{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Co stanie si\u0119 z uwierzytelnianiem i has\u0142ami? T\u0142umaczenie raportu Javelin \u201eStan silnego uwierzytelniania\u201d z komentarzami","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Co
\n
\nSpoiler from the report title \"The number of strict authentication use cases has increased due to new risk threats and regulatory requirements\".
\nThe research company \"Javelin Strategy & Research\" has published the report \"The State of Strong Authentication 2019\" ( the original in pdf format can be downloaded here<\/a><\/noindex>). This report details what percentage of American and European companies use passwords (and why few use passwords today); why the percentage of two-factor authentication based on cryptographic tokens is growing so rapidly; and why one-time codes sent via SMS are insecure.<\/p>\n

Everyone interested in the current, past, and future of authentication in enterprise and consumer applications is welcome.
\n<\/a><\/noindex>
\nOd t\u0142umacza<\/b><\/p>\n

Unfortunately, the language in which this report is written is quite \"dry\" and formal. The five-time use of the word \"authentication\" in one short sentence is not due to the translator's clumsiness (or brains), but rather the authors' whim. When faced with two options for translation\u2014providing a version closer to the original or a more engaging text\u2014I sometimes chose the former and sometimes the latter. But bear with me, dear readers, the report's content is worth it.<\/p>\n

Some insignificant and unnecessary parts of the narrative have been omitted, otherwise most would struggle with the entire text. Those wishing to read the report \"uncut\" can do so in the original language by following the link.<\/p>\n

Unfortunately, the authors are not always careful with terminology. For instance, one-time passwords (One Time Password \u2013 OTP) are sometimes referred to as \"passwords\" and other times as \"codes\". With authentication methods, it's even worse. An unprepared reader might not always realize that \"authentication using cryptographic keys\" and \"strict authentication\" are the same thing. I have tried to standardize the terms as much as possible, and the report itself includes a section with their descriptions.<\/p>\n

Nevertheless, the report is highly recommended for reading, as it contains unique research results and accurate conclusions. <\/b><\/p>\n

Wszystkie liczby i fakty zosta\u0142y podane bez najmniejszych zmian, i je\u015bli si\u0119 z nimi nie zgadzasz, to lepiej nie dyskutowa\u0107 z t\u0142umaczem, a z autorami raportu. A oto moje komentarze (opublikowane jako cytaty, a w tek\u015bcie oznaczone kursyw\u0105<\/i>) s\u0105 moj\u0105 ocen\u0105 i ch\u0119tnie o ka\u017cdym z nich podyskutuj\u0119 (jak i na temat jako\u015bci t\u0142umaczenia). <\/p><\/blockquote>\n

<\/p>\n

Przegl\u0105d<\/h2>\n

\nW dzisiejszych czasach, dla biznesu, cyfrowe kana\u0142y komunikacji z klientami s\u0105 wa\u017cniejsze ni\u017c kiedykolwiek. Wewn\u0119trzne komunikacje mi\u0119dzy pracownikami r\u00f3wnie\u017c bardziej skupiaj\u0105 si\u0119 na \u015brodowisku cyfrowym ni\u017c kiedykolwiek wcze\u015bniej. A to, jak bezpieczne b\u0119d\u0105 te interakcje, zale\u017cy od wybranego sposobu autoryzacji u\u017cytkownik\u00f3w. Oszu\u015bci wykorzystuj\u0105 s\u0142ab\u0105 autoryzacj\u0119 do masowego w\u0142amania na konta u\u017cytkownik\u00f3w. W odpowiedzi, organy regulacyjne zaostrzaj\u0105 standardy, aby zmusi\u0107 biznes do lepszego zabezpieczania kont i danych u\u017cytkownik\u00f3w.<\/p>\n

Zagro\u017cenia zwi\u0105zane z autoryzacj\u0105 nie ograniczaj\u0105 si\u0119 jedynie do aplikacji konsumenckich; oszu\u015bci mog\u0105 uzyska\u0107 dost\u0119p tak\u017ce do aplikacji dzia\u0142aj\u0105cych wewn\u0105trz firmy. Tego rodzaju operacje pozwalaj\u0105 im podszywa\u0107 si\u0119 pod korporacyjnych u\u017cytkownik\u00f3w. Oszu\u015bci, wykorzystuj\u0105c punkty dost\u0119pu ze s\u0142ab\u0105 autoryzacj\u0105, mog\u0105 kra\u015b\u0107 dane i podejmowa\u0107 inne oszuka\u0144cze dzia\u0142ania. Na szcz\u0119\u015bcie istniej\u0105 \u015brodki zaradcze. \u015acis\u0142a autoryzacja mo\u017ce znacznie zmniejszy\u0107 ryzyko atak\u00f3w oszust\u00f3w, zar\u00f3wno na aplikacje konsumenckie, jak i na systemy biznesowe przedsi\u0119biorstw.<\/p>\n

