{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Ce se va \u00eent\u00e2mpla cu autentificarea \u0219i parolele? Traducerea raportului Javelin \u201eStarea autentific\u0103rii stricte\u201d cu comentarii","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ce
\n
\nSpoiler from the report title \"The number of instances of strong authentication has increased due to the threats of new risks and regulatory requirements.\"
\nThe research company \"Javelin Strategy & Research\" has published the report \"The State of Strong Authentication 2019\" ( the original in pdf format can be downloaded here<\/a><\/noindex>). This report states: what percentage of American and European companies use passwords (and why passwords are used less frequently now); why the percentage of two-factor authentication using cryptographic tokens is growing so rapidly; why one-time codes sent via SMS are unsafe.<\/p>\n

To everyone interested in the topic of the present, past, and future of authentication in enterprise and consumer applications \u2014 welcome.
\n<\/a><\/noindex>
\nDin partea translatorului<\/b><\/p>\n

Unfortunately, the language in which this report is written is quite \"dry\" and formal. The five-time repetition of the word \"authentication\" in one short sentence is not a flaw of the translator, but rather a whim of the authors. When translating from two options \u2014 providing readers with something closer to the original, or a more engaging text, I sometimes chose the former, at other times the latter. But bear with me, dear readers, the content of the report is worth it.<\/p>\n

Some insignificant and unnecessary parts for the narrative have been removed; otherwise, most readers would not have been able to cope with the entire text. Those wishing to examine the report \"uncensored\" can do so in the original language by following the link.<\/p>\n

Unfortunately, the authors are not always precise with terminology. For instance, one-time passwords (One Time Password \u2013 OTP) are sometimes referred to as \"passwords\" and at other times as \"codes.\" The situation with authentication methods is even worse. It is not always easy for an unprepared reader to guess that \"authentication using cryptographic keys\" and \"strong authentication\" refer to the same thing. I attempted to standardize the terms as much as possible; furthermore, there is a fragment in the report that describes them.<\/p>\n

Nevertheless, the report is highly recommended for reading as it contains unique research results and accurate conclusions. <\/b><\/p>\n

Toate cifrele \u0219i faptele sunt prezentate f\u0103r\u0103 nicio modificare \u0219i, dac\u0103 nu sunte\u021bi de acord cu ele, cel mai bine este s\u0103 nu discuta\u021bi cu traduc\u0103torul, ci cu autorii raportului. Comentariile mele (formate ca citate, iar \u00een text marcate \u00een italice<\/i>) reprezint\u0103 opinia mea \u0219i a\u0219 fi bucuros s\u0103 discut despre fiecare dintre ele (la fel ca \u0219i despre calitatea traducerii). <\/p><\/blockquote>\n

<\/p>\n

Prezentare general\u0103<\/h2>\n

\n\u00cen prezent, pentru afaceri, canalele digitale de comunicare cu clien\u021bii sunt mai importante ca niciodat\u0103. De asemenea, comunicarea \u00eentre angaja\u021bi \u00een cadrul unei organiza\u021bii este mai orientat\u0103 spre medii digitale dec\u00e2t oric\u00e2nd. Siguran\u021ba acestor interac\u021biuni depinde de metoda de autentificare a utilizatorilor aleas\u0103. Atacatorii folosesc autentificarea slab\u0103 pentru a compromite conturile utilizatorilor \u00een mas\u0103. Ca r\u0103spuns, autorit\u0103\u021bile de reglementare \u00ee\u0219i intensific\u0103 standardele pentru a determina companiile s\u0103 protejeze mai bine conturile \u0219i datele utilizatorilor.<\/p>\n

