REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Logowanie bez hasła - niewidoczne uwierzytelnianie wieloskładnikowe (iMFA)

Subskrybuj nas na Youtube
Logowanie bez hasła - niewidoczne uwierzytelnianie wieloskładnikowe (iMFA)
Logowanie bez hasła - niewidoczne uwierzytelnianie wieloskładnikowe (iMFA)
shutterstock

REKLAMA

REKLAMA

Logowanie bez hasła. Korzystanie z haseł jest niewygodne dla użytkowników i powoduje liczne luki w zabezpieczeniach. Ale nadal jeszcze nie ma lepszej metody logowania. Hasła są więc konieczne, bowiem firmy są zobowiązane do zapewnienia bezpieczeństwa użytkownikom. Ci z kolei twierdzą w większości, że bezpieczeństwo jest ważniejsze niż wygoda, ale ich działania mówią co innego. Możliwym rozwiązaniem omawianego problemu jest niewidoczne uwierzytelnianie wieloskładnikowe (iMFA).

Uwierzytelnianie wieloskładnikowe (MFA) - jeszcze z hasłem

Badania przeprowadzone przez Google sugerują, że nawet jeśli użytkownicy doświadczyli przejęcia ich kont, mniej niż 10% z nich zastosuje uwierzytelnianie wieloskładnikowe (MFA) ze względu na związaną z tym złożoność i utrudnienia. Dzisiejsze rozwiązania MFA zazwyczaj polegają na hasłach połączonych z SMS-em lub jednorazowym hasłem za pośrednictwem poczty elektronicznej czy fizycznego tokena.
Jednak całość uwierzytelniania musi reprezentować równowagę między użytecznością, bezpieczeństwem i możliwością wdrażania. Celem wyeliminowania czy zastąpienia haseł, nowe rozwiązanie musi równać się zabezpieczeniom hasłami na wszystkich trzech frontach i być lepsze przynajmniej na jednym z nich.  Zamiana jednego zestawu korzyści na inny nie wystarczy, aby zachęcić zarówno organizacje, jak i użytkowników do zmiany.

Co więc możemy dziś zrobić, aby złagodzić tarcia związane z hasłami i zbliżyć się ideału równowagi?

REKLAMA

Lepsze niewidoczne uwierzytelnianie wieloskładnikowe - iMFA (bez haseł)

Możliwym rozwiązaniem omawianego problemu jest niewidoczne uwierzytelnianie wieloskładnikowe (iMFA). W przeciwieństwie do aktualnych rozwiązań MFA - iMFA opiera się na czynnikach niewidocznych dla użytkownika. W szczególności, bez trudu zbiera i przetwarza maksymalną liczbę sygnałów. Rozłóżmy to na czynniki pierwsze:

  • Maksymalna liczba informacji Uwierzytelnianie w sieci Web jest zbieżne z modelem uwierzytelniania niebinarnego, w którym wszystkie dostępne informacje są uwzględniane dla każdej transakcji. Cały kontekst interakcji użytkownika z witryną można wykorzystać do zapewnienia najlepszego wglądu w profil ryzyka użytkownika.
  • Bezproblemowe zbieranie i przetwarzanie sygnału Zabezpieczenia powinny być dostarczone w sposób pośredni (backend), aby nie przeszkadzały klientom. Zapewniając bezpieczeństwo tą drogą, firmy mogą minimalizować zagrożenia przy minimalnych kosztach bez wprowadzania utrudnień dla niecierpliwych użytkowników. Dla przykładu: większość dostawców poczty e-mail zdecydowała się na podejście, w którym klasyfikacja poczty przebiega na podstawie znanych wzorców zachowań atakujących. Te zabezpieczenia nie są darmowe ani łatwe do wdrożenia, niemniej duzi operatorzy sieci często poświęcają znaczne zasoby, aby zapobiegać nadużyciom, w miarę jak te ewoluują. Niemniej, te koszy są zwykle znacznie niższe niż w przypadku podejścia wymagającego od użytkownika zmiany zachowania.

iMFA można zaimplementować za pomocą kombinacji narzędzi, takich jak WebAuthn i sygnały behawioralne. WebAuthn może zapewnić bezpieczne przechowywanie danych logowania i weryfikację użytkowników, a ciągłą autoryzację można uzupełnić o sygnały behawioralne. Tradycyjne elementy MFA - „coś, co znasz”, „masz” i „jesteś” - pochodzą z WebAuthn. Najnowszy element uwierzytelniania, „coś, co robisz”, pochodzi z sygnałów behawioralnych, w tym z nowych rodzajów danych biometrycznych. Ponadto generowanie tak różnorodnych sygnałów wymaga od użytkownika tylko jednej czynności, co stanowi znacznie mniejszy wysiłek niż wprowadzanie haseł. Dzięki połączeniu tych metod i ciągłemu udoskonalaniu ich poprzez uczenie maszynowe możemy osiągnąć efekt zwiększonego poziomu bezpieczeństwa z jednoczesnym obniżaniem poziomu utrudnień dla użytkownika.

