Anyar-anyar ieu, perusahaan riset Javelin Strategy & Research nyebarkeun laporan, "The State of Strong Authentication 2019." Panyipta na ngumpulkeun inpormasi ngeunaan metode auténtikasi naon anu dianggo dina lingkungan perusahaan sareng aplikasi konsumen, sareng ogé ngadamel kacindekan anu pikaresepeun ngeunaan masa depan auténtikasi anu kuat.
Tarjamahan bagian kahiji jeung conclusions ti pangarang laporan, urang . Sareng ayeuna kami nampilkeun ka perhatian anjeun bagian kadua - kalayan data sareng grafik.
Ti penerjemah
Kuring moal lengkep nyalin sakabéh blok tina ngaran anu sarua ti bagian kahiji, tapi masih bakal duplikat hiji ayat.
Sadaya inohong jeung fakta dibere tanpa parobahan slightest, sarta lamun teu satuju sareng aranjeunna, eta leuwih hade mun ngajawab teu kalawan penerjemah, tapi jeung pangarang laporan. Sareng ieu koméntar kuring (ditetepkeun salaku kutipan, sareng ditandaan dina téks Italia) mangrupikeun penilaian nilai kuring sareng kuring bakal resep ngabantah ngeunaan masing-masing (sareng kualitas tarjamahan).
Auténtikasi pamaké
Kusabab 2017, pamakéan auténtikasi kuat dina aplikasi konsumen geus tumuwuh sharply, lolobana alatan kasadiaan métode auténtikasi cryptographic dina alat nu bagerak, sanajan ngan perséntase rada leutik pausahaan ngagunakeun auténtikasi kuat pikeun aplikasi Internet.
Gemblengna, persentase perusahaan anu nganggo auténtikasi anu kuat dina bisnisna tilu kali lipat tina 5% dina 2017 ka 16% dina 2018 (Gambar 3).
Kamampuhan pikeun ngagunakeun auténtikasi anu kuat pikeun aplikasi wéb masih terbatas (alatan kanyataan yén ngan versi anyar pisan tina sababaraha panyungsi ngarojong interaksi jeung tokens cryptographic, tapi masalah ieu bisa direngsekeun ku masang software tambahan kayaning ), janten seueur perusahaan nganggo metode alternatif pikeun auténtikasi online, sapertos program pikeun alat sélulér anu ngahasilkeun kecap akses sakali.
Konci kriptografi hardware (Di dieu kami hartosna ngan ukur anu saluyu sareng standar FIDO), sapertos anu ditawarkeun ku Google, Feitian, One Span, sareng Yubico tiasa dianggo pikeun auténtikasi anu kuat tanpa masang parangkat lunak tambahan dina komputer desktop sareng laptop (sabab lolobana panyungsi geus ngarojong standar WebAuthn ti FIDO), tapi ngan 3% pausahaan ngagunakeun fitur ieu pikeun asup pamaké maranéhanana.
Babandingan token kriptografi (sapertos ) jeung konci rusiah gawéna nurutkeun standar FIDO nyaeta saluareun wengkuan laporan ieu, tapi ogé komentar kuring ka dinya. Pondokna, duanana jenis tokens ngagunakeun algoritma sarupa jeung prinsip operasi. Token FIDO ayeuna langkung saé dirojong ku padagang browser, sanaos ieu engké bakal robih nalika langkung seueur browser ngadukung . Tapi tokens cryptographic klasik ditangtayungan ku kodeu PIN, bisa asup dokumén éléktronik jeung dipaké pikeun auténtikasi dua-faktor dina Windows (versi naon), Linux Ubuntu jeung Mac OS X, boga API pikeun sagala rupa basa programming, ngamungkinkeun Anjeun pikeun nerapkeun 2FA jeung éléktronik. tanda tangan dina desktop, aplikasi mobile sareng Wéb, sareng token anu diproduksi di Rusia ngadukung algoritma GOST Rusia. Dina naon waé, token kriptografi, henteu paduli standar naon anu diciptakeun, mangrupikeun metode auténtikasi anu paling dipercaya sareng merenah.
