प्रमाणीकरण र पासवर्ड के हुनेछ? भाला रिपोर्ट को अनुवाद "बलियो प्रमाणीकरण को राज्य" टिप्पणीहरु संग

रिपोर्टको शीर्षकबाट स्पोइलर: "नयाँ जोखिम र नियामक आवश्यकताहरूको खतराको कारण बलियो प्रमाणीकरणको प्रयोग बढ्छ।"
अनुसन्धान कम्पनी "जेभलिन स्ट्राटेजी एन्ड रिसर्च" ले "द स्टेट अफ स्ट्रङ्ग अथेन्टिकेशन २०१९" प्रतिवेदन प्रकाशित गरेको छ। pdf ढाँचामा मूल यहाँ डाउनलोड गर्न सकिन्छ)। यो रिपोर्टले भन्छ: कति प्रतिशत अमेरिकी र युरोपेली कम्पनीहरूले पासवर्ड प्रयोग गर्छन् (र अहिले किन थोरै मानिसहरूले पासवर्ड प्रयोग गर्छन्); किन क्रिप्टोग्राफिक टोकनहरूमा आधारित दुई-कारक प्रमाणीकरणको प्रयोग यति छिटो बढिरहेको छ; किन SMS मार्फत पठाइएका एक-पटके कोडहरू सुरक्षित छैनन्।

उद्यमहरू र उपभोक्ता अनुप्रयोगहरूमा प्रमाणीकरणको वर्तमान, विगत र भविष्यमा रुचि राख्ने जो कोहीलाई स्वागत छ।

अनुवादकबाट

काश, यो रिपोर्ट लेखिएको भाषा एकदमै "सुखा" र औपचारिक छ। र एक छोटो वाक्यमा "प्रमाणीकरण" शब्दको पाँच पटक प्रयोग अनुवादकको बाङ्गो हात (वा दिमाग) होइन, तर लेखकहरूको लहर हो। दुई विकल्पहरूबाट अनुवाद गर्दा - पाठकहरूलाई मूल भन्दा नजिकको पाठ दिन वा अझ रोचक, मैले कहिलेकाहीं पहिलो, र कहिलेकाँही दोस्रो रोजें। तर धैर्य गर्नुहोस्, प्रिय पाठकहरू, रिपोर्टको सामग्री यसको लायक छ।

कथाका लागि केही महत्वहीन र अनावश्यक टुक्राहरू हटाइयो, नत्र धेरैजसोले पूरै पाठमा पुग्न सक्षम हुने थिएन। रिपोर्ट "अनकट" पढ्न चाहनेहरूले लिङ्क पछ्याएर मौलिक भाषामा त्यसो गर्न सक्छन्।

दुर्भाग्यवश, लेखकहरू सँधै शब्दावलीसँग सावधान हुँदैनन्। तसर्थ, एक पटकको पासवर्डहरू (एक समयको पासवर्ड - OTP) लाई कहिलेकाहीं "पासवर्डहरू", र कहिलेकाहीं "कोडहरू" भनिन्छ। यो प्रमाणीकरण विधिहरूसँग अझ खराब छ। "क्रिप्टोग्राफिक कुञ्जीहरू प्रयोग गरेर प्रमाणीकरण" र "बलियो प्रमाणीकरण" एउटै कुरा हो भन्ने अनुमान गर्न अप्रशिक्षित पाठकका लागि सधैं सजिलो हुँदैन। मैले सकेसम्म सर्तहरू एकजुट गर्ने प्रयास गरें, र रिपोर्टमा तिनीहरूको विवरणको साथ एक टुक्रा छ।

जे होस्, रिपोर्ट पढ्नको लागि अत्यधिक सिफारिस गरिएको छ किनभने यसमा अद्वितीय अनुसन्धान परिणामहरू र सही निष्कर्षहरू छन्।

सबै तथ्याङ्कहरू र तथ्यहरू साना परिवर्तनहरू बिना प्रस्तुत गरिएका छन्, र यदि तपाईं तिनीहरूसँग सहमत हुनुहुन्न भने, अनुवादकसँग होइन, तर रिपोर्टका लेखकहरूसँग बहस गर्नु राम्रो हुन्छ। र यहाँ मेरा टिप्पणीहरू छन् (उद्धरणको रूपमा राखिएको, र पाठमा चिन्ह लगाइएको छ इटालियन) मेरो मूल्यको निर्णय हो र म ती प्रत्येकमा (साथै अनुवादको गुणस्तरमा) बहस गर्न पाउँदा खुसी हुनेछु।

सिंहावलोकन

आजकल, ग्राहकहरु संग संचार को डिजिटल च्यानलहरु व्यवसायहरु को लागी पहिले भन्दा धेरै महत्त्वपूर्ण छ। र कम्पनी भित्र, कर्मचारीहरु बीच संचार पहिले भन्दा धेरै डिजिटल उन्मुख छ। र यी अन्तरक्रियाहरू कत्तिको सुरक्षित हुनेछन् भन्ने प्रयोगकर्ता प्रमाणीकरणको छनौट गरिएको विधिमा निर्भर गर्दछ। आक्रमणकारीहरूले प्रयोगकर्ता खाताहरू व्यापक रूपमा ह्याक गर्न कमजोर प्रमाणीकरण प्रयोग गर्छन्। प्रतिक्रियामा, नियामकहरूले व्यवसायहरूलाई प्रयोगकर्ता खाताहरू र डेटालाई राम्रोसँग सुरक्षित गर्न बाध्य पार्न मापदण्डहरू कडा गर्दैछन्।

प्रमाणीकरण-सम्बन्धित धम्कीहरू उपभोक्ता अनुप्रयोगहरू भन्दा बाहिर विस्तार हुन्छन्; आक्रमणकारीहरूले उद्यम भित्र चलिरहेका अनुप्रयोगहरूमा पहुँच पनि प्राप्त गर्न सक्छन्। यस कार्यले उनीहरूलाई कर्पोरेट प्रयोगकर्ताहरूको प्रतिरूपण गर्न अनुमति दिन्छ। कमजोर प्रमाणीकरणको साथ पहुँच बिन्दुहरू प्रयोग गर्ने आक्रमणकारीहरूले डाटा चोरी गर्न र अन्य जालसाजी गतिविधिहरू गर्न सक्छन्। सौभाग्य देखि, यो लड्न उपायहरू छन्। बलियो प्रमाणीकरणले उपभोक्ता एप्लिकेसन र इन्टरप्राइज ब्यापार प्रणाली दुवैमा आक्रमणकारीद्वारा आक्रमणको जोखिमलाई कम गर्न मद्दत गर्नेछ।