W tym badaniu om\u00f3wiono: jak przedsi\u0119biorstwa wdra\u017caj\u0105 autoryzacj\u0119 w celu ochrony aplikacji u\u017cytkownik\u00f3w i system\u00f3w biznesowych; czynniki, kt\u00f3re bior\u0105 pod uwag\u0119 przy wyborze rozwi\u0105zania autoryzacyjnego; rol\u0119, jak\u0105 \u015bcis\u0142a autoryzacja odgrywa w ich organizacjach; korzy\u015bci, jakie te organizacje czerpi\u0105.<\/p>\n

Podsumowanie<\/h2>\n

<\/p>\n

G\u0142\u00f3wne wnioski<\/h3>\n

\nOd 2017 roku znacznie wzr\u00f3s\u0142 odsetek stosowania \u015bcis\u0142ej autoryzacji. <\/b> Wraz ze wzrostem liczby luk bezpiecze\u0144stwa dotycz\u0105cych tradycyjnych rozwi\u0105za\u0144 autoryzacyjnych, organizacje wzmacniaj\u0105 swoje mo\u017cliwo\u015bci autoryzacji dzi\u0119ki \u015bcis\u0142ej autoryzacji. Liczba organizacji stosuj\u0105cych wielosk\u0142adnikow\u0105 autoryzacj\u0119 z wykorzystaniem kryptografii (MFA) potroi\u0142a si\u0119 od 2017 roku dla aplikacji konsumenckich i wzros\u0142a o prawie 50% dla aplikacji korporacyjnych. Najszybszy wzrost obserwuje si\u0119 w autoryzacji mobilnej z powodu rosn\u0105cej dost\u0119pno\u015bci autoryzacji biometrycznej.<\/p>\n

Tut widzimy ilustracj\u0119 przys\u0142owia \u201edop\u00f3ki grzmot nie uderzy, m\u0119\u017cczyzna si\u0119 nie prze\u017cegna\u201d. Gdy eksperci ostrzegali o niepewno\u015bci hase\u0142, nikt nie \u015bpieszy\u0142 si\u0119 z wdra\u017caniem uwierzytelniania dwuetapowego. Kiedy hakerzy zacz\u0119li kra\u015b\u0107 has\u0142a \u2013 ludzie zacz\u0119li wprowadza\u0107 uwierzytelnianie dwuetapowe.<\/p>\n

Prawda jest taka, \u017ce osoby prywatne znacznie aktywniej wdra\u017caj\u0105 2FA. Po pierwsze, \u0142atwiej im uspokoi\u0107 swoje l\u0119ki, polegaj\u0105c na wbudowanej w smartfony biometrycznej formie uwierzytelniania, kt\u00f3ra w rzeczywisto\u015bci jest do\u015b\u0107 zaw zawodna. Organizacje musz\u0105 natomiast ponie\u015b\u0107 koszty zakupu token\u00f3w i przeprowadzi\u0107 (w rzeczywisto\u015bci ca\u0142kiem proste) prace nad ich wdro\u017ceniem. Po drugie, o wyciekach hase\u0142 z serwis\u00f3w typu Facebook i Dropbox nie napisa\u0142 tylko leniwy, ale dyrektorzy IT tych organizacji nie podziel\u0105 si\u0119 historiami o tym, jak kradziono has\u0142a (i co si\u0119 dzia\u0142o p\u00f3\u017aniej) w ich firmach pod \u017cadnym pozorem. <\/p><\/blockquote>\n

