प्रमाणीकरण आणि पासवर्डचे काय होईल? भाला अहवालाचे भाषांतर “स्टेट ऑफ स्ट्रॉंग ऑथेंटिकेशन” टिप्पण्यांसह

अहवालाच्या शीर्षकावरून स्पॉयलर: "नवीन जोखीम आणि नियामक आवश्यकतांच्या धोक्यामुळे मजबूत प्रमाणीकरणाचा वापर वाढतो."
"जेव्हलिन स्ट्रॅटेजी अँड रिसर्च" या संशोधन कंपनीने "द स्टेट ऑफ स्ट्राँग ऑथेंटिकेशन 2019" हा अहवाल प्रकाशित केला. मूळ पीडीएफ फॉरमॅट येथे डाउनलोड केले जाऊ शकते). हा अहवाल म्हणतो: अमेरिकन आणि युरोपियन कंपन्या किती टक्के पासवर्ड वापरतात (आणि आता काही लोक पासवर्ड का वापरतात); क्रिप्टोग्राफिक टोकनवर आधारित द्वि-घटक प्रमाणीकरणाचा वापर इतक्या लवकर का वाढत आहे; SMS द्वारे पाठवलेले एक-वेळचे कोड सुरक्षित का नाहीत.

एंटरप्राइजेस आणि ग्राहक अनुप्रयोगांमधील प्रमाणीकरणाच्या वर्तमान, भूतकाळ आणि भविष्यात स्वारस्य असलेल्या कोणालाही स्वागत आहे.

अनुवादकाकडून

अरेरे, हा अहवाल ज्या भाषेत लिहिला आहे ती खूप “कोरडी” आणि औपचारिक आहे. आणि एका छोट्या वाक्यात “प्रमाणीकरण” हा शब्द पाच वेळा वापरणे हा अनुवादकाचा वाकडा हात (किंवा मेंदू) नसून लेखकांचा लहरीपणा आहे. दोन पर्यायांमधून भाषांतर करताना - वाचकांना मूळ मजकुराच्या जवळ किंवा अधिक मनोरंजक मजकूर देण्यासाठी, मी कधी कधी पहिला, तर कधी दुसरा निवडला. पण धीर धरा, प्रिय वाचकांनो, अहवालातील मजकूर वाचतो.

कथेसाठी काही बिनमहत्त्वाचे आणि अनावश्यक तुकडे काढून टाकले नाहीतर बहुसंख्यांना संपूर्ण मजकूर मिळू शकला नसता. ज्यांना “अनकट” अहवाल वाचायचा आहे ते लिंकचे अनुसरण करून मूळ भाषेत करू शकतात.

दुर्दैवाने, लेखक शब्दावलीबाबत नेहमी सावधगिरी बाळगत नाहीत. अशाप्रकारे, वन-टाइम पासवर्ड (वन टाइम पासवर्ड - ओटीपी) यांना कधी कधी "पासवर्ड" तर कधी "कोड" असे म्हणतात. प्रमाणीकरण पद्धतींसह हे आणखी वाईट आहे. “क्रिप्टोग्राफिक की वापरून प्रमाणीकरण” आणि “मजबूत प्रमाणीकरण” या एकाच गोष्टी आहेत असा अंदाज लावणे अप्रशिक्षित वाचकासाठी नेहमीच सोपे नसते. मी शक्य तितक्या अटी एकत्र करण्याचा प्रयत्न केला आणि अहवालातच त्यांच्या वर्णनासह एक तुकडा आहे.

तरीही, अहवाल वाचण्याची अत्यंत शिफारस केली जाते कारण त्यात अद्वितीय संशोधन परिणाम आणि योग्य निष्कर्ष आहेत.

सर्व आकडेवारी आणि तथ्ये अगदी कमी बदलांशिवाय सादर केली जातात आणि आपण त्यांच्याशी सहमत नसल्यास, अनुवादकाशी नव्हे तर अहवालाच्या लेखकांशी वाद घालणे चांगले. आणि येथे माझ्या टिप्पण्या आहेत (कोटेशन म्हणून मांडलेल्या आणि मजकूरात चिन्हांकित केल्या आहेत इटालियन) हे माझे मूल्य निर्णय आहेत आणि त्या प्रत्येकावर (तसेच भाषांतराच्या गुणवत्तेवर) युक्तिवाद करण्यात मला आनंद होईल.

विहंगावलोकन

आजकाल, ग्राहकांशी संवाद साधण्याचे डिजिटल चॅनेल व्यवसायांसाठी पूर्वीपेक्षा अधिक महत्त्वाचे आहेत. आणि कंपनीमध्ये, कर्मचार्‍यांमधील संप्रेषणे पूर्वीपेक्षा अधिक डिजिटल पद्धतीने केंद्रित आहेत. आणि हे परस्परसंवाद किती सुरक्षित असतील हे वापरकर्त्याच्या प्रमाणीकरणाच्या निवडलेल्या पद्धतीवर अवलंबून आहे. हल्लेखोर मोठ्या प्रमाणावर वापरकर्ता खाती हॅक करण्यासाठी कमकुवत प्रमाणीकरण वापरतात. प्रतिसादात, नियामक व्यवसायांना वापरकर्ता खाती आणि डेटाचे अधिक चांगले संरक्षण करण्यासाठी सक्ती करण्यासाठी मानके कडक करत आहेत.

प्रमाणीकरण-संबंधित धोके ग्राहक अनुप्रयोगांच्या पलीकडे विस्तारित आहेत; आक्रमणकर्ते एंटरप्राइझमध्ये चालू असलेल्या अनुप्रयोगांमध्ये प्रवेश देखील मिळवू शकतात. हे ऑपरेशन त्यांना कॉर्पोरेट वापरकर्त्यांची तोतयागिरी करण्यास अनुमती देते. कमकुवत प्रमाणीकरणासह प्रवेश बिंदू वापरणारे हल्लेखोर डेटा चोरू शकतात आणि इतर फसव्या क्रियाकलाप करू शकतात. सुदैवाने, याचा सामना करण्यासाठी उपाय आहेत. सशक्त प्रमाणीकरणामुळे ग्राहक अनुप्रयोग आणि एंटरप्राइझ बिझनेस सिस्टीम दोन्हीवर आक्रमणकर्त्याच्या हल्ल्याचा धोका लक्षणीयरीत्या कमी करण्यात मदत होईल.

