मग ऑथेंटिकेशन आणि पासवर्डचे काय होईल? सशक्त प्रमाणीकरण अहवालाचा भाला स्थितीचा भाग दोन

अलीकडे, संशोधन कंपनी जेव्हलिन स्ट्रॅटेजी अँड रिसर्चने “द स्टेट ऑफ स्ट्राँग ऑथेंटिकेशन 2019” हा अहवाल प्रकाशित केला. त्याच्या निर्मात्यांनी कॉर्पोरेट वातावरण आणि ग्राहक अनुप्रयोगांमध्ये कोणत्या प्रमाणीकरण पद्धती वापरल्या जातात याबद्दल माहिती गोळा केली आणि मजबूत प्रमाणीकरणाच्या भविष्याबद्दल मनोरंजक निष्कर्ष देखील काढले.

अहवालाच्या लेखकांच्या निष्कर्षांसह पहिल्या भागाचे भाषांतर, आम्ही Habré वर आधीच प्रकाशित. आणि आता आम्ही डेटा आणि आलेखांसह - दुसरा भाग तुमच्या लक्षात आणून देतो.

अनुवादकाकडून

मी पहिल्या भागापासून त्याच नावाचा संपूर्ण ब्लॉक पूर्णपणे कॉपी करणार नाही, परंतु तरीही मी एक परिच्छेद डुप्लिकेट करेन.

सर्व आकडेवारी आणि तथ्ये अगदी कमी बदलांशिवाय सादर केली जातात आणि आपण त्यांच्याशी सहमत नसल्यास, अनुवादकाशी नव्हे तर अहवालाच्या लेखकांशी वाद घालणे चांगले. आणि येथे माझ्या टिप्पण्या आहेत (कोटेशन म्हणून मांडलेल्या आणि मजकूरात चिन्हांकित केल्या आहेत इटालियन) हे माझे मूल्य निर्णय आहेत आणि त्या प्रत्येकावर (तसेच भाषांतराच्या गुणवत्तेवर) युक्तिवाद करण्यात मला आनंद होईल.

वापरकर्ता प्रमाणीकरण

2017 पासून, ग्राहक ऍप्लिकेशन्समध्ये सशक्त प्रमाणीकरणाचा वापर झपाट्याने वाढला आहे, मुख्यत्वे मोबाइल डिव्हाइसवर क्रिप्टोग्राफिक प्रमाणीकरण पद्धतींच्या उपलब्धतेमुळे, जरी फक्त थोड्या कमी टक्के कंपन्या इंटरनेट अनुप्रयोगांसाठी मजबूत प्रमाणीकरण वापरतात.

एकूणच, त्यांच्या व्यवसायात मजबूत प्रमाणीकरण वापरणाऱ्या कंपन्यांची टक्केवारी 5 मध्ये 2017% वरून 16 मध्ये 2018% पर्यंत तिप्पट झाली (आकृती 3).

वेब अनुप्रयोगांसाठी मजबूत प्रमाणीकरण वापरण्याची क्षमता अद्याप मर्यादित आहे (काही ब्राउझरच्या फक्त नवीन आवृत्त्या क्रिप्टोग्राफिक टोकनसह परस्परसंवादाला समर्थन देतात या वस्तुस्थितीमुळे, तथापि ही समस्या अतिरिक्त सॉफ्टवेअर स्थापित करून सोडविली जाऊ शकते जसे की रुटोकेन प्लगइन), त्यामुळे अनेक कंपन्या ऑनलाइन प्रमाणीकरणासाठी पर्यायी पद्धती वापरतात, जसे की मोबाइल डिव्हाइससाठी प्रोग्राम जे एक-वेळ पासवर्ड व्युत्पन्न करतात.

हार्डवेअर क्रिप्टोग्राफिक की (येथे आमचा अर्थ फक्त तेच आहेत जे FIDO मानकांचे पालन करतात), जसे की Google, Feitian, One Span आणि Yubico द्वारे ऑफर केलेले डेस्कटॉप संगणक आणि लॅपटॉपवर अतिरिक्त सॉफ्टवेअर स्थापित न करता मजबूत प्रमाणीकरणासाठी वापरले जाऊ शकते (कारण बहुतेक ब्राउझर आधीच FIDO कडून WebAuthn मानकांना समर्थन देतात), परंतु केवळ 3% कंपन्या त्यांच्या वापरकर्त्यांना लॉग इन करण्यासाठी हे वैशिष्ट्य वापरतात.

