Czym jest uwierzytelnianie
Metody uwierzytelniania i najlepsze praktyki
Od zarania cywilizacji ludzkość poszukiwała bezpiecznych, ale wygodnych sposobów uwierzytelniania tożsamości, aby umożliwić dostęp tylko tym, którzy są upoważnieni i pozostać o krok przed podmiotami stanowiącymi zagrożenie. Rysy twarzy, tokeny, kryptografia, podpisy, odciski palców i hasła to tylko niektóre z metod uwierzytelniania stosowanych przed erą cyfrową. Ewolucja tych technik napędza dzisiejsze uwierzytelnianie.
Na przykład, zamiast polegać na ludzkim oku do rozpoznawania rysów twarzy, polegamy na narzędziachbiometrycznych do uwierzytelniania osoby na podstawie jej tęczówki, siatkówki, odcisku palca, głosu lub innych wyraźnych cech biologicznych. Podobnie, zamiast fizycznych tokenów, systemy bezpieczeństwa wydają tokeny cyfrowe użytkownikom, którzy pomyślnie udowodnili swoją tożsamość.
Mimo to podmioty stanowiące zagrożenie nadal znajdują sposoby na ominięcie uwierzytelniania. W poprzedniej epoce przestępcy mogli fałszować pieczęcie, aby ominąć zabezpieczenia. Obecnie więcej cyberprzestępców kradnie tokeny uwierzytelniające, aby ominąć MFA (uwierzytelnianie wieloskładnikowe), czasami z niszczycielskim skutkiem. Na przykład, hakerzy z przejęli tokeny sesji, aby spektakularnie przejąć trzy kanały Linus Media Group na YouTube.
Zespoły ds. cyberbezpieczeństwa w gigantach technologicznych, takich jak Google, Microsoft i Apple, nieustannie starają się ulepszać swoje systemy uwierzytelniania, aby chronić zarówno użytkowników, jak i organizacje przed coraz sprytniejszymi i częstszymi atakami cybernetycznymi.
Jednak wielu użytkowników woli mieć więcej wygody niż bezpieczeństwa, co wyjaśniałobypowolne wdrażanie MFA przez użytkowników Microsoft pomimo 25,6 miliarda prób przejęcia konta przy użyciu skradzionych haseł wymuszonych brutalnie w 2021 roku. Może to również wyjaśniać, dlaczego Microsoft wyłączył uwierzytelnianie Basic dla Exchange Online na rzecz nowoczesnego uwierzytelniania, obejmującego opcje takie jak MFA, karty inteligentne, uwierzytelnianie oparte na certyfikatach (CBA) i dostawców tożsamości innych firm Security Assertion Markup Language (SAML).
Przeczytaj nasz szczegółowy przewodnik, aby dowiedzieć się więcej:
- Znaczenie uwierzytelniania.
- Uwierzytelnianie dwuskładnikowe a uwierzytelnianie wieloskładnikowe.
- Uwierzytelnianie a autoryzacja.
- Metody uwierzytelniania.
- Uwierzytelnianie bez hasła.
Znaczenie uwierzytelniania
Uwierzytelnianie to metoda cyberbezpieczeństwa, która pomaga zweryfikować tożsamość systemu lub użytkownika. Najczęstszą metodą uwierzytelniania są nazwy użytkowników i hasła. Inne metody uwierzytelniania, takie jak weryfikacja biometryczna, są bardziej wyrafinowane i dokładne. Przykładem uwierzytelniania może być próba uzyskania dostępu do poczty e-mail - aby uzyskać dostęp do skrzynki pocztowej, należy wprowadzić nazwę użytkownika i hasło.
Dlaczego uwierzytelnianie jest ważne?
Uwierzytelnianie ma kluczowe znaczenie dla ochrony naszego bezpieczeństwa i prywatności. Wykonujemy wiele różnych działań online, od pracy i komunikacji po zakupy lub przechowywanie prywatnych danych, zazwyczaj zdalnie. Uwierzytelnianie pomaga zachować integralność każdej przestrzeni cyfrowej, takiej jak banki, platformy przetwarzania w chmurze, strony mediów społecznościowych i inne, poprzez ograniczenie ryzyka nieautoryzowanego dostępu. To właśnie dzięki uwierzytelnianiu możemy zaufać fizycznie niewidocznym systemom i tożsamościom.
Niektóre narzędzia uwierzytelniające mogą również spowolnić lub zatrzymać cyberatak. Na przykład cyberprzestępca posiadający skradzioną nazwę użytkownika i hasło może włamać się na konto w celu kradzieży danych, upuszczenia złośliwego oprogramowania lub zainicjowania ataku Man-in-the-Middle (MitM). Jednak jego ruchy boczne mogą zostać zatrzymane w systemie z głębszymi protokołami uwierzytelniania.