हा अभ्यास तपासतो: एन्ड-यूजर अॅप्लिकेशन्स आणि एंटरप्राइझ बिझनेस सिस्टमचे संरक्षण करण्यासाठी एंटरप्राइझ ऑथेंटिकेशन कसे अंमलात आणतात; प्रमाणीकरण उपाय निवडताना त्यांनी विचारात घेतलेले घटक; मजबूत प्रमाणीकरण त्यांच्या संस्थांमध्ये भूमिका बजावते; या संस्थांना मिळणारे फायदे.

सारांश

की निष्कर्ष

2017 पासून, सशक्त प्रमाणीकरणाचा वापर झपाट्याने वाढला आहे. पारंपारिक प्रमाणीकरण उपायांवर परिणाम करणाऱ्या भेद्यतेच्या वाढत्या संख्येमुळे, संस्था मजबूत प्रमाणीकरणासह त्यांच्या प्रमाणीकरण क्षमता मजबूत करत आहेत. क्रिप्टोग्राफिक मल्टी-फॅक्टर ऑथेंटिकेशन (MFA) वापरणाऱ्या संस्थांची संख्या 2017 पासून ग्राहक अनुप्रयोगांसाठी तिप्पट झाली आहे आणि एंटरप्राइझ अनुप्रयोगांसाठी जवळपास 50% वाढली आहे. बायोमेट्रिक प्रमाणीकरणाच्या वाढत्या उपलब्धतेमुळे मोबाईल ऑथेंटिकेशनमध्ये सर्वात जलद वाढ दिसून येते.

"जोपर्यंत मेघगर्जना होत नाही तोपर्यंत माणूस स्वतःला ओलांडणार नाही" या म्हणीचे उदाहरण येथे आपण पाहतो. जेव्हा तज्ञांनी संकेतशब्दांच्या असुरक्षिततेबद्दल चेतावणी दिली तेव्हा कोणालाही द्वि-घटक प्रमाणीकरण लागू करण्याची घाई नव्हती. हॅकर्सनी पासवर्ड चोरायला सुरुवात करताच लोकांनी टू-फॅक्टर ऑथेंटिकेशन लागू करायला सुरुवात केली.

खरे आहे, व्यक्ती जास्त सक्रियपणे 2FA ची अंमलबजावणी करत आहेत. प्रथम, त्यांच्यासाठी स्मार्टफोनमध्ये तयार केलेल्या बायोमेट्रिक प्रमाणीकरणावर अवलंबून राहून त्यांची भीती शांत करणे सोपे आहे, जे खरं तर खूप अविश्वसनीय आहे. संस्थांना टोकन खरेदी करण्यासाठी पैसे खर्च करावे लागतील आणि ते कार्यान्वित करण्यासाठी कार्य (खरं तर, अगदी सोपे) करावे लागेल. आणि दुसरे म्हणजे, फक्त आळशी लोकांनी Facebook आणि Dropbox सारख्या सेवांमधून पासवर्ड लीक झाल्याबद्दल लिहिलेले नाही, परंतु कोणत्याही परिस्थितीत या संस्थांचे CIO पासवर्ड कसे चोरले गेले (आणि पुढे काय झाले) याबद्दलच्या कथा संस्थांमध्ये शेअर करणार नाहीत.

जे मजबूत प्रमाणीकरण वापरत नाहीत ते त्यांच्या व्यवसायासाठी आणि ग्राहकांना त्यांच्या जोखमीला कमी लेखत आहेत. सध्या सशक्त प्रमाणीकरण वापरत नसलेल्या काही संस्था वापरकर्ता प्रमाणीकरणाच्या सर्वात प्रभावी आणि वापरण्यास-सोप्या पद्धतींपैकी एक म्हणून लॉगिन आणि पासवर्ड पाहण्याचा कल आहे. इतरांना त्यांच्या मालकीच्या डिजिटल मालमत्तेचे मूल्य दिसत नाही. तथापि, हे लक्षात घेण्यासारखे आहे की सायबर गुन्हेगारांना कोणत्याही ग्राहक आणि व्यावसायिक माहितीमध्ये स्वारस्य आहे. दोन-तृतीयांश कंपन्या ज्या त्यांच्या कर्मचार्‍यांना प्रमाणित करण्यासाठी फक्त पासवर्ड वापरतात ते असे करतात कारण त्यांना विश्वास आहे की ते संरक्षित केलेल्या माहितीसाठी पासवर्ड पुरेसे आहेत.

तथापि, पासवर्ड त्यांच्या कबरीच्या मार्गावर आहेत. संस्‍था पारंपारिक MFA आणि सशक्त प्रमाणीकरणाचा वापर वाढविल्‍याने ग्राहक आणि एंटरप्राइझ ऍप्लिकेशन्ससाठी (अनुक्रमे 44% वरून 31% आणि 56% वरून 47%) पासवर्ड अवलंबित्वात गेल्या वर्षभरात लक्षणीय घट झाली आहे.
परंतु आपण एकंदरीत परिस्थिती पाहिल्यास, असुरक्षित प्रमाणीकरण पद्धती अजूनही प्रचलित आहेत. वापरकर्ता प्रमाणीकरणासाठी, सुमारे एक चतुर्थांश संस्था सुरक्षा प्रश्नांसह SMS OTP (वन-टाइम पासवर्ड) वापरतात. परिणामी, असुरक्षिततेपासून संरक्षण करण्यासाठी अतिरिक्त सुरक्षा उपायांची अंमलबजावणी करणे आवश्यक आहे, ज्यामुळे खर्च वाढतो. हार्डवेअर क्रिप्टोग्राफिक की सारख्या अधिक सुरक्षित प्रमाणीकरण पद्धतींचा वापर, अंदाजे 5% संस्थांमध्ये कमी वारंवार केला जातो.