यस अध्ययनले जाँच गर्दछ: कसरी उद्यमहरूले अन्त-प्रयोगकर्ता अनुप्रयोगहरू र उद्यम व्यवसाय प्रणालीहरू सुरक्षित गर्न प्रमाणीकरण लागू गर्छन्; प्रमाणीकरण समाधान छनौट गर्दा तिनीहरूले विचार गर्ने कारकहरू; तिनीहरूको संगठनहरूमा बलियो प्रमाणीकरणले खेल्ने भूमिका; यी संस्थाहरूले प्राप्त गर्ने फाइदाहरू।

सारांश

कुञ्जी खोजीहरू

2017 देखि, बलियो प्रमाणीकरणको प्रयोग तीव्र रूपमा बढेको छ। परम्परागत प्रमाणीकरण समाधानहरूलाई असर गर्ने जोखिमहरूको बढ्दो संख्याको साथ, संगठनहरूले आफ्नो प्रमाणीकरण क्षमताहरूलाई बलियो प्रमाणीकरणको साथ बलियो बनाउँदैछन्। क्रिप्टोग्राफिक मल्टि-फ्याक्टर प्रमाणीकरण (MFA) प्रयोग गर्ने संस्थाहरूको संख्या उपभोक्ता अनुप्रयोगहरूको लागि 2017 देखि तीन गुणा बढेको छ र उद्यम अनुप्रयोगहरूको लागि लगभग 50% ले बढेको छ। बायोमेट्रिक प्रमाणीकरणको बढ्दो उपलब्धताको कारण मोबाइल प्रमाणीकरणमा सबैभन्दा छिटो वृद्धि देखिएको छ।

यहाँ हामी यस भनाइको दृष्टान्त देख्छौं "जबसम्म गर्जनले प्रहार गर्दैन, मानिसले आफैलाई पार गर्दैन।" जब विशेषज्ञहरूले पासवर्डहरूको असुरक्षाको बारेमा चेतावनी दिए, कसैले पनि दुई-कारक प्रमाणीकरण लागू गर्न हतारमा थिएन। ह्याकरहरूले पासवर्ड चोरी गर्न थालेपछि, मानिसहरूले दुई-कारक प्रमाणीकरण लागू गर्न थाले।

साँचो, व्यक्तिहरू धेरै सक्रिय रूपमा 2FA लागू गर्दैछन्। सबैभन्दा पहिले, स्मार्टफोनहरूमा निर्मित बायोमेट्रिक प्रमाणीकरणमा भर परेर उनीहरूको डरलाई शान्त पार्न उनीहरूका लागि सजिलो छ, जुन वास्तवमा धेरै अविश्वसनीय छ। संगठनहरूले टोकनहरू खरिद गर्न पैसा खर्च गर्न आवश्यक छ र तिनीहरूलाई लागू गर्न काम (वास्तवमा, धेरै सरल) गर्न आवश्यक छ। र दोस्रो, फेसबुक र ड्रपबक्स जस्ता सेवाहरूबाट पासवर्ड चुहावटको बारेमा अल्छी व्यक्तिहरूले मात्र लेखेका छैनन्, तर कुनै पनि परिस्थितिमा यी संस्थाका सीआईओहरूले कसरी पासवर्डहरू चोरी भयो (र त्यसपछि के भयो) संगठनहरूमा कथाहरू साझा गर्दैनन्।

जो बलियो प्रमाणीकरण प्रयोग गर्दैनन् तिनीहरूले आफ्नो व्यापार र ग्राहकहरु लाई आफ्नो जोखिम कम गर्दै छन्। हाल बलियो प्रमाणीकरण प्रयोग नगर्ने केही संस्थाहरूले लगइन र पासवर्डहरूलाई प्रयोगकर्ता प्रमाणीकरणको सबैभन्दा प्रभावकारी र प्रयोग गर्न-सजिलो विधिहरू मध्ये एकको रूपमा हेर्ने प्रवृत्ति राख्छन्। अरूले आफ्नो स्वामित्वमा रहेको डिजिटल सम्पत्तिको मूल्य देख्दैनन्। आखिर, यो विचार गर्न लायक छ कि साइबर अपराधीहरू कुनै पनि उपभोक्ता र व्यापार जानकारीमा रुचि राख्छन्। आफ्ना कर्मचारीहरूलाई प्रमाणिकरण गर्न पासवर्डहरू मात्र प्रयोग गर्ने दुई तिहाइ कम्पनीहरूले त्यसो गर्छन् किनभने उनीहरू विश्वास गर्छन् कि पासवर्डहरू उनीहरूले सुरक्षित गर्ने जानकारीको प्रकारको लागि पर्याप्त छन्।

यद्यपि, पासवर्डहरू चिहानमा जाने बाटोमा छन्। पासवर्ड निर्भरता दुबै उपभोक्ता र उद्यम अनुप्रयोगहरूको लागि (क्रमशः 44% बाट 31%, र 56% बाट 47%, क्रमशः) को लागि गत वर्षमा उल्लेखनीय रूपमा घटेको छ किनभने संगठनहरूले उनीहरूको परम्परागत MFA र बलियो प्रमाणीकरणको प्रयोग बढाउँछन्।
तर यदि हामी समग्र स्थितिलाई हेर्छौं भने, कमजोर प्रमाणीकरण विधिहरू अझै प्रबल छन्। प्रयोगकर्ता प्रमाणीकरणका लागि, करिब एक चौथाइ संस्थाहरूले सुरक्षा प्रश्नहरूको साथमा SMS OTP (एक पटकको पासवर्ड) प्रयोग गर्छन्। नतिजा स्वरूप, जोखिमबाट जोगाउन अतिरिक्त सुरक्षा उपायहरू लागू गरिनुपर्छ, जसले लागत बढाउँछ। धेरै सुरक्षित प्रमाणीकरण विधिहरूको प्रयोग, जस्तै हार्डवेयर क्रिप्टोग्राफिक कुञ्जीहरू, लगभग 5% संस्थाहरूमा धेरै कम प्रयोग गरिन्छ।