Uwierzytelnianie jest również niezbędne, ponieważ zwiększa odpowiedzialność użytkownika. Uwierzytelniony użytkownik może być mniej skłonny do angażowania się w złośliwe działania, ponieważ wie, że jest śledzony. Uwierzytelnianie może pomóc organizacjom z niektórych branż w przestrzeganiu przepisów dotyczących bezpieczeństwa i prywatności poprzez poprawę bezpieczeństwa danych.
Do czego służy uwierzytelnianie?
Uwierzytelnianie może być wykorzystywane do różnych celów:
- Bezpieczeństwo urządzeń: Wszystkie typy urządzeń z systemami operacyjnymi wdrażają uwierzytelnianie w celu zapewnienia bezpieczeństwa, w tym komputery stacjonarne, laptopy, smartfony, tablety, a nawet szeroki zakres urządzeń Internetu rzeczy (IoT).
- Bezpieczeństwo konta: Wiele platform wykorzystuje uwierzytelnianie w celu zwiększenia bezpieczeństwa kont. Na przykład konta e-mail i konta w mediach społecznościowych wykorzystują uwierzytelnianie, aby uniemożliwić nieautoryzowanym użytkownikom dostęp do kont. Platformy finansowe chronią bankowość internetową, płatności cyfrowe i handel elektroniczny przed oszustwami za pomocą uwierzytelniania.
- Przetwarzanie w chmurze: Ponieważ coraz więcej organizacji przechodzi na platformy przetwarzania w chmurze, takie jak Microsoft Azure, uwierzytelnianie jest wykorzystywane do zabezpieczania zasobów, danych i operacji. Uwierzytelnianie jest również wykorzystywane do zapewnienia bezpieczeństwa organizacjom z zasobami lokalnymi, takimi jak sieci i systemy, które wykorzystują pracę zdalną.
- Kontrola dostępu: Uwierzytelnianie jest wykorzystywane nie tylko do zapewnienia bezpieczeństwa zewnętrznego, ale także wewnętrznego. Organizacje mogą korzystać z uwierzytelniania, aby zapewnić pracownikom dostęp do sieci, aplikacji i danych zgodnie z zasadą ograniczonego dostępu.
Uwierzytelnianie a autoryzacja
Chociaż uwierzytelnianie i autoryzacja wydają się podobne, a oba terminy są czasami nieprawidłowo używane zamiennie, są to dwa różne pojęcia w cyberbezpieczeństwie. Dłuższe wyjaśnienie jest takie, że autoryzacja to proces weryfikacji tożsamości za pomocą danych logowania, rysów twarzy, głosu lub tokena uwierzytelniającego. Autoryzacja jest tym, co dzieje się po uwierzytelnieniu. Gdy system uwierzytelni tożsamość systemu lub osoby, zezwala podmiotowi na dostęp do zasobów lub wykonywanie działań w oparciu o jego uprawnienia.
Krótkie wyjaśnienie uwierzytelniania i autoryzacji polega na tym, że pierwsze z nich określa, czy podmiot ma dostęp, a drugie określa, z jakich zasobów może korzystać po autoryzacji.
Powszechnie używane czynniki uwierzytelniania
Każdy, kto korzystał z nowoczesnego systemu operacyjnego lub pracował na platformie przetwarzania w chmurze, wie, że istnieje wiele różnych rodzajów metod i narzędzi uwierzytelniania, takich jak kody PIN (osobiste numery identyfikacyjne), odciski palców, tokeny i adresy IP. Te metody lub narzędzia dzielą się na różne kategorie zwane czynnikami uwierzytelniania.
Czynniki wiedzy
Za czynnik wiedzy uważa się wszystko, co użytkownik zna, np. hasło lub odpowiedź na pytanie bezpieczeństwa. Czynniki wiedzy są zazwyczaj szybkie, ale podatne na włamania. Na przykład hasła mogą zostać skradzione. Słabe hasła są podatne na ataki siłowe, takie jakataki słownikowe .
Zdecydowanie zalecamy zapoznanie się z , jak utworzyć silne hasło, aby chronić swoje konta. Możesz również rozważyć użycie najlepszegomenedżera haseł do zarządzania listą złożonych danych logowania.
