Ο πολυπαραγοντικός έλεγχος ταυτότητας έχει γίνει ο ακρογωνιαίος λίθος κάθε σύγχρονης στρατηγικής κυβερνοασφάλειας. Ένας κατά το ήμισυ αξιοπρεπής κωδικός πρόσβασης δεν είναι πλέον αρκετός: με τον όγκο των παραβιάσεων δεδομένων, το ολοένα και πιο εξελιγμένο ηλεκτρονικό ψάρεμα (phishing) και τις αυτοματοποιημένες επιθέσεις, το να βασίζεστε αποκλειστικά σε «αυτό που γνωρίζετε» είναι σχεδόν σαν να αφήνετε την μπροστινή σας πόρτα μισάνοιχτη.
Τα τελευταία χρόνια, έχουν εμφανιστεί νέες μέθοδοι ελέγχου ταυτότητας, οδηγίες από οργανισμούς όπως το PCI SSC και πρότυπα όπως το FIDO2 και το WebAuthn, αλλάζοντας εντελώς το τοπίο. Ως αποτέλεσμα, υπάρχουν πλέον πολλοί διαφορετικοί τρόποι για την επαλήθευση της ταυτότητας ενός χρήστη, με ποικίλα επίπεδα ασφάλειας και ευκολίας. Το ζήτημα δεν είναι πλέον απλώς η ενεργοποίηση του MFA, αλλά η επιλογή του σωστού συνδυασμού παραγόντων με βάση τον κίνδυνο, το πλαίσιο και τον τύπο της υπηρεσίας.
Βασικές αρχές ταυτοποίησης, επαλήθευσης ταυτότητας και εξουσιοδότησης
Πριν από τη σύγκριση μεθόδων, αξίζει να θυμόμαστε ότι η επαλήθευση ταυτότητας δεν είναι το ίδιο με την ταυτοποίηση ή την εξουσιοδότηση του εαυτού , αν και στην πράξη όλα αυτά αποτελούν μέρος της ίδιας ροής πρόσβασης.
Καταρχάς, η ταυτοποίηση είναι απλώς η εκχώρηση μιας μοναδικής ταυτότητας σε ένα άτομο, σύστημα ή λογαριασμό: ένα όνομα χρήστη, έναν αριθμό υπαλλήλου, ένα πιστοποιητικό κ.λπ. Είναι το "ποιος είσαι;" χωρίς να έχει ακόμη επαληθευτεί ότι είσαι στην πραγματικότητα αυτό το άτομο.
Ο έλεγχος ταυτότητας είναι η διαδικασία επαλήθευσης της εγκυρότητας μιας ταυτότητας . Για να γίνει αυτό, το σύστημα σας ζητά να δώσετε έναν ή περισσότερους παράγοντες ελέγχου ταυτότητας που μόνο εσείς θα πρέπει να γνωρίζετε, να κατέχετε ή να είστε. Εάν αυτός ο έλεγχος είναι επιτυχής, το σύστημα επικυρώνει την ταυτότητα.
Τέλος, η εξουσιοδότηση καθορίζει σε τι μπορεί πραγματικά να έχει πρόσβαση ένας χρήστης αφού πιστοποιηθεί: ποιες εφαρμογές βλέπει, ποια δεδομένα μπορεί να δει, αν μπορεί να διαχειριστεί άλλους χρήστες κ.λπ. Αυτό μπορεί να συμπληρωθεί με εργαλεία που σας επιτρέπουν να δείτε ποιος έχει πρόσβαση στα αρχεία σας και, επομένως, να ελέγξετε τα δικαιώματα και την κοινή χρήση.
Η συνεπής διαχείριση αυτών των τριών στοιχείων αποτελεί αυτό που είναι γνωστό ως Διαχείριση Ταυτότητας και Πρόσβασης (IAM) και σε πλαίσια όπως το PCI DSS, εξετάζεται διεξοδικά σε συγκεκριμένες απαιτήσεις ελέγχου πρόσβασης. Σε περιβάλλοντα Windows, η διαχείριση αυτού γίνεται συνήθως χρησιμοποιώντας τον Επεξεργαστή Πολιτικής Ομάδας.
