Niedawno firma badawcza „Javelin Strategy & Research” opublikowała raport „Stan silnej autoryzacji 2019”. Jego twórcy zebrali informacje na temat tego, jakie metody autoryzacji są stosowane w środowisku korporacyjnym oraz w aplikacjach użytkowników, a także dokonali ciekawych obserwacji dotyczących przyszłości silnej autoryzacji.
Tłumaczenie pierwszej części z wnioskami autorów raportu, my . A teraz przedstawiamy Państwu drugą część — z danymi i wykresami.
Od tłumacza
Nie będę w pełni kopiować całego jednego bloku z pierwszej części, ale jeden akapit jednak powtórzę.
Wszystkie liczby i fakty zostały podane bez najmniejszych zmian, i jeśli się z nimi nie zgadzasz, to lepiej nie dyskutować z tłumaczem, a z autorami raportu. A oto moje komentarze (opublikowane jako cytaty, a w tekście oznaczone kursywą) są moją oceną i chętnie o każdym z nich podyskutuję (jak i na temat jakości tłumaczenia).
Autoryzacja użytkowników
Od 2017 roku stosowanie silnej autoryzacji w aplikacjach użytkowników znacznie wzrosło, głównie dzięki dostępności metod autoryzacji opartych na kryptografii na urządzeniach mobilnych, chociaż nieco mniejszy odsetek firm stosuje silną autoryzację dla aplikacji internetowych.
Ogólnie rzecz biorąc, odsetek firm korzystających z silnej autoryzacji w swoim biznesie zwiększył się trzykrotnie z 5% w 2017 do 16% w 2018 roku (rysunek 3).
Możliwości korzystania z silnej autoryzacji dla aplikacji webowych są wciąż ograniczone (ponieważ tylko zupełnie nowe wersje niektórych przeglądarek obsługują interakcję z tokenami kryptograficznymi, jednak ten problem można rozwiązać poprzez zainstalowanie dodatkowego oprogramowania, takiego jak ), dlatego wiele firm stosuje alternatywne metody autoryzacji online, takie jak aplikacje mobilne generujące jednorazowe hasła.
Sprzętowe klucze kryptograficzne (tu mają na myśli tylko spełniające standardy FIDO), takie jak oferowane przez Google, Feitian, One Span i Yubico, mogą być używane do silnej autoryzacji bez konieczności instalowania dodatkowego oprogramowania na komputerach stacjonarnych i laptopach (ponieważ większość przeglądarek już obsługuje standard WebAuthn od FIDO.), ale tylko 3% firm korzysta z tej możliwości do logowania swoich użytkowników.
Porównanie tokenów kryptograficznych (takich jak ) oraz kluczy sekretów działających zgodnie z standardami FIDO wykracza nie tylko poza ten raport, ale również moje komentarze do niego. Krótko mówiąc, oba typy tokenów używają podobnych algorytmów i zasad działania. Tokeny FIDO są obecnie lepiej wspierane przez producentów przeglądarek, aczkolwiek sytuacja wkrótce się zmieni w miarę, jak coraz więcej przeglądarek zacznie wspierać . Z drugiej strony klasyczne tokeny kryptograficzne są chronione kodem PIN, mogą podpisywać dokumenty elektroniczne i być używane do uwierzytelniania dwuetapowego w systemach Windows (dowolna wersja), Linux i Mac OS X, mają interfejs API dla różnych języków programowania, co pozwala na wdrożenie 2FA i ECP w aplikacjach desktopowych, mobilnych i webowych, a tokeny produkowane w Rosji wspierają rosyjskie algorytmy GOST. Tak czy inaczej, token kryptograficzny, niezależnie od tego, według jakiego standardu został stworzony, jest najbardziej niezawodną i wygodną metodą uwierzytelniania.
