Dviejų veiksnių autentifikavimas nėra vienodai saugus visuose metoduose. Aparatiniai saugos raktai paprastai suteikia stipriausią apsaugą, nes jie naudoja kriptografinį įrodymą, susietą su fiziniu įrenginiu, ir daug geriau nei vien tik kodai atsparūs sukčiavimui. Autentifikavimo programėlės pagerina saugumą naudodamos neprisijungus generuojamus vienkartinius kodus, o SMS išlieka pažeidžiama perėmimui ir SIM kortelės klastojimui. Biometriniai duomenys suteikia patogumo, tačiau jų vaidmuo 2FA yra ribotesnis, nei daugelis mano. Tikrasis skirtumas yra konkretesnis, nei iš pradžių atrodo.
Kas daro vieną 2FA metodą saugesnį?
A 2FA metodas paprastai laikomas saugesniu, kai jis sumažina perėmimo, sukčiavimo apsimetant, SIM kortelės keitimo ar įrenginio kompromitavimo riziką, kartu išlaikydamas stiprų antrąjį veiksnį, kurį sunku atkartoti.
Jis taip pat riboja priklausomybę nuo kanalų, kuriuos galima nukreipti, dubliuoti arba kuriuos galima paveikti socialine inžinerija. Metodai, kurių atsakymai yra trumpalaikiai, pririšti prie įrenginio arba kriptografiškai patvirtinti, paprastai yra pranašesni už kodus, siunčiamus pakartotinai naudojamais pranešimų kanalais.
Saugumas didėja, kai antrasis veiksnys išlieka atskiras nuo pirminio prisijungimo duomens ir kai atkūrimo procedūros nesusilpnina diegiamo kontrolės mechanizmo.
Saugumas gerėja, kai antrasis veiksnys išlieka atskiras, o atkūrimas niekada nesusilpnina papildomos apsaugos.
Organizacijoms, aptarnaujančioms kitus, praktiškas matas yra ne vien patogumas, bet ir atsparumas realiems atakų keliams, mažas klaidų skaičius bei platus naudojamumas streso sąlygomis.
Taigi saugesnis metodas sujungia stiprų patvirtinimą, minimalų poveikį ir nuspėjamą veikimą.
Kodėl aparatiniai saugos raktai suteikia geriausią apsaugą
Aparatiniai saugos raktai suteikia stipriausią 2FA apsaugą, nes jie susieja autentifikavimą su fiziniu įrenginiu ir patikrina prisijungimo kontekstą kriptografiniu įrodymu, o ne pakartotinai naudojamomis paslaptimis.
Jų dizainas atsparus sukčiavimui apsimetant (phishing), nes atsisako autentifikuoti, jei naršyklė ir kilmės šaltinis neatitinka numatytos paslaugos, taip sumažindamas prisijungimo duomenų pakartotinį panaudojimą ir „man-in-the-middle“ atakas.
Kadangi privatusis raktas lieka užantspauduotas įrenginyje, puolėjai negali išgauti kodų duomenų bazės ar dideliu mastu nukopijuoti šio veiksnio. Dėl to kompromitavimas priklauso nuo fizinio turėjimo ir sąmoningo naudotojo patvirtinimo, o tai padidina įsilaužimo pastangas.
Organizacijoms, aptarnaujančioms pažeidžiamus naudotojus, ši savybė yra vertinga: ji mažina paskyrų perėmimo riziką, padeda užtikrinti disciplinuotą prieigos kontrolę ir sukuria aiškią, audituojamą pasitikėjimo ribą tarp teisėtos prieigos ir piktybinio apsimetinėjimo.
Autentifikavimo programėlės vs. SMS kodai
Autentifikavimo programėlės paprastai suteikia stipresnę apsaugą nei SMS kodai, nes jos generuoja laikinus vienkartinius slaptažodžius vietoje, patikimame įrenginyje, taip išvengdamos priklausomybės nuo mobiliojo ryšio tinklų ir operatorių valdomų pristatymo kanalų. Tai sumažina pažeidžiamumą SIM kortelės keitimo, numerio perregistravimo sukčiavimo ir perėmimo perduodant žinutes metu.