\nCi, kt\u00f3rzy nie stosuj\u0105 \u015bcis\u0142ej autoryzacji, nie doceniaj\u0105 swojego ryzyka dla biznesu i klient\u00f3w. <\/b> Niekt\u00f3re organizacje, kt\u00f3re obecnie nie stosuj\u0105 \u015bcis\u0142ej autoryzacji, sk\u0142onne s\u0105 traktowa\u0107 loginy i has\u0142a jako jedn\u0105 z najbardziej efektywnych i najprostszych metod uwierzytelniania u\u017cytkownik\u00f3w. Inne nie dostrzegaj\u0105 warto\u015bci cyfrowych zasob\u00f3w, kt\u00f3rymi dysponuj\u0105. Nale\u017cy pami\u0119ta\u0107, \u017ce cyberprzest\u0119pc\u00f3w interesuje ka\u017cda informacja konsumencka i biznesowa. Dwie trzecie firm, kt\u00f3re u\u017cywaj\u0105 tylko hase\u0142 do uwierzytelniania swoich pracownik\u00f3w, robi to, poniewa\u017c uwa\u017caj\u0105, \u017ce has\u0142a s\u0105 wystarczaj\u0105co dobre dla typu informacji, kt\u00f3re chroni\u0105.<\/p>\n

Niemniej jednak, has\u0142a maj\u0105 swoj\u0105 \u015bmier\u0107 na horyzoncie. <\/b> W ci\u0105gu ostatniego roku zale\u017cno\u015b\u0107 od hase\u0142 znacznie si\u0119 zmniejszy\u0142a, zar\u00f3wno w aplikacjach konsumenckich, jak i korporacyjnych (z 44% do 31%, oraz z 56% do 47% odpowiednio), poniewa\u017c organizacje rozszerzaj\u0105 zastosowanie tradycyjnej MFA i \u015bcis\u0142ej autoryzacji.
\nJednak\u017ce, oceniaj\u0105c sytuacj\u0119 w ca\u0142ej rozci\u0105g\u0142o\u015bci, wci\u0105\u017c przewa\u017caj\u0105 wra\u017cliwe metody uwierzytelniania. Oko\u0142o jedna czwarta organizacji wykorzystuje do uwierzytelnienia u\u017cytkownik\u00f3w SMS OTP (jednorazowy kod) razem z pytaniami zabezpieczaj\u0105cymi. W rezultacie, aby chroni\u0107 si\u0119 przed lukami, konieczne staje si\u0119 wdro\u017cenie dodatkowych \u015brodk\u00f3w ochrony, co podnosi koszty. Stosowanie znacznie bardziej niezawodnych metod uwierzytelniania, takich jak sprz\u0119towe klucze kryptograficzne, ma miejsce znacznie rzadziej, zaledwie w oko\u0142o 5% organizacji.<\/p>\n

Rozwijaj\u0105ce si\u0119 otoczenie regulacyjne obiecuje przyspieszy\u0107 wdra\u017canie surowego uwierzytelniania dla aplikacji konsumenckich. <\/b> Wprowadzenie PSD2, a tak\u017ce nowych zasad ochrony danych w UE i kilku stanach USA, takich jak Kalifornia, spowodowa\u0142o, \u017ce firmy czuj\u0105, i\u017c robi si\u0119 gor\u0105co. Prawie 70% firm zgadza si\u0119, \u017ce staj\u0105 przed siln\u0105 presj\u0105 regulacyjn\u0105, aby zapewni\u0107 surowe uwierzytelnianie dla swoich klient\u00f3w. Ponad po\u0142owa przedsi\u0119biorstw uwa\u017ca, \u017ce za kilka lat ich metody uwierzytelniania nie b\u0119d\u0105 wystarczaj\u0105ce, aby spe\u0142ni\u0107 standardy regulacyjne.<\/p>\n

Wyra\u017anie wida\u0107 r\u00f3\u017cnice w podej\u015bciu rosyjskich i ameryka\u0144sko-europejskich ustawodawc\u00f3w do ochrony danych osobowych u\u017cytkownik\u00f3w program\u00f3w i us\u0142ug. Rosyjscy m\u00f3wi\u0105: drodzy w\u0142a\u015bciciele us\u0142ug, r\u00f3bcie, co chcecie i jak chcecie, ale je\u015bli wasz administrator wycieknie baz\u0119, to was ukarzymy. Za granic\u0105 m\u00f3wi\u0105: musicie wdro\u017cy\u0107 zesp\u00f3\u0142 \u015brodk\u00f3w, kt\u00f3ry nie pozwoli<\/b> na wyciek bazy. Dlatego tam szeroko wprowadza si\u0119 wymagania dotycz\u0105ce dwuetapowego uwierzytelniania.
\nPrawda jest taka, \u017ce nie ma pewno\u015bci, \u017ce nasza legislacyjna maszyna w pewnym momencie nie obudzi si\u0119 i nie uwzgl\u0119dni zachodniego do\u015bwiadczenia. Wtedy oka\u017ce si\u0119, \u017ce wszyscy musz\u0105 wdro\u017cy\u0107 2FA, zgodne z rosyjskimi standardami kryptograficznymi, i to pilnie.\n<\/p><\/blockquote>\n