क्रिप्टोग्राफिक टोकनची तुलना (जसे Rutoken EDS PKI) आणि FIDO मानकांनुसार काम करणाऱ्या गुप्त कळा या अहवालाच्या व्याप्तीच्या पलीकडे आहेत, परंतु त्यावर माझ्या टिप्पण्या देखील आहेत. थोडक्यात, दोन्ही प्रकारचे टोकन समान अल्गोरिदम आणि ऑपरेटिंग तत्त्वे वापरतात. FIDO टोकन सध्या ब्राउझर विक्रेत्यांद्वारे चांगले समर्थित आहेत, जरी हे लवकरच बदलेल कारण अधिक ब्राउझर समर्थन करतात वेब USB API. परंतु क्लासिक क्रिप्टोग्राफिक टोकन पिन कोडद्वारे संरक्षित आहेत, इलेक्ट्रॉनिक दस्तऐवजांवर स्वाक्षरी करू शकतात आणि विंडोज (कोणतीही आवृत्ती), लिनक्स आणि मॅक ओएस एक्स मध्ये द्वि-घटक प्रमाणीकरणासाठी वापरली जाऊ शकतात, विविध प्रोग्रामिंग भाषांसाठी API आहेत, ज्यामुळे तुम्हाला 2FA आणि इलेक्ट्रॉनिक डेस्कटॉप, मोबाईल आणि वेब ऍप्लिकेशन्समधील स्वाक्षरी आणि रशियामध्ये उत्पादित टोकन रशियन GOST अल्गोरिदमला समर्थन देतात. कोणत्याही परिस्थितीत, क्रिप्टोग्राफिक टोकन, ते कोणत्या मानकाने तयार केले आहे याची पर्वा न करता, सर्वात विश्वसनीय आणि सोयीस्कर प्रमाणीकरण पद्धत आहे.

सुरक्षिततेच्या पलीकडे: मजबूत प्रमाणीकरणाचे इतर फायदे

हे आश्चर्यकारक नाही की सशक्त प्रमाणीकरणाचा वापर व्यवसायाने स्टोअर केलेल्या डेटाच्या महत्त्वाशी जवळून संबंध आहे. ज्या कंपन्या संवेदनशील वैयक्तिकरित्या ओळखण्यायोग्य माहिती (PII), जसे की सामाजिक सुरक्षा क्रमांक किंवा वैयक्तिक आरोग्य माहिती (PHI) संग्रहित करतात, त्यांना सर्वात मोठ्या कायदेशीर आणि नियामक दबावाचा सामना करावा लागतो. या अशा कंपन्या आहेत ज्या मजबूत प्रमाणीकरणाचे सर्वात आक्रमक समर्थक आहेत. ज्यांना हे जाणून घ्यायचे आहे की ज्या संस्थांवर त्यांचा विश्वास आहे त्या संस्था त्यांच्या अत्यंत संवेदनशील डेटासह मजबूत प्रमाणीकरण पद्धती वापरतात त्यांच्या अपेक्षांमुळे व्यवसायांवर दबाव वाढतो. संवेदनशील PII किंवा PHI हाताळणार्‍या संस्था केवळ वापरकर्त्यांची संपर्क माहिती संग्रहित करणार्‍या संस्थांपेक्षा मजबूत प्रमाणीकरण वापरण्याची शक्यता दुप्पट आहे (आकृती 7).

दुर्दैवाने, कंपन्या अद्याप मजबूत प्रमाणीकरण पद्धती लागू करण्यास इच्छुक नाहीत. जवळजवळ एक तृतीयांश व्यवसाय निर्णय घेणारे संकेतशब्दांना आकृती 9 मध्ये सूचीबद्ध केलेल्या सर्वांमध्ये सर्वात प्रभावी प्रमाणीकरण पद्धत मानतात आणि 43% पासवर्डला सर्वात सोपी प्रमाणीकरण पद्धत मानतात.