Czynniki posiadania
Czynnik posiadania może być bezpieczniejszy niż czynnik wiedzy, ponieważ wymaga, aby użytkownik był w posiadaniu określonego przedmiotu, takiego jak token lub smartfon, aby udowodnić swoją tożsamość. Przykładowo, system może wysłać jednorazowe hasło na inteligentne urządzenie użytkownika, gdy próbuje on uzyskać dostęp. Jednak czynniki posiadania również nie są idealne, ponieważ mogą zostać przejęte lub skradzione.
Czynniki dziedziczenia
Jednym z najbezpieczniejszych czynników uwierzytelniania jest czynnik dziedziczenia, ponieważ opiera się on na unikalnych cechach fizycznych użytkownika, takich jak odcisk palca lub tęczówka.
Największą wadą polegania na czynnikach dziedziczenia jest to, że sprzęt systemu musi być w stanie absorbować i przetwarzać dane biometryczne, chociaż większość nowoczesnych urządzeń ma takie funkcje.
Czynnik dziedziczenia może również okazać się zbyt skuteczny w rzadkich okolicznościach. Na przykład, było wiele przypadków, w których najbliżsi krewni nie mogli uzyskać dostępu do kryptowaluty swojego zmarłego dziecka, ponieważ ich urządzenie jest chronione przez czynnik dziedziczenia.
Czynniki lokalizacji
Organizacja, taka jak serwis streamingowy, może wykorzystać czynnik lokalizacji, taki jak blokowanie geograficzne, aby ograniczyć dostęp do użytkowników z określonych lokalizacji. Przykładowo, serwis streamingowy taki jak Netflix USA może zablokować użytkownikom z Kanady możliwość oglądania niektórych treści. Czynniki lokalizacji mają jednak zazwyczaj swoje obejścia. Przykładowo, osoba przebywająca w Kanadzie może teoretycznie skorzystać zprywatnej sieci VPN , aby zamaskować swoją lokalizację i uzyskać dostęp do Netflix USA.
Czynniki wpływające na zachowanie
Czynnik uwierzytelniania oparty na zachowaniu wymaga od użytkownika wykonania określonych czynności w celu udowodnienia swojej tożsamości. Na przykład, może być wymagane narysowanie pewnych wzorów lub rozwiązanie zagadki, aby udowodnić, że jest człowiekiem, a nie botem. Google reCAPTCHA wykorzystuje silnik analizy ryzyka i śledzi ruchy myszy, aby sprawdzić ludzkie zachowanie.
Rodzaje uwierzytelniania
Uwierzytelnianie oparte na haśle
Najpopularniejsza forma uwierzytelniania, uwierzytelnianie na podstawie hasła, to proces weryfikacji tożsamości użytkownika poprzez podanie hasła, które jest całkowicie zgodne z przechowywanym hasłem. System odrzuci hasło, które nie pasuje do zapisanego hasła nawet o jeden znak.
Jak wspomniano, hakerzy mogą bardzo szybko odgadnąć słabe hasła, korzystając z najnowszych narzędzi. Dlatego użytkownicy powinni ustawiać hasła o długości co najmniej 10 znaków i złożoności oraz okresowo zmieniać hasła.
Uwierzytelnianie wieloskładnikowe (MFA)
MFA narodziło się z konieczności. Nawet najbardziej wyrafinowane hasło może zostać skradzione. W przypadkuuwierzytelniania wieloskładnikowego nieautoryzowani użytkownicy mogą być zmuszeni do uwierzytelnienia swojej tożsamości w inny sposób, jeśli uruchomią system bezpieczeństwa systemu. Na przykład, jeśli system zidentyfikuje nowe urządzenie lub adres IP podczas próby logowania, może poprosić o kod PIN lub token, nawet jeśli użytkownik przedstawi prawidłowe dane logowania.
Uwierzytelnianie dwuskładnikowe (2FA)
Wiele osób zastanawia się nad różnicą między 2FA a MFA. Odpowiedź brzmi: 2FA jest zasadniczo podzbiorem MFA. Jak wspomniano, MFA wymaga dwóch lub więcej czynników uwierzytelniania. 2FA wymaga tylko dwóch, zazwyczaj hasła i kodu wysyłanego na konto e-mail lub urządzenie mobilne. Więcej informacji na ten temat można znaleźć na stronie Podstawy uwierzytelniania dwuskładnikowego.
Podczas gdy użytkownicy stron mediów społecznościowych używają 2FA do ochrony swoich kont, niektóre platformy niestety zarabiają na bezpieczeństwie kont. Na przykład mogłeś przeczytać o Twitter i uwierzytelnianie dwuskładnikowe, gdzie platforma dramatycznie zmienia ustawienia bezpieczeństwa. Od 19 marca użytkownicy nie mogą korzystać z 2FA opartego na SMS-ach bez opłacenia subskrypcji.
