Čo sa stane s autentifikáciou a heslami? Preklad správy Javelin „Stav silnej autentifikácie“ s komentármi

Spoiler from the report title "The number of strong authentication use cases has increased due to new risks and regulatory requirements."
The research company "Javelin Strategy & Research" published the report "The State of Strong Authentication 2019" ( the original in pdf format can be downloaded here). This report states what percentage of American and European companies use passwords (and why passwords are rarely used now); why the percentage of two-factor authentication based on cryptographic tokens is growing so rapidly; why one-time codes sent via SMS are not secure.

Welcome to everyone interested in the topic of the present, past, and future of authentication in enterprise and consumer applications.

Od prekladateľa

Unfortunately, the language in which this report is written is quite "dry" and formal. And the fivefold use of the word “authentication” in one short sentence is not the translator's clumsiness, but rather a whim of the authors. When translating, I sometimes chose to provide readers with a version closer to the original, and sometimes a more engaging text. But bear with me, dear readers, the content of the report is worth it.

Some insignificant and unnecessary pieces for the narrative have been omitted; otherwise, most would have struggled through the entire text. Those wishing to read the report "uncensored" can do so in the original language by following the link.

Unfortunately, the authors are not always careful with terminology. Thus, one-time passwords (One Time Password – OTP) are sometimes referred to as "passwords," and sometimes as "codes." The methods of authentication are even worse. An unprepared reader may not always realize that "authentication using cryptographic keys" and "strong authentication" mean the same thing. I tried to unify the terms as much as possible; additionally, there is a section in the report describing them.

Nevertheless, the report is highly recommended for reading, as it contains unique research findings and correct conclusions.

Všetky čísla a fakty sú uvedené bez najmenších zmien, a ak s nimi nesúhlasíte, je lepšie sa hádať nie s prekladateľom, ale s autormi správy. Moje komentáre (ktoré sú zarovnané ako citáty a v texte označené kurzívou) sú môjmi hodnoteniami a o každom z nich budem rád diskutovať (ako aj o kvalite prekladu).

Prehľad

V súčasnosti sú pre podniky digitálne komunikačné kanály s klientmi dôležitejšie ako kedykoľvek predtým. A aj v rámci podniku sú komunikácie medzi zamestnancami viac orientované na digitálne prostredie než kedykoľvek predtým. Bezpečnosť týchto interakcií do značnej miery závisí od zvoleného spôsobu autentifikácie používateľov. Útočníci využívajú slabú autentifikáciu na masívny hacking používateľských účtov. V reakcii na to regulačné orgány sprísňujú normy, aby donútili biznis lepšie zabezpečiť účty a dáta používateľov.

Hrozby spojené s autentifikáciou sa netýkajú len spotrebiteľských aplikácií, útočníci môžu získať prístup aj k aplikáciám, ktoré fungujú vo vnútri podniku. Takáto operácia im umožňuje predstierať, že sú firemnými používateľmi. Útočníci, ktorí používajú prístupové body so slabou autentifikáciou, môžu kradnúť dáta a vykonávať iné podvodné aktivity. Našťastie, existujú opatrenia na boj proti tomu. Prísna autentifikácia môže výrazne znížiť riziko útoku útočníkom, ako na spotrebiteľské aplikácie, tak na biznisové systémy podnikov.

V tejto štúdii sa skúma: ako podniky zavádzajú autentifikáciu na ochranu používateľských aplikácií a biznisových systémov podniku; faktory, ktoré zohľadňujú pri výbere riešenia pre autentifikáciu; úloha, ktorú prísna autentifikácia hrá v ich organizáciách; výhody, ktoré tieto organizácie získavajú.

