Czym jest uwierzytelnianie
Metody uwierzytelniania i najlepsze praktyki
Od początków cywilizacji ludzkość poszukuje bezpiecznych, a jednak wygodnych sposobów uwierzytelniania tożsamości, aby umożliwić dostęp tylko tym, którzy mają odpowiednie uprawnienia, i pozostać o krok przed zagrożeniami. Wcześniej metody uwierzytelniania obejmowały cechy twarzy, tokeny, kryptografię, podpisy, odciski palców i hasła. Ewolucja tych technik napędza dzisiejsze uwierzytelnianie.
Na przykład zamiast polegać na ludzkim oku, które rozpoznaje cechy twarzy, teraz wykorzystujemy narzędzia biometryczne do uwierzytelniania osoby za pomocą tęczówki, siatkówki, odcisku palca, głosu lub innych unikalnych cech biologicznych. Podobnie, zamiast fizycznych tokenów, systemy bezpieczeństwa wydają użytkownikom tokeny cyfrowe, którzy pomyślnie potwierdzili swoją tożsamość.
Mimo to podmioty stanowiące zagrożenie nadal znajdują sposoby na ominięcie uwierzytelniania. W poprzedniej erze przestępcy mogli fałszować pieczęcie, aby ominąć zabezpieczenia. Obecnie coraz więcej cyberprzestępców kradnie tokeny uwierzytelniające, aby ominąć MFA (uwierzytelnianie wieloskładnikowe), czasami z niszczycielskim skutkiem. Na przykład, hackers porwali tokeny sesji, aby spektakularnie przejąć trzy kanały Linus Media Group YouTube .
Zespoły ds. bezpieczeństwa w gigantach technologicznych, takich jak Google, Microsoft i Apple, nieustannie pracują nad poprawą systemów uwierzytelniania, aby chronić zarówno użytkowników, jak i organizacje przed coraz sprytniejszymi i częstszymi atakami na bezpieczeństwo cybernetyczne.
Jednak wielu użytkowników woli mieć więcej wygody niż bezpieczeństwa, co wyjaśniałoby powolne wdrażanie MFA przez użytkowników Microsoft pomimo 25,6 miliarda prób przejęcia konta przy użyciu skradzionych haseł wymuszonych brutalnie w 2021 roku. Może to również wyjaśniać, dlaczego Microsoft wyłączył uwierzytelnianie Basic dla Exchange Online na rzecz nowoczesnego uwierzytelniania, obejmującego opcje takie jak MFA, karty inteligentne, uwierzytelnianie oparte na certyfikatach (CBA) i dostawcy tożsamości SAML (Security Assertion Markup Language) innych firm.
Przeczytaj nasz dogłębny przewodnik, aby dowiedzieć się więcej na temat:
- Znaczenie uwierzytelniania.
- Uwierzytelnianie dwuskładnikowe w porównaniu z uwierzytelnianiem wieloskładnikowym.
- Uwierzytelnianie vs autoryzacja.
- Metody uwierzytelniania.
- Uwierzytelnianie bez hasła.
Znaczenie uwierzytelniania
Uwierzytelnianie to metoda zabezpieczeń cybernetycznych, która pomaga zweryfikować tożsamość systemu lub użytkownika. Najpowszechniejszą metodą uwierzytelniania jest użycie nazw użytkowników i haseł. Inne metody uwierzytelniania, takie jak weryfikacja biometryczna, są bardziej zaawansowane i dokładne. Przykładem uwierzytelniania może być sytuacja, gdy próbujesz uzyskać dostęp do swojej poczty e-mail i musisz wprowadzić nazwę użytkownika i hasło, aby dostać się do swojej skrzynki.
Dlaczego uwierzytelnianie jest ważne?
Uwierzytelnianie ma kluczowe znaczenie dla ochrony naszego bezpieczeństwa i prywatności. Wykonujemy wiele różnych czynności online, od pracy i komunikacji po zakupy lub przechowywanie prywatnych danych, zazwyczaj zdalnie. Uwierzytelnianie pomaga zachować integralność każdej przestrzeni cyfrowej, takiej jak banki, platformy przetwarzania w chmurze, strony mediów społecznościowych i inne, poprzez ograniczenie ryzyka nieautoryzowanego dostępu. To właśnie dzięki uwierzytelnianiu możemy zaufać fizycznie niewidocznym systemom i tożsamościom.