Saluareun Kaamanan: Mangpaat Lain tina Auténtikasi Kuat
Henteu heran yén panggunaan auténtikasi anu kuat aya hubunganana sareng pentingna data anu disimpen dina bisnis. Perusahaan anu nyimpen Inpormasi Identipikasi Pribadi (PII) anu sénsitip, sapertos nomer Jaminan Sosial atanapi Inpormasi Kaséhatan Pribadi (PHI), nyanghareupan tekanan hukum sareng pangaturan anu paling ageung. Di handap ieu mangrupakeun pausahaan anu proponents paling agrésif tina auténtikasi kuat. Tekanan dina usaha ningkat ku ekspektasi para nasabah anu hoyong terang yén organisasi anu aranjeunna percanten sareng data anu paling sénsitip ngagunakeun metode auténtikasi anu kuat. Organisasi anu nanganan PII atanapi PHI sénsitip langkung ti dua kali kamungkinan ngagunakeun auténtikasi anu kuat tibatan organisasi anu ngan ukur nyimpen inpormasi kontak pangguna (Gambar 7).
Hanjakalna, perusahaan henteu acan daék nerapkeun metode auténtikasi anu kuat. Ampir sapertilu tina makers kaputusan bisnis nganggap kecap akses metoda auténtikasi paling éféktif diantara sakabeh jalma didaptarkeun dina Gambar 9, sarta 43% nganggap kecap akses metoda auténtikasi pangbasajanna.
Bagan ieu ngabuktikeun ka urang yén pamekar aplikasi bisnis di sakuliah dunya sarua ... Aranjeunna teu ningali kauntungan tina nerapkeun mékanisme kaamanan aksés akun canggih tur babagi misconceptions sarua. Sareng ngan ukur tindakan régulator tiasa ngarobih kaayaan.
Hayu urang teu noél sandi. Tapi naon anu anjeun kedah percanten pikeun yakin yén patarosan kaamanan langkung aman tibatan token kriptografi? Éféktivitas patarosan kontrol, nu ngan saukur dipilih, diperkirakeun dina 15%, sarta tokens teu hackable - ngan 10. Sahenteuna lalajo pilem "Ilusi tina tipu daya", dimana, sanajan dina formulir allegorical, eta ditémbongkeun kumaha gampang magicians. lured sagala hal anu diperlukeun kaluar hiji pangusaha-swindler waleran sarta ninggalkeun anjeunna tanpa duit.
Sareng hiji deui kanyataan anu nyarioskeun seueur ngeunaan kualifikasi jalma anu tanggung jawab mékanisme kaamanan dina aplikasi pangguna. Dina pamahaman maranéhna, prosés nuliskeun sandi mangrupa operasi basajan ti auténtikasi maké token cryptographic. Sanajan, eta bakal sigana nu eta bisa jadi leuwih basajan pikeun nyambungkeun token ka port USB jeung asupkeun kodeu PIN basajan.
Anu penting, ngalaksanakeun auténtikasi anu kuat ngamungkinkeun usaha pikeun ngajauhan pamikiran ngeunaan metode auténtikasi sareng aturan operasional anu dipikabutuh pikeun meungpeuk skéma curang pikeun nyumponan kabutuhan nyata para nasabah.
Sanaos patuh pangaturan mangrupikeun prioritas utama pikeun duanana usaha anu ngagunakeun auténtikasi anu kuat sareng anu henteu, perusahaan anu parantos ngagunakeun auténtikasi anu kuat langkung dipikaresep nyarios yén ningkatkeun kasatiaan pelanggan mangrupikeun métrik anu paling penting anu aranjeunna anggap nalika ngevaluasi auténtikasi. métode. (18% vs 12%) (Gambar 10).
Auténtikasi perusahaan
Kusabab 2017, nyoko auténtikasi anu kuat dina perusahaan parantos ningkat, tapi dina tingkat anu rada handap pikeun aplikasi konsumen. Pangsa perusahaan anu nganggo auténtikasi anu kuat ningkat tina 7% dina 2017 ka 12% dina 2018. Beda sareng aplikasi konsumen, dina lingkungan perusahaan panggunaan metode auténtikasi non-sandi langkung umum dina aplikasi wéb tibatan dina alat sélulér. Sakitar satengah usaha ngalaporkeun ngan ukur nganggo nami pangguna sareng kecap akses pikeun ngabuktoskeun kaaslianana pangguna nalika asup, sareng hiji tina lima (22%) ogé ngan ukur ngandelkeun kecap konci pikeun auténtikasi sekundér nalika ngaksés data sénsitip (nyaeta, pamaké mimiti log in kana aplikasi ngagunakeun métode auténtikasi basajan, sarta lamun manehna hayang meunang aksés ka data kritis, anjeunna bakal ngalakukeun prosedur auténtikasi sejen, waktos ieu biasana ngagunakeun métode leuwih dipercaya.).