Zhrnutie

Hlavné zistenia

Od roku 2017 sa výrazne zvýšil percentuálny podiel používania prísnej autentifikácie. S rastom počtu zraniteľností, ktoré sa dotýkajú tradičných riešení pre autentifikáciu, organizácie posilňujú svoje autentifikačné schopnosti pomocou prísnej autentifikácie. Počet organizácií používajúcich viacfaktorovú autentifikáciu s použitím kryptografie (MFA) sa od roku 2017 strojnásobil pre spotrebiteľské aplikácie a zvýšil sa takmer o 50% pre firemné aplikácie. Najrýchlejší rast sa pozoruje v mobilnej autentifikácii kvôli rastúcej dostupnosti biometrickej autentifikácie.

Tu vidíme ilustráciu príslovia "kým hrom neudrie, chlap si neprežehná". Keď odborníci varovali pred nedôveryhodnosťou hesiel, nikto sa neponáhľal zaviesť dvojfaktorovú autentifikáciu. Akonáhle hackeri začali kradnúť heslá, ľudia sa začali zavádzať dvojfaktorovú autentifikáciu.

Pravdou je, že jednotlivci oveľa aktívnejšie zavádzajú 2FA. Po prvé, tak je pre nich jednoduchšie upokojiť svoje obavy, spoliehajúc sa na biometriu zabudovanú v smartfónoch, ktorá je v skutočnosti veľmi nespoľahlivá. Organizácie však musia investovať do nákupu tokenov a vykonať (v skutočnosti veľmi jednoduché) práce na ich zavedení. A po druhé, o únikoch hesiel zo služieb ako Facebook a Dropbox nepovedal nič len lenivý, ale príbeh o tom, ako sa heslá kradli (a čo sa stalo ďalej) v organizáciách, IT riaditelia týchto organizácií nezdieľajú za žiadnych podmienok.

Tí, ktorí nepoužívajú prísnu autentifikáciu, podceňujú riziko pre podnikanie a klientov. Niektoré organizácie, ktoré v súčasnosti nepoužívajú prísnu autentifikáciu, majú tendenciu považovať prihlasovacie údaje a heslá za jednu z najefektívnejších a najjednoduchších metód autentifikácie používateľov. Iné nevidia hodnotu digitálnych aktív, ktoré vlastní. Veď treba zohľadniť, že kyberzločincov zaujíma akákoľvek spotrebiteľská a obchodná informácia. Dve tretiny spoločností, ktoré používajú iba heslá na autentifikáciu svojich zamestnancov, to robia, pretože sa domnievajú, že heslá sú dostatočne dobré na typ informácií, ktoré chránia.

Napriek tomu sa heslá nachádzajú na ceste "do hrobu". Za uplynulý rok sa závislosť na heslách výrazne znížila, ako pre spotrebiteľské, tak pre firemné aplikácie (zo 44% na 31% a od 56% na 47% respektíve), keďže organizácie rozširujú uplatnenie tradičnej MFA a prísnej autentifikácie.
Avšak ak posúdime situáciu celkovo, zraniteľné metódy autentifikácie naďalej prevažujú. Okolo štvrtiny organizácií používa na používateľskú autentifikáciu SMS OTP (jednorazový heslo) spolu s tajnými otázkami. V dôsledku toho je potrebné zavádzať dodatočné ochranné prostriedky na ochranu pred zraniteľnosťami, čo zvyšuje náklady. Používanie oveľa spoľahlivejších metód autentifikácie, ako sú hardvérové kryptografické kľúče, sa vyskytuje omnoho menej často, zhruba v 5% organizácií.

Vyvíjajúce sa regulačné prostredie sľubuje urýchliť zavedenie prísnej autentifikácie pre spotrebiteľské aplikácie. S uvedením PSD2, ako aj nových pravidiel ochrany údajov v EÚ a niekoľkých štátoch USA, ako je Kalifornia, sa spoločnosti cítia pod rastúcim tlakom. Takmer 70% spoločností súhlasí s tým, že čelí silnému regulačnému tlaku na zabezpečenie prísnej autentifikácie pre svojich klientov. Viac ako polovica podnikov si myslí, že o niekoľko rokov nebudú ich metódy autentifikácie postačujúce na splnenie regulačných noriem.