Hasła nie znikną z dnia na dzień

REKLAMA

Niemniej iMFA nie może zastąpić haseł z dnia na dzień. Użytkownicy odporni na zmiany będą potrzebować ewolucji. Witryny nadal będą musiały uwzględniać rozwiązanie takie jak WebAuthn w swoich protokołach uwierzytelniania. Bez pilnej potrzeby związanej z określonym zagrożeniem bezpieczeństwa wiele witryn prawdopodobnie nie będzie spieszyć się z przyjęciem tego standardu.

W przypadku, gdyby przyjęcie nowej metody miało trwać latami konieczne jest podjęcie dodatkowych działań utrudniających ataki. Cyberprzestępcy przeprowadzający ataki upychania poświadczeń są zwykle zmotywowani finansowo i nie mają nieskończonych zasobów kapitałowych. Jeśli organizacja może znacznie wydłużyć czas potrzebny na skuteczny atak, spowoduje, że większość cyberprzestępców zrezygnuje z trudniejszego celu na rzecz łatwiejszych do osiągnięcia.

Dalszy ciąg materiału pod wideo

Zabezpieczenia przed cyberprzestępczością - co warto zrobić

REKLAMA

Pierwszym, odpowiednim w takiej sytuacji krokiem będzie utrudnienie dekodowania wycieków poświadczeń. Każda firma powinna ulepszyć swoje metody zabezpieczania haseł. Jeśli hasła są szyfrowane za pomocą MD5, organizacje muszą dokonać aktualizacji do bardziej bezpiecznego poziomu, na przykład bcrypt. W efekcie atakujący będą musieli poświęcić zbyt dużo czasu na złamanie naruszonych danych zanim jeszcze będą mogli przeprowadzić atak.

Organizacje mogą również zbadać sposoby wymuszania na atakujących opracowywania unikalnych metod ataków dla każdego celu. Załóżmy, że wyrafinowany napastnik zdobył 100 000 odszyfrowanych danych uwierzytelniających, co do których jest pewien, że nikt inny nie ma do nich dostępu, przynajmniej na razie. Atakujący wie, że 100 000 nowych poświadczeń powinno prowadzić w dużej witrynie do przejęcia średnio około 1000 kont. Dla tak wyrafinowanego napastnika, przejęcie ponad 1000 kont detalicznych może nie być warte kilku tygodni, które zajęłoby opracowanie, przetestowanie, uruchomienie unikalnego ataku i zarabianie na nim. Kluczem do sukcesu atakujących byłoby znalezienie firm, które mogłyby zostać zaatakowane przy użyciu tego samego oprogramowania - innymi słowy, celów z podobną infrastrukturą.

W rezultacie takiego podejścia, przestępca atakuje kilka podmiotów jednocześnie – np. sprzedawcę detalicznego, bank, firmę zajmującą się mediami społecznościowymi i aplikację mobilną do zamawiania przejazdów taxi. Opracowany atak jest skierowany na wersję aplikacji mobilnych na Androida, które zostały zbudowane na tej samej platformie. Wyrafinowanie takiego ataku polega na tym, że przestępca nie wykorzystuje żadnych zasobów częściej niż dwukrotnie i omija wszelkie środki ograniczające szybkość ataku, które wdrożono w organizacji. Mimo, że atakujący jest na tyle wyrafinowany, żeby nie wykorzystywać zasobów ponownie podczas ataku na pojedynczy cel, nie przypuszcza, że zostanie przyłapany na przetwarzaniu zasobów na różne cele.

Podobna sytuacja miała miejsce w 2018 roku u czterech klientów firmy Shape. Ponieważ wszyscy działali na wspólnej platformie ochrony, atak na jednego z nich był w efekcie atakiem na nich wszystkich. Ponieważ osoba atakująca przetworzyła zasoby i wzorce zachowań we wszystkich czterech firmach w bardzo krótkim czasie, firma Shape była w stanie bardzo szybko zebrać wystarczającą ilość danych, aby zidentyfikować atak. Tak więc przybrana metoda „łączenia ataków” faktycznie działała na niekorzyść atakującego, ale tylko dlatego, że inteligentne rozwiązanie było dzielone między różnymi celami.

