени) наместо уреди за општа намена (паметни телефони).

Користењето на сите три фактори ќе го направи овој метод за автентикација прилично скап за имплементација и прилично незгоден за употреба. Затоа, обично се користат два од три фактори.

Принципите на двофакторна автентикација се опишани подетално тука, во блокот „Како функционира автентикацијата со два фактори“.

Важно е да се забележи дека барем еден од факторите за автентикација што се користат во силната автентикација мора да користи криптографија со јавен клуч.

Силната автентикација обезбедува многу посилна заштита од автентикацијата со еден фактор заснована на класични лозинки и традиционални MFA. Лозинките може да се шпионираат или пресретнат со помош на тајлогери, страници за фишинг или напади од социјален инженеринг (каде што жртвата е измамена да ја открие својата лозинка). Покрај тоа, сопственикот на лозинката нема да знае ништо за кражбата. Традиционалните MFA (вклучувајќи OTP кодови, врзување за паметен телефон или SIM-картичка) исто така може да се хакираат многу лесно, бидејќи не се засноваат на криптографија со јавен клуч (Патем, има многу примери кога, користејќи ги истите техники за социјално инженерство, измамниците ги убедувале корисниците да им дадат еднократна лозинка).

За среќа, употребата на силна автентикација и традиционална MFA добива на сила и кај потрошувачките и кај претпријатијата апликации од минатата година. Употребата на силна автентикација во потрошувачките апликации се зголеми особено брзо. Ако во 2017 година го користеле само 5% од компаниите, тогаш во 2018 година веќе бил три пати повеќе – 16%. Ова може да се објасни со зголемената достапност на токени кои поддржуваат алгоритми за криптографија со јавен клуч (PKC). Покрај тоа, зголемениот притисок од европските регулатори по усвојувањето на новите правила за заштита на податоците, како што се PSD2 и GDPR, имаше силен ефект дури и надвор од Европа (вклучително и во Русија).

Ајде внимателно да ги разгледаме овие бројки. Како што можеме да видиме, процентот на приватни лица кои користат повеќефакторска автентикација порасна за импресивни 11% во текот на годината. И ова јасно се случи на сметка на љубителите на лозинки, бидејќи бројот на оние кои веруваат во безбедноста на Push известувањата, СМС и биометриката не се променија.

Но, со двофакторна автентикација за корпоративна употреба, работите не се толку добри. Прво, според извештајот, само 5% од вработените биле префрлени од автентикација на лозинка на токени. И второ, бројот на оние кои користат алтернативни опции за МНР во корпоративна средина е зголемен за 4%.

Ќе се обидам да играм аналитичар и да дадам мое толкување. Во центарот на дигиталниот свет на индивидуалните корисници е паметниот телефон. Затоа, не е ни чудо што мнозинството ги користат можностите што им ги обезбедува уредот - биометриска автентикација, SMS и Push известувања, како и еднократни лозинки генерирани од апликациите на самиот паметен телефон. Луѓето обично не размислуваат за безбедноста и сигурноста кога ги користат алатките на кои се навикнати.

Ова е причината зошто процентот на корисници на примитивни „традиционални“ фактори за автентикација останува непроменет. Но, оние кои претходно користеле лозинки разбираат колку ризикуваат и при изборот на нов фактор за автентикација се одлучуваат за најновата и најбезбедна опција - криптографски токен.

Што се однесува до корпоративниот пазар, важно е да се разбере во кој систем се врши автентикација. Ако се имплементира најавување во домен на Windows, тогаш се користат криптографски токени. Можностите за нивно користење за 2FA се веќе вградени и во Windows и во Linux, но алтернативните опции се долги и тешки за имплементација. Толку за миграцијата на 5% од лозинки до токени.

И имплементацијата на 2FA во корпоративниот информациски систем многу зависи од квалификациите на програмерите. И на програмерите им е многу полесно да земат готови модули за генерирање на еднократни лозинки отколку да ја разберат работата на криптографските алгоритми. И како резултат на тоа, дури и неверојатно критичните за безбедноста апликации како што се системите за еднократно најавување или управување со привилегиран пристап користат OTP како втор фактор.

Многу пропусти во традиционалните методи за автентикација

Додека многу организации остануваат зависни од наследни системи со еден фактор, ранливостите во традиционалната повеќефакторска автентикација стануваат сè поочигледни. Еднократните лозинки, обично со должина од шест до осум знаци, испорачани преку СМС, остануваат најчестата форма на автентикација (покрај факторот лозинка, се разбира). И кога зборовите „автентикација со два фактори“ или „верификација во два чекора“ се спомнуваат во популарниот печат, тие скоро секогаш се однесуваат на автентикација на лозинка за еднократна СМС.