Jasne viditeľný je rozdiel v prístupoch ruských a americko-európskych zákonodarcov k ochrane osobných údajov používateľov programov a služieb. Ruskí hovoria: drahí vlastníci služieb, robte si, čo chcete a ako chcete, ale ak váš admin zverejní databázu, potrestáme vás. Zahraniční hovoria: musíte zaviesť komplex opatrení, ktorý neumožní zverejní databázu. Práve preto tam prevládajú požiadavky na zavedenie prísnej dvojfaktorovej autentifikácie.
Pravda, nie je vôbec isté, že sa naša legislatíva v jednom krásnom okamihu nepreberie a nezohľadní západné skúsenosti. Vtedy sa ukáže, že všetci musia urgentne zaviesť 2FA v súlade s ruskými kryptografickými normami.

Vytvorenie spoľahlivého základu autentifikácie umožňuje spoločnostiam presunúť dôraz z plnenia regulačných požiadaviek na uspokojenie potrieb klientov. Pre organizácie, ktoré stále používajú jednoduché heslá alebo získavajú kódy cez SMS, je najdôležitejším faktorom pri výbere metódy autentifikácie zhoda s regulačnými požiadavkami. Na druhej strane, spoločnosti, ktoré už používajú prísnu autentifikáciu, sa môžu sústrediť na výber metód, ktoré zvyšujú lojalitu zákazníkov.

Pri výbere metódy podnikovej autentifikácie v rámci organizácie už požiadavky regulátorov nie sú významným faktorom. V tomto prípade je oveľa dôležitejšia jednoduchosť integrácie (32 %) a náklady (26 %).

V ére phishingu môžu zločinci využívať podnikové e-maily na podvody, aby klamali a získali prístup k údajom, účtom (s príslušnými prístupovými právami) a dokonca presvedčili zamestnancov, aby vykonali finančný prevod na svoj účet. Preto musia byť účty podnikovej pošty a portálov mimoriadne dobre chránené.

Google posilnil svoju ochranu zavedením prísnej autentifikácie. Viac ako pred dvoma rokmi Google zverejnil správu o zavedení dvojfaktorovej autentifikácie na základe kryptografických kľúčov zabezpečenia podľa štandardu FIDO U2F a uviedol ohromujúce výsledky. Podľa spoločnosti nebolo proti viac ako 85 000 zamestnancom vykonaných žiadnych phishingových útokov.

Odporúčania

Zavádzajte prísnu autentifikáciu pre mobilné a online aplikácie. Viacfaktorová autentifikácia na základe kryptografických kľúčov poskytuje oveľa väčšiu ochranu pred hackermi než tradičné metódy MFA. Navyše, používanie kryptografických kľúčov je oveľa pohodlnejšie, pretože nie je potrebné používať a prenášať dodatočné informácie — heslá, jednorazové heslá alebo biometrické údaje z používateľského zariadenia na autentifikačný server. Okrem toho, štandardizácia autentifikačných protokolov výrazne uľahčuje zavádzanie nových autentifikačných metód, keď sa objavia, čím sa znižujú náklady na používanie a chránia pred zložitými podvodnými schémami.

Pripravte sa na zánik jednorazových hesiel (OTP). Zraniteľnosti, ktoré sú vlastné OTP, sa stávajú čoraz zrejmejšími, keď kyberzločinci používajú sociálne inžinierstvo, klonovanie smartfónov a malware na kompromitáciu týchto autentifikačných metód. A ak má OTP v niektorých prípadoch určité výhody, je to len z hľadiska univerzálnej dostupnosti pre všetkých používateľov, ale nie z pohľadu bezpečnosti.