Jos taip pat veikia be ryšio aprėpties, kai tik yra sukonfigūruotos, o tai pagerina prieinamumą ribotos infrastruktūros aplinkose. SMS kodai išlieka naudingi dėl plataus prieinamumo, nes beveik bet kuris mobilusis telefonas gali juos priimti be papildomos programinės įrangos, tačiau toks patogumas susijęs su apčiuopiama rizika.
Organizacijoms, aptarnaujančioms įvairius naudotojus, autentifikavimo programėlės suteikia geresnį patogumo ir patikimumo balansą. Jų silpnoji vieta yra įrenginio praradimas be atsarginio plano, todėl turėtų būti teikiami atkūrimo kodai ir saugūs registracijos procesai.
Ar biometriniai duomenys patikimi 2FA?
Biometrija gali pagerinti antrojo faktoriaus patogumą, tačiau jos patikimumas labai priklauso nuo grėsmių modelio ir įgyvendinimo. Pirštų atspaudai, veido atpažinimas ir rainelės skenavimas sumažina įsiminimo naštą ir gali užtikrinti laiku suteikiamą prieigą naudotojams, kurie padeda kitiems didelio spaudimo aplinkose.
Tačiau biometriniai požymiai nėra slapti, negali būti atšaukti, jei yra atskleidžiami, ir gali būti apgaunami naudojant aukštos kokybės kopijas ar pateikimo atakas. Jutiklių kokybė, gyvybingumo nustatymas ir saugus šablonų saugojimas labai stipriai veikia saugumą. Klaidingo priėmimo ir klaidingo atmetimo rodikliai taip pat skiriasi priklausomai nuo populiacijos ir aplinkos, todėl tikslumas yra nepastovus.
Todėl biometriniai duomenys geriausiai veikia kaip patogumo sluoksnis, o ne kaip savarankiškas užtikrinimo mechanizmas. Kai jie naudojami 2FA, jie turėtų papildyti stipresnį turėjimo veiksnį ir būti apsaugoti patikimomis apsaugos nuo klastojimo priemonėmis bei saugiais įrenginio saugyklos izoliuotais konteineriais.
Kaip pasirinkti tinkamą 2FA metodą
Pasirenkant dviejų veiksnių autentifikavimo metodą reikia suderinti mechanizmą su sistemos grėsmių modeliu, naudotojų baze ir eksploataciniais apribojimais.
Aparatiniai saugumo raktai suteikia stipriausią apsaugą nuo sukčiavimo apsimetant ir turėtų būti prioritetas privilegijuotiems darbuotojams, nuotoliniams administratoriams ir paslaugoms, tvarkančioms jautrius duomenis.
Aparatiniai saugumo raktai suteikia stipriausią apsaugą nuo sukčiavimo apsimetant ir turėtų būti prioritetas privilegijuotiems naudotojams ir jautrioms sistemoms.
Autentifikavimo programėlės suteikia praktišką saugumo ir naudojimo patogumo pusiausvyrą daugumai darbuotojų, ypač ten, kur įrenginių valdymas yra priimtinas.
SMS turėtų būti naudojamas tik mažos rizikos paskyroms arba laikinoms diegimo aplinkoms, nes SIM kortelės perėmimo ir peradresavimo rizikos išlieka reikšmingos.
Biometrija gali padidinti patogumą, tačiau ji geriausiai veikia kaip vietinis prieigos veiksnys, o ne kaip savarankiškas antrasis veiksnys.
Taip pat reikia įvertinti atkūrimo procedūras, registracijos trintį ir atsarginius kodus.
Saugiausias pasirinkimas yra tas, kurį naudotojai gali nuosekliai naudoti nesukurdami išvengiamų gedimo taškų.