Niektóre narzędzia uwierzytelniające mogą również spowolnić lub zatrzymać cyberatak. Na przykład cyberprzestępca posiadający skradzioną nazwę użytkownika i hasło może włamać się na konto w celu kradzieży danych, upuszczenia złośliwego oprogramowania lub zainicjowania ataku Man-in-the-Middle (MitM). Jednak jego ruchy boczne mogą zostać zatrzymane w systemie z głębszymi protokołami uwierzytelniania.
Uwierzytelnianie jest również niezbędne, ponieważ zwiększa odpowiedzialność użytkowników. Użytkownikom, którzy są uwierzytelnieni, może mniej chcieć się angażować w działalność złośliwą, ponieważ wiedzą, że są śledzeni. Uwierzytelnianie może pomóc organizacjom z niektórych branż w spełnieniu wymogów z zakresu bezpieczeństwa i prywatności, poprawiając bezpieczeństwo danych.
Do czego służy uwierzytelnianie?
Uwierzytelnianie można wykorzystać do różnych celów:
- Bezpieczeństwo urządzeń: Wszystkie typy urządzeń z systemami operacyjnymi wdrażają uwierzytelnianie w celu zapewnienia bezpieczeństwa, w tym komputery stacjonarne, laptopy, smartfony, tablety, a nawet szeroki zakres urządzeń Internetu rzeczy (IoT).
- Bezpieczeństwo kont: Wiele platform wykorzystuje uwierzytelnianie do zwiększenia bezpieczeństwa kont. Na przykład konta e-mail i w mediach społecznościowych używają uwierzytelniania, aby zapobiec nieautoryzowanemu dostępowi do kont. Platformy finansowe chronią bankowość internetową, płatności cyfrowe i e-commerce przed oszustwami dzięki uwierzytelnianiu.
- Chmura obliczeniowa: W miarę jak coraz więcej organizacji przenosi się na platformy chmurowe, takie jak Microsoft Azure, uwierzytelnianie jest używane do zabezpieczenia zasobów, danych i operacji. Uwierzytelnianie jest również stosowane do zabezpieczenia organizacji z zasobami lokalnymi, takimi jak sieci i systemy, które przyjmują zdalną pracę.
- Kontrola dostępu: Uwierzytelnianie jest używane nie tylko do zewnętrznego zabezpieczenia, ale również do wewnętrznego. Organizacje mogą używać uwierzytelniania, aby zapewnić, że personel ma dostęp do sieci, aplikacji i danych wyłącznie na zasadzie „muszę wiedzieć”.
Uwierzytelnianie a autoryzacja
Choć uwierzytelnianie i autoryzacja wydają się podobne i terminy te czasem są niewłaściwie używane zamiennie, to są to dwa różne pojęcia w cyberbezpieczeństwie. Długa odpowiedź brzmi, że autoryzacja to proces weryfikacji tożsamości za pomocą danych logowania, cech twarzy, głosu lub tokena uwierzytelniającego. Autoryzacja to to, co następuje po uwierzytelnieniu. Gdy system uwierzytelni tożsamość systemu lub osoby, pozwala tej jednostce na dostęp do zasobów lub wykonywanie działań na podstawie ich uprawnień.
Krótka odpowiedź na pytanie "uwierzytelnianie vs autoryzacja" jest taka, że pierwsze określa, czy podmiot jest uprawniony do dostępu, a drugie określa, z jakimi zasobami mogą się zetknąć po autoryzacji.
Najczęściej używane czynniki uwierzytelniania
Każdy, kto korzystał z nowoczesnego systemu operacyjnego lub pracował na platformie chmurowej, wie, że istnieje wiele różnych rodzajów metod i narzędzi uwierzytelniania, takich jak PIN-y (Personal Identification Numbers), odciski palców, tokeny i adresy IP. Te metody lub narzędzia podlegają różnym kategoriom, zwanym czynnikami uwierzytelniania.
Czynniki wiedzy
Za czynnik wiedzy uważa się wszystko, co użytkownik zna, np. hasło lub odpowiedź na pytanie bezpieczeństwa. Czynniki wiedzy są zazwyczaj szybkie, ale podatne na włamania. Na przykład hasła mogą zostać skradzione. Słabe hasła są podatne na ataki siłowe, takie jakataki słownikowe .
Gorąco polecamy, aby nauczyć się jak stworzyć silne hasło w celu ochrony swoich kont. Możesz również rozważyć użycie najlepszego menadżera haseł do zarządzania listą złożonych danych logowania.
