Së fundmi, kompania e hulumtimit «Javelin Strategy & Research» publikoi raportin «The State of Strong Authentication 2019». Krijuesit e tij mblodhën informacion në lidhje me metodat e autentikimit që përdoren në mjedisin korporativ dhe aplikacionet për përdoruesit, si dhe bënë disa përfundime interesante për të ardhmen e autentikimit të fortë.
Përkthimi i pjesës së parë me përfundimet e autorëve të raportit, ne . Tani po ju paraqesim pjesën e dytë — me të dhëna dhe grafika.
Nga përkthyesi
Nuk do ta kopjoj të gjithë segmentin e njëjtë nga pjesa e parë, por një paragraf do ta përsëris.
Të gjitha numrat dhe faktet janë dhënë pa asnjë ndryshim, dhe nëse nuk jeni dakord me to, është më mirë të mos diskutoni me përkthyesin, por me autorët e raportit. Komentet e mia (të formatteruara si citate, dhe në tekst të shënuara me italik) janë gjykimi im dhe do të jem i lumtur të diskutoj për secilin prej tyre (ashtu si edhe për cilësinë e përkthimit).
Autentikimi i përdoruesve
Që nga viti 2017, përdorimi i autentikimit të fortë në aplikacionet për përdoruesit ka pësuar një rritje drastike, kryesisht për shkak të disponueshmërisë së metodave të kriptografisë për autentikim në pajisjet mobile, megjithatë, një përqindje pak më e vogël e kompanive përdorin autentikimin e fortë për aplikacionet në internet.
Në përgjithësi, përqindja e kompanive që përdorin autentikimin e fortë në biznesin e tyre ka trefishuar, duke kaluar nga 5% në 2017 në 16% në 2018 (figura 3).
Mundësitë për përdorimin e autentikimit të fortë për aplikacionet web ende janë të kufizuara (për shkak se vetëm versionet e reja të disa shfletuesve mbështesin ndërveprimin me tokenat e kriptografisë, megjithatë kjo çështje po zgjidhet përmes instalimit të software të shtesave, si ), prandaj shumë kompani përdorin metoda alternative për autentikim online, siç janë programet për pajisje mobile që gjenerojnë fjalëkalime të përkohshme.
Çelësat e kriptografisë hardware (këtu i referohemi vetëm atyre që përputhen me standardet FIDO), siç ofrohen nga Google, Feitian, One Span, dhe Yubico mund të përdoren për autentikim të fortë pa pasur nevojë për instalimin e software të shtesave në kompjuterët desktop dhe laptopët (pasi shumica e shfletuesve tashmë mbështesin standardin WebAuthn nga FIDO), por vetëm 3% e kompanive e përdorin këtë mundësi për identifikimin e përdoruesve të tyre.
Krahasimi i tokenave të kriptografisë (siç është ) dhe çelësat sekretë që punojnë sipas standardeve FIDO, tejkalon jo vetëm raportin e këtij dokumenti, por edhe komentet e mia në lidhje me të. Nëse e përmbledhim, të dy llojet e tokenave përdorin algoritme dhe principe të ngjashme. Tokenat FIDO aktualisht mbështeten më mirë nga prodhuesit e shfletuesve, megjithatë, situata do të ndryshojë për shkak të mbështetjes në rritje të shfletuesve për . Por tokenat klasike të kriptografisë janë të mbrojtura me një kod PIN, mund të nënshkruajnë dokumente elektronike dhe të përdoren për autentikim me dy faktorë në Windows (çdo version), Linux dhe Mac OS X, kanë API për gjuhë të ndryshme programimi që mundësojnë implementimin e 2FA dhe EDS në aplikacionet desktop, mobile dhe web, dhe tokenat e prodhuar në Rusi mbështesin algoritmet e normave GOST. Në çdo rast, tokeni i kriptografisë, pavarësisht se cilin standard ka, është metoda më e besueshme dhe më e lehtë për t'u autentikuar.
Përveç sigurisë: përfitime të tjera të autentikimit të fortë
Nuk është befasi që aplikimi i autentikimit të fortë është ngushtësisht i lidhur me rëndësinë e të dhënave që ruan biznesi. Kompanitë që ruajnë informacione personale të ndjeshme (Personally Identifiable Information — PII), siç janë numrat e sigurimeve shoqërore apo informacioni personal në lidhje me shëndetin (Personal Health Information — PHI), hasin më shumë presion ligjor dhe rregullator. Këto kompani janë avokatë të fortë për autentikimin e fortë. Presioni mbi biznesin rritet nga pritshmëria e klientëve, të cilët dëshirojnë të dinë që organizatat në të cilat ata besojnë të dhënat e tyre më të ndjeshme përdorin metoda të sigurta autentikimi. Organizatat që trajtojnë PII të ndjeshëm ose PHI përdorin autentikimin e fortë më shumë se dyfish se organizatat që ruajnë vetëm informacionin kontaktues të përdoruesve (figura 7).