Oprócz bezpieczeństwa: inne zalety ścisłego uwierzytelniania
Nie jest zaskoczeniem, że stosowanie ścisłego uwierzytelniania jest ściśle związane z wagą danych przechowywanych przez firmę. Największe prawne i regulacyjne naciski odczuwają firmy, które przechowują poufne dane osobowe (Personally Identifiable Information – PII), takie jak numery ubezpieczenia społecznego czy osobiste informacje medyczne (Personal Health Information – PHI). To właśnie takie firmy są najbardziej agresywnymi zwolennikami ścisłego uwierzytelniania. Nacisk na biznes zwiększa się w miarę rosnących oczekiwań klientów, którzy chcą wiedzieć, że organizacje, którym powierzają swoje najbardziej poufne dane, stosują niezawodne metody uwierzytelniania. Organizacje przetwarzające wrażliwe PII lub PHI stosują ścisłe uwierzytelnianie ponad dwa razy częściej niż organizacje, które przechowują jedynie dane kontaktowe użytkowników (rysunek 7).
Niestety, firmy wciąż nie chcą wdrażać solidnych metod uwierzytelniania. Prawie jedna trzecia decydentów w biznesie uważa hasła za najskuteczniejszą z metod uwierzytelniania spośród wszystkich wymienionych na rysunku 9, a 43% uznaje je za najprostszy sposób uwierzytelniania.
Ten wykres udowadnia nam, że programiści aplikacji biznesowych na całym świecie są tacy sami... Nie widzą zysku z wdrażania zaawansowanych mechanizmów ochrony dostępu do kont i podzielają te same błędne przekonania. Tylko działania regulatorów mogą zmienić sytuację.
Nie dotykajmy haseł. Ale w co należy wierzyć, aby uważać pytania kontrolne za bezpieczniejsze niż kryptograficzne tokeny? Skuteczność pytań kontrolnych, które można łatwo zgadnąć, oceniono na 15%, a tokenów, które nie są łamane – na zaledwie 10. Przynajmniej mogli by obejrzeć film 'Iluzja oszustwa', w którym choć i w alegorycznej formie, ukazuje jak łatwo iluzjoniści wyciągnęli od biznesmena-oszusta wszystkie potrzebne odpowiedzi i zostawili go bez pieniędzy.
I jeszcze jeden fakt, który wiele mówi o kwalifikacji tych, którzy odpowiadają za mechanizmy bezpieczeństwa w aplikacjach użytkowych. W ich zrozumieniu wprowadzanie hasła jest prostszą operacją niż uwierzytelnianie za pomocą tokena kryptograficznego. Choć wydawałoby się, że co może być prostszego niż podłączenie tokena do portu USB i wpisanie prostego kodu PIN.
Warto zauważyć, że wprowadzenie surowego uwierzytelniania pozwala przedsiębiorstwom przestać myśleć o metodach uwierzytelniania i zasadach działania, niezbędnych do zablokowania oszukańczych schematów, odpowiadając na rzeczywiste potrzeby swoich klientów.
Podczas gdy przestrzeganie regulacji jest całkowicie rozsądnym priorytetem zarówno dla firm stosujących surowe uwierzytelnianie, jak i tych, które tego nie robią, firmy, które już stosują surowe uwierzytelnianie, z dużo większym prawdopodobieństwem powiedzą, że zwiększenie lojalności klientów jest najważniejszym wskaźnikiem, który biorą pod uwagę przy ocenie metody uwierzytelniania. (18% wobec 12%) (rysunek 10).
Uwierzytelnianie korporacyjne
Od 2017 roku wdrażanie silnej autoryzacji w przedsiębiorstwach rośnie, choć nieco skromniej niż w przypadku aplikacji konsumenckich. Udział przedsiębiorstw stosujących silną autoryzację wzrósł z 7% w 2017 do 12% w 2018. W przeciwieństwie do aplikacji użytkowników, w środowisku korporacyjnym stosowanie metod autoryzacji bezhasłowej jest nieco bardziej rozpowszechnione w aplikacjach internetowych niż na urządzeniach mobilnych. Około połowy przedsiębiorstw informuje o korzystaniu wyłącznie z nazw użytkowników i haseł do autoryzacji swoich użytkowników przy logowaniu się do systemu, przy czym co piąty (22%) polega wyłącznie na hasłach do wtórnej autoryzacji przy dostępie do szczególnie ważnych danych (czyli użytkownik najpierw loguje się do aplikacji, używając prostszego sposób autoryzacji, a jeśli chce uzyskać dostęp do krytycznych danych, przeprowadzi kolejną procedurę autoryzacji, tym razem zazwyczaj korzystając z bardziej niezawodnej metody).