Czynniki posiadania
Czynnik posiadania może być bezpieczniejszy niż czynnik wiedzy, ponieważ wymaga posiadania przez użytkownika określonego przedmiotu, takiego jak token lub smartfon, aby udowodnić swoją tożsamość. Na przykład system może wysłać jednorazowe hasło na smartfona użytkownika, gdy ten próbuje uzyskać dostęp. Jednak czynniki posiadania również nie są idealne, ponieważ rzeczy mogą być przechwycone lub skradzione.
Czynniki odziedziczone
Jednym z najbezpieczniejszych faktorów uwierzytelniania jest czynnik dziedzictwa, ponieważ polega na unikalnych cechach fizycznych użytkownika, takich jak odcisk palca czy tęczówka.
Największym minusem polegania na czynnikach dziedzictwa jest to, że sprzęt systemowy musi być zdolny do przyjmowania i przetwarzania danych biometrycznych, choć większość nowoczesnych urządzeń ma takie funkcje.
Czynnik dziedziczenia może również okazać się zbyt skuteczny w rzadkich okolicznościach. Na przykład, było wiele przypadków, w których najbliżsi krewni nie mogli uzyskać dostępu do kryptowaluty swojego zmarłego dziecka, ponieważ ich urządzenie jest chronione przez czynnik dziedziczenia.
Czynniki lokalizacyjne
Firma, taka jak serwis streamingowy, może wykorzystać czynnik lokalizacyjny, taki jak blokowanie geograficzne, aby ograniczyć dostęp użytkowników z określonych miejsc. Na przykład serwis streamingowy, taki jak Netflix USA, może zablokować użytkownikom z Kanady dostęp do niektórych treści. Jednak czynniki lokalizacyjne zwykle mają obejścia. Na przykład ktoś w Kanadzie może teoretycznie wykorzystać prywatną sieć VPN, aby ukryć swoją lokalizację i uzyskać dostęp do Netflix USA.
Czynniki behawioralne
Czynnik uwierzytelniania oparty na zachowaniu wymaga od użytkownika wykonania określonych czynności w celu udowodnienia swojej tożsamości. Na przykład, może być wymagane narysowanie pewnych wzorów lub rozwiązanie zagadki, aby udowodnić, że jest człowiekiem, a nie botem. Google reCAPTCHA wykorzystuje silnik analizy ryzyka i śledzi ruchy myszy, aby sprawdzić ludzkie zachowanie.
Rodzaje uwierzytelnienia
Uwierzytelnianie oparte na haśle
Najpowszechniejsza forma uwierzytelniania, uwierzytelnianie oparte na hasłach, polega na weryfikacji tożsamości użytkownika przez podanie hasła, które całkowicie zgadza się z zapisanym. System odrzuci hasło, które nie zgadza się z zapisanym choćby o jeden znak.
Jak wspomniano, hakerzy mogą bardzo szybko odgadnąć słabe hasła, używając najnowszych narzędzi. Dlatego użytkownicy powinni ustawiać hasła, które mają co najmniej 10 znaków, są skomplikowane i okresowo zmieniać hasła.
Uwierzytelnianie wieloskładnikowe (MFA)
MFA narodziło się z konieczności. Nawet najbardziej wyrafinowane hasło może zostać skradzione. W przypadkuuwierzytelniania wieloskładnikowego nieautoryzowani użytkownicy mogą być zmuszeni do uwierzytelnienia swojej tożsamości w inny sposób, jeśli uruchomią system bezpieczeństwa systemu. Na przykład, jeśli system zidentyfikuje nowe urządzenie lub adres IP podczas próby logowania, może poprosić o kod PIN lub token, nawet jeśli użytkownik przedstawi prawidłowe dane logowania.
Uwierzytelnianie dwuskładnikowe (2FA)
Wiele osób zastanawia się nad różnicą między 2FA a MFA. Odpowiedź brzmi: 2FA jest zasadniczo podzbiorem MFA. Jak wspomniano, MFA wymaga dwóch lub więcej czynników uwierzytelniania. 2FA wymaga tylko dwóch, zazwyczaj hasła i kodu wysyłanego na konto e-mail lub urządzenie mobilne. Więcej informacji na ten temat można znaleźć na stronie Podstawy uwierzytelniania dwuskładnikowego.
Podczas gdy użytkownicy mediów społecznościowych korzystają z 2FA, aby chronić swoje konta, niektóre platformy niestety monetyzują bezpieczeństwo kont. Na przykład, możesz przeczytać o Twitterze i uwierzytelnianiu dwuskładnikowym, gdzie platforma radykalnie zmienia ustawienia bezpieczeństwa. Od 19 marca użytkownicy nie mogą korzystać z 2FA opartego na SMS bez opłacenia subskrypcji.