Тука авторот малку греши. Доставувањето еднократни лозинки преку СМС никогаш не било двофакторна автентикација. Ова е во својата најчиста форма втората фаза на автентикација во два чекора, каде што првата фаза е внесување на вашето најавување и лозинка.

Во 2016 година, Националниот институт за стандарди и технологија (NIST) ги ажурираше своите правила за автентикација за да ја елиминира употребата на еднократни лозинки испратени преку СМС. Сепак, овие правила беа значително опуштени по протестите во индустријата.

Значи, да го следиме заплетот. Американскиот регулатор со право признава дека застарената технологија не е способна да ја осигура безбедноста на корисниците и воведува нови стандарди. Стандарди дизајнирани да ги заштитат корисниците на онлајн и мобилни апликации (вклучувајќи ги и банкарските). Индустријата пресметува колку пари ќе треба да потроши за купување навистина сигурни криптографски токени, редизајнирање на апликации, распоредување на инфраструктура со јавен клуч и „се крева на задните нозе“. Од една страна, корисниците беа убедени во веродостојноста на еднократните лозинки, а од друга страна, имаше напади на NIST. Како резултат на тоа, стандардот беше омекнат, а бројот на хакирање и кражба на лозинки (и пари од банкарски апликации) нагло се зголеми. Но, индустријата не мораше да плаќа пари.

Оттогаш, вродените слабости на SMS OTP станаа поочигледни. Измамниците користат различни методи за компромитирање на СМС пораките:

• Дуплирање на SIM картичката. Напаѓачите создаваат копија од SIM-картичката (со помош на вработени во мобилниот оператор, или самостојно, користејќи специјален софтвер и хардвер). Како резултат на тоа, напаѓачот добива СМС со еднократна лозинка. Во еден особено познат случај, хакерите дури можеа да ја компромитираат сметката на AT&T на инвеститорот во криптовалути Мајкл Турпин и да украдат речиси 24 милиони долари во криптовалути. Како резултат на тоа, Турпин изјави дека AT&T е виновен поради слабите мерки за верификација што доведоа до дуплирање на SIM-картичката.
  

  Неверојатна логика. Значи, навистина е виновен само AT&T? Не, несомнено е виновен мобилниот оператор што продавачите во комуникациската продавница издале дупликат SIM картичка. Што е со системот за автентикација на размена на криптовалути? Зошто не користеа силни криптографски токени? Дали беше штета да се трошат пари за имплементација? Нели самиот Мајкл е виновен? Зошто не инсистираше на промена на механизмот за автентикација или не ги користеше само оние размени кои спроведуваат двофакторна автентикација врз основа на криптографски токени?

  Воведувањето на навистина доверливи методи за автентикација е одложено токму затоа што корисниците покажуваат неверојатна негрижа пред хакирањето, а потоа ги обвинуваат своите неволји на кој било и што било друго освен древни и „протечени“ технологии за автентикација.

• Злонамерен софтвер. Една од најраните функции на мобилниот малициозен софтвер беше да пресретнува и проследува текстуални пораки до напаѓачите. Исто така, нападите човек-во-прелистувачот и човекот-во-средината може да пресретнат еднократни лозинки кога се внесуваат на заразени лаптопи или десктоп уреди.
  

  Кога апликацијата Сбербанк на вашиот паметен телефон трепка зелена икона во статусната лента, таа исто така бара „злонамерен софтвер“ на вашиот телефон. Целта на овој настан е да ја претвори недоверливата средина за извршување на типичен паметен телефон во, барем на некој начин, доверлив.
  Патем, паметен телефон, како целосно недоверлив уред на кој се може да се направи, е уште една причина да се користи за автентикација само хардверски токени, кои се заштитени и без вируси и тројанци.

• Социјален инженеринг. Кога измамниците знаат дека жртвата има овозможено OTP преку СМС, тие можат директно да ја контактираат жртвата, претставувајќи се како доверлива организација, како што е нивната банка или кредитна задруга, за да ја измамат жртвата да го даде кодот што штотуку го добил.
  

  Јас лично сум се сретнал со ваков тип на измама многу пати, на пример, кога се обидував да продадам нешто на популарен онлајн битпазар. Самиот се исмејував со измамникот кој се обиде да ме измами до срце. Но, за жал, редовно читам во вестите како уште една жртва на измамници „не помисли“, го даде кодот за потврда и изгуби голема сума. И сето ова е затоа што банката едноставно не сака да се занимава со имплементација на криптографски токени во своите апликации. На крајот на краиштата, ако нешто се случи, клиентите „се обвинуваат самите себе“.