Anjeun kudu ngarti yén laporan teu tumut kana akun pamakéan tokens cryptographic pikeun auténtikasi dua-faktor dina sistem operasi Windows, Linux Ubuntu jeung Mac OS X. Sarta ieu ayeuna pamakéan paling nyebar tina 2FA. (Aduh, token anu diciptakeun dumasar kana standar FIDO tiasa nerapkeun 2FA ngan pikeun Windows 10).
Sumawona, upami palaksanaan 2FA dina aplikasi online sareng mobile peryogi sakumpulan ukuran, kalebet modifikasi aplikasi ieu, maka pikeun nerapkeun 2FA dina Windows anjeun ngan ukur kedah ngonpigurasikeun PKI (contona, dumasar kana Server Sertifikasi Microsoft) sareng kawijakan auténtikasi. dina AD.
Sareng saprak ngajagi login ka PC kerja sareng domain mangrupikeun unsur penting pikeun ngajagi data perusahaan, palaksanaan auténtikasi dua faktor janten langkung umum.
Dua metodeu anu paling umum pikeun ngaoténtikasi pangguna nalika log in nyaéta kecap akses sakali anu disayogikeun ku aplikasi anu misah (13% perusahaan) sareng kecap konci sakali anu dikirimkeun via SMS (12%). Najan kanyataan yén persentase pamakéan duanana métode pisan sarupa, SMS OTP paling mindeng dipaké pikeun ngaronjatkeun tingkat otorisasina (dina 24% pausahaan). (Gambar 12).
Paningkatan dina panggunaan auténtikasi anu kuat dina perusahaan sigana tiasa dikaitkeun kana kasadiaan palaksanaan auténtikasi kriptografis dina platform manajemén identitas perusahaan (dina basa sanés, perusahaan SSO sareng sistem IAM parantos diajar ngagunakeun token).
Pikeun auténtikasi mobile karyawan sareng kontraktor, perusahaan langkung ngandelkeun kecap konci tibatan auténtikasi dina aplikasi konsumen. Ngan langkung ti satengah (53%) perusahaan nganggo kecap akses nalika ngaoténtikasi aksés pangguna kana data perusahaan ngalangkungan alat sélulér (Gambar 13).
Dina kasus alat sélulér, saurang bakal percanten kana kakuatan hébat biometrik, upami henteu seueur kasus sidik, sora, raray sareng irises palsu. Hiji pamundut search engine bakal nembongkeun yen metoda dipercaya tina auténtikasi biometric saukur teu aya. Sensor anu leres-leres akurat, tangtosna, aya, tapi aranjeunna mahal pisan sareng ukuranana ageung - sareng henteu dipasang dina smartphone.
Ku alatan éta, hiji-hijina metodeu 2FA anu tiasa dianggo dina alat sélulér nyaéta pamakean token kriptografis anu nyambung ka smartphone liwat antarmuka NFC, Bluetooth sareng USB Type-C.
Ngajagi data kauangan perusahaan mangrupikeun alesan utama pikeun investasi dina auténtikasi tanpa sandi (44%), kalayan pertumbuhan panggancangna saprak 2017 (paningkatan dalapan poin persentase). Ieu dituturkeun ku panangtayungan hak cipta intelektual (40%) jeung data tanaga (SDM) (39%). Sareng écés naha - sanés ngan ukur nilai anu aya hubunganana sareng jinis data ieu dikenal sacara lega, tapi rélatif sababaraha karyawan damel sareng aranjeunna. Hartina, waragad palaksanaan teu jadi badag, sarta ngan sababaraha urang kudu dilatih pikeun digawe sareng sistem auténtikasi leuwih kompleks. Sabalikna, jinis data sareng alat anu paling sering diaksés ku karyawan perusahaan masih ditangtayungan ku kecap akses. Dokumén karyawan, workstation, sareng portal email perusahaan mangrupikeun daérah anu paling résiko, sabab ngan ukur saparapat usaha anu ngajagaan aset ieu kalayan auténtikasi tanpa sandi (Gambar 14).