हा चार्ट आम्हाला सिद्ध करतो की जगभरातील बिझनेस ऍप्लिकेशन डेव्हलपर सारखेच आहेत... त्यांना प्रगत खाते प्रवेश सुरक्षा यंत्रणा लागू करण्याचा फायदा दिसत नाही आणि ते समान गैरसमज सामायिक करतात. आणि केवळ नियामकांच्या कृती परिस्थिती बदलू शकतात.

चला पासवर्डला स्पर्श करू नका. परंतु क्रिप्टोग्राफिक टोकनपेक्षा सुरक्षा प्रश्न अधिक सुरक्षित आहेत यावर विश्वास ठेवण्यासाठी तुम्हाला काय विश्वास ठेवावा लागेल? फक्त निवडलेल्या नियंत्रण प्रश्नांची प्रभावीता 15% एवढी होती, आणि हॅक करण्यायोग्य टोकन नाही - फक्त 10. किमान "इल्यूजन ऑफ डिसेप्शन" चित्रपट पहा, जिथे, जरी रूपकात्मक स्वरूपात, जादूगार किती सहजतेने दाखवले जातात. व्यापारी-फसवणूक करणार्‍या उत्तरातून सर्व आवश्यक गोष्टींचे आमिष दाखवून त्याला पैसे न देता सोडले.

आणि आणखी एक तथ्य जे वापरकर्ता अनुप्रयोगांमधील सुरक्षा यंत्रणेसाठी जबाबदार असलेल्यांच्या पात्रतेबद्दल बरेच काही सांगते. त्यांच्या समजुतीनुसार, संकेतशब्द प्रविष्ट करण्याची प्रक्रिया क्रिप्टोग्राफिक टोकन वापरून प्रमाणीकरणापेक्षा एक सोपी ऑपरेशन आहे. तथापि, असे दिसते की टोकनला यूएसबी पोर्टशी जोडणे आणि एक साधा पिन कोड प्रविष्ट करणे सोपे आहे.

महत्त्वाचे म्हणजे, सशक्त प्रमाणीकरण लागू केल्याने व्यवसायांना त्यांच्या ग्राहकांच्या वास्तविक गरजा पूर्ण करण्यासाठी फसव्या योजनांना ब्लॉक करण्यासाठी आवश्यक प्रमाणीकरण पद्धती आणि ऑपरेशनल नियमांबद्दल विचार करण्यापासून दूर जाण्याची परवानगी मिळते.

मजबूत प्रमाणीकरण वापरणार्‍या आणि न करणार्‍या दोन्ही व्यवसायांसाठी नियामक अनुपालन हे वाजवी सर्वोच्च प्राधान्य असले तरी, ज्या कंपन्या आधीच सशक्त प्रमाणीकरण वापरतात त्यांना असे म्हणण्याची अधिक शक्यता असते की प्रमाणीकरणाचे मूल्यमापन करताना ग्राहकांची निष्ठा वाढवणे ही सर्वात महत्त्वाची मेट्रिक आहे. पद्धत (18% वि. 12%) (आकृती 10).

एंटरप्राइझ प्रमाणीकरण

2017 पासून, एंटरप्राइजेसमध्ये मजबूत प्रमाणीकरणाचा अवलंब वाढत आहे, परंतु ग्राहक अनुप्रयोगांच्या तुलनेत किंचित कमी दराने. सशक्त प्रमाणीकरण वापरणार्‍या उद्योगांचा वाटा 7 मधील 2017% वरून 12 मध्ये 2018% पर्यंत वाढला आहे. ग्राहक अनुप्रयोगांप्रमाणे, एंटरप्राइझ वातावरणात पासवर्ड नसलेल्या प्रमाणीकरण पद्धतींचा वापर मोबाइल डिव्हाइसपेक्षा वेब अनुप्रयोगांमध्ये काहीसा जास्त सामान्य आहे. सुमारे निम्मे व्यवसाय त्यांच्या वापरकर्त्यांना लॉग इन करताना प्रमाणीकृत करण्यासाठी केवळ वापरकर्तानाव आणि संकेतशब्द वापरत असल्याचा अहवाल देतात, पाचपैकी एक (22%) संवेदनशील डेटामध्ये प्रवेश करताना दुय्यम प्रमाणीकरणासाठी पूर्णपणे पासवर्डवर अवलंबून असतात (म्हणजेच, वापरकर्ता प्रथम एक सोपी प्रमाणीकरण पद्धत वापरून ऍप्लिकेशनमध्ये लॉग इन करतो आणि जर त्याला गंभीर डेटामध्ये प्रवेश मिळवायचा असेल, तर तो आणखी एक प्रमाणीकरण प्रक्रिया करेल, यावेळी सहसा अधिक विश्वासार्ह पद्धत वापरून).