Додека алтернативните методи за испорака на OTP може да ублажат некои од пропустите во овој метод за автентикација, други пропусти остануваат. Самостојните апликации за генерирање код се најдобрата заштита од прислушување, бидејќи дури и малициозниот софтвер тешко може директно да комуницира со генератор на код (сериозно? Дали авторот на извештајот заборавил на далечинскиот управувач?), но ОТП сè уште може да се пресретнат кога се внесуваат во прелистувачот (на пример користејќи keylogger), преку хакирана мобилна апликација; а исто така може да се добие директно од корисникот користејќи социјален инженеринг.
Користење на повеќе алатки за проценка на ризик, како што е препознавање на уреди (откривање на обиди за извршување трансакции од уреди кои не припаѓаат на правен корисник), геолокација (корисник кој штотуку бил во Москва се обидува да направи операција од Новосибирск) и аналитиката на однесувањето се важни за справување со ранливостите, но ниту едно решение не е лек. За секоја ситуација и тип на податоци, потребно е внимателно да се проценат ризиците и да се избере која технологија за автентикација треба да се користи.

Ниту едно решение за автентикација не е лек

Слика 2. Табела со опции за автентикација

Автентикација	Фактор	Опис	Клучни пропусти
Лозинка или ПИН	Знаење	Фиксна вредност, која може да вклучува букви, бројки и голем број други знаци	Може да биде пресретнат, шпиониран, украден, подигнат или хакиран
Автентикација базирана на знаење	Знаење	Ги поставува прашањата за одговорите на кои може да знае само правен корисник	Може да се пресретне, подигне, добие со помош на методи на социјален инженеринг
Хардвер ОТП (пример)	Поседување	Посебен уред кој генерира еднократни лозинки	Кодот може да биде пресретнат и да се повтори, или уредот може да биде украден
Софтверски OTP	Поседување	Апликација (мобилна, достапна преку прелистувач или испраќање кодови по е-пошта) која генерира еднократни лозинки	Кодот може да биде пресретнат и да се повтори, или уредот може да биде украден
СМС СМП	Поседување	Еднократна лозинка доставена преку СМС текстуална порака	Кодот може да биде пресретнат и да се повтори, или паметниот телефон или SIM картичката може да бидат украдени, или SIM картичката може да се дуплира
паметни картички (пример)	Поседување	Картичка која содржи криптографски чип и меморија на безбеден клуч што користи инфраструктура од јавен клуч за автентикација	Може да биде физички украден (но напаѓачот нема да може да го користи уредот без да го знае PIN-кодот; во случај на неколку неправилни обиди за внесување, уредот ќе биде блокиран)
Безбедносни клучеви - токени (пример, уште еден пример)	Поседување	УСБ-уред што содржи криптографски чип и безбедна меморија за клучеви што користи инфраструктура од јавен клуч за автентикација	Може да биде физички украден (но напаѓачот нема да може да го користи уредот без да го знае PIN-кодот; во случај на неколку неправилни обиди за влез, уредот ќе биде блокиран)
Поврзување со уред	Поседување	Процесот што создава профил, често користејќи JavaScript, или користејќи маркери како колачиња и Flash Shared Objects за да се осигура дека се користи одреден уред	Токените може да се украдат (копираат), а карактеристиките на легалниот уред може да се имитираат од напаѓачот на неговиот уред
Однесување	Инхерентност	Анализира како корисникот комуницира со уред или програма	Однесувањето може да се имитира
Отпечатоци од прсти	Инхерентност	Зачуваните отпечатоци од прсти се споредуваат со оние снимени оптички или електронски	Сликата може да се украде и да се користи за автентикација
Скенирање на очите	Инхерентност	Ги споредува карактеристиките на очите, како што е моделот на ирисот, со новите оптички скенови	Сликата може да се украде и да се користи за автентикација
Препознавање лице	Инхерентност	Карактеристиките на лицето се споредуваат со новите оптички скенови	Сликата може да се украде и да се користи за автентикација
Препознавање глас	Инхерентност	Карактеристиките на снимениот гласовен примерок се споредуваат со новите примероци	Записот може да се украде и да се користи за автентикација или да се емулира

Во вториот дел од публикацијата нè очекуваат највкусните работи - бројки и факти, на кои се темелат заклучоците и препораките дадени во првиот дел. За автентикацијата во корисничките апликации и во корпоративните системи ќе се дискутира посебно.

Се гледаме наскоро!

Извор: www.habr.com