Amenin\u021b\u0103rile legate de autentificare nu se limiteaz\u0103 doar la aplica\u021biile pentru consumatori; atacatorii pot accesa \u0219i aplica\u021biile care func\u021bioneaz\u0103 \u00een cadrul organiza\u021biilor. Aceast\u0103 ac\u021biune le permite s\u0103 se prezinte ca utilizatori corporate. Atacatorii, folosind puncte de acces cu autentificare slab\u0103, pot fura date \u0219i pot efectua alte activit\u0103\u021bi frauduloase. Din fericire, exist\u0103 m\u0103suri de combatere a acestora. Autentificarea strict\u0103 va ajuta semnificativ la reducerea riscului de atac de c\u0103tre atacatori, at\u00e2t asupra aplica\u021biilor pentru consumatori, c\u00e2t \u0219i asupra sistemelor de afaceri ale organiza\u021biilor.<\/p>\n

Aceast\u0103 cercetare examineaz\u0103: cum implementeaz\u0103 organiza\u021biile autentificarea pentru a proteja aplica\u021biile utilizatorilor \u0219i sistemele de afaceri ale organiza\u021biei; factorii pe care \u00eei iau \u00een considerare atunci c\u00e2nd aleg o solu\u021bie de autentificare; rolul pe care autentificarea strict\u0103 \u00eel are \u00een organiza\u021biile lor; beneficiile pe care aceste organiza\u021bii le ob\u021bin.<\/p>\n

Rezumat<\/h2>\n

<\/p>\n

Concluzii principale<\/h3>\n

\n\u00cencep\u00e2nd din 2017, procentajul utiliz\u0103rii autentific\u0103rii stricte a crescut semnificativ. <\/b> Odat\u0103 cu cre\u0219terea num\u0103rului de vulnerabilit\u0103\u021bi care afecteaz\u0103 solu\u021biile tradi\u021bionale de autentificare, organiza\u021biile \u00ee\u0219i \u00eent\u0103resc capacit\u0103\u021bile de autentificare prin utilizarea autentific\u0103rii stricte. Num\u0103rul organiza\u021biilor care folosesc autentificarea multifactor cu criptografie (MFA) s-a triplat din 2017 pentru aplica\u021biile pentru consumatori \u0219i a crescut cu aproape 50% pentru aplica\u021biile corporate. Cea mai rapid\u0103 cre\u0219tere se \u00eenregistreaz\u0103 \u00een autentificarea mobil\u0103, datorit\u0103 accesibilit\u0103\u021bii cresc\u00e2nde a autentific\u0103rii biometrice.<\/p>\n

Aici vedem o ilustra\u021bie a proverbului \u201ep\u00e2n\u0103 nu tun\u0103, b\u0103rbatul nu se \u00eenchin\u0103\u201d. C\u00e2nd exper\u021bii avertizau asupra nesiguran\u021bei parolelor, nimeni nu se gr\u0103bea s\u0103 implementeze autentificarea cu doi factori. Odat\u0103 ce hackerii au \u00eenceput s\u0103 fure parolele, oamenii au \u00eenceput s\u0103 implementeze autentificarea cu doi factori.<\/p>\n

Adev\u0103rul este c\u0103 persoanele fizice implementeaz\u0103 mult mai activ 2FA. \u00cen primul r\u00e2nd, le este mai u\u0219or s\u0103 \u00ee\u0219i lini\u0219teasc\u0103 temerile, baz\u00e2ndu-se pe autentificarea biometric\u0103 \u00eencorporat\u0103 \u00een smartphone-uri, care este de fapt destul de nesigur\u0103. Organiza\u021biile \u00eens\u0103 trebuie s\u0103 investeasc\u0103 \u00een achizi\u021bia de token-uri \u0219i s\u0103 efectueze lucr\u0103ri (de fapt destul de simple) pentru implementarea acestora. \u00cen al doilea r\u00e2nd, despre scurgerile de parole din servicii precum Facebook \u0219i Dropbox nu a scris doar cel lene\u0219, dar despre pove\u0219tile cum s-au furat parolele (\u0219i ce s-a \u00eent\u00e2mplat apoi) organiza\u021biile nu vor \u00eemp\u0103rt\u0103\u0219i \u00een niciun caz IT directorii lor. <\/p><\/blockquote>\n