विकासशील नियामक वातावरणले उपभोक्ता अनुप्रयोगहरूको लागि बलियो प्रमाणीकरणको अवलम्बनलाई गति दिने वाचा गर्दछ। PSD2 को परिचयसँगै EU र धेरै अमेरिकी राज्यहरू जस्तै क्यालिफोर्नियामा नयाँ डेटा सुरक्षा नियमहरू, कम्पनीहरूले गर्मी महसुस गरिरहेका छन्। लगभग 70% कम्पनीहरू सहमत छन् कि उनीहरूले आफ्ना ग्राहकहरूलाई बलियो प्रमाणीकरण प्रदान गर्न कडा नियामक दबाबको सामना गर्छन्। आधा भन्दा बढी उद्यमहरू विश्वास गर्छन् कि केही वर्ष भित्र तिनीहरूको प्रमाणीकरण विधिहरू नियामक मापदण्डहरू पूरा गर्न पर्याप्त हुनेछैन।

कार्यक्रम र सेवाहरूको प्रयोगकर्ताहरूको व्यक्तिगत डेटाको सुरक्षामा रूसी र अमेरिकी-युरोपियन विधायकहरूको दृष्टिकोणमा भिन्नता स्पष्ट रूपमा देखिन्छ। रुसीहरू भन्छन्: प्रिय सेवा मालिकहरू, तपाइँ के चाहानुहुन्छ र तपाइँ कसरी चाहानुहुन्छ गर्नुहोस्, तर यदि तपाइँको प्रशासकले डाटाबेस मर्ज गर्छ भने, हामी तपाइँलाई दण्ड दिनेछौं। तिनीहरू विदेशमा भन्छन्: तपाईंले उपायहरूको सेट लागू गर्नुपर्छ अनुमति दिदैन आधार नाली। त्यसकारण त्यहाँ कडा दुई-कारक प्रमाणीकरणका लागि आवश्यकताहरू लागू भइरहेको छ।
यो सत्य हो कि हाम्रो विधायिका मेसिन एक दिन आफ्नो होशमा आउने छैन र पश्चिमी अनुभवलाई ध्यानमा राख्नेछ भन्ने तथ्यबाट टाढा छ। त्यसपछि यो बाहिर जान्छ कि सबैले 2FA लागू गर्न आवश्यक छ, जुन रूसी क्रिप्टोग्राफिक मापदण्डहरूको पालना गर्दछ, र तुरुन्तै।

एक बलियो प्रमाणीकरण ढाँचा स्थापना गर्नाले कम्पनीहरूलाई नियामक आवश्यकताहरू पूरा गर्नबाट ग्राहकको आवश्यकताहरू पूरा गर्न ध्यान केन्द्रित गर्न अनुमति दिन्छ। ती संस्थाहरूका लागि जो अझै पनि साधारण पासवर्डहरू प्रयोग गरिरहेका छन् वा SMS मार्फत कोडहरू प्राप्त गरिरहेका छन्, प्रमाणीकरण विधि छनौट गर्दा सबैभन्दा महत्त्वपूर्ण कारक नियामक आवश्यकताहरूको अनुपालन हुनेछ। तर ती कम्पनीहरू जसले पहिले नै बलियो प्रमाणीकरण प्रयोग गर्दछ ती प्रमाणीकरण विधिहरू छनौट गर्नमा फोकस गर्न सक्छन् जसले ग्राहकको वफादारी बढाउँछ।

उद्यम भित्र कर्पोरेट प्रमाणीकरण विधि छनौट गर्दा, नियामक आवश्यकताहरू अब महत्त्वपूर्ण कारक छैनन्। यस अवस्थामा, एकीकरणको सहजता (32%) र लागत (26%) धेरै महत्त्वपूर्ण छन्।

फिसिङको युगमा, आक्रमणकारीहरूले घोटाला गर्न कर्पोरेट इमेल प्रयोग गर्न सक्छन् धोखाधडी रूपमा डाटा, खाताहरूमा पहुँच प्राप्त गर्न (उपयुक्त पहुँच अधिकारको साथ), र कर्मचारीहरूलाई आफ्नो खातामा पैसा स्थानान्तरण गर्न मनाउन पनि। त्यसकारण, कर्पोरेट इमेल र पोर्टल खाताहरू विशेष गरी राम्रोसँग सुरक्षित हुनुपर्छ।

गुगलले बलियो प्रमाणीकरण लागू गरेर आफ्नो सुरक्षा बलियो बनाएको छ। दुई वर्ष भन्दा पहिले, गुगलले FIDO U2F मानक प्रयोग गरी क्रिप्टोग्राफिक सुरक्षा कुञ्जीहरूमा आधारित दुई-कारक प्रमाणीकरणको कार्यान्वयनमा एक रिपोर्ट प्रकाशित गर्‍यो, प्रभावशाली परिणामहरू रिपोर्ट गर्दै। कम्पनीका अनुसार 85 भन्दा बढी कर्मचारीहरू विरुद्ध एक पनि फिसिङ आक्रमण गरिएको छैन।

सिफारिसहरू

मोबाइल र अनलाइन अनुप्रयोगहरूको लागि बलियो प्रमाणीकरण लागू गर्नुहोस्। क्रिप्टोग्राफिक कुञ्जीहरूमा आधारित बहु-कारक प्रमाणीकरणले परम्परागत MFA विधिहरू भन्दा ह्याकिङ विरुद्ध धेरै राम्रो सुरक्षा प्रदान गर्दछ। थप रूपमा, क्रिप्टोग्राफिक कुञ्जीहरूको प्रयोग धेरै सुविधाजनक छ किनभने त्यहाँ थप जानकारी प्रयोग गर्न र स्थानान्तरण गर्न आवश्यक छैन - पासवर्ड, एक-पटक पासवर्ड वा बायोमेट्रिक डाटा प्रयोगकर्ताको उपकरणबाट प्रमाणीकरण सर्भरमा। थप रूपमा, प्रमाणीकरण प्रोटोकलहरूको मानकीकरणले नयाँ प्रमाणीकरण विधिहरू उपलब्ध हुने बित्तिकै कार्यान्वयन गर्न, कार्यान्वयन लागत घटाउन र थप परिष्कृत धोखाधडी योजनाहरू विरुद्ध सुरक्षा प्रदान गर्न धेरै सजिलो बनाउँछ।