Fatkeqësisht, kompanitë ende nuk janë të gatshme të implementojnë metoda të sigurta autentikimi. Gati një e treta e individëve që marrin vendime për biznes mendojnë se fjalëkalimet janë metoda më efektive të autentikimit, midis të gjitha atyre të renditura në figurën 9, dhe 43% mendojnë se fjalëkalimet janë metoda më e thjeshtë e autentikimit.
Kyçja e kësaj diagrame është se zhvilluesit e aplikacioneve biznesore në mbarë botën janë të ngjashëm… Ata nuk shohin fitime në zbatimin e mekanizmave të avancuar të mbrojtjes së aksesit në llogari dhe ndajnë të njëjtat keqkuptime. Vetëm veprimet e rregullatorëve mund ta ndryshojnë situatën.
Mos e prekni fjalëkalimin. Por, çfarë duhet të besosh që të mendosh se pyetjet kontrolluese janë më të sigurta se tokenat kriptografikë?? Efikasiteti i pyetjeve kontrolluese, të cilat janë relativisht të lehta për t'u zgjedhur, është 15%, ndërsa për tokenat që nuk mund të thyhen është vetëm 10. Të paktën të kishim parë filmin "Iluzioni i Mashtrimit", ku, ndonëse në një formë allegorike, tregohet se si lehtësisht magjistarët ia morën të gjitha përgjigjet e nevojshme një biznesmeni të mashtruar dhe e lanë pa para.
Një tjetër fakt i rëndësishëm që tregon cilësinë e atyre që merren me mekanizmat e sigurisë në aplikacionet për përdoruesit. Në mendimin e tyre, procesi i futjes së fjalëkalimit është një operacion më i thjeshtë se autentikimi me ndihmën e një tokeni kriptografik. Megjithatë, çfarë mund të jetë më e lehtë se të lidhësh një token në portin USB dhe të futesh një PIN të thjeshtë.
Është e rëndësishme të theksohet se zbatimi i autentikimit të rreptë lejon që bizneset të mos mendojnë më për metodat e autentikimit dhe rregullat e punës që janë të nevojshme për bllokimin e skemave të mashtrimit, duke iu përgjigjur kërkesave reale të klientëve të tyre.
Ndërsa përmbushja e kërkesave rregullative është një prioritet shumë i arsyeshëm për të dyja bizneset që përdorin autentikimin e rreptë dhe për ata që nuk e bëjnë këtë, kompanitë që tashmë përdorin autentikimin e rreptë janë shumë më të prirura të thonë se rritja e besnikërisë së klientëve është treguesi më i rëndësishëm që marrin parasysh kur vlerësojnë metodën e autentikimit. (18% kundrejt 12%) (figura 10).
Autentikimi Korporativ
Që nga viti 2017, zbatimi i autentikimit të rreptë në biznese ka pasur një rritje, por pak më të ngadaltë se për aplikacionet për konsumatorë. Pjesa e ndërmarrjeve që përdorin autentikimin e rreptë u rrit nga 7% në 2017 në 12% në 2018. Ndryshe nga aplikacionet për përdoruesit, në mjedisin korporativ, përdorimi i metodave të autentikimit pa fjalëkalim është pak më i zakonshëm në aplikacionet web se sa në ato mobile. Rreth gjysma e ndërmarrjeve raportojnë se përdorin vetëm emra përdoruesish dhe fjalëkalime për autentikimin e përdoruesve të tyre kur kyçen në sistem, përkatësisht një në pesë (22%) gjithashtu mbështetet vetëm në fjalëkalime për autentikimin dytësor kur kanë qasje në të dhëna veçanërisht të rëndësishme (në të cilin përdoruesi fillimisht lidhet në aplikacion me një metodë më të thjeshtë autentikimi, dhe nëse dëshiron të marrë qasje në të dhëna kritike, atëherë do të realizojë një procedurë të re autentikimi, kësaj here zakonisht duke përdorur një metodë më të sigurt.).