\nCei care nu utilizeaz\u0103 autentificarea strict\u0103 subestimeaz\u0103 riscul pentru afacerea \u0219i clien\u021bii lor. <\/b> Unele organiza\u021bii care \u00een prezent nu folosesc autentificarea strict\u0103 tind s\u0103 considere logine \u0219i parole ca fiind una dintre cele mai eficiente \u0219i simple metode de autentificare a utilizatorilor. Altele nu v\u0103d valoarea activelor digitale pe care le de\u021bin. Este de re\u021binut c\u0103 infractorii cibernetici sunt interesa\u021bi de orice informa\u021bie consumator \u0219i de afaceri. Dou\u0103 treimi dintre companiile care folosesc doar parole pentru autentificarea angaja\u021bilor lor fac acest lucru pentru c\u0103 consider\u0103 c\u0103 parolele sunt suficiente pentru tipul de informa\u021bie pe care o protejeaz\u0103.<\/p>\n

Cu toate acestea, parolele sunt pe cale de dispari\u021bie. <\/b> \u00cen ultimul an, dependen\u021ba de parole a sc\u0103zut semnificativ, at\u00e2t pentru aplica\u021biile de consum c\u00e2t \u0219i pentru cele corporative (de la 44% la 31%, \u0219i de la 56% la 47% respectiv), pe fondul extinderii aplic\u0103rii tradi\u021bionale MFA \u0219i autentific\u0103rii stricte de c\u0103tre organiza\u021bii.
\nDar dac\u0103 evalu\u0103m situa\u021bia \u00een ansamblu, modalit\u0103\u021bile vulnerabile de autentificare continu\u0103 s\u0103 predomin\u0103. Aproape o p\u0103trime dintre organiza\u021bii folosesc SMS OTP (parol\u0103 unic\u0103 trimis\u0103 prin SMS) \u00eempreun\u0103 cu \u00eentreb\u0103ri secrete pentru autentificarea utilizatorilor. Ca rezultat, pentru a proteja \u00eempotriva vulnerabilit\u0103\u021bilor, este necesar s\u0103 se implementeze m\u0103suri suplimentare de securitate, ceea ce cre\u0219te costurile. Utilizarea unor metode de autentificare mult mai sigure, cum ar fi cheile criptografice hardware, este mult mai rar\u0103, ajung\u00e2nd la aproximativ 5% dintre organiza\u021bii.<\/p>\n

Medii de reglementare \u00een dezvoltare promit s\u0103 accelereze implementarea autentific\u0103rii stricte pentru aplica\u021biile consumatorilor. <\/b> Odat\u0103 cu introducerea PSD2, precum \u0219i a noilor reglement\u0103ri privind protec\u021bia datelor \u00een UE \u0219i \u00een mai multe state din SUA, cum ar fi California, companiile simt c\u0103 temperatura cre\u0219te. Aproape 70% dintre companii sunt de acord c\u0103 se confrunt\u0103 cu o presiune puternic\u0103 din partea reglement\u0103rilor pentru a asigura autentificarea strict\u0103 a clien\u021bilor lor. Mai mult de jum\u0103tate dintre \u00eentreprinderi consider\u0103 c\u0103, \u00een c\u00e2\u021biva ani, metodele lor de autentificare nu vor fi suficiente pentru a se conforma standardelor de reglementare.<\/p>\n