Użytkownicy mają jednak inne opcje (na razie). Na przykład mogą skonfigurować dwuskładnikowe uwierzytelnianie na Twitterze za pomocą sprzętowego klucza dla zaawansowanego zabezpieczenia. Sprzętowy klucz stanowi lepsze zabezpieczenie niż SMS, który może być podatny na ataki swim-swapping.
Uwierzytelnianie jednoskładnikowe (SFA)
Jak sama nazwa wskazuje, SFA wymaga od użytkowników oferowania tylko jednego elementu uwierzytelniania. Zazwyczaj hasło jest najczęstszym typem SFA. Chociaż SFA może być wygodniejsze niż MFA, może być znacznie mniej bezpieczne, zwłaszcza jeśli typ uwierzytelniania jest słaby. SFA jest również podatne na ataki socjotechniczne, takie jak phishing.
Uwierzytelnianie oparte na certyfikatach
W tym rodzaju uwierzytelniania system korzysta z cyfrowego certyfikatu. Uwierzytelnianie oparte na certyfikatach jest bezpieczniejsze niż hasła, ponieważ certyfikaty są zaawansowane i wykorzystują klucze oraz są odwołalne przez podmiot wydający. Wysoko profilowane organizacje, takie jak rządy, używają tej kryptograficznej techniki dla zwiększenia bezpieczeństwa.
Uwierzytelnianie biometryczne
Jak wspomniano, uwierzytelnianie biometryczne polega na unikalnych cechach fizycznych, takich jak odciski palców, głosy i tęczówki, aby chronić systemy. Uwierzytelnianie biometryczne jest najbezpieczniejszą i najwygodniejszą formą uwierzytelniania.
Uwierzytelnianie oparte na tokenach
Aplikacje internetowe, API i inne systemy często używają tokenów do uwierzytelniania użytkowników. W skrócie, token to unikalny identyfikator wydany upoważnionemu użytkownikowi. Podczas gdy użycie tokenów wzrasta wraz z rozwojem hybrydowych środowisk pracy, rośnie także kradzież tokenów.
Podstawowe uwierzytelnianie
Podstawowy system uwierzytelniania wymaga jedynie nazwy użytkownika i hasła do uwierzytelnienia użytkownika. Systemy korzystające z podstawowych metod są bardziej podatne na ataki hakerów. Obecnie tylko wewnętrzne zasoby testowe lub publiczne systemy, takie jak publiczne WiFi, używają podstawowego uwierzytelniania. Podstawowe uwierzytelnianie jest głównie powodem, dla którego użytkownicy muszą być bardziej uważni podczas korzystania z publicznego WiFi.
Uwierzytelnianie bezhasłowe
W miarę jak użytkownicy i organizacje wymagają większej wygody i bezpieczeństwa, opcje uwierzytelniania bezhasłowego, takie jak biometria, klucze bezpieczeństwa, tokeny i jednorazowe kody, zyskują na popularności w środowiskach korporacyjnych i platformach używanych przez konsumentów.
Oprócz dodatkowej wygody, uwierzytelnianie bezhasłowe może zapewnić większe bezpieczeństwo, ponieważ wielu użytkowników wciąż używa słabych haseł lub pada ofiarą ataków phishingowych atakujących dane uwierzytelniające.
Uwierzytelnianie oparte na wiedzy (KBA)
KBA to rodzaj uwierzytelniania, który testuje wiedzę osoby na temat informacji, które zapisała w celu uwierzytelnienia swojej tożsamości. Przykłady KBA to np. odpowiadanie na pytania dotyczące ulicy, na której dorastał, ulubionego koloru lub panieńskiego nazwiska matki.
Jest kilka powodów, dla których KBA jest słabą metodą uwierzytelniania. Dzięki coraz większej ilości danych użytkowników dostępnych publicznie na forach i platformach społecznościowych jak LinkedIn i Facebook, łatwiej jest aktorom zagrożeń pozyskać potrzebne dane do obejścia KBA. Ponadto użytkownicy rzadziej ustawiają skomplikowane odpowiedzi na pytania zabezpieczające niż skomplikowane hasła.