विकसनशील नियामक वातावरण ग्राहक अनुप्रयोगांसाठी मजबूत प्रमाणीकरणाचा अवलंब करण्यास गती देण्याचे वचन देते. PSD2, तसेच EU आणि कॅलिफोर्नियासारख्या अनेक यूएस राज्यांमध्ये नवीन डेटा संरक्षण नियम लागू केल्यामुळे, कंपन्यांना उष्णता जाणवत आहे. जवळपास 70% कंपन्या सहमत आहेत की त्यांच्या ग्राहकांना मजबूत प्रमाणीकरण प्रदान करण्यासाठी त्यांना मजबूत नियामक दबावाचा सामना करावा लागतो. निम्म्याहून अधिक उपक्रमांचा असा विश्वास आहे की काही वर्षांत त्यांच्या प्रमाणीकरण पद्धती नियामक मानकांची पूर्तता करण्यासाठी पुरेशी नसतील.

प्रोग्राम आणि सेवा वापरकर्त्यांच्या वैयक्तिक डेटाच्या संरक्षणासाठी रशियन आणि अमेरिकन-युरोपियन आमदारांच्या दृष्टिकोनातील फरक स्पष्टपणे दृश्यमान आहे. रशियन म्हणतात: प्रिय सेवा मालकांनो, तुम्हाला काय हवे आहे आणि कसे हवे आहे ते करा, परंतु जर तुमच्या प्रशासकाने डेटाबेस विलीन केला तर आम्ही तुम्हाला शिक्षा करू. ते परदेशात म्हणतात: आपण उपायांचा एक संच अंमलात आणला पाहिजे परवानगी देणार नाही बेस काढून टाका. म्हणूनच तेथे कठोर द्वि-घटक प्रमाणीकरणाच्या आवश्यकता लागू केल्या जात आहेत.
हे खरे आहे की आपले विधान यंत्र एके दिवशी शुद्धीवर येणार नाही आणि पाश्चात्य अनुभव लक्षात घेणार नाही. मग असे दिसून आले की प्रत्येकाला 2FA लागू करणे आवश्यक आहे, जे रशियन क्रिप्टोग्राफिक मानकांचे पालन करते आणि तातडीने.

एक मजबूत प्रमाणीकरण फ्रेमवर्क स्थापित केल्याने कंपन्यांना त्यांचे लक्ष नियामक आवश्यकता पूर्ण करण्यापासून ग्राहकांच्या गरजा पूर्ण करण्याकडे वळवता येते. ज्या संस्था अजूनही साधे पासवर्ड वापरत आहेत किंवा एसएमएसद्वारे कोड प्राप्त करत आहेत, त्यांच्यासाठी प्रमाणीकरण पद्धत निवडताना सर्वात महत्त्वाचा घटक म्हणजे नियामक आवश्यकतांचे पालन करणे. परंतु ज्या कंपन्या आधीच सशक्त प्रमाणीकरण वापरतात त्या त्या प्रमाणीकरण पद्धती निवडण्यावर लक्ष केंद्रित करू शकतात ज्यामुळे ग्राहकांची निष्ठा वाढते.

एंटरप्राइझमध्ये कॉर्पोरेट प्रमाणीकरण पद्धत निवडताना, नियामक आवश्यकता यापुढे महत्त्वपूर्ण घटक नाहीत. या प्रकरणात, एकत्रीकरणाची सुलभता (32%) आणि खर्च (26%) अधिक महत्त्वाचे आहेत.

फिशिंगच्या युगात, आक्रमणकर्ते घोटाळा करण्यासाठी कॉर्पोरेट ईमेल वापरू शकतात फसवणूक करून डेटा, खाती (योग्य प्रवेश अधिकारांसह) मध्ये प्रवेश मिळवणे आणि कर्मचार्‍यांना त्याच्या खात्यात पैसे हस्तांतरित करण्यासाठी पटवून देणे. म्हणून, कॉर्पोरेट ईमेल आणि पोर्टल खाती विशेषतः संरक्षित असणे आवश्यक आहे.

गुगलने सशक्त प्रमाणीकरण लागू करून आपली सुरक्षा मजबूत केली आहे. दोन वर्षांहून अधिक वर्षांपूर्वी, Google ने FIDO U2F मानक वापरून क्रिप्टोग्राफिक सिक्युरिटी कीच्या आधारे द्वि-घटक प्रमाणीकरणाच्या अंमलबजावणीवर एक अहवाल प्रकाशित केला होता, जो प्रभावी परिणामांचा अहवाल देत होता. कंपनीच्या म्हणण्यानुसार, 85 हून अधिक कर्मचार्‍यांवर एकही फिशिंग हल्ला झाला नाही.

शिफारसी

मोबाइल आणि ऑनलाइन अनुप्रयोगांसाठी मजबूत प्रमाणीकरण लागू करा. क्रिप्टोग्राफिक की वर आधारित मल्टी-फॅक्टर ऑथेंटिकेशन हे पारंपरिक MFA पद्धतींपेक्षा हॅकिंगपासून अधिक चांगले संरक्षण प्रदान करते. याव्यतिरिक्त, क्रिप्टोग्राफिक की वापरणे अधिक सोयीस्कर आहे कारण अतिरिक्त माहिती वापरण्याची आणि हस्तांतरित करण्याची आवश्यकता नाही - पासवर्ड, वन-टाइम पासवर्ड किंवा बायोमेट्रिक डेटा वापरकर्त्याच्या डिव्हाइसवरून प्रमाणीकरण सर्व्हरवर. या व्यतिरिक्त, प्रमाणीकरण प्रोटोकॉलचे प्रमाणीकरण नवीन प्रमाणीकरण पद्धती उपलब्ध झाल्यामुळे अंमलात आणणे खूप सोपे करते, अंमलबजावणी खर्च कमी करते आणि अधिक अत्याधुनिक फसवणूक योजनांपासून संरक्षण करते.

वन-टाइम पासवर्ड (OTP) च्या मृत्यूची तयारी करा. OTP मध्ये अंतर्निहित असुरक्षा वाढत्या प्रमाणात स्पष्ट होत आहेत कारण सायबर गुन्हेगार सोशल इंजिनिअरिंग, स्मार्टफोन क्लोनिंग आणि मालवेअरचा वापर प्रमाणीकरणाच्या या माध्यमांशी तडजोड करण्यासाठी करतात. आणि जर काही प्रकरणांमध्ये OTP चे काही फायदे असतील, तर केवळ सर्व वापरकर्त्यांसाठी सार्वत्रिक उपलब्धतेच्या दृष्टिकोनातून, परंतु सुरक्षिततेच्या दृष्टिकोनातून नाही.