\nTworzenie solidnej podstawy uwierzytelniania pozwala firmom przesun\u0105\u0107 nacisk z zaspokajania wymog\u00f3w regulacyjnych na zaspokajanie potrzeb klient\u00f3w. <\/b> Dla organizacji, kt\u00f3re nadal u\u017cywaj\u0105 prostych hase\u0142 lub otrzymuj\u0105 kody SMS, najwa\u017cniejszym czynnikiem przy wyborze metody uwierzytelniania b\u0119d\u0105 normy prawne. Natomiast firmy, kt\u00f3re ju\u017c stosuj\u0105 \u015bcis\u0142e uwierzytelnianie, mog\u0105 skupi\u0107 si\u0119 na wyborze metod, kt\u00f3re zwi\u0119kszaj\u0105 lojalno\u015b\u0107 klient\u00f3w.<\/p>\n

Przy wyborze metody uwierzytelniania w firmie wymagania regulator\u00f3w nie s\u0105 ju\u017c znacz\u0105cym czynnikiem. <\/b> W takim przypadku znacznie wa\u017cniejsza jest prostota integracji (32%) i koszt (26%). <\/p>\n

W erze phishingu przest\u0119pcy mog\u0105 wykorzystywa\u0107 firmowy e-mail do oszustw,<\/b> aby podst\u0119pnie uzyska\u0107 dost\u0119p do danych, kont (z odpowiednimi uprawnieniami) oraz nawet przekona\u0107 pracownik\u00f3w do dokonania przelewu na swoje konto. Dlatego konta e-mailowe i portale firmowe musz\u0105 by\u0107 szczeg\u00f3lnie dobrze zabezpieczone.<\/p>\n

Google wzmocni\u0142 swoje zabezpieczenia, wprowadzaj\u0105c \u015bcis\u0142e uwierzytelnienie.<\/b> Ponad dwa lata temu Google opublikowa\u0142 raport dotycz\u0105cy wdro\u017cenia dwuetapowego uwierzytelnienia opartego na kryptograficznych kluczach bezpiecze\u0144stwa zgodnych z norm\u0105 FIDO U2F, informuj\u0105c o imponuj\u0105cych wynikach. Wed\u0142ug firmy \u017cadna z ponad 85 000 os\u00f3b nie pad\u0142a ofiar\u0105 ataku phishingowego. <\/p>\n

Zalecenia<\/h3>\n

\nWdra\u017caj \u015bcis\u0142e uwierzytelnienie dla aplikacji mobilnych i internetowych. <\/b> Uwierzytelnienie wielosk\u0142adnikowe oparte na kryptograficznych kluczach znacznie lepiej chroni przed\u0142amaniem ni\u017c tradycyjne metody MFA. Co wi\u0119cej, u\u017cycie kluczy kryptograficznych jest znacznie wygodniejsze, poniewa\u017c nie trzeba u\u017cywa\u0107 i przekazywa\u0107 dodatkowych informacji \u2014 hase\u0142, jednorazowych hase\u0142 czy danych biometrycznych z urz\u0105dzenia u\u017cytkownika na serwer uwierzytelniaj\u0105cy. Ponadto, standaryzacja protoko\u0142\u00f3w uwierzytelniania u\u0142atwia wdra\u017canie nowych metod uwierzytelniania w miar\u0119 ich pojawiania si\u0119, obni\u017caj\u0105c koszty u\u017cytkowania i chroni\u0105c przed bardziej z\u0142o\u017conymi schematami oszustwa.<\/p>\n