Sacara umum, email perusahaan mangrupikeun hal anu bahaya sareng bocor, darajat bahaya poténsial anu diestimasi ku kalolobaan CIO. Karyawan nampi puluhan email unggal dinten, janten naha henteu kalebet sahenteuna hiji email phishing (nyaéta, panipuan) diantara aranjeunna. Surat ieu bakal diformat dina gaya hurup perusahaan, ku kituna para karyawan bakal ngarasa nyaman ngaklik tautan dina surat ieu. Nya, teras naon waé tiasa kajantenan, contona, ngaunduh virus kana mesin anu diserang atanapi bocor kecap konci (kaasup ngaliwatan rékayasa sosial, ku ngalebetkeun formulir auténtikasi palsu anu diciptakeun ku panyerang).
Pikeun nyegah hal kawas ieu lumangsung, surelek kudu ditandatanganan. Teras bakal langsung écés mana hurup anu diciptakeun ku pagawé anu sah sareng mana anu diserang. Dina Outlook/Exchange, contona, tanda tangan éléktronik dumasar token cryptographic diaktipkeun cukup gancang sarta gampang tur bisa dipaké babarengan jeung auténtikasi dua-faktor sakuliah PCS sarta domain Windows.
Diantara eksekutif anu ngan ukur ngandelkeun auténtikasi sandi dina perusahaan, dua per tilu (66%) ngalakukeunana sabab yakin kecap akses nyayogikeun kaamanan anu cukup pikeun jinis inpormasi anu perusahaanna kedah dijagi (Gambar 15).
Tapi metode auténtikasi anu kuat janten langkung umum. Sakitu legana alatan kanyataan yén kasadiaan maranéhanana ngaronjat. Ngaronjatkeun jumlah sistem identitas sareng manajemén aksés (IAM), browser, sareng sistem operasi ngadukung auténtikasi nganggo token kriptografi.
auténtikasi kuat boga kaunggulan sejen. Kusabab sandi geus euweuh dipaké (diganti ku PIN basajan), euweuh requests ti pagawé nanya ka ngarobah sandi poho. Anu dina gilirannana ngirangan beban dina departemen IT perusahaan.
Hasil jeung conclusions
- Pangurus sering henteu gaduh pangaweruh anu diperyogikeun pikeun meunteun nyata efektivitas rupa pilihan auténtikasi. Aranjeunna biasa percanten ka jalma sapertos kitu katinggaleun jaman Métode kaamanan sapertos kecap akses sareng patarosan kaamanan ngan saukur kusabab "didamel sateuacana."
- Pamaké masih gaduh pangaweruh ieu Langkung sakedik, pikeun aranjeunna hal utama nyaéta kesederhanaan sareng genah. Salami aranjeunna henteu gaduh insentif pikeun milih solusi leuwih aman.
- Pamekar tina aplikasi custom mindeng euweuh alesanpikeun nerapkeun auténtikasi dua-faktor tinimbang auténtikasi sandi. Kompetisi dina tingkat panyalindungan dina aplikasi pamaké leungit.
- Tanggung jawab pinuh pikeun hack dipindahkeun ka pamaké. Pasihan kecap konci sakali ka panyerang - nyalahkeun. Sandi anjeun dicegat atanapi diintip - nyalahkeun. Henteu meryogikeun pamekar ngagunakeun metode auténtikasi anu dipercaya dina produk - nyalahkeun.
- Bener régulator Mimiti kudu merlukeun pausahaan pikeun nerapkeun solusi éta Blok bocor data (khususna auténtikasi dua faktor), tinimbang ngahukum geus kajadian data bocor.
- Sababaraha pamekar software nyoba ngajual ka konsumén heubeul jeung teu utamana dipercaya solusi dina bungkusan éndah produk "inovatif". Contona, auténtikasi ku cara numbu ka smartphone husus atawa ngagunakeun biometrics. Salaku bisa ditempo ti laporan, nurutkeun sabenerna bisa dipercaya Aya ngan bisa jadi solusi dumasar kana auténtikasi kuat, nyaeta, tokens cryptographic.
- Sami token cryptographic bisa dipaké pikeun sababaraha pancén: kanggo auténtikasi kuat dina sistem operasi perusahaan, dina aplikasi perusahaan sareng pangguna, pikeun signature éléktronik transaksi finansial (penting pikeun aplikasi perbankan), dokumén jeung email.
sumber: www.habr.com