एसएमएस किंवा पुश सूचनांद्वारे कोड प्राप्त करणे, तसेच स्मार्टफोनसाठी प्रोग्राम वापरून कोड व्युत्पन्न करणे, हे त्याच वन-टाइम पासवर्ड (OTP) वापरणे आहे ज्यासाठी आम्हाला नकार देण्याची तयारी करण्यास सांगितले जाते हे लक्षात घेणे अशक्य आहे. तांत्रिक दृष्टीकोनातून, उपाय अगदी योग्य आहे, कारण हा एक दुर्मिळ फसवणूक करणारा आहे जो भोळ्या वापरकर्त्याकडून वन-टाइम पासवर्ड शोधण्याचा प्रयत्न करत नाही. परंतु मला वाटते की अशा प्रणालींचे निर्माते शेवटपर्यंत मरणा-या तंत्रज्ञानाला चिकटून राहतील.

ग्राहकांचा विश्वास वाढवण्यासाठी विपणन साधन म्हणून मजबूत प्रमाणीकरण वापरा. मजबूत प्रमाणीकरण तुमच्या व्यवसायाची वास्तविक सुरक्षा सुधारण्यापेक्षा बरेच काही करू शकते. तुमचा व्यवसाय सशक्त प्रमाणीकरण वापरतो हे ग्राहकांना सूचित केल्याने त्या व्यवसायाच्या सुरक्षिततेबद्दल सार्वजनिक धारणा मजबूत होऊ शकते—जेव्हा मजबूत प्रमाणीकरण पद्धतींसाठी ग्राहकांची महत्त्वपूर्ण मागणी असते तेव्हा एक महत्त्वाचा घटक.

कॉर्पोरेट डेटाची संपूर्ण यादी आणि गंभीरतेचे मूल्यांकन करा आणि महत्त्वानुसार त्याचे संरक्षण करा. अगदी कमी-जोखीम डेटा जसे की ग्राहक संपर्क माहिती (नाही, खरोखर, अहवाल "कमी-जोखीम" म्हणतो, हे खूप विचित्र आहे की ते या माहितीचे महत्त्व कमी लेखतात), फसवणूक करणाऱ्यांसाठी महत्त्वपूर्ण मूल्य आणू शकते आणि कंपनीसाठी समस्या निर्माण करू शकते.

मजबूत एंटरप्राइझ प्रमाणीकरण वापरा. गुन्हेगारांसाठी अनेक यंत्रणा सर्वात आकर्षक लक्ष्य आहेत. यामध्ये अकाऊंटिंग प्रोग्राम किंवा कॉर्पोरेट डेटा वेअरहाऊस सारख्या अंतर्गत आणि इंटरनेट-कनेक्टेड सिस्टमचा समावेश आहे. सशक्त प्रमाणीकरण आक्रमणकर्त्यांना अनधिकृत प्रवेश मिळवण्यापासून प्रतिबंधित करते आणि कोणत्या कर्मचाऱ्याने दुर्भावनापूर्ण क्रियाकलाप केला हे अचूकपणे निर्धारित करणे देखील शक्य करते.

मजबूत प्रमाणीकरण म्हणजे काय?

मजबूत प्रमाणीकरण वापरताना, वापरकर्त्याची सत्यता सत्यापित करण्यासाठी अनेक पद्धती किंवा घटक वापरले जातात:

• ज्ञान घटक: वापरकर्ता आणि वापरकर्त्याचा प्रमाणीकृत विषय (जसे की पासवर्ड, सुरक्षा प्रश्नांची उत्तरे इ.) यांच्यात सामायिक केलेले रहस्य
• मालकी घटक: एखादे डिव्हाइस जे फक्त वापरकर्त्याकडे आहे (उदाहरणार्थ, मोबाइल डिव्हाइस, क्रिप्टोग्राफिक की इ.)
• अखंडता घटक: वापरकर्त्याची शारीरिक (अनेकदा बायोमेट्रिक) वैशिष्ट्ये (उदाहरणार्थ, फिंगरप्रिंट, बुबुळ पॅटर्न, आवाज, वर्तन इ.)

एकाधिक घटक हॅक करण्याची गरज आक्रमणकर्त्यांच्या अपयशाची शक्यता मोठ्या प्रमाणात वाढवते, कारण विविध घटकांना बायपास करणे किंवा फसवणे यासाठी प्रत्येक घटकासाठी स्वतंत्रपणे अनेक प्रकारच्या हॅकिंग युक्त्या वापरणे आवश्यक आहे.

उदाहरणार्थ, 2FA “पासवर्ड + स्मार्टफोन” सह, आक्रमणकर्ता वापरकर्त्याचा पासवर्ड पाहून आणि त्याच्या स्मार्टफोनची अचूक सॉफ्टवेअर कॉपी करून प्रमाणीकरण करू शकतो. आणि हे फक्त पासवर्ड चोरण्यापेक्षा खूप कठीण आहे.

परंतु 2FA साठी पासवर्ड आणि क्रिप्टोग्राफिक टोकन वापरले असल्यास, कॉपी करण्याचा पर्याय येथे कार्य करत नाही - टोकनची डुप्लिकेट करणे अशक्य आहे. फसवणूक करणार्‍याला वापरकर्त्याकडून चोरून टोकन चोरणे आवश्यक आहे. जर वापरकर्त्याने वेळेत नुकसान लक्षात घेतले आणि प्रशासकाला सूचित केले, तर टोकन अवरोधित केले जाईल आणि फसवणूक करणारा प्रयत्न व्यर्थ जाईल. म्हणूनच मालकी घटकासाठी सामान्य उद्देशाच्या उपकरणांऐवजी (स्मार्टफोन) विशेष सुरक्षित उपकरणे (टोकन्स) वापरणे आवश्यक आहे.