Je nemožné si nevšimnúť, že získavanie kódov prostredníctvom SMS alebo Push-notifikácií, ako aj generovanie kódov pomocou programov pre smartfóny — to je presne používanie tých istých jednorazových hesiel (OTP), na ktoré nás vyzývajú, aby sme sa pripravili na ich úpadok. Z technického hľadiska je toto riešenie veľmi správne, pretože zriedkavý podvodník sa nepokúša získať jednorazové heslo od dôverčivého používateľa. Ale myslím, že výrobcovia takýchto systémov sa budú držiadať umierajúcej technológie do poslednej chvíle.

Použite prísnu autentifikáciu ako marketingový nástroj na zvýšenie dôvery zákazníkov. Prísna autentifikácia môže nielen zlepšiť skutočnú bezpečnosť vášho podnikania. Informovanie zákazníkov o tom, že váš podnik využíva prísnu autentifikáciu, môže posilniť verejné vnímanie bezpečnosti tohto podniku — čo je dôležitý faktor, keď existuje značný dopyt zákazníkov po spoľahlivých metódach autentifikácie.

Urobte podrobnú inventarizáciu a hodnotenie dôležitosti firemných údajov a chráňte ich podľa ich dôležitosti. Aj údaje s nízkym rizikom, ako sú kontaktné informácie zákazníkov (nie, naozaj, v správe je napísané “low-risk”, je veľmi zvláštne, že podceňujú dôležitosť týchto informácií), môžu podvodníkom priniesť značnú hodnotu a stať sa príčinou problémov pre spoločnosť.

Použite prísnu autentifikáciu vo firme. Rôzne systémy sú najatraktívnejšími cieľmi pre zločincov. Patrí sem aj interné a internetové systémy, ako sú účtovný program alebo úložisko firemných údajov. Prísna autentifikácia bráni útočníkom získať neoprávnený prístup a tiež umožňuje presne určiť, ktorý zamestnanec vykonal nelegálne činnosti.

Čo je prísna autentifikácia?

Pri používaní prísnej autentifikácie na overenie používateľa sa používajú viaceré metódy alebo faktory:

• Faktor znalosti: spoločné tajomstvo medzi používateľom a subjektom overovania používateľa (napríklad heslá, odpovede na tajné otázky a pod.)
• Faktor vlastníctva: zariadenie, ktoré vlastní iba používateľ (napríklad mobilné zariadenie, kryptografický kľúč a pod.)
• Faktor neoddeliteľnosti: fyzické (často biometrické) charakteristiky používateľa (napríklad odtlačok prsta, rozloženie dúhovky oka, hlas, správanie a pod.)

Nutnosť prelomiť niekoľko faktorov výrazne zvyšuje pravdepodobnosť zlyhania pre útočníkov, pretože obídenie alebo oklamanie rôznych faktorov si vyžaduje použitie rôznych typov hackingových techník, pričom pre každý faktor samostatne.

Napríklad pri 2FA „heslo + smartfón“ môže útočník vykonať autentifikáciu tým, že odpozoruje heslo používateľa a vytvorí presnú softvérovú kópiu jeho smartfónu. A to je oveľa zložitejšie ako len ukradnúť heslo.

Ak sa však pri 2FA používa heslo a kryptografický token, potom možnosť kopírovania nefunguje – duplikovať token nie je možné. Podvodník by ho musel nenápadne ukradnúť používateľovi. Ak si však používateľ včas všimne pohyb a upozorní administrátora, token bude zablokovaný a úsilie podvodníka vyjde nazmar. Preto je pre faktor vlastníctva potrebné používať špecializované zabezpečené zariadenia (tokeny), a nie zariadenia na všeobecné použitie (smartfóny).

Používanie všetkých troch faktorov urobí takúto metódu autentifikácie dostatočne nákladnou pri zavedení a dosť nepríjemnou pri používaní. Preto sa zvyčajne používajú dva faktory z troch.

Podrobnejšie sú princípy dvojfaktorovej autentifikácie popísané tu, v bloku „Ako funguje dvojfaktorová autentifikácia“.

Je dôležité poznamenať, že aspoň jeden z faktorov autentifikácie použitých pri prísnej autentifikácii musí používať kryptografiu na báze verejného kľúča.