Παράγοντες ελέγχου ταυτότητας: κάτι που γνωρίζετε, έχετε ή είστε
Κάθε σύγχρονο σύστημα ελέγχου ταυτότητας περιστρέφεται γύρω από τρεις κύριες οικογένειες παραγόντων , οι οποίοι μπορούν να συνδυαστούν για τη δημιουργία διπαραγοντικών ή πολυπαραγοντικών σχημάτων:
Από τη μία πλευρά, υπάρχει «κάτι που γνωρίζετε» : κωδικοί πρόσβασης, PIN, φράσεις πρόσβασης ή ερωτήσεις ασφαλείας. Το κύριο πλεονέκτημά τους είναι ότι είναι εύκολο να αναπτυχθούν και πολύ οικείοι σε κάθε χρήστη, αλλά αποτελούν επίσης έναν αγαπημένο στόχο για τους εισβολείς, είτε μέσω ωμής βίας, ηλεκτρονικού «ψαρέματος» (phishing), διαρροών βάσεων δεδομένων ή παραποίησης διαπιστευτηρίων.
Δεύτερον, βρίσκουμε «κάτι που έχετε» : ένα κινητό τηλέφωνο στο οποίο αποστέλλεται ένα SMS, μια εφαρμογή ελέγχου ταυτότητας, μια έξυπνη κάρτα, ένα φυσικό διακριτικό ή ένα κλειδί FIDO. Εδώ, ο εισβολέας θα πρέπει να κλέψει ή να κλωνοποιήσει αυτό το αντικείμενο για να παρακάμψει το φίλτρο, κάτι που θεωρητικά αυξάνει σημαντικά την ασφάλεια.
Η τρίτη κατηγορία είναι «κάτι που είσαι», που σημαίνει βιομετρικούς παράγοντες όπως δακτυλικά αποτυπώματα, αναγνώριση προσώπου, σάρωση ίριδας ή ακόμα και χαρακτηριστικά συμπεριφοράς (στυλ πληκτρολόγησης, βάδισμα, φωνητικά πρότυπα). Αυτά είναι πολύ βολικά και δύσκολο να αναπαραχθούν, αλλά θέτουν σοβαρές προκλήσεις ως προς την ιδιωτικότητα και τη διαχείριση: δεν μπορείτε εύκολα να «αλλάξετε το δακτυλικό σας αποτύπωμα» εάν έχει παραβιαστεί.
Επιπλέον, οι παράγοντες που σχετίζονται με τα συμφραζόμενα ή τη συμπεριφορά αποκτούν ολοένα και μεγαλύτερη σημασία, μερικές φορές ομαδοποιούμενοι ως «κάτι που κάνετε» ή «κάτι που συμβαίνει γύρω σας» : τοποθεσία, συσκευή από την οποία συνδέεστε, συνήθης ώρα της ημέρας, γνωστή διεύθυνση IP κ.λπ. Από μόνοι τους, αυτοί συνήθως δεν θεωρούνται «ισχυροί» παράγοντες, αλλά αποτελούν τη βάση της προσαρμοστικής επαλήθευσης ταυτότητας βάσει κινδύνου.
Κωδικοί πρόσβασης, PIN και έλεγχος ταυτότητας βάσει γνώσης
Η αυθεντικοποίηση βάσει γνώσης (KBA) είναι το παραδοσιακό μοντέλο: εισάγετε ένα όνομα χρήστη και έναν κωδικό πρόσβασης ή απαντάτε σε μια ερώτηση όπως "Σε ποια πόλη γεννηθήκατε;". Είναι πολύ φθηνή στην εφαρμογή της, υποστηρίζεται από οποιαδήποτε πλατφόρμα και οι χρήστες γνωρίζουν ήδη πώς λειτουργεί.
Το πρόβλημα είναι ότι, στην πράξη, οι κωδικοί πρόσβασης επαναχρησιμοποιούνται μαζικά σε διάφορες υπηρεσίες και συχνά είναι αδύναμοι. Διάφορες μελέτες δείχνουν ότι ένα τεράστιο ποσοστό ανθρώπων χρησιμοποιεί τον ίδιο κωδικό πρόσβασης σε δεκάδες ιστότοπους, επομένως ένα μόνο θέμα ευπάθειας σε έναν ιστότοπο είναι αρκετό για να θέσει σε κίνδυνο όλους τους άλλους λογαριασμούς μέσω επιθέσεων παραβίασης διαπιστευτηρίων.
Τα παραδοσιακά ερωτήματα ασφαλείας είναι ακόμη χειρότερα : πολλές απαντήσεις μπορούν να βρεθούν με λίγη αναζήτηση στα μέσα κοινωνικής δικτύωσης ή σε δημόσιες πηγές, ενώ άλλες είναι σχετικά εύκολο να μαντέψει κανείς. Επομένως, συνιστάται πλέον να περιορίζονται σε πολύ συγκεκριμένες περιπτώσεις ή να αντικαθίστανται με άλλους μηχανισμούς ανάκτησης.