Przygotuj si\u0119 na koniec jednorazowych hase\u0142 (OTP). <\/b> Wra\u017cliwo\u015bci zwi\u0105zane z OTP staj\u0105 si\u0119 coraz bardziej oczywiste w kontek\u015bcie, gdy cyberprzest\u0119pcy wykorzystuj\u0105 in\u017cynieri\u0119 spo\u0142eczn\u0105, klonowanie smartfon\u00f3w i z\u0142o\u015bliwe oprogramowanie do kompromitacji tych \u015brodk\u00f3w uwierzytelniania. A je\u015bli OTP w niekt\u00f3rych przypadkach maj\u0105 pewne zalety, to tylko w zakresie uniwersalnej dost\u0119pno\u015bci dla wszystkich u\u017cytkownik\u00f3w, ale nie w kwestii bezpiecze\u0144stwa.<\/p>\n

Nie mo\u017cna nie zauwa\u017cy\u0107, \u017ce otrzymywanie kod\u00f3w za po\u015brednictwem SMS-\u00f3w lub powiadomie\u0144 Push oraz generowanie kod\u00f3w za pomoc\u0105 aplikacji na smartfony to w\u0142a\u015bnie wykorzystanie tych jednorazowych hase\u0142 (OTP), do kt\u00f3rych ko\u0144ca powinni\u015bmy si\u0119 przygotowa\u0107. Z technicznego punktu widzenia to bardzo w\u0142a\u015bciwe rozwi\u0105zanie, poniewa\u017c rzadki oszust nie stara si\u0119 wyci\u0105gn\u0105\u0107 jednorazowego has\u0142a od naiwnego u\u017cytkownika. Ale my\u015bl\u0119, \u017ce producenci takich system\u00f3w b\u0119d\u0105 si\u0119 trzymali umieraj\u0105cej technologii do ostatniego momentu. <\/p><\/blockquote>\n

Wykorzystaj \u015bcis\u0142e uwierzytelnianie jako narz\u0119dzie marketingowe do zwi\u0119kszenia zaufania klient\u00f3w. <\/b> \u015acis\u0142e uwierzytelnianie mo\u017ce nie tylko poprawi\u0107 rzeczywiste bezpiecze\u0144stwo Twojego biznesu. Informowanie klient\u00f3w o tym, \u017ce Twoja firma stosuje \u015bcis\u0142e uwierzytelnianie, mo\u017ce wzmocni\u0107 spo\u0142eczne postrzeganie bezpiecze\u0144stwa tej firmy \u2014 istotny czynnik, gdy istnieje du\u017ce zapotrzebowanie klient\u00f3w na niezawodne metody uwierzytelniania.<\/p>\n

Dok\u0142adnie zinwentaryzuj i oce\u0144 znaczenie danych korporacyjnych oraz zabezpiecz je zgodnie z ich warto\u015bci\u0105. <\/b> Nawet dane o niskim poziomie ryzyka, takie jak dane kontaktowe klient\u00f3w (tak, naprawd\u0119, w raporcie jest napisane 'low-risk', bardzo dziwne, \u017ce niedoceniaj\u0105 wa\u017cno\u015bci tych informacji<\/i>), mog\u0105 by\u0107 dla oszust\u00f3w znaczn\u0105 warto\u015bci\u0105 i przyczyn\u0105 problem\u00f3w dla firmy. <\/p>\n

Wdra\u017caj \u015bcis\u0142e uwierzytelnianie w przedsi\u0119biorstwie. <\/b> Niekt\u00f3re systemy s\u0105 najbardziej atrakcyjnymi celami dla przest\u0119pc\u00f3w. Nale\u017c\u0105 do nich takie wewn\u0119trzne oraz pod\u0142\u0105czone do Internetu systemy, jak program ksi\u0119gowy czy magazyn danych korporacyjnych. \u015acis\u0142e uwierzytelnianie uniemo\u017cliwia przest\u0119pcom uzyskanie nieautoryzowanego dost\u0119pu oraz pozwala dok\u0142adnie ustali\u0107, kt\u00f3ry z pracownik\u00f3w pope\u0142ni\u0142 dzia\u0142anie o charakterze z\u0142ym.<\/p>\n

Czym jest \u015bcis\u0142a autoryzacja? <\/h2>\n

\nW przypadku \u015bcis\u0142ej autoryzacji do weryfikacji to\u017csamo\u015bci u\u017cytkownika stosuje si\u0119 kilka metod lub czynnik\u00f3w:<\/p>\n