Prísna autentifikácia poskytuje oveľa výraznejšiu ochranu ako jednofaktorová autentifikácia založená na klasických heslách a tradičného MFA. Heslá môžu byť odpočúvané alebo zachytené pomocou keyloggerov, phishingových stránok alebo útokov založených na sociálnom inžinierstve (keď podvedená obeť sama odovzdá svoje heslo). Pri čom vlastníkom hesla nemusí byť nič podozrivé ohľadom krádeže. Tradičné MFA (ktoré zahŕňa OTP kódy, viazanie na smartfón alebo SIM kartu) môže byť taktiež pomerne ľahko prelomené, pretože nie je založené na kryptografii verejného kľúča.Mimochodom, existuje množstvo príkladov, keď podvodníci pomocou techník rovnakého sociálneho inžinierstva presviedčali používateľov, aby im poskytli jednorazové heslo.).

Našťastie, od minulého roka sa používanie prísnej autentifikácie a tradičného MFA zvyšuje ako v spotrebiteľských, tak aj v podnikových aplikáciách. Používanie prísnej autentifikácie v spotrebiteľských aplikáciách sa zvýšilo obzvlášť rýchlo. Zatiaľ čo v roku 2017 ju používalo iba 5 % spoločností, v roku 2018 už trojnásobok – 16 %. To je možné vysvetliť zvýšenou dostupnosťou tokenov, ktoré podporujú algoritmy kryptografie s verejným kľúčom (Public Key Cryptography — PKC). Okrem toho, posilnenie tlaku európskych regulátorov po prijatí nových pravidiel ochrany informácií, ako sú PSD2 a GDPR, malo silný efekt dokonca aj mimo Európy.vrátane Ruska.).

Pozrime sa bližšie na tieto čísla. Ako vidíme, percento súkromných používateľov, ktorí využívajú mnohofaktorovú autentifikáciu, za rok vzrástlo na pôsobivých 11 %. K tomu došlo zjavne na úkor milovníkov hesiel, pretože čísla tých, ktorí veria na bezpečnosť Push notifikácií, SMS a biometrie, sa nezmenili.

S dvojfaktorovou autentifikáciou pre podnikové použitie to však nie je až tak dobré. Po prvé, podľa správy iba 5 % zamestnancov prešlo z heslovej autentifikácie na tokeny. Po druhé, počet tých, ktorí v podnikovej sfére používajú alternatívne možnosti MFA, vzrástol o 4 %.

Skúsim sa zamyslieť ako analytik a poskytnem svoje posúdenie. V centre digitálneho sveta individuálnych používateľov stojí smartfón. Preto nie je prekvapením, že väčšina z nich využíva možnosti, ktoré im zariadenie ponúka – biometrické overovanie, SMS a Push oznámenia, ako aj jednorazové heslá generované aplikáciami na samotnom smartfóne. O bezpečnosti a spoľahlivosti pri používaní im známych nástrojov si ľudia zvyčajne nemyslia.

Práve preto zostáva percento používateľov primitívnych "tradičných" autentifikačných faktorov nezmenené. Tí, ktorí predtým používali heslá, však chápu, aké veľké riziko podstupujú, a pri výbere nového autentifikačného faktora sa zastavujú na najnovšej a najbezpečnejšej možnosti – kryptografickom tokene.

Čo sa týka korporátneho trhu, je dôležité pochopiť, do akej sústavy sa autentifikácia vykonáva. Ak sa realizuje vstup do domény Windows, používajú sa kryptografické tokeny. Možnosti ich využitia pre 2FA sú už zakomponované aj do Windows, aj do Linuxu, a alternatívne možnosti sa implementujú dlho a zložito. Tu máte migráciu 5% z hesiel na tokeny.