Duhet kuptuar se në raportin nuk është përfshirë përdorimi i tokenave kriptografikë për autentikimin me dy faktorë në sistemet operuese Windows, Linux dhe Mac OS X. Kjo aktualisht është përdorimi më i zakonshëm i 2FA. (Fatkeqësisht, tokenat e krijuar sipas standardeve FIDO mund të realizojnë 2FA vetëm për Windows 10).
Dhe, nëse për zbatimin e 2FA në aplikacione online dhe mobile nevojitet një kompleks aktivitsh, duke përfshirë përmirësimin e këtyre aplikacioneve, për zbatimin e 2FA në Windows mjafton të konfiguroni PKI (p.sh., mbi bazën e Microsoft Certification Server) dhe politikat e autentikimit në AD.
Dhe, duke qenë se mbrojtja e hyrjes në PC-në e punës dhe domain është një element i rëndësishëm i mbrojtjes së të dhënave korporative, numri i zbatimeve të autentikimit me dy faktorë po rritet gjithnjë e më shumë.
Metodat e tjera dy më të zakonshme për autentikimin e përdoruesve gjatë hyrjes në sistem janë fjalëkalimet një herësh të ofruara përmes një aplikacioni të veçantë (13% e ndërmarrjeve), dhe kodet e aksesit një herësh të dërguara përmes SMS (12%). Pavarësisht se përqindja e përdorimit të të dy metodave është mjaft e ngjashme, por OTP SMS përdoret më shpesh për të rritur nivelin e autorizimit (në 24% të kompanive). (Figura 12).
Rritja e përdorimit të autentikimit të rreptë në ndërmarrje, ndoshta mund të shpjegohet me rritjen e disponueshmërisë së implementimeve të metodave kriptografike të autentikimit në platformat e menaxhimit të identitetit të ndërmarrjes (për ta thënë ndryshe - sistemet korporative SSO dhe IAM kanë mësuar të përdorin tokenat).
Për autentifikimin e punonjësve dhe kontraktorëve përmes telefonëve mobilë, kompanitë shpesh besojnë më shumë tek fjalëkalimet sesa te aplikacionet për konsumatorët. Më shumë se gjysma (53%) e kompanive përdorin fjalëkalime për autentifikimin e aksesit të përdoruesve në të dhënat e kompanisë përmes një pajisjeje mobile.
Në rastin e pajisjeve mobile, do ishte e besueshme të mendohej për fuqinë e madhe të biometrisë, nëse nuk do të ishin kaq shumë raste të falsifikimit të gishtërinjve, zëra, fytyrash dhe madje edhe irishe. Një kërkesë në një motor kërkimi do të tregonte se nuk ka një mënyrë të besueshme të autentifikimit biometrik. Në të vërtetë ekzistojnë sensorë shumë të saktë, por ata janë shumë të shtrenjtë dhe të mëdhenj — dhe nuk instalohet në smartphone.
Prandaj, metoda e vetme funksionale e 2FA në pajisjet mobile është përdorimi i tokeneve kriptografike që lidhen me smartphone përmes interfaceve NFC, Bluetooth dhe USB Type-C.
Mbrojtja e të dhënave financiare të kompanisë është arsyeja kryesore për investimin në autentifikimin pa fjalëkalim (44%) me rritjen më të shpejtë që nga viti 2017 (të shtohet me tetë pikë përqindje). Më pas vjen mbrojtja e pronës intelektuale (40%) dhe të dhënave të resurseve njerëzore (39%). Dhe është e qartë pse — përveç faktit se vlera e lidhur me këto lloj të dhënash njihet gjerësisht, ato gjithashtu përdoren nga një numër relativisht të vogël të punonjësve. Pra, shpenzimet për implementimin nuk janë kaq të mëdha, dhe për të mësuar disa njerëz për të punuar me një sistem autentifikimi më të komplikuar është e mjaftueshme. Në kontrast, llojet e të dhënave dhe pajisjeve me të cilat shpesh punojnë shumica e punonjësve të kompanisë, akoma mbrohen vetëm me fjalëkalime. Dokumentet e punonjësve, stacionet e punës dhe portalet e-mail të korporatave janë fushat më të rrezikuara, pasi vetëm një e katërta e kompanive i mbrojnë këto asete me autentifikimin pa fjalëkalim.