Należy zrozumieć, że w raporcie nie uwzględniono wykorzystania tokenów kryptograficznych do dwuetapowej autoryzacji w systemach operacyjnych Windows, Linux i Mac OS X. A to jest obecnie najczęstsze zastosowanie 2FA. (Niestety, ale tokeny stworzone według standardów FIDO potrafią realizować 2FA tylko dla Windows 10).
Ponadto, jeśli wdrożenie 2FA w aplikacjach internetowych i mobilnych wymaga kompleksu działań, obejmującego rozwój tych aplikacji, to w przypadku wdrażania 2FA w Windows wystarczy tylko skonfigurować PKI (na przykład na bazie Microsoft Certification Server) oraz polityki autoryzacji w AD.
A ponieważ ochrona dostępu do służbowego komputera PC i domeny jest istotnym elementem ochrony danych korporacyjnych, wdrożeń dwuetapowej autoryzacji przybywa.
Dwa kolejne najczęściej stosowane metody autoryzacji użytkowników przy logowaniu się do systemu to jednorazowe hasła, dostarczane za pomocą oddzielnej aplikacji (13% przedsiębiorstw), oraz jednorazowe hasła, przesyłane za pomocą SMS (12%). Mimo że procent użycia obu metod jest dość zbliżony, to OTP SMS najczęściej stosuje się do podwyższenia poziomu autoryzacji (w 24% firm). (Rysunek 12).
Wzrost stosowania ścisłej autoryzacji w przedsiębiorstwie można prawdopodobnie wyjaśnić zwiększoną dostępnością realizacji kryptograficznych metod autoryzacji na platformach zarządzania tożsamością w przedsiębiorstwie (mówiąc prosto – korporacyjne systemy SSO i IAM nauczyły się wykorzystywać tokeny).
W przypadku mobilnej autoryzacji pracowników i wykonawców, przedsiębiorstwa w większym stopniu polegają na hasłach niż w przypadku autoryzacji w aplikacjach konsumenckich. Nieco ponad połowa (53%) przedsiębiorstw stosuje hasła do autoryzacji dostępu użytkowników do danych firmy za pośrednictwem urządzeń mobilnych (rysunek 13).
W przypadku urządzeń mobilnych można by uwierzyć w niezwykłą moc biometrii, gdyby nie liczne przypadki fałszerstw odcisków palców, głosów, twarzy a nawet tęczówek. Jedno wyszukiwanie w silniku wyszukiwarki pokaże, że nie ma niezawodnego sposobu na biometryczną autoryzację. Oczywiście istnieją naprawdę precyzyjne czujniki, ale są bardzo drogie i mają dużą wielkość – więc nie są instalowane w smartfonach.
Dlatego jedyną działającą metodą 2FA w urządzeniach mobilnych jest wykorzystanie kryptograficznych tokenów, które łączą się ze smartfonem za pomocą interfejsów NFC, Bluetooth i USB Type-C.
Ochrona danych finansowych firmy jest głównym powodem inwestycji w autoryzację bezhasłową (44%), z najszybszym wzrostem od 2017 roku (wzrost o osiem punktów procentowych). Kolejnym ważnym czynnikiem jest ochrona własności intelektualnej (40%) oraz danych kadrowych (HR) (39%). I nie ma się co dziwić – wartość związana z tymi typami danych jest powszechnie uznawana, a pracuje z nimi stosunkowo niewiele osób. Oznacza to, że koszty wdrożeń nie są tak wysokie, a wyszkolenie niewielkiej liczby osób do obsługi bardziej skomplikowanego systemu autoryzacji jest stosunkowo proste. W przeciwieństwie do tego, typy danych i urządzenia, z którymi zazwyczaj obcuje większość pracowników przedsiębiorstwa, wciąż są chronione wyłącznie hasłami. Dokumenty pracowników, stacje robocze i korporacyjne portale pocztowe są obszarami największego ryzyka, ponieważ tylko jedna czwarta przedsiębiorstw zabezpiecza te zasoby za pomocą autoryzacji bezhasłowej (Rysunek 14).