Τα PIN αποτελούν μια ενδιαφέρουσα ειδική περίπτωση . Στα χαρτιά, ένα 4ψήφιο PIN έχει πολύ μικρή εντροπία και δεν θα πληρούσε τις απαιτήσεις πολυπλοκότητας που συνήθως απαιτούμε για τους κωδικούς πρόσβασης. Ωστόσο, πρόσφατες οδηγίες του PCI SSC διευκρινίζουν ότι ένα PIN μπορεί να γίνει αποδεκτό ως παράγοντας "κάτι που γνωρίζετε", εφόσον συνδυάζεται με πρόσθετα στοιχεία ελέγχου, όπως κλείδωμα μετά από πολλαπλές αποτυχημένες προσπάθειες, προοδευτικά χρονικά όρια και ασφαλή αποθήκευση.
Όταν δεν είναι δυνατή η προστασία ενός PIN με μέτρα ωμής βίας , τότε πρέπει να πληροί τα ίδια κριτήρια με έναν ισχυρό κωδικό πρόσβασης: ένα επαρκώς μεγάλο ελάχιστο μήκος, απαγόρευση ασήμαντων μοτίβων, ιστορικό κ.λπ. Διαφορετικά, γίνεται μια εύκολα εκμεταλλεύσιμη αδυναμία.
Κωδικοί μιας χρήσης: SMS, email και προδημιουργημένες λίστες
Μία από τις πιο διαδεδομένες μεθόδους MFA παραμένει η χρήση κωδικών πρόσβασης μιας χρήσης (OTP) που αποστέλλονται μέσω διαφόρων καναλιών ή εκτυπώνονται εκ των προτέρων. Αυτός είναι ένας δεύτερος παράγοντας που είναι πολύ εύκολο να κατανοήσουν οι χρήστες και προσφέρεται από προεπιλογή από πολλές υπηρεσίες.
Στην περίπτωση του OTP μέσω SMS ή φωνητικής κλήσης , η διαδικασία είναι απλή: αφού εισαγάγετε το όνομα χρήστη και τον κωδικό πρόσβασής σας, το σύστημα στέλνει έναν πολυψήφιο κωδικό στον καταχωρημένο αριθμό. Ο χρήστης εισάγει τον κωδικό και, εάν ταιριάζει, παρέχεται πρόσβαση. Ουσιαστικά, επαληθεύει ότι εξακολουθείτε να έχετε τον έλεγχο αυτού του αριθμού τηλεφώνου.
Μπορούμε επίσης να βρούμε κωδικούς OTP που αποστέλλονται μέσω email , κάτι που είναι λιγότερο συνηθισμένο αλλά εξακολουθεί να υπάρχει. Εδώ ο κίνδυνος είναι προφανής: εάν ο κωδικός πρόσβασης email σας είναι ο ίδιος με τον κωδικό πρόσβασης για τον λογαριασμό που προσπαθείτε να προστατεύσετε, η πρόσθετη ασφάλεια εξαφανίζεται επειδή ο εισβολέας μπορεί να έχει πρόσβαση πρώτα στα εισερχόμενά σας και να διαβάσει εύκολα τον κωδικό.
Μια πιο παραδοσιακή προσέγγιση περιλαμβάνει τη χρήση προ-δημιουργημένων λιστών κωδικών , τις οποίες ορισμένες τράπεζες παρέχουν σε έντυπη μορφή ή τις οποίες ορισμένες υπηρεσίες (όπως μεγάλες διαδικτυακές πλατφόρμες) σας επιτρέπουν να κατεβάσετε για ανάκτηση λογαριασμού. Κάθε κωδικός χρησιμοποιείται μόνο μία φορά και οι επόμενες προσπάθειες πρέπει να χρησιμοποιούν διαφορετικό κωδικό από τη λίστα.
Αυτές οι λίστες είναι αρκετά ασφαλείς έναντι επιθέσεων υποκλοπής, επειδή δημιουργούνται και παραδίδονται σε πολύ συγκεκριμένες ώρες . Το κρίσιμο σημείο είναι η αποθήκευση: εάν φυλάξετε το φύλλο σε ένα ξεκλείδωτο συρτάρι ή τραβήξετε μια φωτογραφία και το αφήσετε στη συλλογή σας χωρίς κρυπτογράφηση, οποιοσδήποτε έχει φυσική πρόσβαση στα πράγματά σας θα μπορούσε να παραβιάσει τους λογαριασμούς ή τα χρήματά σας.