तिन्ही घटकांचा वापर केल्याने ही प्रमाणीकरण पद्धत अंमलात आणण्यासाठी खूप महाग आणि वापरण्यास खूपच गैरसोयीची होईल. म्हणून, तीनपैकी दोन घटक सहसा वापरले जातात.

द्वि-घटक प्रमाणीकरणाच्या तत्त्वांचे अधिक तपशीलवार वर्णन केले आहे येथे, "द्वि-घटक प्रमाणीकरण कसे कार्य करते" ब्लॉकमध्ये.

हे लक्षात घेणे महत्त्वाचे आहे की मजबूत प्रमाणीकरणामध्ये वापरल्या जाणार्‍या प्रमाणीकरण घटकांपैकी किमान एकाने सार्वजनिक की क्रिप्टोग्राफी वापरणे आवश्यक आहे.

सशक्त प्रमाणीकरण क्लासिक पासवर्ड आणि पारंपारिक MFA वर आधारित सिंगल-फॅक्टर ऑथेंटिकेशनपेक्षा खूप मजबूत संरक्षण प्रदान करते. कीलॉगर्स, फिशिंग साइट्स किंवा सोशल इंजिनिअरिंग हल्ले (जेथे पीडित व्यक्तीला त्यांचा पासवर्ड उघड करण्यासाठी फसवले जाते) वापरून पासवर्डची हेरगिरी केली जाऊ शकते किंवा रोखली जाऊ शकते. शिवाय, पासवर्डच्या मालकाला चोरीबद्दल काहीही कळणार नाही. पारंपारिक MFA (ओटीपी कोडसह, स्मार्टफोन किंवा सिम कार्डला बंधनकारक) देखील अगदी सहजपणे हॅक केले जाऊ शकते, कारण ते सार्वजनिक की क्रिप्टोग्राफीवर आधारित नाही (तसे, अशी अनेक उदाहरणे आहेत जेव्हा, समान सामाजिक अभियांत्रिकी तंत्रांचा वापर करून, घोटाळेबाजांनी वापरकर्त्यांना एक-वेळ पासवर्ड देण्यास प्रवृत्त केले.).

सुदैवाने, मजबूत प्रमाणीकरण आणि पारंपारिक MFA चा वापर गेल्या वर्षापासून ग्राहक आणि एंटरप्राइझ दोन्ही अनुप्रयोगांमध्ये आकर्षण मिळवत आहे. ग्राहक अनुप्रयोगांमध्ये मजबूत प्रमाणीकरणाचा वापर विशेषतः वेगाने वाढला आहे. जर 2017 मध्ये फक्त 5% कंपन्यांनी ते वापरले, तर 2018 मध्ये ते आधीच तीन पट जास्त होते - 16%. पब्लिक की क्रिप्टोग्राफी (PKC) अल्गोरिदमला समर्थन देणाऱ्या टोकनच्या वाढीव उपलब्धतेद्वारे हे स्पष्ट केले जाऊ शकते. याव्यतिरिक्त, PSD2 आणि GDPR सारख्या नवीन डेटा संरक्षण नियमांचा अवलंब केल्यानंतर युरोपियन नियामकांकडून वाढलेल्या दबावाचा युरोपच्या बाहेरही मजबूत प्रभाव पडला आहे (रशिया मध्ये समावेश).

चला या आकड्यांवर जवळून नजर टाकूया. जसे आपण पाहू शकतो, बहु-घटक प्रमाणीकरण वापरणाऱ्या खाजगी व्यक्तींची टक्केवारी वर्षभरात 11% ने वाढली आहे. आणि हे स्पष्टपणे पासवर्ड प्रेमींच्या खर्चावर घडले, कारण पुश सूचना, एसएमएस आणि बायोमेट्रिक्सच्या सुरक्षिततेवर विश्वास ठेवणाऱ्यांची संख्या बदललेली नाही.

परंतु कॉर्पोरेट वापरासाठी द्वि-घटक प्रमाणीकरणासह, गोष्टी इतक्या चांगल्या नाहीत. प्रथम, अहवालानुसार, केवळ 5% कर्मचारी पासवर्ड प्रमाणीकरणापासून टोकनमध्ये हस्तांतरित झाले. आणि दुसरे म्हणजे, कॉर्पोरेट वातावरणात पर्यायी MFA पर्याय वापरणार्‍यांची संख्या 4% वाढली आहे.

मी विश्लेषक खेळण्याचा आणि माझा अर्थ सांगण्याचा प्रयत्न करेन. वैयक्तिक वापरकर्त्यांच्या डिजिटल जगाच्या केंद्रस्थानी स्मार्टफोन आहे. म्हणूनच, बहुसंख्य लोक त्यांना प्रदान केलेल्या क्षमतांचा वापर करतात - बायोमेट्रिक प्रमाणीकरण, एसएमएस आणि पुश सूचना, तसेच स्मार्टफोनवरच अॅप्लिकेशन्सद्वारे व्युत्पन्न केलेले वन-टाइम पासवर्ड. लोक सहसा वापरत असलेली साधने वापरताना सुरक्षितता आणि विश्वासार्हतेचा विचार करत नाहीत.

म्हणूनच आदिम "पारंपारिक" प्रमाणीकरण घटकांच्या वापरकर्त्यांची टक्केवारी अपरिवर्तित राहते. परंतु ज्यांनी पूर्वी पासवर्ड वापरले आहेत त्यांना ते किती धोका आहे हे समजते आणि नवीन प्रमाणीकरण घटक निवडताना ते सर्वात नवीन आणि सुरक्षित पर्याय निवडतात - एक क्रिप्टोग्राफिक टोकन.

कॉर्पोरेट मार्केटसाठी, हे समजून घेणे महत्वाचे आहे की कोणत्या सिस्टममध्ये प्रमाणीकरण केले जाते. जर विंडोज डोमेनवर लॉग इन केले असेल तर क्रिप्टोग्राफिक टोकन वापरले जातात. 2FA साठी त्यांचा वापर करण्याच्या शक्यता आधीच Windows आणि Linux दोन्हीमध्ये तयार केल्या आहेत, परंतु पर्यायी पर्याय लांब आणि अंमलात आणणे कठीण आहे. संकेतशब्दांपासून टोकनमध्ये 5% च्या स्थलांतरासाठी इतके.