Ważne!
Niemożliwe jest natychmiastowe wykrycie 100 procent ataków w 100 procentach przypadków. Możliwe jest za to doprowadzenie do sytuacji, w której ataki staną się zbyt kosztowne dla kryminalistów, a ci się poddadzą, a może nawet nie spróbują ponownie. Cyberprzestępczość to biznes - ataki są organizowane w oparciu o przewidywalną stopę zwrotu. Dla biznesu i cyberprzestępców czas – to pieniądz.

Shuman Ghosemajumder, globalny szef AI w F5

Zapisz się na newsletter
Zakładasz firmę? A może ją rozwijasz? Chcesz jak najbardziej efektywnie prowadzić swój biznes? Z naszym newsletterem będziesz zawsze na bieżąco.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: Newseria.pl

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Branża budowlana: mimo działań prewencyjnych liczba wypadków przy pracy nie chce spadać

Brokerzy ubezpieczeniowi alarmują> Firmy budowlane nieraz bagatelizują skalę oraz prawdopodobieństwo wypadków i zawierają ubezpieczenia OC działalności z niskimi sumami gwarancyjnymi i limitami. Tymczasem rośnie liczba wypadków ze skutkiem śmiertelnym.

Rząd opóźnia obowiązek raportowania ESG. Raportowanie dopiero od 2028 i 2029 r. [projekt ustawy przyjęty przez Radę Ministrów]

Rada Ministrów przyjęła projekt ustawy odraczający o dwa lata obowiązek raportowania ESG dla firm. Nowe przepisy mają ograniczyć biurokratyczne obciążenia i dać przedsiębiorcom więcej czasu na dostosowanie się do unijnych regulacji.

Jak założyć klub fitness lub siłownię? [Poradnik eksperta]

Obecnie w Polsce działa ponad trzy tysiące siłowni i klubów fitness, z czego przeważająca większość funkcjonuje w ramach większych sieci. Dbanie o zdrowie i kondycję fizyczną stało się globalnym i nieprzemijającym trendem, co można zawdzięczać m.in. influencerom z branży fitness (trenerom i instruktorom).

Dlaczego Polacy nie ufają zagranicznym sklepom online? [Raport]

Zagraniczne firmy napotykają na poważną barierę na polskim rynku e-commerce – brak zaufania. Aż 2/3 Polaków unika zakupów w zagranicznych e-sklepach z obawy o zwroty, reklamacje i autentyczność produktów. Kluczową rolę w decyzjach zakupowych odgrywają opinie innych klientów. Pokonanie tej nieufności to klucz do sukcesu w polskim e-handlu.

REKLAMA

Rząd podwyższy w 2026 r. płacę minimalną tylko o wskaźnik inflacji - przedsiębiorcy chwalą takie rozwiązanie, dlaczego

Płaca minimalna w 2026 roku wzrośnie o 140 złotych brutto do kwoty 4806 złotych. To mniejszy wzrost niż w minionych latach, ale przedsiębiorcy przyznają, że jest to kompromis pomiędzy możliwościami przedsiębiorców, a oczekiwaniami pracowników.

Szczęście i spełnienie może iść w parze

Rozmowa z dr Mary E. Anderson, autorką książki „Radość osiągania” – o tym, jak być szczęśliwym wysoko efektywnym człowiekiem.

Ludzie wciąż listy piszą, ale polecone wysyłają głównie urzędy. Rynek pocztowy w Polsce ma się dobrze

Jednak główną siłą napędową pozostają wciąż usługi kurierskie, które odpowiadają za 73,3 proc. wartości rynku i 56,5 proc. jego wolumenu. Mimo dominacji tego segmentu, istotną rolę wciąż odgrywają przesyłki listowe.

Miód podrożeje, bo prawo wymaga zmiany etykiet na słoikach a to kosztuje

Równo za rok na sklepowych półkach pojawią się nowe etykiety miodu, wynikające z przyjętej unijnej dyrektywy. Wprowadzają one niepozorną, ale mogącą narobić sporo zamieszania zmianę. Jednocześnie nielegalny handel miodem rozwija się niemal bez nadzoru.

REKLAMA

Rolnicy radzą sobie dużo lepiej z długami niż firmy przetwarzające plony ich pracy

Polska żywność ma się dobrze, ale kondycja finansowa branży już mniej. Sektor rolno-spożywczy musi oddać wierzycielom 760,6 mln zł, a wiarygodność płatnicza przetwórców i dostawców staje się coraz większym problemem. Nie dotyczy to rolników, którzy na ogół są wiarygodni finansowo.

Małe firmy z dużymi obawami przed kolejnym wysokim wzrostem płacy minimalnej

Duże wzrosty płacy minimalnej w ostatnich latach hamują wzrost małych i średnich firm. Poza bezpośrednim obciążeniem kosztami pracowniczymi oznaczają dla przedsiębiorców skokowy wzrost koszt w postaci coraz wyższych składek ZUS.

REKLAMA