Дакле, шта ће се догодити са аутентификацијом и лозинкама? Други део извештаја Јавелин Стате оф Стронг Аутхентицатион

Недавно је истраживачка компанија Јавелин Стратеги & Ресеарцх објавила извештај „Стање јаке аутентификације 2019.“ Његови креатори су прикупили информације о томе које методе аутентификације се користе у корпоративним окружењима и потрошачким апликацијама, а такође су донели занимљиве закључке о будућности јаке аутентификације.

Превод првог дела са закључцима аутора извештаја, ми већ објављено на Хабреу. А сада вам представљамо други део - са подацима и графиконима.

Од преводиоца

Нећу у потпуности копирати цео блок истог имена из првог дела, али ћу ипак дуплирати један пасус.

Све бројке и чињенице су представљене без најмањих промена, а ако се не слажете са њима, онда је боље да се расправљате не са преводиоцем, већ са ауторима извештаја. А ево и мојих коментара (изложених као цитати, и означених у тексту Италијан) су мој вредносни суд и радо ћу расправљати о сваком од њих (као и о квалитету превода).

Идентификација корисника

Од 2017. године употреба јаке аутентификације у потрошачким апликацијама је нагло порасла, углавном због доступности метода криптографске аутентификације на мобилним уређајима, иако само нешто мањи проценат компанија користи јаку аутентификацију за интернет апликације.

Све у свему, проценат компанија које користе јаку аутентификацију у свом пословању се утростручио са 5% у 2017. на 16% у 2018. (Слика 3).

Могућност коришћења јаке аутентификације за веб апликације је и даље ограничена (због чињенице да само нове верзије неких претраживача подржавају интеракцију са криптографским токенима, међутим овај проблем се може решити инсталирањем додатног софтвера као што је Рутокен додатак), тако да многе компаније користе алтернативне методе за онлајн аутентификацију, као што су програми за мобилне уређаје који генеришу једнократне лозинке.

Хардверски криптографски кључеви (овде мислимо само на оне који су у складу са ФИДО стандардима), као што су они које нуде Гоогле, Феитиан, Оне Спан и Иубицо могу се користити за снажну аутентификацију без инсталирања додатног софтвера на десктоп рачунаре и лаптопове (јер већина претраживача већ подржава ФИДО стандард ВебАутхн), али само 3% компанија користи ову функцију за пријављивање својих корисника.

Поређење криптографских токена (нпр Рутокен ЕДС ПКИ) и тајних кључева који раде по ФИДО стандардима је ван оквира овог извештаја, али и мојих коментара на њега. Укратко, оба типа токена користе сличне алгоритме и принципе рада. Продавци претраживача тренутно боље подржавају ФИДО токене, иако ће се то ускоро променити како више претраживача подржава Веб УСБ АПИ. Али класични криптографски токени су заштићени ПИН кодом, могу да потпишу електронске документе и да се користе за двофакторску аутентификацију у Виндовс-у (било која верзија), Линук-у и Мац ОС Кс-у, имају АПИ-је за различите програмске језике, што вам омогућава да имплементирате 2ФА и електронске потпис у десктоп, мобилним и веб апликацијама и токени произведени у Русији подржавају руске ГОСТ алгоритме. У сваком случају, криптографски токен, без обзира по ком стандарду је креиран, је најпоузданији и најпогоднији метод аутентификације.

Изван безбедности: друге предности јаке аутентификације

Није изненађење да је употреба јаке аутентификације уско повезана са значајем података које предузеће складишти. Компаније које чувају осетљиве личне информације (ПИИ), као што су бројеви социјалног осигурања или личне здравствене информације (ПХИ), суочавају се са највећим правним и регулаторним притиском. Ово су компаније које су најагресивнији заговорници јаке аутентификације. Притисак на предузећа је појачан очекивањима купаца који желе да знају да организације којима верују са својим најосетљивијим подацима користе јаке методе аутентификације. Организације које рукују осетљивим ПИИ или ПХИ имају више него двоструко веће шансе да користе снажну аутентификацију од организација које чувају само контакт информације корисника (Слика 7).

Нажалост, компаније још увек нису спремне да примене јаке методе аутентификације. Скоро трећина доносилаца пословних одлука сматра лозинке најефикаснијим методом аутентификације међу свим онима наведеним на слици 9, а 43% сматра лозинке најједноставнијим методом аутентификације.