Se remarc\u0103 o diferen\u021b\u0103 semnificativ\u0103 \u00eentre abord\u0103rile legislatorilor ru\u0219i \u0219i cei americo-europeni \u00een privin\u021ba protec\u021biei datelor personale ale utilizatorilor de programe \u0219i servicii. Cei ru\u0219i spun: \u201edragi proprietari de servicii, face\u021bi ce dori\u021bi \u0219i cum dori\u021bi, dar dac\u0103 administratorul vostru compromite baza de date, atunci v\u0103 vom pedepsi.\u201d \u00cen str\u0103in\u0103tate se spune: \u201eTrebuie s\u0103 implementa\u021bi un ansamblu de m\u0103suri, care nu va permite<\/b> compromite baza de date. De aceea, acolo se implementeaz\u0103 cerin\u021be pentru existen\u021ba unei autentific\u0103ri stricte cu dou\u0103 factori.
\nAdev\u0103rul este c\u0103 nu este deloc sigur c\u0103 ma\u0219ina noastr\u0103 legislativ\u0103 nu se va trezi \u00eentr-o bun\u0103 zi \u0219i nu va lua \u00een considerare experien\u021ba vestului. Atunci se va dovedi c\u0103 toat\u0103 lumea trebuie s\u0103 implementeze 2FA, conform standardelor criptografice ruse\u0219ti, \u0219i chiar urgent.\n<\/p><\/blockquote>\n

\nCrearea unei baze de autentificare fiabile permite companiilor s\u0103 mute accentul de la respectarea cerin\u021belor de reglementare la satisfacerea nevoilor clien\u021bilor. <\/b> Pentru acele organiza\u021bii care \u00eenc\u0103 utilizeaz\u0103 parole simple sau primesc coduri prin SMS, cel mai important factor \u00een alegerea metodei de autentificare va fi conformitatea cu cerin\u021bele legale. Companiile care utilizeaz\u0103 deja autentificarea stringent\u0103 se pot concentra pe alegerea metodelor de autentificare care cresc loialitatea clien\u021bilor.<\/p>\n

\u00cen alegerea metodei de autentificare corporativ\u0103 \u00een cadrul unei organiza\u021bii, cerin\u021bele autorit\u0103\u021bilor de reglementare nu mai sunt un factor semnificativ. <\/b> \u00cen acest caz, mult mai important\u0103 este u\u0219urin\u021ba integr\u0103rii (32%) \u0219i costul (26%). <\/p>\n

\u00cen era phishing-ului, atacatorii pot folosi emailurile corporative pentru frauda,<\/b> pentru a ob\u021bine \u00een mod fraudulos acces la date, conturi (cu drepturi de acces corespunz\u0103toare) \u0219i chiar pentru a convinge angaja\u021bii s\u0103 efectueze o plat\u0103 pe contul s\u0103u. De aceea, conturile de email corporativ \u0219i portalele trebuie s\u0103 fie protejate \u00een mod special.<\/p>\n

Google \u0219i-a \u00eent\u0103rit securitatea implement\u00e2nd autentificarea stringent\u0103.<\/b> Acum mai bine de doi ani, Google a publicat un raport privind implementarea autentific\u0103rii cu doi factori bazat\u0103 pe chei criptografice de securitate conform standardului FIDO U2F, raport\u00e2nd rezultate impresive. Conform companiei, nu a avut loc nicio atac de phishing \u00eempotriva a peste 85.000 de angaja\u021bi. <\/p>\n

Recomand\u0103ri<\/h3>\n

\nImplementa\u021bi autentificarea stringent\u0103 pentru aplica\u021biile mobile \u0219i online. <\/b> Autentificarea multifactorial\u0103 bazat\u0103 pe chei criptografice protejeaz\u0103 mult mai bine \u00eempotriva atacurilor dec\u00e2t metodele tradi\u021bionale MFA. \u00cen plus, utilizarea cheilor criptografice este mult mai convenabil\u0103, deoarece nu este nevoie s\u0103 se foloseasc\u0103 \u0219i s\u0103 se transmit\u0103 informa\u021bii suplimentare \u2014 parole, parole unice sau date biometrice de pe dispozitivul utilizatorului c\u0103tre serverul de autentificare. \u00cen plus, standardizarea protocoalelor de autentificare faciliteaz\u0103 implementarea de noi metode de autentificare pe m\u0103sur\u0103 ce acestea apar, reduc\u00e2nd costurile de utilizare \u0219i protej\u00e2nd \u00eempotriva unor scheme mai complexe de fraud\u0103.<\/p>\n