वन-टाइम पासवर्ड (OTP) को मृत्युको लागि तयारी गर्नुहोस्। साइबर अपराधीहरूले प्रमाणीकरणका यी माध्यमहरूलाई सम्झौता गर्न सामाजिक इन्जिनियरिङ, स्मार्टफोन क्लोनिङ र मालवेयर प्रयोग गर्ने भएकाले OTP मा निहित कमजोरीहरू बढ्दो रूपमा स्पष्ट हुँदै गइरहेका छन्। र यदि केहि अवस्थामा OTP हरू निश्चित फाइदाहरू छन्, तब मात्र सबै प्रयोगकर्ताहरूको लागि विश्वव्यापी उपलब्धताको दृष्टिकोणबाट, तर सुरक्षाको दृष्टिकोणबाट होइन।

एसएमएस वा पुश सूचनाहरू मार्फत कोडहरू प्राप्त गर्ने, साथसाथै स्मार्टफोनका लागि प्रोग्रामहरू प्रयोग गरेर कोडहरू उत्पन्न गर्ने, ती एक-पटके पासवर्डहरू (OTP) को प्रयोग हो जसको लागि हामीलाई अस्वीकारको लागि तयारी गर्न भनिएको छ भनेर याद गर्न असम्भव छ। प्राविधिक दृष्टिकोणबाट, समाधान एकदम सही छ, किनभने यो एक दुर्लभ धोखाधडी हो जसले गलबल प्रयोगकर्ताबाट एक पटकको पासवर्ड पत्ता लगाउन प्रयास गर्दैन। तर मलाई लाग्छ कि त्यस्ता प्रणालीका निर्माताहरूले अन्तिमसम्म टेक्नोलोजीमा टाँसिनेछन्।

ग्राहक विश्वास बढाउन मार्केटिङ उपकरणको रूपमा बलियो प्रमाणीकरण प्रयोग गर्नुहोस्। बलियो प्रमाणीकरणले तपाईको व्यवसायको वास्तविक सुरक्षा सुधार गर्नु भन्दा धेरै गर्न सक्छ। तपाईंको व्यवसायले बलियो प्रमाणीकरण प्रयोग गर्दछ भनेर ग्राहकहरूलाई जानकारी दिनुले त्यो व्यवसायको सुरक्षाको सार्वजनिक धारणालाई बलियो बनाउन सक्छ — जब बलियो प्रमाणीकरण विधिहरूको लागि महत्त्वपूर्ण ग्राहकको माग हुन्छ।

कर्पोरेट डाटाको विस्तृत सूची र आलोचनात्मक मूल्याङ्कन सञ्चालन गर्नुहोस् र यसलाई महत्त्व अनुसार सुरक्षित गर्नुहोस्। कम जोखिम डेटा जस्तै ग्राहक सम्पर्क जानकारी (होइन, वास्तवमा, रिपोर्टले "कम जोखिम" भन्छ, यो धेरै अनौठो छ कि उनीहरूले यस जानकारीको महत्त्वलाई कम आँकलन गर्छन्।), धोखाधडीहरूलाई महत्त्वपूर्ण मूल्य ल्याउन सक्छ र कम्पनीको लागि समस्याहरू निम्त्याउन सक्छ।

बलियो उद्यम प्रमाणीकरण प्रयोग गर्नुहोस्। धेरै प्रणालीहरू अपराधीहरूको लागि सबैभन्दा आकर्षक लक्ष्य हुन्। यसमा एकाउन्टिङ प्रोग्राम वा कर्पोरेट डाटा गोदाम जस्ता आन्तरिक र इन्टरनेट-जडित प्रणालीहरू समावेश छन्। बलियो प्रमाणीकरणले आक्रमणकारीहरूलाई अनाधिकृत पहुँच प्राप्त गर्नबाट रोक्छ, र कुन कर्मचारीले दुर्भावनापूर्ण गतिविधि गरेको हो भनेर सही रूपमा निर्धारण गर्न सम्भव बनाउँछ।

बलियो प्रमाणीकरण के हो?

बलियो प्रमाणीकरण प्रयोग गर्दा, प्रयोगकर्ताको प्रामाणिकता प्रमाणित गर्न धेरै विधि वा कारकहरू प्रयोग गरिन्छ:

• ज्ञान कारक: प्रयोगकर्ता र प्रयोगकर्ताको प्रमाणिकरण विषय (जस्तै पासवर्ड, सुरक्षा प्रश्नहरूको जवाफ, आदि) बीच साझा गोप्य।
• स्वामित्व कारक: एक उपकरण जुन प्रयोगकर्तासँग मात्र छ (उदाहरणका लागि, मोबाइल उपकरण, क्रिप्टोग्राफिक कुञ्जी, आदि)
• अखण्डता कारक: प्रयोगकर्ताका भौतिक (प्रायः बायोमेट्रिक) विशेषताहरू (उदाहरणका लागि, फिंगरप्रिन्ट, आइरिस ढाँचा, आवाज, व्यवहार, आदि)

धेरै कारकहरू ह्याक गर्ने आवश्यकताले आक्रमणकारीहरूको असफलताको सम्भावना धेरै बढाउँछ, किनकि विभिन्न कारकहरूलाई बाइपास गर्न वा धोका दिन प्रत्येक कारकको लागि अलग-अलग प्रकारका ह्याकिङ रणनीतिहरू प्रयोग गर्न आवश्यक हुन्छ।

उदाहरणका लागि, 2FA "पासवर्ड + स्मार्टफोन" को साथ, एक आक्रमणकारीले प्रयोगकर्ताको पासवर्ड हेरेर र आफ्नो स्मार्टफोनको सही सफ्टवेयर प्रतिलिपि बनाएर प्रमाणीकरण गर्न सक्छ। र यो पासवर्ड चोर्नु भन्दा धेरै गाह्रो छ।

तर यदि 2FA को लागि पासवर्ड र क्रिप्टोग्राफिक टोकन प्रयोग गरिन्छ, तब प्रतिलिपि गर्ने विकल्पले यहाँ काम गर्दैन - टोकनको नक्कल गर्न असम्भव छ। धोखाधडीले प्रयोगकर्ताबाट टोकन चोरी गर्न आवश्यक छ। यदि प्रयोगकर्ताले समयमै हानि भएको देख्छ र प्रशासकलाई सूचित गर्छ भने, टोकन अवरुद्ध हुनेछ र जालसाजीको प्रयास व्यर्थ हुनेछ। यसैले स्वामित्व कारकले सामान्य उद्देश्यका यन्त्रहरू (स्मार्टफोनहरू) को सट्टा विशेष सुरक्षित उपकरणहरू (टोकनहरू) को प्रयोग गर्न आवश्यक छ।