Uwierzytelnianie wzajemne
Wzajemne uwierzytelnianie, znane również jako uwierzytelnianie dwukierunkowe, to rodzaj uwierzytelniania, w którym obie strony połączenia weryfikują się nawzajem, zazwyczaj za pomocą certyfikatów cyfrowych. Chociaż wzajemne uwierzytelnianie jest najczęściej wykorzystywane przez protokoły komunikacyjne, takie jak Transport Layer Security (TLS) i Secure Sockets Layer(SSL), wiele urządzeń Internetu rzeczy (IoT) również wykorzystuje tę technikę w połączeniach między urządzeniami.
Uwierzytelnianie SMS
Uwierzytelnianie SMS wykorzystuje wiadomości tekstowe jako składnik MFA. Uwierzytelnianie SMS działa najlepiej, gdy metody uwierzytelniania są niezafałszowane. Na przykład operator sieci bezprzewodowej wpadł na świetny pomysł połączeniauwierzytelniania SMS z reklamą, co może pozwolić podmiotom atakującym na zaprojektowanie bardziej atrakcyjnych metod uwierzytelniania. smishing ataki.
Uwierzytelnianie sieciowe lub serwerowe
Uwierzytelnianie sieciowe odnosi się do identyfikacji użytkowników, którzy próbują uzyskać dostęp do sieci lub serwera. Ten typ uwierzytelniania jest używany w protokołach komunikacyjnych, VPN, firewalle i systemach kontroli dostępu do aplikacji.
Uwierzytelnianie klucza tajnego
W systemie, który korzysta z uwierzytelniania klucza tajnego, użytkownik i system dzielą wspólny klucz sesji kryptograficznej, znany tylko obu stronom. Klucze te są symetryczne. Innymi słowy, działają zarówno na potrzeby szyfrowania, jak i deszyfrowania. Protokoły komunikacyjne, takie jak Secure Sockets Layer (SSL), używają autoryzacji klucza tajnego dla zapewnienia bezpieczeństwa transferu danych, na przykład pomiędzy przeglądarką internetową a stroną internetową.
Fizyczny klucz bezpieczeństwa
Fizyczny klucz bezpieczeństwa to sprzęt, który pomaga użytkownikowi potwierdzić swoją tożsamość i jest przykładem czynnika posiadania. Fizyczny klucz bezpieczeństwa zazwyczaj generuje unikalny kod, który jest udostępniany systemowi w celu uwierzytelnienia. Ponad dekadę temu fizyczne klucze bezpieczeństwa były używane tylko przez organizacje o wysokim profilu, takie jak banki i agencje wywiadowcze.
Jednak wiele różnych typów platform, takich jak gaming, e-commerce i media społecznościowe, pozwala obecnie użytkownikom chronić swoje konta przy pomocy fizycznych kluczy bezpieczeństwa. Na przykład użytkownicy mogą włączyć uwierzytelnianie sprzętowe Facebooka dla iOS i Androida dla dodatkowej ochrony czynnika posiadania ich kont.
Najlepsze praktyki dotyczące uwierzytelniania
- Uważaj na złośliwe oprogramowanie zaprojektowane do kradzieży poświadczeń lub poufnych danych, takie jak niektóre rodzaje trojanów, programów szpiegujących i keyloggerów. Dowiedz się również , jak usunąć keyloggera, ponieważ może on zbierać naciśnięcia klawiszy, zrzuty ekranu i inne informacje w celu oszukania systemu uwierzytelniania.
- Ustaw hasła, które mają co najmniej dziesięć znaków i zawierają mieszankę cyfr, symboli i liter.
- Unikaj używania znanych wzorców w hasłach, takich jak data urodzenia lub imię ulubionego celebryty.
- Nigdy nie przechowuj swoich danych logowania na widoku, na przykład na kartce papieru na biurku. Szyfruj hasła w urządzeniach.
- Wspomóż swoje hasło, używając metod MFA, takich jak identyfikacja biometryczna lub klucz bezpieczeństwa.
- Bądź ostrożny wobec ataków inżynierii społecznej, które mają na celu kradzież twoich danych uwierzytelniających.
- Unikaj ponownego używania hasła; w przeciwnym razie skradzione hasło może prowadzić do wielu naruszeń kont.
- Regularnie zmieniaj swoje hasło. Dla wygody spróbuj użyć renomowanego menedżera haseł.
- Zachęć administratora sieci w swojej organizacji do ograniczenia długości sesji, aby zapobiec przejęciu sesji.
- Administratorzy muszą monitorować dzienniki uwierzytelniania i dane sieciowe, aby szybko reagować na podejrzaną aktywność, taką jak wielokrotne próby logowania z podejrzanych adresów IP.
- Organizacje powinny rozważyć wdrożenie architektury zero zaufania dla większego bezpieczeństwa.