Implementácia 2FA v korporátnej informačnej sústave veľmi závisí od kvalifikácie vývojárov. A pre vývojárov je oveľa jednoduchšie zobrať hotové moduly na generovanie jednorazových hesiel, než rozumieť práci kryptografických algoritmov. A ako výsledok aj neuveriteľne kritické aplikácie na bezpečnosť, ako sú systémy Single Sign-On alebo Privileged Access Management, používajú OTP ako druhý faktor.

Množstvo zraniteľností v tradičných metódach autentifikácie

Napriek tomu, že mnohé organizácie zostávajú závislé od zastaraných jednofaktorových systémov, zraniteľnosti v tradičnej viacfaktorovej autentifikácii sa stávajú čoraz evidentnejšími. Jednorazové heslá s dĺžkou zvyčajne od šiestich do ôsmich symbolov, doručované prostredníctvom SMS, zostávajú najrozšírenejšou formou autentifikácie (samozrejme okrem faktora poznania hesla). A ak sa v populárnej tlači spomínajú výrazy "dvojfaktorová autentifikácia" alebo "dvojstupňová overovacia kontrola", tak skoro vždy sa týkajú autentifikácie pomocou jednorazových SMS hesiel.

Tu autor sa trochu mýli. Odosielanie jednorazových hesiel prostredníctvom SMS nikdy nebolo dvojfaktorovou autentifikáciou. Toto je čiste druhá fáza dvojstupňovej autentifikácie, pričom prvým krokom je zadanie prihlasovacích údajov.

V roku 2016 Národný inštitút pre štandardy a technológie (NIST) aktualizoval svoje pravidlá autentifikácie, aby vylúčil používanie jednorazových hesiel zasielaných prostredníctvom SMS. Tieto pravidlá však boli po protestoch v priemysle výrazne zmiernené.

Tak sledujeme situáciu. Americký regulátor spravodlivo uznáva, že zastaraná technológia nie je schopná zabezpečiť bezpečnosť používateľov a zavádza nové štandardy. Štandardy, ktoré majú chrániť používateľov online a v mobilných aplikáciách (vrátane bankových). Priemysel kalkuluje, koľko peňazí bude potrebné investovať na nákup skutočne spoľahlivých kryptografických tokenov, na prestavbu aplikácií, na rozšírenie infraštruktúry verejných kľúčov a „postaví sa na zadné“. Na jednej strane boli používateľom tvrdili, že jednorazové heslá sú spoľahlivé, a na druhej strane sa útočilo na NIST. Výsledkom bolo zmiernenie štandardu a prudký nárast počtu hacknutí, krádeží hesiel (a peňazí z bankových aplikácií). Naproti tomu priemysel nemusel vynaložiť veľké dotácie.

Odvtedy sa slabiny SMS OTP stali jasnejšími. Podvodníci používajú rôzne metódy na kompromitáciu SMS správ:

• Kopírovanie SIM karty. Zlodeji vytvárajú kópiu SIM (s pomocou zamestnancov mobilného operátora, alebo samostatne, pomocou špeciálneho softvéru a hardvéru). V jednom zvlášť známej udalosti hackeri dokonca dokázali skompromitovať účet AT&T investora kryptomien Michaela Terpina a ukradnúť takmer 24 miliónov dolárov v kryptomenách. Výsledkom čoho Terpin uviedol, že AT&T bola zodpovedná kvôli slabým kontrolným opatreniam, ktoré viedli k duplikovaniu SIM karty.
  

  Úžasná logika. Chcete povedať, že vinu nesie len AT&T? Nie, vina mobilného operátora je v tom, že predajcovia v predajni vydali duplicitnú SIM kartu. A čo autentifikačný systém kryptomenovej burzy? Prečo nepoužili spoľahlivé kryptografické tokeny? Boli peniaze na zavedenie príliš žiadané? A sám Michael nie je vinný? Prečo netrval na zmene autentifikačného mechanizmu alebo nepoužíval len tie burzy, ktoré realizujú dvojfaktorovú autentifikáciu založenú na kryptografických tokenoch?