Για την αποτελεσματική διαχείριση αυτών των λιστών, είναι καλύτερο να τις αποθηκεύετε σε μια ασφαλή φυσική τοποθεσία ή σε ένα κρυπτογραφημένο ψηφιακό δοχείο , όπως οι ασφαλείς σημειώσεις σε έναν διαχειριστή κωδικών πρόσβασης. Παρόλα αυτά, έχουν ένα σαφές πρόβλημα επεκτασιμότητας: εάν εκτελείτε πολλές συναλλαγές ή διαχειρίζεστε πολλούς λογαριασμούς, εξαντλούνται γρήγορα και είναι δύσκολο να διαχειριστείτε, γι' αυτό και χρησιμοποιούνται όλο και λιγότερο ως κύρια μέθοδος και περισσότερο ως μέτρο έκτακτης ανάγκης.
Εφαρμογές ελέγχου ταυτότητας και TOTP
Πρόσφατες οδηγίες και πρακτική εμπειρία συμφωνούν ότι οι εφαρμογές ελέγχου ταυτότητας βάσει χρόνου (TOTP) προσφέρουν μια πολύ καλή ισορροπία μεταξύ ασφάλειας και ευκολίας, γι' αυτό και συνιστώνται ως η «προεπιλεγμένη» επιλογή όποτε είναι δυνατόν.
Η αρχή είναι απλή: κατά τη ρύθμιση του ελέγχου ταυτότητας δύο παραγόντων, η υπηρεσία και η εφαρμογή ελέγχου ταυτότητας μοιράζονται ένα μυστικό κλειδί (συνήθως σαρώνοντας έναν κωδικό QR). Από τότε και στο εξής, τόσο η εφαρμογή όσο και ο διακομιστής δημιουργούν τον ίδιο 6ψήφιο ή 8ψήφιο κωδικό κάθε 30 δευτερόλεπτα χωρίς να χρειάζονται σύνδεση στο διαδίκτυο, χάρη σε έναν τυπικό αλγόριθμο.
Εργαλεία όπως το Google Authenticator, το Microsoft Authenticator, το Authy, το Aegis και το Duo Mobile σάς επιτρέπουν να καταχωρείτε πολλαπλούς λογαριασμούς και να διατηρείτε όλους τους κωδικούς σας συγκεντρωτικά. Ορισμένα περιλαμβάνουν κρυπτογραφημένα αντίγραφα ασφαλείας στο cloud ή συγχρονισμό μεταξύ συσκευών, κάτι που είναι πολύ βολικό αλλά θα πρέπει να διαμορφωθεί προσεκτικά για να αποφευχθεί η εισαγωγή νέων κινδύνων.
Υπάρχουν επίσης διαχειριστές κωδικών πρόσβασης που ενσωματώνουν το TOTP (1Password, Bitwarden, Dashlane και άλλα). Σε αυτές τις περιπτώσεις, το ίδιο προϊόν αποθηκεύει τον κωδικό πρόσβασης και δημιουργεί τον προσωρινό κωδικό, καθιστώντας τη σύνδεση εξαιρετικά βολική. Ωστόσο, από καθαρά άποψη ασφάλειας, χάνετε κάποια ανεξαρτησία μεταξύ παραγόντων, καθώς και οι δύο επικεντρώνονται σε ένα μόνο σημείο αποτυχίας.
Σε κάθε περίπτωση, σε σύγκριση με τα SMS ή το email, τα TOTP έχουν σαφή πλεονεκτήματα: δεν εξαρτώνται από το δίκτυο κινητής τηλεφωνίας ή τον πάροχο , είναι λιγότερο ευάλωτα σε επιθέσεις ανταλλαγής SIM, λειτουργούν χωρίς κάλυψη και δεν εκθέτουν τον κώδικα σε εύκολα υποκλεψίσιμα κανάλια.
Βιομετρικά στοιχεία: δακτυλικό αποτύπωμα, πρόσωπο, φωνή και άλλα χαρακτηριστικά
Η βιομετρική πιστοποίηση έχει περάσει από την επιστημονική φαντασία στην καθημερινή ζωή: σχεδόν κάθε σύγχρονο smartphone σάς επιτρέπει να το ξεκλειδώνετε με δακτυλικό αποτύπωμα ή με αναγνώριση προσώπου, και πολλά φορητά υπολογιστές ενσωματώνουν συσκευές ανάγνωσης δακτυλικών αποτυπωμάτων ή κάμερες συμβατές με ασφαλή αναγνώριση προσώπου.
Η βιομετρία βασίζεται σε φυσικά ή συμπεριφορικά χαρακτηριστικά που είναι δύσκολο να αναπαραχθούν : δακτυλικά αποτυπώματα, χαρακτηριστικά προσώπου, ίριδα, φωνή, δυναμική πληκτρολόγησης, βάδισμα κ.λπ. Από την άποψη του χρήστη, είναι εξαιρετικά βολικό επειδή εξαλείφει την ανάγκη να θυμάται οτιδήποτε και μειώνει την τριβή κατά την πρόσβαση στο σύστημα.