आणि कॉर्पोरेट माहिती प्रणालीमध्ये 2FA ची अंमलबजावणी विकासकांच्या पात्रतेवर अवलंबून असते. आणि क्रिप्टोग्राफिक अल्गोरिदमचे ऑपरेशन समजून घेण्यापेक्षा विकसकांसाठी वन-टाइम पासवर्ड तयार करण्यासाठी तयार मॉड्यूल घेणे खूप सोपे आहे. आणि परिणामी, एकल साइन-ऑन किंवा प्रिव्हिलेज्ड ऍक्सेस मॅनेजमेंट सिस्टम सारखे आश्चर्यकारकपणे सुरक्षा-गंभीर ऍप्लिकेशन्स देखील दुसरा घटक म्हणून OTP वापरतात.

पारंपारिक प्रमाणीकरण पद्धतींमध्ये अनेक भेद्यता

अनेक संस्था लेगेसी सिंगल-फॅक्टर सिस्टमवर अवलंबून राहिल्या असताना, पारंपारिक मल्टी-फॅक्टर ऑथेंटिकेशनमधील भेद्यता अधिकाधिक स्पष्ट होत आहेत. एक-वेळचे पासवर्ड, साधारणत: सहा ते आठ वर्ण लांबीचे, SMS द्वारे वितरित केले जातात, प्रमाणीकरणाचा सर्वात सामान्य प्रकार राहतात (अर्थात पासवर्ड घटकाव्यतिरिक्त). आणि जेव्हा लोकप्रिय प्रेसमध्ये “टू-फॅक्टर ऑथेंटिकेशन” किंवा “टू-स्टेप व्हेरिफिकेशन” या शब्दांचा उल्लेख केला जातो, तेव्हा ते जवळजवळ नेहमीच एसएमएस वन-टाइम पासवर्ड ऑथेंटिकेशनचा संदर्भ घेतात.

इथे लेखकाची थोडी चूक झाली आहे. एसएमएसद्वारे वन-टाइम पासवर्ड वितरित करणे हे कधीही द्वि-घटक प्रमाणीकरण नव्हते. हे सर्वात शुद्ध स्वरूपात द्वि-चरण प्रमाणीकरणाचा दुसरा टप्पा आहे, जिथे पहिला टप्पा तुमचा लॉगिन आणि पासवर्ड टाकत आहे.

2016 मध्ये, नॅशनल इन्स्टिट्यूट ऑफ स्टँडर्ड्स अँड टेक्नॉलॉजी (NIST) ने SMS द्वारे पाठवलेल्या वन-टाइम पासवर्डचा वापर काढून टाकण्यासाठी त्याचे प्रमाणीकरण नियम अद्यतनित केले. तथापि, उद्योगांच्या विरोधानंतर हे नियम लक्षणीयरीत्या शिथिल करण्यात आले.

तर, चला कथानकाचे अनुसरण करूया. अमेरिकन नियामक योग्यरित्या ओळखतो की कालबाह्य तंत्रज्ञान वापरकर्त्याची सुरक्षा सुनिश्चित करण्यास सक्षम नाही आणि नवीन मानके सादर करत आहे. ऑनलाइन आणि मोबाइल अॅप्लिकेशन्सच्या (बँकिंगसह) वापरकर्त्यांचे संरक्षण करण्यासाठी डिझाइन केलेली मानके. खरोखर विश्वासार्ह क्रिप्टोग्राफिक टोकन खरेदी करण्यासाठी, ऍप्लिकेशन्सची पुनर्रचना करण्यासाठी, सार्वजनिक की पायाभूत सुविधा तैनात करण्यासाठी किती पैसे खर्च करावे लागतील याची उद्योग गणना करत आहे आणि "त्याच्या मागच्या पायावर उगवत आहे." एकीकडे, वापरकर्त्यांना वन-टाइम पासवर्डच्या विश्वासार्हतेबद्दल खात्री पटली आणि दुसरीकडे, एनआयएसटीवर हल्ले झाले. परिणामी, मानक मऊ केले गेले आणि हॅक आणि पासवर्डची चोरी (आणि बँकिंग ऍप्लिकेशन्समधून पैसे) झपाट्याने वाढले. पण उद्योगाला पैसा खर्च करावा लागला नाही.

तेव्हापासून, SMS OTP च्या अंगभूत कमकुवतपणा अधिक स्पष्ट झाल्या आहेत. फसवणूक करणारे एसएमएस संदेशांशी तडजोड करण्यासाठी विविध पद्धती वापरतात:

• सिम कार्ड डुप्लिकेशन. हल्लेखोर सिमची प्रत तयार करतात (मोबाइल ऑपरेटर कर्मचार्‍यांच्या मदतीने किंवा स्वतंत्रपणे, विशेष सॉफ्टवेअर आणि हार्डवेअर वापरून). परिणामी, आक्रमणकर्त्याला वन-टाइम पासवर्डसह एक एसएमएस प्राप्त होतो. एका विशेषतः प्रसिद्ध प्रकरणात, हॅकर्स क्रिप्टोकरन्सी गुंतवणूकदार मायकेल टर्पिनच्या AT&T खात्याशी तडजोड करू शकले आणि जवळपास $24 दशलक्ष क्रिप्टोकरन्सी चोरले. परिणामी, टर्पिनने सांगितले की कमकुवत पडताळणी उपायांमुळे AT&T ची चूक झाली ज्यामुळे सिम कार्ड डुप्लिकेशन झाले.
  

  अप्रतिम तर्क. तर खरंच फक्त एटी अँड टी चा दोष आहे का? नाही, निःसंशयपणे मोबाइल ऑपरेटरची चूक आहे की संप्रेषण स्टोअरमधील विक्री करणार्‍यांनी डुप्लिकेट सिम कार्ड जारी केले. क्रिप्टोकरन्सी एक्सचेंज ऑथेंटिकेशन सिस्टमचे काय? त्यांनी मजबूत क्रिप्टोग्राफिक टोकन का वापरले नाहीत? अंमलबजावणीसाठी पैसे खर्च करणे ही दया होती का? मायकेल स्वतः दोषी नाही का? त्याने प्रमाणीकरण यंत्रणा बदलण्याचा आग्रह का केला नाही किंवा क्रिप्टोग्राफिक टोकनवर आधारित द्वि-घटक प्रमाणीकरण लागू करणार्‍या एक्सचेंजेसचाच वापर का केला नाही?