Użytkownicy mają jednak inne opcje (na razie). Na przykład mogą skonfigurować uwierzytelnianie dwuskładnikowe na Twitterze przy użyciu klucza sprzętowego dla zaawansowanego bezpieczeństwa. Klucz sprzętowy jest lepszym narzędziem bezpieczeństwa niż SMS, który jest otwarty na atak typu swim-swapping.
Uwierzytelnianie jednoskładnikowe (SFA)
Jak sama nazwa wskazuje, SFA wymaga od użytkowników oferowania tylko jednego elementu uwierzytelniania. Zazwyczaj hasło jest najczęstszym typem SFA. Chociaż SFA może być wygodniejsze niż MFA, może być znacznie mniej bezpieczne, zwłaszcza jeśli typ uwierzytelniania jest słaby. SFA jest również podatne na ataki socjotechniczne, takie jak phishing.
Uwierzytelnianie oparte na certyfikatach
W przypadku tego typu uwierzytelniania system wykorzystuje certyfikat cyfrowy. Uwierzytelnianie oparte na certyfikatach jest bezpieczniejsze niż hasła, ponieważ certyfikaty są wyrafinowane, używają kluczy i są odwoływalne przez organ wydający. Organizacje o wysokim profilu, takie jak rządy, używają tej techniki kryptograficznej w celu zwiększenia bezpieczeństwa.
Uwierzytelnianie biometryczne
Jak wspomniano, uwierzytelnianie biometryczne opiera się na unikalnych cechach fizycznych, takich jak odciski palców, głosy i tęczówki, w celu ochrony systemów. Uwierzytelnianie biometryczne jest najbezpieczniejszą i najwygodniejszą formą uwierzytelniania.
Uwierzytelnianie oparte na tokenach
Aplikacje internetowe, interfejsy API i inne systemy często wykorzystują tokeny do uwierzytelniania użytkowników. W skrócie, token to unikalny identyfikator wydawany autoryzowanemu użytkownikowi. Podczas gdy tokeny są coraz częściej używane ze względu na rozwój hybrydowych środowisk pracy, kradzież tokenów również rośnie.
Basic uwierzytelnianie
Podstawowy system uwierzytelniania wymaga jedynie podania nazwy użytkownika i hasła w celu uwierzytelnienia użytkownika. Systemy wykorzystujące podstawowe metody są bardziej podatne na ataki hakerów. Tylko wewnętrzne zasoby testowe lub systemy publiczne, takie jak publiczne WiFi, używają obecnie podstawowego uwierzytelniania. Uwierzytelnianie Basic jest przede wszystkim powodem, dla którego użytkownicy muszą być bardziej ostrożni podczas korzystania z publicznego WiFi.
Uwierzytelnianie bez hasła
Ponieważ użytkownicy i organizacje wymagają większej wygody w zakresie bezpieczeństwa, opcje uwierzytelniania bezhasłowego, takie jak biometria, klucze bezpieczeństwa, tokeny i kody jednorazowe, zyskują na popularności w środowiskach korporacyjnych i platformach konsumenckich.
Oprócz dodatkowej wygody, uwierzytelnianie bezhasłowe może zapewnić większe bezpieczeństwo, ponieważ wielu użytkowników nadal używa słabych haseł lub pada ofiarą ataków phishingowych, które atakują dane uwierzytelniające.
Uwierzytelnianie oparte na wiedzy (KBA)
KBA to rodzaj uwierzytelniania, który testuje wiedzę danej osoby na temat informacji, które zapisała w celu uwierzytelnienia swojej tożsamości. Przykłady KBA obejmują odpowiadanie na pytania o ulicę, na której dorastali, ulubiony kolor lub nazwisko panieńskie matki.
Istnieje kilka powodów, dla których KBA jest słabą metodą uwierzytelniania. Ponieważ więcej danych użytkowników jest publicznie dostępnych na forach dyskusyjnych i platformach mediów społecznościowych, takich jak LinkedIn i Facebook, podmiotowi stanowiącemu zagrożenie łatwiej jest zdobyć wymagane dane w celu ominięcia KBA. Ponadto użytkownicy są mniej skłonni do ustawiania złożonych odpowiedzi na tajne pytania niż do ustawiania złożonych haseł.