  Zavedenie skutočne spoľahlivých metód autentifikácie sa oneskoruje práve kvôli tomu, že pred hackom sa používatelia správajú prekvapujúco nezodpovedne, a po ňom obviňujú z svojich ťažkostí koho a čo len chcú, okrem zastaraných a "dieravých" technológií autentifikácie.

• Malware. Jednou z najrannejších funkcií mobilných malware bol zachytávanie a posielanie textových správ útočníkom. Útoky "človek v prehliadači" a "človek medzi" môžu zachytávať jednorazové heslá, keď sú zadané na infikovaných notebookoch alebo desktopových zariadeniach.
  

  Keď aplikácia Sberbank na vašom smartphone bliká zelenou ikonou v stavovom riadku — okrem iného hľadá "malvér" vo vašom telefóne. Cieľom tejto činnosti je premeniť nedôveryhodné prostredie typického smartfónu aspoň trocha na dôveryhodné.
  Mimochodom, smartphone ako absolútne nedôveryhodné zariadenie, na ktorom sa môže vykonávať čokoľvek — to je ďalší dôvod používať na autentifikáciu iba hardvérové tokeny, ktoré sú chránené a zbavené vírusov a trójskych koní.

• Sociálna inžinieria. Keď podvodníkom je známe, že ich obete majú zapnuté jednorazové heslá cez SMS, môžu priamo kontaktovať obeť, predstierajúc, že sú dôveryhodnou organizáciou, ako je jej banka alebo úverová únia, aby oklamali obete a prinútili ich poskytnúť práve získaný kód.
  

  S týmto druhom podvodu som sa osobne stretával mnohokrát, napríklad pri pokusoch niečo predať na populárnej internetovej burze. Sám som si dokonale užíval podvádzanie podvodníka, ktorý sa ma snažil oklamať. Ale žiaľ, pravidelne čítam v správach, ako ďalšia obeť podvodníkov "nerozmýšľala", oznámila potvrdzovací kód a prišla o značnú sumu. A to všetko preto, že sa banke jednoducho nechce zaoberať implementáciou kryptografických tokenov do svojich aplikácií. Veď ak sa niečo stane, zákazníci sú "sami vinní".

Hoci alternatívne metódy dodania jednorazových hesiel môžu zmierniť niektoré zraniteľnosti v tejto metóde autentifikácie, iné zraniteľnosti ostávajú v platnosti. Autonómne aplikácie na generovanie kódu sú najlepšou ochranou pred zachytením, pretože dokonca ani škodlivý softvér nemôže prakticky priamo interagovať s generátorom kódu (naozaj? autor správy zabudol na diaľkové ovládanie?), ale OTP môžu byť stále zachytené pri zadaní do prehliadača (napríklad pomocou keyloggera), cez napadnutú mobilnú aplikáciu; a môžu byť tiež získané priamo od používateľa pomocou sociálneho inžinierstva.
Používanie viacerých nástrojov na hodnotenie rizika, ako je rozpoznávanie zariadení (identifikovanie pokusov o vykonanie operácií z nezákonných zariadení používateľa), geolokácia (používateľ, ktorý bol práve v Moskve, sa pokúša vykonať operáciu z Novosibirska) a behaviorálna analýza, je dôležité na elimináciu zraniteľností, ale žiadne riešenie nie je všeliek. Pre každú situáciu a typ údajov je potrebné starostlivo vyhodnocovať riziká a vybrať, aká technológia autentifikácie by sa mala použiť.

Žiadne riešenie na autentifikáciu nie je všeliek.

Obrázok 2. Tabuľka možností autentifikácie

V druhej časti publikácie nás čaká to najzaujímavejšie — čísla a fakty, na ktorých sú založené závery a odporúčania uvedené v prvej časti. Bude samostatne preskúmaná autentifikácia v používateľských aplikáciách a v podnikových systémoch.

Tešíme sa na vás!

Zdroj: habr.com