  खरोखर विश्वासार्ह प्रमाणीकरण पद्धतींचा परिचय तंतोतंत उशीर झाला आहे कारण वापरकर्ते हॅकिंग करण्यापूर्वी आश्चर्यकारक निष्काळजीपणा दाखवतात आणि त्यानंतर ते त्यांच्या त्रासाला कोणावरही दोष देतात आणि प्राचीन आणि "गळती" प्रमाणीकरण तंत्रज्ञानाशिवाय इतर कोणत्याही गोष्टीवर दोष देतात.

• मालवेअर. मोबाइल मालवेअरच्या सुरुवातीच्या कार्यांपैकी एक म्हणजे आक्रमणकर्त्यांना मजकूर संदेश रोखणे आणि फॉरवर्ड करणे. तसेच, मॅन-इन-द-ब्राउझर आणि मॅन-इन-द-मिडल हल्ले संक्रमित लॅपटॉप किंवा डेस्कटॉप डिव्हाइसवर एंटर केल्यावर वन-टाइम पासवर्ड रोखू शकतात.
  

  जेव्हा तुमच्या स्मार्टफोनवरील Sberbank ऍप्लिकेशन स्टेटस बारमधील हिरव्या आयकॉनला ब्लिंक करते, तेव्हा ते तुमच्या फोनवर “मालवेअर” देखील शोधते. या इव्हेंटचे उद्दिष्ट हे आहे की एखाद्या सामान्य स्मार्टफोनच्या अविश्वासू अंमलबजावणी वातावरणाला, किमान काही प्रकारे, विश्वासार्ह व्यक्तीमध्ये बदलणे.
  तसे, स्मार्टफोन, एक पूर्णपणे अविश्वासू उपकरण म्हणून ज्यावर काहीही केले जाऊ शकते, ते प्रमाणीकरणासाठी वापरण्याचे आणखी एक कारण आहे. फक्त हार्डवेअर टोकन, जे संरक्षित आणि व्हायरस आणि ट्रोजनपासून मुक्त आहेत.

• सामाजिक अभियांत्रिकी. जेव्हा घोटाळेबाजांना कळते की एखाद्या पीडितेने SMS द्वारे OTP सक्षम केले आहेत, तेव्हा ते पीडित व्यक्तीशी थेट संपर्क साधू शकतात, त्यांची बँक किंवा क्रेडिट युनियन सारखी विश्वासार्ह संस्था म्हणून, पीडिताला नुकताच प्राप्त झालेला कोड प्रदान करण्यासाठी फसवणूक करू शकतात.
  

  मला वैयक्तिकरित्या या प्रकारची फसवणूक बर्‍याच वेळा आली आहे, उदाहरणार्थ, लोकप्रिय ऑनलाइन फ्ली मार्केटवर काहीतरी विकण्याचा प्रयत्न करताना. मी स्वतः फसवणूक करणार्‍याची चेष्टा केली ज्याने माझ्या मनापासून मला मूर्ख बनवण्याचा प्रयत्न केला. पण अरेरे, मी नियमितपणे बातम्यांमध्ये वाचतो की घोटाळेबाजांच्या आणखी एका बळीने "विचार केला नाही," पुष्टीकरण कोड दिला आणि मोठी रक्कम गमावली. आणि हे सर्व आहे कारण बँक आपल्या अनुप्रयोगांमध्ये क्रिप्टोग्राफिक टोकन्सच्या अंमलबजावणीचा सामना करू इच्छित नाही. शेवटी, जर काही घडले तर, ग्राहकांना "स्वतःला दोष द्यावा लागेल."

पर्यायी OTP वितरण पद्धती या प्रमाणीकरण पद्धतीतील काही भेद्यता कमी करू शकतात, इतर भेद्यता कायम आहे. स्टँडअलोन कोड जनरेशन अॅप्लिकेशन्स हे इव्हस्ड्रॉपिंगपासून सर्वोत्तम संरक्षण आहेत, कारण मालवेअर देखील कोड जनरेटरशी थेट संवाद साधू शकत नाही (गंभीरपणे? अहवालाचा लेखक रिमोट कंट्रोलबद्दल विसरला का?), परंतु ब्राउझरमध्ये प्रवेश केल्यावर OTP अजूनही रोखले जाऊ शकतात (उदाहरणार्थ कीलॉगर वापरणे), हॅक केलेल्या मोबाईल ऍप्लिकेशनद्वारे; आणि सामाजिक अभियांत्रिकी वापरून वापरकर्त्याकडून थेट प्राप्त केले जाऊ शकते.
एकाधिक जोखीम मूल्यांकन साधने वापरणे जसे की डिव्हाइस ओळख (कायदेशीर वापरकर्त्याशी संबंधित नसलेल्या डिव्हाइसेसवरून व्यवहार करण्याच्या प्रयत्नांचा शोध), भौगोलिक स्थान (नुकताच मॉस्कोमध्ये आलेला वापरकर्ता नोवोसिबिर्स्क येथून ऑपरेशन करण्याचा प्रयत्न करतो) आणि वर्तणुकीशी संबंधित विश्लेषणे असुरक्षा दूर करण्यासाठी महत्त्वपूर्ण आहेत, परंतु कोणताही उपाय रामबाण उपाय नाही. प्रत्येक परिस्थिती आणि डेटाच्या प्रकारासाठी, जोखमींचे काळजीपूर्वक मूल्यांकन करणे आणि कोणते प्रमाणीकरण तंत्रज्ञान वापरायचे ते निवडणे आवश्यक आहे.