तुम्हाला हे समजून घेणे आवश्यक आहे की अहवालात विंडोज, लिनक्स आणि मॅक ओएस एक्स या ऑपरेटिंग सिस्टीममध्ये द्वि-घटक प्रमाणीकरणासाठी क्रिप्टोग्राफिक टोकनचा वापर विचारात घेतलेला नाही. आणि सध्या हा 2FA चा सर्वात व्यापक वापर आहे. (अरे, FIDO मानकांनुसार तयार केलेले टोकन केवळ Windows 2 साठी 10FA लागू करू शकतात).

शिवाय, जर ऑनलाइन आणि मोबाईल ऍप्लिकेशन्समध्ये 2FA च्या अंमलबजावणीसाठी या ऍप्लिकेशन्सच्या बदलांसह काही उपायांची आवश्यकता असेल, तर Windows मध्ये 2FA लागू करण्यासाठी तुम्हाला फक्त PKI (उदाहरणार्थ, मायक्रोसॉफ्ट सर्टिफिकेशन सर्व्हरवर आधारित) आणि ऑथेंटिकेशन पॉलिसी कॉन्फिगर करणे आवश्यक आहे. AD मध्ये.

आणि कामाच्या PC आणि डोमेनवर लॉगिनचे संरक्षण करणे हा कॉर्पोरेट डेटा संरक्षित करण्याचा एक महत्त्वाचा घटक असल्याने, द्वि-घटक प्रमाणीकरणाची अंमलबजावणी अधिकाधिक सामान्य होत आहे.

लॉग इन करताना वापरकर्त्यांचे प्रमाणीकरण करण्याच्या पुढील दोन सर्वात सामान्य पद्धती म्हणजे एका वेगळ्या अॅपद्वारे (१३% व्यवसाय) प्रदान केलेले वन-टाइम पासवर्ड आणि एसएमएसद्वारे (१२%) एक-वेळचे पासवर्ड दिले जातात. दोन्ही पद्धतींच्या वापराची टक्केवारी खूप समान असूनही, ओटीपी एसएमएस बहुतेकदा अधिकृततेची पातळी वाढवण्यासाठी वापरला जातो (13% कंपन्यांमध्ये). (आकृती 12).

एंटरप्राइझमध्ये सशक्त प्रमाणीकरणाच्या वापरामध्ये वाढ एंटरप्राइझ ओळख व्यवस्थापन प्लॅटफॉर्ममध्ये क्रिप्टोग्राफिक प्रमाणीकरण अंमलबजावणीच्या वाढीव उपलब्धतेला कारणीभूत ठरू शकते (दुसर्‍या शब्दात, एंटरप्राइझ SSO आणि IAM सिस्टमने टोकन वापरणे शिकले आहे).

कर्मचारी आणि कंत्राटदारांच्या मोबाईल ऑथेंटिकेशनसाठी, एंटरप्राइझ ग्राहक अनुप्रयोगांमधील प्रमाणीकरणापेक्षा पासवर्डवर जास्त अवलंबून असतात. मोबाइल डिव्हाइसद्वारे कंपनी डेटावर वापरकर्ता प्रवेश प्रमाणित करताना अर्ध्याहून अधिक (53%) उपक्रम पासवर्ड वापरतात (आकृती 13).

मोबाईल उपकरणांच्या बाबतीत, बनावट फिंगरप्रिंट्स, आवाज, चेहरे आणि अगदी बुबुळाच्या अनेक केसेस नसल्यास बायोमेट्रिक्सच्या महान सामर्थ्यावर विश्वास ठेवू शकतो. एक शोध इंजिन क्वेरी हे उघड करेल की बायोमेट्रिक प्रमाणीकरणाची विश्वसनीय पद्धत अस्तित्वात नाही. खरोखर अचूक सेन्सर, अर्थातच, अस्तित्वात आहेत, परंतु ते खूप महाग आणि आकाराने मोठे आहेत - आणि स्मार्टफोनमध्ये स्थापित केलेले नाहीत.