Preg\u0103ti\u021bi-v\u0103 pentru apusul parolelor unice (OTP). <\/b> Vulnerabilit\u0103\u021bile asociate cu OTP devin din ce \u00een ce mai evidente, \u00een condi\u021biile \u00een care infractorii cibernetici utilizeaz\u0103 ingineria social\u0103, clonarea smartphone-urilor \u0219i malware pentru a compromite aceste metode de autentificare. \u0218i, de\u0219i OTP ofer\u0103 anumite avantaje vizibile, acestea sunt doar din perspectiva accesibilit\u0103\u021bii universale pentru to\u021bi utilizatorii, nu din punctul de vedere al securit\u0103\u021bii.<\/p>\n

Nu putem ignor\u0103 faptul c\u0103 ob\u021binerea codurilor prin SMS sau notific\u0103ri Push, precum \u0219i generarea codurilor prin aplica\u021bii pentru smartphone-uri, reprezint\u0103 utilizarea acelor parole unice (OTP) la sf\u00e2r\u0219itul c\u0103rora ni se spune s\u0103 ne preg\u0103tim. Din punct de vedere tehnic, solu\u021bia este foarte corect\u0103, deoarece pu\u021bini infractori nu \u00eencearc\u0103 s\u0103 ob\u021bin\u0103 parola unic\u0103 de la un utilizator de \u00eencredere. Dar cred c\u0103 produc\u0103torii acestor sisteme se vor ag\u0103\u021ba p\u00e2n\u0103 la final de o tehnologie \u00een declin. <\/p><\/blockquote>\n

Folosi\u021bi autentificarea strict\u0103 ca instrument de marketing pentru a cre\u0219te \u00eencrederea clien\u021bilor. <\/b> Autentificarea strict\u0103 nu numai c\u0103 poate \u00eembun\u0103t\u0103\u021bi securitatea real\u0103 a afacerii dumneavoastr\u0103. Informarea clien\u021bilor c\u0103 afacerea dumneavoastr\u0103 folose\u0219te autentificarea strict\u0103 poate consolida percep\u021bia publicului asupra securit\u0103\u021bii acestei afaceri \u2014 un factor important, av\u00e2nd \u00een vedere cererea considerabil\u0103 a clien\u021bilor pentru metode de autentificare de \u00eencredere.<\/p>\n

Face\u021bi o inventariere am\u0103nun\u021bit\u0103 \u0219i evalua\u021bi importan\u021ba datelor corporative \u0219i proteja\u021bi-le conform acestei importan\u021be. <\/b> Chiar \u0219i datele cu nivel sc\u0103zut de risc, cum ar fi informa\u021biile de contact ale clien\u021bilor (nu, de fapt, raportul men\u021bioneaz\u0103 clar \u201clow-risk\u201d, este foarte ciudat c\u0103 subestimeaz\u0103 importan\u021ba acestei informa\u021bii<\/i>), pot aduce infractorilor o valoare semnificativ\u0103 \u0219i pot cauza probleme pentru companie. <\/p>\n

Utiliza\u021bi autentificarea strict\u0103 \u00een cadrul \u00eentreprinderii. <\/b> O serie de sisteme sunt cele mai atractive \u021binte pentru infractori. Acestea includ at\u00e2t sisteme interne, c\u00e2t \u0219i conectate la Internet, cum ar fi, programele contabile sau stocurile de date corporative. Autentificarea strict\u0103 nu permite infractorilor s\u0103 ob\u021bin\u0103 acces neautorizat \u0219i, de asemenea, permite identificarea exact\u0103 a angajatului care a desf\u0103\u0219urat activit\u0103\u021bi mali\u021bioase.<\/p>\n

Ce este autentificarea strict\u0103? <\/h2>\n

\n\u00cen cazul autentific\u0103rii stricte, pentru verificarea identit\u0103\u021bii utilizatorului sunt utilizate mai multe metode sau factori:<\/p>\n