Овај графикон нам доказује да су програмери пословних апликација широм света исти... Они не виде корист од имплементације напредних механизама безбедности приступа налогу и деле исте заблуде. И само акције регулатора могу да промене ситуацију.

Хајде да не дирамо лозинке. Али шта треба да верујете да бисте веровали да су безбедносна питања безбеднија од криптографских токена? Ефикасност контролних питања, која се једноставно бирају, процењена је на 15%, а не хакованих токена - само 10. Бар погледајте филм „Илузија обмане”, где се, иако у алегоријској форми, показује како лако мађионичари извукао све потребне ствари из одговора бизнисмена-преваранта и оставио га без новца.

И још једна чињеница која много говори о квалификацијама оних који су одговорни за безбедносне механизме у корисничким апликацијама. По њиховом схватању, процес уношења лозинке је једноставнија операција од аутентификације помоћу криптографског токена. Иако би се чинило да би било једноставније повезати токен на УСБ порт и унети једноставан ПИН код.

Важно је да примена јаке аутентификације омогућава предузећима да се одмакну од размишљања о методама аутентификације и оперативним правилима потребним за блокирање лажних шема и да задовоље стварне потребе својих клијената.

Иако је усклађеност са прописима разуман главни приоритет и за предузећа која користе снажну аутентификацију и за она која је не користе, компаније које већ користе јаку аутентификацију ће много вероватније рећи да је повећање лојалности купаца најважнији показатељ који узимају у обзир када процењују аутентификацију. методом. (18% према 12%) (Слика 10).

Ентерприсе Аутхентицатион

Од 2017. године, усвајање јаке аутентификације у предузећима расте, али нешто нижом стопом него за потрошачке апликације. Удео предузећа која користе јаку аутентификацију порастао је са 7% у 2017. на 12% у 2018. За разлику од потрошачких апликација, у пословном окружењу употреба метода аутентификације без лозинке је нешто чешћа у веб апликацијама него на мобилним уређајима. Отприлике половина предузећа наводи да користи само корисничка имена и лозинке за аутентификацију својих корисника приликом пријављивања, а једно од пет (22%) се такође ослања искључиво на лозинке за секундарну аутентификацију када приступа осетљивим подацима (односно, корисник се прво пријављује у апликацију користећи једноставнији метод аутентификације, а ако жели да добије приступ критичним подацима, извршиће другу процедуру аутентификације, овог пута обично користећи поузданији метод).

Морате да разумете да извештај не узима у обзир употребу криптографских токена за двофакторску аутентификацију у оперативним системима Виндовс, Линук и Мац ОС Кс. А ово је тренутно најраширенија употреба 2ФА. (Авај, токени креирани према ФИДО стандардима могу имплементирати 2ФА само за Виндовс 10).

Штавише, ако имплементација 2ФА у онлајн и мобилним апликацијама захтева скуп мера, укључујући модификацију ових апликација, онда да бисте имплементирали 2ФА у Виндовс, потребно је само да конфигуришете ПКИ (на пример, заснован на Мицрософт серверу за сертификацију) и смернице за аутентификацију у огласу.

А пошто је заштита пријављивања на радни рачунар и домен важан елемент заштите корпоративних података, примена двофакторске аутентификације постаје све чешћа.

Следеће две најчешће методе за аутентификацију корисника приликом пријављивања су једнократне лозинке које се испоручују преко засебне апликације (13% предузећа) и једнократне лозинке које се испоручују путем СМС-а (12%). Упркос чињеници да је проценат коришћења оба метода веома сличан, ОТП СМС се најчешће користи за повећање нивоа ауторизације (у 24% компанија). (Слика 12).

Повећање употребе јаке аутентификације у предузећу се вероватно може приписати повећању доступности имплементација криптографске аутентификације у платформама за управљање идентитетом предузећа (другим речима, ССО и ИАМ системи предузећа су научили да користе токене).

За мобилну аутентификацију запослених и извођача, предузећа се више ослањају на лозинке него на аутентификацију у корисничким апликацијама. Нешто више од половине (53%) предузећа користи лозинке приликом аутентификације приступа корисника подацима компаније преко мобилног уређаја (Слика 13).

У случају мобилних уређаја, веровало би се у велику моћ биометрије, да није у бројним случајевима лажних отисака прстију, гласова, лица, па чак и шареница. Један упит претраживача ће открити да поуздан метод биометријске аутентификације једноставно не постоји. Заиста прецизни сензори, наравно, постоје, али су веома скупи и великих димензија – и нису уграђени у паметне телефоне.