W zasadzie korporacyjny e-mail to dość niebezpieczny i "dziurawy" system, a stopień jego potencjalnego niebezpieczeństwa jest niedoceniany przez większość dyrektorów IT. Codziennie pracownicy otrzymują dziesiątki wiadomości, więc czemu wśród nich nie miałby się trafić przynajmniej jeden phishingowy (czyli oszukańczy). Ta wiadomość będzie sformatowana w stylu korespondencji firmowej, więc pracownik bez obaw kliknie w link w tej wiadomości. A potem może się zdarzyć wszystko, na przykład zainstalowanie wirusa na zaatakowanej maszynie lub kradzież haseł (w tym metodą socjotechniki, poprzez wprowadzenie danych do stworzonego przez sprawcę fałszywego formularza autoryzacji).
Aby takie sytuacje się nie zdarzały, e-maile powinny mieć podpisy. Wtedy od razu będzie wiadomo, która wiadomość została stworzona przez legalnego pracownika, a która przez sprawcę. W Outlook / Exchange, na przykład, elektroniczny podpis oparty na tokenach kryptograficznych jest włączany dość szybko i prosto oraz może być używany wspólnie z uwierzytelnianiem dwuskładnikowym w systemach Windows i domenie.
Wśród tych menedżerów, którzy polegają wyłącznie na uwierzytelnianiu za pomocą hasła w firmie, dwie trzecie (66%) robi to, ponieważ uważa, że hasła zapewniają wystarczające bezpieczeństwo dla tego typu informacji, które ich firma musi chronić (rysunek 15).
Jednak metody ścisłego uwierzytelniania stają się coraz bardziej powszechne. W dużej mierze dzięki temu, że zwiększa się ich dostępność. Coraz więcej systemów zarządzania tożsamością i dostępem (IAM), przeglądarek oraz systemów operacyjnych obsługuje uwierzytelnianie za pomocą tokenów kryptograficznych.
Strict authentication ma również jedną dodatkową zaletę. Ponieważ hasło nie jest już używane (zostało zastąpione prostym kodem PIN), nie ma także próśb od pracowników o zmianę zapomnianego hasła. Co z kolei zmniejsza obciążenie działu IT firmy.
Podsumowanie i wnioski
- Menedżerowie zazwyczaj nie mają niezbędnej wiedzy, aby ocenić rzeczywistą skuteczność różnych opcji uwierzytelniania. Przyzwyczaili się ufać takim przestarzałym metodom ochrony jak hasła i pytania zabezpieczające po prostu dlatego, że "kiedyś to działało".
- Użytkownicy mają jeszcze mniej takich wiedzy w mniejszym stopniu, dla nich najważniejsze – prostota i wygoda. Na razie nie mają żadnych motywów, aby wybierać bardziej zabezpieczone rozwiązania.
- Programiści aplikacji użytkowych często nie mają powodów, aby wdrażać dwuetapową autoryzację zamiast hasła. Konkurencja w zakresie poziomu ochrony w aplikacjach użytkowych nie istnieje.
- Cała odpowiedzialność za włamanie spoczywa na użytkowniku. Nazywasz jednorazowe hasło przestępcy – winny. Twoje hasło zostało przechwycone lub podpatrzone – winny. Nie zażądałeś od programisty stosowania w produkcie solidnych metod autoryzacji – winny.
- Odpowiedni regulator powinien przede wszystkim wymagać od firm wprowadzenia rozwiązań, które blokują wycieki danych (w szczególności dwuetapowa autoryzacja), a nie karać za już zaistniałe wycieki danych.
- Niektórzy programiści oprogramowania próbują sprzedać konsumentom stare i niezbyt niezawodne rozwiązania w pięknym opakowaniu «innowacyjnego» produktu. Na przykład, autoryzacja poprzez powiązanie z konkretnym smartfonem lub wykorzystanie biometrii. Jak widać z raportu, prawdziwie niezawodne może być tylko rozwiązanie oparte na rygorystycznej autoryzacji, czyli tokenach kryptograficznych. Ten sam
- token kryptograficzny można wykorzystać do szeregu zadań : dorygorystycznej autoryzacji w systemie operacyjnym przedsiębiorstwa, w aplikacji korporacyjnej i użytkowej, do podpisu elektronicznego transakcji finansowych (ważne dla aplikacji bankowych), dokumentów i poczty elektronicznej. transakcji finansowych (ważne dla aplikacji bankowych), dokumentów i poczty elektronicznej.
Źródło: habr.com