Wzajemne uwierzytelnianie
Wzajemne uwierzytelnianie, znane również jako uwierzytelnianie dwukierunkowe, to rodzaj uwierzytelniania, w którym obie strony połączenia weryfikują się nawzajem, zazwyczaj za pomocą certyfikatów cyfrowych. Chociaż wzajemne uwierzytelnianie jest najczęściej wykorzystywane przez protokoły komunikacyjne, takie jak Transport Layer Security (TLS) i Secure Sockets Layer (SSL), wiele urządzeń Internetu rzeczy (IoT) również wykorzystuje tę technikę w połączeniach między urządzeniami.
Uwierzytelnianie SMS
Uwierzytelnianie SMS wykorzystuje wiadomości tekstowe jako składnik MFA. Uwierzytelnianie SMS działa najlepiej, gdy metody uwierzytelniania są niezafałszowane. Na przykład operator sieci bezprzewodowej wpadł na świetny pomysł połączeniauwierzytelniania SMS z reklamą, co może pozwolić podmiotom atakującym na zaprojektowanie bardziej atrakcyjnych ataków smishing .
Uwierzytelnianie sieciowe lub serwerowe
Uwierzytelnianie sieciowe odnosi się do identyfikacji użytkowników, którzy próbują uzyskać dostęp do sieci lub serwera. Ten rodzaj uwierzytelniania jest używany w protokołach komunikacyjnych, VPN, zaporach ogniowych i systemach kontrolujących dostęp do aplikacji.
Uwierzytelnianie kluczem tajnym
W systemie, który wykorzystuje uwierzytelnianie za pomocą tajnego klucza, użytkownik i system współdzielą kryptograficzny klucz sesji, który jest znany tylko obu stronom. Klucze te są symetryczne. Innymi słowy, działają do szyfrowania i deszyfrowania. Protokoły komunikacyjne, takie jak Secure Sockets Layer (SSL), wykorzystują autoryzację za pomocą tajnego klucza, aby zapewnić bezpieczeństwo przesyłania danych, na przykład między przeglądarką internetową a witryną.
Klucz bezpieczeństwa fizycznego
Fizyczny klucz bezpieczeństwa to element sprzętu, który pomaga użytkownikowi udowodnić swoją tożsamość i jest przykładem czynnika posiadania. Fizyczny klucz bezpieczeństwa zazwyczaj generuje unikalny kod, który jest udostępniany systemowi w celu uwierzytelnienia. Fizyczne klucze bezpieczeństwa były używane tylko przez organizacje o wysokim profilu, takie jak banki i agencje wywiadowcze, ponad dekadę temu.
Jednak wiele różnych rodzajów platform, takich jak gry, handel elektroniczny i media społecznościowe, pozwala obecnie użytkownikom chronić swoje konta za pomocą fizycznych kluczy bezpieczeństwa. Na przykład użytkownicy mogą włączyć uwierzytelnianie za pomocą klucza sprzętowego Facebooka dla iOS i Android, aby uzyskać dodatkową warstwę zabezpieczeń swoich kont.
Najlepsze praktyki uwierzytelniania
- Uważaj na złośliwe oprogramowanie zaprojektowane do kradzieży poświadczeń lub poufnych danych, takie jak niektóre rodzaje trojanów, programów szpiegujących i keyloggerów. Dowiedz się również , jak usunąć keyloggera, ponieważ może on zbierać naciśnięcia klawiszy, zrzuty ekranu i inne informacje w celu oszukania systemu uwierzytelniania.
- Ustaw hasła, które mają co najmniej dziesięć znaków i zawierają kombinację cyfr, symboli i alfabetów.
- Unikaj używania znanych wzorców w hasłach, takich jak data urodzenia lub imię ulubionej gwiazdy.
- Nigdy nie przechowuj swoich danych logowania na widoku, na przykład na kartce papieru na biurku. Szyfruj hasła w urządzeniach.
- Podaj swojemu hasłu pomocną dłoń, korzystając z metod MFA, takich jak identyfikacja biometryczna lub klucz bezpieczeństwa.
- Uważaj na ataki socjotechniczne mające na celu kradzież Twoich danych uwierzytelniających.
- Unikaj ponownego używania hasła; w przeciwnym razie skradzione hasło może spowodować wielokrotne naruszenie konta.
- Regularnie zmieniaj swoje hasło. Dla wygody spróbuj użyć renomowanego menedżera haseł.
- Zachęć administratora sieci w swojej organizacji do ograniczenia długości sesji, aby zapobiec przejęciu sesji.
- Administratorzy muszą monitorować dzienniki uwierzytelniania i dane sieciowe, aby szybko reagować na podejrzane działania, takie jak wielokrotne próby dostępu z podejrzanych adresów IP.
- Organizacje powinny rozważyć przyjęcie architektury zerowego zaufania w celu zwiększenia bezpieczeństwa.