सबै तीन कारकहरू प्रयोग गर्नाले यो प्रमाणीकरण विधि लागू गर्न धेरै महँगो र प्रयोग गर्न असुविधाजनक बनाउनेछ। त्यसैले, तीन मध्ये दुई कारक सामान्यतया प्रयोग गरिन्छ।

दुई-कारक प्रमाणीकरणका सिद्धान्तहरू थप विवरणमा वर्णन गरिएका छन् यहाँ, "कसरी दुई-कारक प्रमाणीकरण काम गर्दछ" ब्लकमा।

यो नोट गर्न महत्त्वपूर्ण छ कि कम्तिमा एक प्रमाणीकरण कारकहरू बलियो प्रमाणीकरणमा प्रयोग गरिएको सार्वजनिक कुञ्जी क्रिप्टोग्राफी प्रयोग गर्नुपर्छ।

बलियो प्रमाणीकरणले क्लासिक पासवर्ड र परम्परागत MFA मा आधारित एकल-कारक प्रमाणीकरण भन्दा धेरै बलियो सुरक्षा प्रदान गर्दछ। पासवर्डहरू जासूसी गर्न सकिन्छ वा कीलगरहरू, फिसिङ साइटहरू, वा सामाजिक इन्जिनियरिङ आक्रमणहरू (जहाँ पीडितलाई उनीहरूको पासवर्ड प्रकट गर्न ठगी गरिन्छ) प्रयोग गरेर रोक्न सकिन्छ। यसबाहेक, पासवर्डको मालिकलाई चोरीको बारेमा केहि थाहा हुँदैन। परम्परागत MFA (ओटीपी कोडहरू सहित, स्मार्टफोन वा सिम कार्डमा बाध्यकारी) पनि सजिलै ह्याक गर्न सकिन्छ, किनकि यो सार्वजनिक कुञ्जी क्रिप्टोग्राफीमा आधारित छैन (वैसे, त्यहाँ धेरै उदाहरणहरू छन् जब, उही सामाजिक ईन्जिनियरिङ् प्रविधिहरू प्रयोग गरेर, स्क्यामरहरूले प्रयोगकर्ताहरूलाई उनीहरूलाई एक पटकको पासवर्ड दिन मनाए).

सौभाग्यवश, बलियो प्रमाणीकरण र परम्परागत MFA को प्रयोगले गत वर्षदेखि उपभोक्ता र इन्टरप्राइज एप्लिकेसन दुवैमा आकर्षण हासिल गरिरहेको छ। उपभोक्ता अनुप्रयोगहरूमा बलियो प्रमाणीकरणको प्रयोग विशेष रूपमा द्रुत रूपमा बढेको छ। यदि 2017 मा केवल 5% कम्पनीहरूले यसलाई प्रयोग गरे, त्यसपछि 2018 मा यो पहिले नै तीन गुणा बढी थियो - 16%। यसलाई सार्वजनिक कुञ्जी क्रिप्टोग्राफी (PKC) एल्गोरिदम समर्थन गर्ने टोकनहरूको बढ्दो उपलब्धताद्वारा व्याख्या गर्न सकिन्छ। थप रूपमा, PSD2 र GDPR जस्ता नयाँ डेटा सुरक्षा नियमहरू अपनाएपछि युरोपेली नियामकहरूबाट बढेको दबाबले युरोप बाहिर पनि बलियो प्रभाव पारेको छ (रूस सहित).

यी संख्याहरूमा नजिकबाट हेरौं। हामी देख्न सक्छौं, बहु-कारक प्रमाणीकरण प्रयोग गर्ने निजी व्यक्तिहरूको प्रतिशत वर्षमा एक प्रभावशाली 11% ले बढेको छ। र यो स्पष्ट रूपमा पासवर्ड प्रेमीहरूको खर्चमा भयो, किनकि पुश सूचनाहरू, एसएमएस र बायोमेट्रिक्सको सुरक्षामा विश्वास गर्नेहरूको संख्या परिवर्तन भएको छैन।

तर कर्पोरेट प्रयोगको लागि दुई-कारक प्रमाणीकरणको साथ, चीजहरू त्यति राम्रो छैनन्। पहिलो, रिपोर्ट अनुसार, केवल 5% कर्मचारीहरू पासवर्ड प्रमाणीकरणबाट टोकनहरूमा स्थानान्तरण भएका थिए। र दोस्रो, कर्पोरेट वातावरणमा वैकल्पिक MFA विकल्पहरू प्रयोग गर्नेहरूको संख्या 4% ले बढेको छ।

म विश्लेषक खेल्ने र मेरो व्याख्या दिन प्रयास गर्नेछु। व्यक्तिगत प्रयोगकर्ताहरूको डिजिटल संसारको केन्द्रमा स्मार्टफोन हो। तसर्थ, यो कुनै अचम्मको कुरा होइन कि बहुसंख्यकहरूले उपकरणले उनीहरूलाई प्रदान गर्ने क्षमताहरू प्रयोग गर्छन् - बायोमेट्रिक प्रमाणीकरण, एसएमएस र पुश सूचनाहरू, साथसाथै स्मार्टफोनमा अनुप्रयोगहरूद्वारा उत्पन्न गरिएको एक-पटक पासवर्डहरू। मानिसहरू सामान्यतया सुरक्षा र विश्वसनीयताको बारेमा सोच्दैनन् जब तिनीहरू प्रयोग गरिएका उपकरणहरू प्रयोग गर्छन्।

यही कारणले गर्दा आदिम "परम्परागत" प्रमाणीकरण कारकहरूको प्रयोगकर्ताहरूको प्रतिशत अपरिवर्तित रहन्छ। तर जसले पहिले पासवर्डहरू प्रयोग गरिसकेका छन् उनीहरूले कति जोखिममा छन् भन्ने कुरा बुझ्छन्, र नयाँ प्रमाणीकरण कारक छनौट गर्दा, तिनीहरू नयाँ र सुरक्षित विकल्प - क्रिप्टोग्राफिक टोकन रोज्छन्।