कोणतेही प्रमाणीकरण उपाय हा रामबाण उपाय नाही

आकृती 2. प्रमाणीकरण पर्याय सारणी

प्रमाणीकरण	फॅक्टर	वर्णन	प्रमुख भेद्यता
पासवर्ड किंवा पिन	ज्ञान	निश्चित मूल्य, ज्यामध्ये अक्षरे, संख्या आणि इतर अनेक वर्ण समाविष्ट असू शकतात	रोखले जाऊ शकते, हेरगिरी केली जाऊ शकते, चोरी केली जाऊ शकते, उचलली जाऊ शकते किंवा हॅक केली जाऊ शकते
ज्ञानावर आधारित प्रमाणीकरण	ज्ञान	प्रश्नांची उत्तरे ज्यांची उत्तरे फक्त कायदेशीर वापरकर्त्यालाच कळू शकतात	सामाजिक अभियांत्रिकी पद्धती वापरून रोखले जाऊ शकते, उचलले जाऊ शकते
हार्डवेअर OTP (उदाहरण)	ताबा	एक विशेष उपकरण जे वन-टाइम पासवर्ड व्युत्पन्न करते	कोड इंटरसेप्ट केला जाऊ शकतो आणि त्याची पुनरावृत्ती होऊ शकते किंवा डिव्हाइस चोरीला जाऊ शकते
सॉफ्टवेअर ओटीपी	ताबा	एक ॲप्लिकेशन (मोबाईल, ब्राउझरद्वारे प्रवेश करण्यायोग्य, किंवा ई-मेलद्वारे कोड पाठवणे) जो एक-वेळ पासवर्ड व्युत्पन्न करतो	कोड इंटरसेप्ट केला जाऊ शकतो आणि त्याची पुनरावृत्ती होऊ शकते किंवा डिव्हाइस चोरीला जाऊ शकते
एसएमएस OTP	ताबा	एसएमएस मजकूर संदेशाद्वारे एक-वेळचा पासवर्ड वितरित केला जातो	कोड इंटरसेप्ट केला जाऊ शकतो आणि पुनरावृत्ती होऊ शकतो किंवा स्मार्टफोन किंवा सिम कार्ड चोरीला जाऊ शकतो किंवा सिम कार्ड डुप्लिकेट केले जाऊ शकते
स्मार्ट कार्ड (उदाहरण)	ताबा	एक कार्ड ज्यामध्ये क्रिप्टोग्राफिक चिप आणि एक सुरक्षित की मेमरी असते जी प्रमाणीकरणासाठी सार्वजनिक की पायाभूत सुविधा वापरते	शारीरिक चोरी होऊ शकते (परंतु आक्रमणकर्ता पिन कोड जाणून घेतल्याशिवाय डिव्हाइस वापरू शकणार नाही; अनेक चुकीच्या इनपुट प्रयत्नांच्या बाबतीत, डिव्हाइस अवरोधित केले जाईल)
सुरक्षा की - टोकन (उदाहरण, दुसरे उदाहरण)	ताबा	एक यूएसबी डिव्हाइस ज्यामध्ये क्रिप्टोग्राफिक चिप आणि सुरक्षित की मेमरी असते जी प्रमाणीकरणासाठी सार्वजनिक की इन्फ्रास्ट्रक्चर वापरते	भौतिकरित्या चोरी केली जाऊ शकते (परंतु आक्रमणकर्ता पिन कोड जाणून घेतल्याशिवाय डिव्हाइस वापरण्यास सक्षम होणार नाही; अनेक चुकीच्या एंट्री प्रयत्नांच्या बाबतीत, डिव्हाइस अवरोधित केले जाईल)
डिव्हाइसशी दुवा साधत आहे	ताबा	प्रोफाईल तयार करणारी प्रक्रिया, बर्‍याचदा JavaScript वापरून किंवा कुकीज आणि Flash Shared Objects सारखे मार्कर वापरून विशिष्ट उपकरण वापरले जात असल्याची खात्री करण्यासाठी	टोकन चोरले जाऊ शकतात (कॉपी केलेले), आणि कायदेशीर उपकरणाची वैशिष्ट्ये आक्रमणकर्त्याद्वारे त्याच्या डिव्हाइसवर अनुकरण केली जाऊ शकतात.
वागणूक	अंतर्भाव	वापरकर्ता डिव्हाइस किंवा प्रोग्रामशी कसा संवाद साधतो याचे विश्लेषण करते	वर्तनाचे अनुकरण केले जाऊ शकते
बोटांचे ठसे	अंतर्भाव	संग्रहित फिंगरप्रिंट्सची तुलना ऑप्टिकली किंवा इलेक्ट्रॉनिक पद्धतीने कॅप्चर केलेल्या फिंगरप्रिंटशी केली जाते	प्रतिमा चोरीला जाऊ शकते आणि प्रमाणीकरणासाठी वापरली जाऊ शकते
डोळा स्कॅन	अंतर्भाव	डोळ्यांच्या वैशिष्ट्यांची तुलना करते, जसे की आयरीस पॅटर्न, नवीन ऑप्टिकल स्कॅनसह	प्रतिमा चोरीला जाऊ शकते आणि प्रमाणीकरणासाठी वापरली जाऊ शकते
चेहरा ओळख	अंतर्भाव	चेहऱ्याच्या वैशिष्ट्यांची तुलना नवीन ऑप्टिकल स्कॅनशी केली जाते	प्रतिमा चोरीला जाऊ शकते आणि प्रमाणीकरणासाठी वापरली जाऊ शकते
आवाज ओळख	अंतर्भाव	रेकॉर्ड केलेल्या आवाजाच्या नमुन्याच्या वैशिष्ट्यांची तुलना नवीन नमुन्यांसोबत केली जाते	रेकॉर्ड चोरीला जाऊ शकतो आणि प्रमाणीकरणासाठी वापरला जाऊ शकतो किंवा अनुकरण केला जाऊ शकतो

प्रकाशनाच्या दुसऱ्या भागात, सर्वात स्वादिष्ट गोष्टी आमची वाट पाहत आहेत - संख्या आणि तथ्ये, ज्यावर पहिल्या भागात दिलेले निष्कर्ष आणि शिफारसी आधारित आहेत. वापरकर्ता अनुप्रयोग आणि कॉर्पोरेट सिस्टममधील प्रमाणीकरण स्वतंत्रपणे चर्चा केली जाईल.

लवकरच भेटू!

स्त्रोत: www.habr.com