म्हणून, मोबाइल उपकरणांमध्ये कार्यरत 2FA पद्धत ही क्रिप्टोग्राफिक टोकनचा वापर आहे जी NFC, Bluetooth आणि USB Type-C इंटरफेसद्वारे स्मार्टफोनशी कनेक्ट होते.

कंपनीच्या आर्थिक डेटाचे संरक्षण हे पासवर्डलेस ऑथेंटिकेशन (44%) मध्ये गुंतवणुकीचे प्रमुख कारण आहे, 2017 पासून सर्वात वेगवान वाढ (आठ टक्के गुणांची वाढ). यानंतर बौद्धिक संपदा (40%) आणि कर्मचारी (HR) डेटा (39%) चे संरक्षण आहे. आणि हे का स्पष्ट आहे - केवळ या प्रकारच्या डेटाशी संबंधित मूल्यच व्यापकपणे ओळखले जात नाही, परंतु तुलनेने काही कर्मचारी त्यांच्यासोबत काम करतात. म्हणजेच, अंमलबजावणीचा खर्च इतका मोठा नाही आणि फक्त काही लोकांना अधिक जटिल प्रमाणीकरण प्रणालीसह कार्य करण्यासाठी प्रशिक्षित करणे आवश्यक आहे. याउलट, बहुतेक एंटरप्राइझ कर्मचारी नियमितपणे प्रवेश करणार्‍या डेटा आणि उपकरणांचे प्रकार अद्याप केवळ पासवर्डद्वारे संरक्षित आहेत. कर्मचारी दस्तऐवज, वर्कस्टेशन्स आणि कॉर्पोरेट ईमेल पोर्टल्स हे सर्वात जास्त जोखमीचे क्षेत्र आहेत, कारण फक्त एक चतुर्थांश व्यवसाय या मालमत्तांना पासवर्डरहित प्रमाणीकरणाने संरक्षित करतात (आकृती 14).

सर्वसाधारणपणे, कॉर्पोरेट ईमेल ही एक अतिशय धोकादायक आणि लीक गोष्ट आहे, ज्याच्या संभाव्य धोक्याची डिग्री बहुतेक CIOs द्वारे कमी लेखली जाते. कर्मचार्‍यांना दररोज डझनभर ईमेल प्राप्त होतात, मग त्यांच्यामध्ये किमान एक फिशिंग (म्हणजे फसवे) ईमेल का समाविष्ट करू नये. हे पत्र कंपनीच्या पत्रांच्या शैलीमध्ये स्वरूपित केले जाईल, त्यामुळे कर्मचार्‍याला या पत्रातील लिंकवर क्लिक करणे सोपे जाईल. ठीक आहे, नंतर काहीही होऊ शकते, उदाहरणार्थ, हल्ला झालेल्या मशीनवर व्हायरस डाउनलोड करणे किंवा पासवर्ड लीक करणे (सोशल इंजिनीअरिंगद्वारे, हल्लेखोराने तयार केलेला बनावट प्रमाणीकरण फॉर्म प्रविष्ट करून).

अशा गोष्टी होण्यापासून रोखण्यासाठी, ईमेलवर स्वाक्षरी करणे आवश्यक आहे. मग हे लगेच स्पष्ट होईल की कोणते पत्र कायदेशीर कर्मचाऱ्याने तयार केले आहे आणि कोणते हल्लेखोराने. आउटलुक/एक्सचेंजमध्ये, उदाहरणार्थ, क्रिप्टोग्राफिक टोकन-आधारित इलेक्ट्रॉनिक स्वाक्षरी बर्‍याच जलद आणि सहजपणे सक्षम केल्या जातात आणि पीसी आणि विंडोज डोमेनवर द्वि-घटक प्रमाणीकरणासह वापरल्या जाऊ शकतात.

एंटरप्राइझमधील पासवर्ड प्रमाणीकरणावर पूर्णपणे विसंबून असणारे अधिकारी, दोन तृतीयांश (66%) असे करतात कारण त्यांना विश्वास आहे की पासवर्ड त्यांच्या कंपनीला आवश्यक असलेल्या माहितीच्या प्रकारासाठी पुरेशी सुरक्षा प्रदान करतात (आकृती 15).