Према томе, једини функционални 2ФА метод у мобилним уређајима је употреба криптографских токена који се повезују са паметним телефоном преко НФЦ, Блуетоотх и УСБ Типе-Ц интерфејса.

Заштита финансијских података компаније је главни разлог за улагање у аутентификацију без лозинке (44%), уз најбржи раст од 2017. године (повећање од осам процентних поена). Затим следи заштита интелектуалне својине (40%) и кадровских података (39%). И јасно је зашто - не само да је вредност повезана са овим типовима података широко призната, већ и релативно мали број запослених ради са њима. Односно, трошкови имплементације нису тако велики, а само неколико људи треба да буде обучено за рад са сложенијим системом аутентификације. Насупрот томе, типови података и уређаја којима већина запослених у предузећу рутински приступа и даље су заштићени искључиво лозинкама. Документи запослених, радне станице и корпоративни портали за е-пошту су области највећег ризика, јер само четвртина предузећа штити ова средства аутентификацијом без лозинке (Слика 14).

Уопштено говорећи, корпоративна е-пошта је веома опасна и непропусна ствар, чији степен потенцијалне опасности већина ЦИО-а потцењује. Запослени примају на десетине е-порука сваког дана, па зашто не бисте међу њих уврстили бар један пхисхинг (то јест, лажни). Ово писмо ће бити обликовано у стилу писама компаније, тако да ће се запослени осећати пријатно када кликне на линк у овом писму. Па, онда се свашта може десити, на пример, преузимање вируса на нападнуту машину или цурење лозинки (укључујући и друштвени инжењеринг, уношењем лажног обрасца за аутентификацију који је креирао нападач).

Да се ​​овакве ствари не би дешавале, мејлови морају бити потписани. Тада ће одмах бити јасно које писмо је креирао легитимни радник, а које нападач. У програму Оутлоок/Екцханге, на пример, електронски потписи засновани на криптографским токенима су омогућени прилично брзо и лако и могу се користити заједно са двофакторском аутентификацијом на рачунарима и Виндовс доменима.

Међу оним руководиоцима који се ослањају искључиво на аутентификацију лозинком у оквиру предузећа, две трећине (66%) то чини јер верују да лозинке пружају довољну сигурност за врсту информација које њихова компанија треба да заштити (слика 15).

Али јаке методе аутентификације постају све чешће. У великој мери због чињенице да се њихова доступност повећава. Све већи број система за управљање идентитетом и приступом (ИАМ), претраживача и оперативних система подржава аутентификацију помоћу криптографских токена.

Јака аутентификација има још једну предност. Пошто се лозинка више не користи (замењена једноставним ПИН-ом), нема захтева запослених да промене заборављену лозинку. Што заузврат смањује оптерећење ИТ одељења предузећа.

Резултати и закључци

1. Менаџери често немају потребно знање за процену прави ефикасност различитих опција аутентификације. Навикли су да верују таквима застарео безбедносне методе попут лозинки и безбедносних питања једноставно зато што је „радило раније“.
2. Корисници и даље имају ово знање мање, за њих је главна ствар једноставност и погодност. Све док немају подстицај да бирају сигурнија решења.
3. Често програмери прилагођених апликација без разлогаза имплементацију двофакторске аутентификације уместо провјере аутентичности лозинком. Конкуренција у степену заштите у корисничким апликацијама не.
4. Потпуна одговорност за хакирање пребачен на корисника. Дао једнократну лозинку нападачу - окривити. Ваша лозинка је пресретнута или шпијунирана - окривити. Није захтевао од програмера да користи поуздане методе аутентификације у производу - окривити.
5. Јел тако регулатор пре свега треба да захтева од компанија да имплементирају решења која блокирати цурења података (посебно двофакторска аутентификација), а не кажњавање већ се догодило цурење података.
6. Неки програмери софтвера покушавају да продају потрошачима стар и не нарочито поуздан решења у прелепом паковању „иновативни” производ. На пример, аутентификација повезивањем са одређеним паметним телефоном или коришћењем биометрије. Како се из извештаја види, према заиста поуздан Решење може постојати само на основу јаке аутентификације, односно криптографских токена.
7. Исти криптографски токен се може користити за низ задатака: за јака аутентификација у оперативном систему предузећа, у корпоративним и корисничким апликацијама, за електронски потпис финансијске трансакције (важно за банкарске апликације), документе и е-пошту.

Извор: ввв.хабр.цом