कर्पोरेट बजारको लागि, कुन प्रणाली प्रमाणीकरण गरिन्छ भनेर बुझ्न महत्त्वपूर्ण छ। यदि Windows डोमेनमा लगइन गरिएको छ भने, त्यसपछि क्रिप्टोग्राफिक टोकनहरू प्रयोग गरिन्छ। 2FA को लागि तिनीहरूलाई प्रयोग गर्ने सम्भावनाहरू पहिले नै Windows र Linux दुवैमा निर्मित छन्, तर वैकल्पिक विकल्पहरू लामो र कार्यान्वयन गर्न गाह्रो छन्। पासवर्डबाट टोकनहरूमा 5% को माइग्रेसनको लागि यति धेरै।

र कर्पोरेट सूचना प्रणालीमा 2FA को कार्यान्वयन धेरै विकासकर्ताहरूको योग्यतामा निर्भर गर्दछ। र विकासकर्ताहरूलाई क्रिप्टोग्राफिक एल्गोरिदमहरूको सञ्चालन बुझ्न भन्दा एक-पटक पासवर्डहरू उत्पन्न गर्नका लागि तयार मोड्युलहरू लिन धेरै सजिलो छ। र नतिजाको रूपमा, एकल साइन-अन वा विशेषाधिकार प्राप्त पहुँच व्यवस्थापन प्रणालीहरू जस्ता अविश्वसनीय रूपमा सुरक्षा-महत्वपूर्ण अनुप्रयोगहरू पनि दोस्रो कारकको रूपमा OTP प्रयोग गर्छन्।

परम्परागत प्रमाणीकरण विधिहरूमा धेरै कमजोरीहरू

जबकि धेरै संस्थाहरू लिगेसी एकल-कारक प्रणालीहरूमा निर्भर रहन्छन्, परम्परागत बहु-कारक प्रमाणीकरणमा कमजोरीहरू बढ्दो रूपमा स्पष्ट हुँदैछन्। एक-पटके पासवर्डहरू, सामान्यतया छ देखि आठ वर्णको लम्बाइमा, SMS मार्फत पठाइन्छ, प्रमाणीकरणको सबैभन्दा सामान्य रूप रहन्छ (पक्कै पनि पासवर्ड कारक बाहेक)। र जब "दुई-कारक प्रमाणीकरण" वा "दुई-चरण प्रमाणिकरण" शब्दहरू लोकप्रिय प्रेसमा उल्लेख गरिन्छ, तिनीहरूले प्रायः सधैं एसएमएस एक-पटक पासवर्ड प्रमाणीकरणलाई सन्दर्भ गर्दछ।

यहाँ लेखक अलि गल्ती छ। एसएमएस मार्फत एक पटकको पासवर्डहरू डेलिभर गर्नु दुई-कारक प्रमाणीकरण कहिल्यै भएको छैन। यो यसको शुद्ध रूप मा दुई-चरण प्रमाणीकरण को दोस्रो चरण हो, जहाँ पहिलो चरण तपाईको लगइन र पासवर्ड प्रविष्ट गर्दैछ।

2016 मा, राष्ट्रिय मानक र प्रविधि संस्थान (NIST) ले SMS मार्फत पठाइएका एक-पटके पासवर्डहरूको प्रयोग हटाउन यसको प्रमाणीकरण नियमहरू अद्यावधिक गर्‍यो। यद्यपि, उद्योगको विरोध पछि यी नियमहरू उल्लेखनीय रूपमा आराम गरिएको थियो।

त्यसोभए, प्लट पछ्याउनुहोस्। अमेरिकी नियामकले पुरानो टेक्नोलोजी प्रयोगकर्ताको सुरक्षा सुनिश्चित गर्न सक्षम छैन र नयाँ मापदण्डहरू प्रस्तुत गर्दैछ भन्ने कुरालाई सही रूपमा स्वीकार गर्दछ। अनलाइन र मोबाइल एप्लिकेसनहरू (बैंकिङहरू सहित) को प्रयोगकर्ताहरूलाई सुरक्षित गर्न डिजाइन गरिएका मानकहरू। उद्योगले साँच्चै भरपर्दो क्रिप्टोग्राफिक टोकनहरू खरिद गर्न, अनुप्रयोगहरू पुन: डिजाइन गर्न, सार्वजनिक प्रमुख पूर्वाधारहरू प्रयोग गर्न, र "आफ्नो पछाडिको खुट्टामा बढ्दै" मा कति पैसा खर्च गर्नुपर्नेछ भनेर गणना गरिरहेको छ। एकातिर, प्रयोगकर्ताहरू एक पटकको पासवर्डको विश्वसनीयतामा विश्वस्त थिए, र अर्कोतर्फ, त्यहाँ NIST मा आक्रमणहरू थिए। नतिजाको रूपमा, मानकलाई नरम पारियो, र ह्याकहरूको संख्या र पासवर्डहरूको चोरी (र बैंकिङ अनुप्रयोगहरूबाट पैसा) तीव्र रूपमा बढ्यो। तर उद्योगले पैसा खर्च गर्नु परेन ।

त्यसबेलादेखि, SMS OTP को अन्तर्निहित कमजोरीहरू अझ स्पष्ट हुन थालेका छन्। धोखाधडीहरूले एसएमएस सन्देशहरू सम्झौता गर्न विभिन्न विधिहरू प्रयोग गर्छन्:

• सिम कार्ड नक्कल। आक्रमणकारीहरूले सिमको प्रतिलिपि बनाउँछन् (मोबाइल अपरेटर कर्मचारीहरूको सहयोगमा, वा स्वतन्त्र रूपमा, विशेष सफ्टवेयर र हार्डवेयर प्रयोग गरेर)। नतिजाको रूपमा, आक्रमणकारीले एक पटकको पासवर्डको साथ एसएमएस प्राप्त गर्दछ। एउटा विशेष प्रख्यात अवस्थामा, ह्याकरहरूले क्रिप्टोकरेन्सी लगानीकर्ता माइकल टर्पिनको AT&T खातामा सम्झौता गर्न र क्रिप्टोकरेन्सीहरूमा लगभग $ 24 मिलियन चोरी गर्न सक्षम थिए। नतिजाको रूपमा, Turpin ले भन्यो कि AT&T कमजोर प्रमाणीकरण उपायहरूको कारणले गल्तीमा थियो जसले SIM कार्ड डुप्लिकेसनको नेतृत्व गर्यो।
  