परंतु मजबूत प्रमाणीकरण पद्धती अधिक सामान्य होत आहेत. मुख्यत्वे मुळे त्यांची उपलब्धता वाढत आहे. ओळख आणि प्रवेश व्यवस्थापन (IAM) प्रणाली, ब्राउझर आणि ऑपरेटिंग सिस्टमची वाढती संख्या क्रिप्टोग्राफिक टोकन वापरून प्रमाणीकरणास समर्थन देते.

मजबूत प्रमाणीकरणाचा आणखी एक फायदा आहे. पासवर्ड यापुढे वापरला जात नसल्यामुळे (साध्या पिनने बदलला), कर्मचाऱ्यांकडून विसरलेला पासवर्ड बदलण्यास सांगणाऱ्या कोणत्याही विनंत्या नाहीत. ज्यामुळे एंटरप्राइझच्या आयटी विभागावरील भार कमी होतो.

परिणाम आणि निष्कर्ष

1. व्यवस्थापकांना अनेकदा मूल्यांकन करण्यासाठी आवश्यक ज्ञान नसते वास्तविक विविध प्रमाणीकरण पर्यायांची प्रभावीता. त्यांना असा विश्वास ठेवण्याची सवय आहे कालबाह्य सुरक्षितता पद्धती जसे की पासवर्ड आणि सुरक्षा प्रश्न फक्त कारण "ते आधी काम करत होते."
2. वापरकर्त्यांना अजूनही हे ज्ञान आहे कमी, त्यांच्यासाठी मुख्य गोष्ट आहे साधेपणा आणि सुविधा. जोपर्यंत त्यांना निवडण्यासाठी प्रोत्साहन मिळत नाही अधिक सुरक्षित उपाय.
3. सानुकूल ऍप्लिकेशन्सचे विकासक अनेकदा विनाकारणपासवर्ड प्रमाणीकरणाऐवजी द्वि-घटक प्रमाणीकरण लागू करणे. वापरकर्ता अनुप्रयोगांमध्ये संरक्षणाच्या पातळीवर स्पर्धा नाही.
4. हॅकची संपूर्ण जबाबदारी वापरकर्त्याकडे शिफ्ट केले. हल्लेखोराला वन-टाइम पासवर्ड दिला - अपराधी. तुमचा पासवर्ड रोखला गेला किंवा हेरली गेली - अपराधी. विकसकाला उत्पादनामध्ये विश्वसनीय प्रमाणीकरण पद्धती वापरण्याची आवश्यकता नाही - अपराधी.
5. बरोबर नियामक पहिल्याने कंपन्यांनी त्या उपायांची अंमलबजावणी करणे आवश्यक आहे ब्लॉक डेटा लीक (विशेषतः दोन-घटक प्रमाणीकरण), शिक्षा देण्याऐवजी आधीच झाले आहे डेटा लीक.
6. काही सॉफ्टवेअर डेव्हलपर ग्राहकांना विकण्याचा प्रयत्न करत आहेत जुने आणि विशेषतः विश्वसनीय नाही रेझेयनी सुंदर पॅकेजिंगमध्ये "नवीन" उत्पादन. उदाहरणार्थ, विशिष्ट स्मार्टफोनशी लिंक करून किंवा बायोमेट्रिक्स वापरून प्रमाणीकरण. त्यानुसार, अहवालातून पाहिले जाऊ शकते खरोखर विश्वसनीय फक्त मजबूत प्रमाणीकरणावर आधारित उपाय असू शकतो, म्हणजेच क्रिप्टोग्राफिक टोकन.
7. सारखे साठी क्रिप्टोग्राफिक टोकन वापरले जाऊ शकते अनेक कार्ये: च्या साठी मजबूत प्रमाणीकरण एंटरप्राइझ ऑपरेटिंग सिस्टममध्ये, कॉर्पोरेट आणि वापरकर्ता अनुप्रयोगांमध्ये, साठी इलेक्ट्रॉनिक स्वाक्षरी आर्थिक व्यवहार (बँकिंग अनुप्रयोगांसाठी महत्त्वाचे), दस्तऐवज आणि ईमेल.

स्त्रोत: www.habr.com