Në përgjithësi, emaili korporativ është një gjë shumë e rrezikshme dhe "me vrima", shkalla e rrezikshmërisë së të cilit të nënvlerësohet nga shumica e drejtuesve të IT. Çdo ditë, punonjësit marrin dhjetëra email-e, kështu që pse të mos ketë së paku një email të peshkimit (dmth, të mashtrimit) mes tyre? Ky email do të jetë i formuluar si email-i i kompanisë, prandaj punonjësi do të klikojë pa frikë në lidhjen që ndodhet në këtë email. Dhe më pas mund të ndodhë cdo gjë, për shembull, shkarkimi i një virusi në makinën e sulmuar ose rrjedhja e fjalëkalimeve (përfshirë përmes inxhinierisë sociale, përmes futjes në një formë falsifikimi të krijuar nga sulmuesi).
Për të parandaluar që këto gjëra të ndodhin, email-et duhet të nënshkruhen. Kështu që menjëherë do të jetë e qartë se cili email është krijuar nga një punonjës i ligjshëm dhe cili nga një sulmues. Në Outlook / Exchange, për shembull, nënshkrimi elektronik në bazë të tokeneve kriptografike aktivizohet shumë shpejt dhe lehtë dhe mund të përdoret së bashku me autentifikimin me dy faktorë në PC dhe domainet Windows.
Midis atyre drejtorëve që mbështeten ekskluzivisht në autentifikimin me fjalëkalim brenda kompanisë, dy të tretat (66%) e bëjnë këtë sepse besojnë se fjalëkalimet ofrojnë siguri të mjaftueshme për llojin e informacionit që kompani e tyre duhet të mbrojë.
Por metodat e autentifikimit të fortë po bëhen gjithnjë e më të zakonshme. Kryesisht për shkak se bëhen më të qasshme. Sistemet e menaxhimit të identitetit dhe aksesit (IAM), shfletuesit dhe sistemet operative mbështesin gjithnjë e më shumë autentifikimin me tokene kriptografike.
Ka një tjetër përfitim të autentifikimit të fortë. Duke qenë se fjalëkalimi nuk përdoret më (e zëvendësuar me një kod të thjeshtë PIN), atëherë nuk ka asnjë kërkesë nga punonjësit për të ndryshuar fjalëkalimin e harruar. Kjo nga ana tjetër redukton ngarkesën mbi departamentin IT të kompanisë.
Përfundimet dhe konstatimet
- Drejtorët shpesh nuk kanë njohuritë e nevojshme për të vlerësuar efektivitetin e vërtetë të opsioneve të ndryshme të autentifikimit. Ata janë mësuar të besojnë në metoda të tilla të vjetra si fjalëkalimet dhe pyetjet sekrete thjesht sepse "më parë ka funksionuar".
- Këto njohuri përdoruesit i kanë akoma në një masë më të vogël, për ta, e rëndësishme është thjeshtësia dhe komoditeti. Ndërsa ata nuk kanë motivim për të zgjedhur zgjidhje më të sigurta.
- Zhvilluesit e aplikacioneve të përdoruesve shpesh nuk kanë arsye, për të implementuar autentifikimin me dy faktorë në vend të atij me fjalëkalim. Konkurenca në nivelin e mbrojtjes në aplikacionet për përdorues mungon.
- I gjithë përgjegjësia për thyerjen e kaluar te përdoruesi. I dha një fjalëkalim të përkohshëm një sulmuesi - është fajtor. Fjalëkalimi yt është kapur ose parë - është fajtor. Nuk kërkoi nga zhvilluesi të përdorë metoda të sigurta autentifikimi në produkt - është fajtor.
- E drejtë regullatori duhet të kërkojë nga kompanitë të implementojnë zgjidhje që ndalojnë shkarkimet e të dhënave (përfshirë autentifikimin me dy faktorë), dhe jo të ndëshkojnë për shkarkimin e të dhënave që ndodhi. dëgjuar të dhënat.
- Disa zhvillues softuerësh përpiqen të shesin konsumatorëve produkte të vjetra dhe jo shumë të sigurta zgjidhjen në një paketim të bukur si një produkt «inovativ». Për shembull, autentifikimi që lidhet me një smartphone specifik ose përdorimi i biometrikës. Siç mund të shihet nga raporti, vetëm një zgjidhje e vërtetë e besueshme mund të jetë një zgjidhje e bazuar në autentifikim të fortë, pra tokene kriptografike.
- E njëjta token kriptografik mund të përdoret për një gamë të gjerë detyrash: për autentifikimin e fortë në sistemin operativ të organizatës, në aplikacionet korporative dhe përdoruese, për nënshkrimin elektronik e transaksioneve financiare (e rëndësishme për aplikacionet bankare), dokumenteve dhe emailëve.
Burimi: habr.com