  अचम्मको तर्क। त्यसोभए यो साँच्चै मात्र AT&T को दोष हो? होइन, यो निस्सन्देह मोबाइल अपरेटरको गल्ती हो कि संचार स्टोरमा बिक्रीकर्ताहरूले नक्कल सिम कार्ड जारी गरे। क्रिप्टोकरेन्सी एक्सचेन्ज प्रमाणीकरण प्रणालीको बारेमा के हुन्छ? तिनीहरूले किन बलियो क्रिप्टोग्राफिक टोकनहरू प्रयोग गरेनन्? के कार्यान्वयनमा पैसा खर्च गर्नु दुःखको कुरा थियो? के माइकल आफै दोषी छैन? किन उहाँले प्रमाणीकरण संयन्त्र परिवर्तन गर्न वा क्रिप्टोग्राफिक टोकनहरूमा आधारित दुई-कारक प्रमाणीकरण लागू गर्ने एक्सचेन्जहरू मात्र प्रयोग गर्न आग्रह गरेनन्?

  साँच्चै भरपर्दो प्रमाणीकरण विधिहरूको परिचय ठ्याक्कै ढिलो भएको छ किनभने प्रयोगकर्ताहरूले ह्याक गर्नु अघि अचम्मको लापरवाही देखाउँछन्, र त्यस पछि तिनीहरूले आफ्नो समस्यालाई पुरानो र "चोकिएको" प्रमाणीकरण प्रविधिहरू बाहेक अरू कसैलाई दोष दिन्छन्।

• मालवेयर। मोबाइल मालवेयरको प्रारम्भिक कार्यहरू मध्ये एक आक्रमणकर्ताहरूलाई पाठ सन्देशहरू अवरोध गर्ने र फर्वार्ड गर्ने थियो। साथै, म्यान-इन-द-ब्राउजर र म्यान-इन-द-मिडल आक्रमणहरूले संक्रमित ल्यापटप वा डेस्कटप उपकरणहरूमा प्रविष्ट गर्दा एक-पटक पासवर्डहरू रोक्न सक्छन्।
  

  जब तपाईंको स्मार्टफोनमा Sberbank अनुप्रयोगले स्थिति पट्टीमा हरियो आइकन झिम्काउँछ, यसले तपाईंको फोनमा "मालवेयर" पनि खोज्छ। यस कार्यक्रमको लक्ष्य भनेको सामान्य स्मार्टफोनको अविश्वसनीय कार्यान्वयन वातावरणलाई कम्तिमा पनि कुनै न कुनै रूपमा विश्वसनीयमा परिणत गर्नु हो।
  वैसे, एक स्मार्टफोन, एक पूर्ण रूपमा अविश्वसनीय उपकरणको रूपमा जसमा केहि पनि गर्न सकिन्छ, प्रमाणीकरणको लागि प्रयोग गर्ने अर्को कारण हो। हार्डवेयर टोकन मात्र, जो सुरक्षित र भाइरस र ट्रोजन मुक्त छन्।

• सामाजिक ईन्जिनियरिङ्। जब घोटाला गर्नेहरूलाई थाहा हुन्छ कि पीडितले SMS मार्फत OTP सक्षम गरेको छ, तिनीहरूले पीडितलाई सिधै सम्पर्क गर्न सक्छन्, उनीहरूले भर्खरै प्राप्त गरेको कोड प्रदान गर्न पीडितलाई आफ्नो बैंक वा क्रेडिट युनियन जस्ता विश्वसनीय संस्थाको रूपमा प्रस्तुत गर्न सक्छन्।
  

  मैले व्यक्तिगत रूपमा यस प्रकारको धोखाधडी धेरै पटक सामना गरेको छु, उदाहरणका लागि, लोकप्रिय अनलाइन फ्ली मार्केटमा केहि बेच्ने प्रयास गर्दा। म आफैंले मेरो मनको सामग्रीमा मलाई मूर्ख बनाउन खोज्ने ठगको मजाक उडाएँ। तर अफसोस, मैले नियमित रूपमा समाचारमा पढेको छु कि कसरी घोटाला गर्नेहरूको अर्को शिकारले "सोचेन" पुष्टि कोड दियो र ठूलो रकम गुमाए। र यो सबै किनभने बैंकले आफ्नो अनुप्रयोगहरूमा क्रिप्टोग्राफिक टोकनहरूको कार्यान्वयनसँग सम्झौता गर्न चाहँदैन। आखिर, यदि केहि भयो भने, ग्राहकहरू "आफैलाई दोष दिन्छन्।"

जबकि वैकल्पिक OTP वितरण विधिहरूले यस प्रमाणीकरण विधिमा केही कमजोरीहरूलाई कम गर्न सक्छ, अन्य कमजोरीहरू रहन्छन्। स्ट्यान्डअलोन कोड जेनरेशन एप्लिकेसनहरू इभड्रपिङ विरुद्धको उत्तम सुरक्षा हो, किनकि मालवेयरले पनि कोड जनरेटरसँग सीधा अन्तरक्रिया गर्न सक्दैन (गम्भीर रूपमा? के रिपोर्टको लेखकले रिमोट कन्ट्रोलको बारेमा बिर्सनुभयो?), तर ब्राउजरमा प्रवेश गर्दा OTP हरू अझै पनि रोक्न सकिन्छ (उदाहरणका लागि keylogger प्रयोग गरेर), ह्याक गरिएको मोबाइल अनुप्रयोग मार्फत; र सामाजिक ईन्जिनियरिङ् प्रयोग गरेर प्रयोगकर्ताबाट सीधा प्राप्त गर्न सकिन्छ।
धेरै जोखिम मूल्याङ्कन उपकरणहरू प्रयोग गर्दै जस्तै उपकरण पहिचान (कानूनी प्रयोगकर्तासँग सम्बन्धित नभएका यन्त्रहरूबाट लेनदेन गर्ने प्रयासहरूको पत्ता लगाउने), भौगोलिक स्थान (भर्खरै मस्कोमा भएको प्रयोगकर्ताले नोवोसिबिर्स्कबाट अपरेशन गर्ने प्रयास गर्छ) र व्यवहार विश्लेषणहरू कमजोरीहरूलाई सम्बोधन गर्न महत्त्वपूर्ण छन्, तर न त समाधान एक रामबाण हो। प्रत्येक अवस्था र डाटाको प्रकारको लागि, जोखिमहरू सावधानीपूर्वक मूल्याङ्कन गर्न र कुन प्रमाणीकरण प्रविधि प्रयोग गर्ने छनौट गर्न आवश्यक छ।

कुनै प्रमाणीकरण समाधान एक रामबाण उपाय हो

चित्र २. प्रमाणीकरण विकल्प तालिका

प्रमाणीकरण	कारक	विवरण	प्रमुख कमजोरीहरू
पासवर्ड वा पिन	ज्ञान	निश्चित मान, जसमा अक्षरहरू, संख्याहरू र अन्य क्यारेक्टरहरूको संख्या समावेश हुन सक्छ	रोक्न, जासुसी गर्न, चोरी गर्न, उठाउन वा ह्याक गर्न सकिन्छ
ज्ञानमा आधारित प्रमाणीकरण	ज्ञान	प्रश्नहरूको जवाफ जसको जवाफ कानूनी प्रयोगकर्ताले मात्र थाहा पाउन सक्छ	सामाजिक ईन्जिनियरिङ् विधिहरू प्रयोग गरेर रोक्न, उठाउन, प्राप्त गर्न सकिन्छ
हार्डवेयर OTP (एक उदाहरण)	कब्जा	एक-पटक पासवर्डहरू उत्पन्न गर्ने विशेष उपकरण	कोड रोक्न र दोहोर्याउन सकिन्छ, वा उपकरण चोरी हुन सक्छ
सफ्टवेयर OTPs	कब्जा	एउटा अनुप्रयोग (मोबाइल, ब्राउजर मार्फत पहुँचयोग्य, वा इ-मेल मार्फत कोडहरू पठाउने) जसले एक पटकको पासवर्डहरू उत्पन्न गर्दछ।	कोड रोक्न र दोहोर्याउन सकिन्छ, वा उपकरण चोरी हुन सक्छ
एसएमएस ओटीपी	कब्जा	SMS पाठ सन्देश मार्फत एक-पटके पासवर्ड डेलिभर गरियो	कोड रोकिएको र दोहोर्याइएको हुन सक्छ, वा स्मार्टफोन वा सिम कार्ड चोरी हुन सक्छ, वा सिम कार्ड नक्कल हुन सक्छ।
स्मार्ट कार्ड (एक उदाहरण)	कब्जा	एउटा कार्ड जसमा क्रिप्टोग्राफिक चिप र सुरक्षित कुञ्जी मेमोरी हुन्छ जसले प्रमाणीकरणका लागि सार्वजनिक कुञ्जी पूर्वाधार प्रयोग गर्दछ	शारीरिक रूपमा चोरी हुन सक्छ (तर आक्रमणकारीले पिन कोड नजानी यन्त्र प्रयोग गर्न सक्नेछैन। धेरै गलत इनपुट प्रयासहरूको अवस्थामा, उपकरण अवरुद्ध हुनेछ)
सुरक्षा कुञ्जी - टोकन (एक उदाहरण, अर्को उदाहरण)	कब्जा	एउटा USB यन्त्र जसले क्रिप्टोग्राफिक चिप र सुरक्षित कुञ्जी मेमोरी समावेश गर्दछ जसले प्रमाणीकरणको लागि सार्वजनिक कुञ्जी पूर्वाधार प्रयोग गर्दछ।	भौतिक रूपमा चोरी हुन सक्छ (तर एक आक्रमणकारीले PIN कोड नजानी यन्त्र प्रयोग गर्न सक्षम हुनेछैन; धेरै गलत प्रविष्टि प्रयासहरूको अवस्थामा, यन्त्र अवरुद्ध हुनेछ)
उपकरणमा लिङ्क गर्दै	कब्जा	प्रोफाईल सिर्जना गर्ने प्रक्रिया, प्राय: जाभास्क्रिप्ट प्रयोग गरेर, वा कुकीहरू र फ्ल्यास साझा वस्तुहरू जस्ता मार्करहरू प्रयोग गरी निश्चित यन्त्र प्रयोग भइरहेको छ।	टोकनहरू चोरी गर्न सकिन्छ (प्रतिलिपि गरिएको), र कानुनी उपकरणका विशेषताहरू आक्रमणकारीले उसको उपकरणमा अनुकरण गर्न सक्छन्।
व्यवहार	अन्तरनिहित	प्रयोगकर्ताले उपकरण वा कार्यक्रमसँग कसरी अन्तरक्रिया गर्छ भन्ने विश्लेषण गर्छ	व्यवहार अनुकरण गर्न सकिन्छ
औंठाछापहरू	अन्तरनिहित	भण्डारण गरिएका फिंगरप्रिन्टहरू अप्टिकल वा इलेक्ट्रोनिक रूपमा क्याप्चर गरिएकाहरूसँग तुलना गरिन्छ	छवि चोरी र प्रमाणीकरणको लागि प्रयोग गर्न सकिन्छ
आँखा स्क्यान	अन्तरनिहित	नयाँ अप्टिकल स्क्यानहरूसँग आँखाका विशेषताहरू, जस्तै आइरिस ढाँचा, तुलना गर्नुहोस्	छवि चोरी र प्रमाणीकरणको लागि प्रयोग गर्न सकिन्छ
अनुहार पहिचान	अन्तरनिहित	अनुहारका विशेषताहरूलाई नयाँ अप्टिकल स्क्यानसँग तुलना गरिन्छ	छवि चोरी र प्रमाणीकरणको लागि प्रयोग गर्न सकिन्छ
आवाज पहिचान	अन्तरनिहित	रेकर्ड गरिएको आवाज नमूनाको विशेषताहरू नयाँ नमूनाहरूसँग तुलना गरिन्छ	रेकर्ड चोरी गर्न सकिन्छ र प्रमाणीकरणको लागि प्रयोग गर्न सकिन्छ, वा अनुकरण गर्न सकिन्छ

प्रकाशनको दोस्रो भागमा, सबैभन्दा स्वादिष्ट चीजहरू हामीलाई पर्खिरहेका छन् - संख्या र तथ्यहरू, जसमा पहिलो भागमा दिइएको निष्कर्ष र सिफारिसहरू आधारित छन्। प्रयोगकर्ता अनुप्रयोगहरू र कर्पोरेट प्रणालीहरूमा प्रमाणीकरण छुट्टै छलफल गरिनेछ।

चाँडै भेटौंला!

स्रोत: www.habr.com