Ωστόσο, υπάρχουν σημαντικές λεπτές αποχρώσεις. Πρώτον, τα βιομετρικά δεδομένα είναι εγγενώς ευαίσθητα : δεν μπορείτε να «ανακαλέσετε» το πρόσωπο ή τα δακτυλικά σας αποτυπώματα εάν έχουν παραβιαστεί και χρησιμεύουν όχι μόνο για την επαλήθευση της ταυτότητας αλλά και για τη νόμιμη ταυτοποίηση. Αυτό σημαίνει ότι η συλλογή, η αποθήκευση και η επεξεργασία τους πρέπει να πραγματοποιούνται με πολύ υψηλό επίπεδο προστασίας.
Για αυτόν τον λόγο, οι περισσότερες σύγχρονες αρχιτεκτονικές περιορίζουν τα βιομετρικά στοιχεία σε τοπικές διαδικασίες ελέγχου ταυτότητας στην ίδια τη συσκευή . Για παράδειγμα, όταν χρησιμοποιείτε Face ID ή συσκευή ανάγνωσης δακτυλικών αποτυπωμάτων, τα δεδομένα αποθηκεύονται και υποβάλλονται σε επεξεργασία σε μια ασφαλή περιοχή του τηλεφώνου και δεν αποστέλλονται σε μια απομακρυσμένη υπηρεσία. Αυτό που μεταδίδεται είναι ένα "ναι" ή "όχι" από το λειτουργικό σύστημα που υποδεικνύει ότι ο νόμιμος χρήστης έχει ξεκλειδώσει τη συσκευή.
Στην περίπτωση της καθαρά απομακρυσμένης βιομετρικής επαλήθευσης ταυτότητας, η υπηρεσία που λαμβάνει τα δεδομένα πρέπει να εμπιστεύεται σιωπηρά τον κατασκευαστή της συσκευής ή τον πάροχο του συστήματος , κάτι που λίγοι οργανισμοί είναι πρόθυμοι να κάνουν εκτός από πολύ κλειστά οικοσυστήματα. Ένα χαρακτηριστικό παράδειγμα είναι η Apple, η οποία έχει από άκρο σε άκρο έλεγχο υλικού και λογισμικού και προσφέρει μηχανισμούς όπως το Face ID ενσωματωμένο με κλειδιά πρόσβασης.
Αν και έχει μειονεκτήματα, η βιομετρία προσφέρει ένα βασικό πλεονέκτημα: μειώνει δραστικά την τριβή . Ένας χρήστης που ξεκλειδώνει το τηλέφωνό του με το δάχτυλο ή το πρόσωπό του εκατοντάδες φορές την ημέρα είναι πολύ πιο πρόθυμος να δεχτεί το MFA εάν αυτή είναι η πρόσθετη «ταλαιπωρία» που πρέπει να υπομείνει, αντί να πληκτρολογεί μακροσκελείς κωδικούς πρόσβασης κάθε φορά που συνδέεται.
Τοποθεσία, περιβάλλον και έλεγχος ταυτότητας βάσει κινδύνου (RBA)
Πέρα από τους κλασικούς παράγοντες, πολλά σύγχρονα συστήματα εφαρμόζουν έλεγχο ταυτότητας βάσει κινδύνου (RBA) , προσαρμόζοντας δυναμικά τις απαιτήσεις με βάση αυτά που παρατηρούν σε πραγματικό χρόνο.
Ουσιαστικά, το σύστημα αναλύει μεταβλητές περιβάλλοντος όπως η τοποθεσία, η συσκευή, η διεύθυνση IP, η ώρα της ημέρας και το μοτίβο χρήσης . Εάν κάποιος προσπαθήσει να συνδεθεί από τον συνηθισμένο φορητό υπολογιστή του, τη συνηθισμένη ώρα του και από το δίκτυο του γραφείου, ο κίνδυνος θεωρείται χαμηλός και ενδέχεται να μην του ζητηθεί τίποτα πέρα από τον κωδικό πρόσβασής του ή τα διαπιστευτήρια σύνδεσης SSO.
Ωστόσο, εάν εντοπιστεί σύνδεση από άλλη χώρα, σε ασυνήθιστη χρονική στιγμή ή από μη αναγνωρισμένη συσκευή , η μηχανή ελέγχου κινδύνου ενδέχεται να αυξήσει το επίπεδο ασφάλειας και να απαιτήσει έναν επιπλέον δεύτερο παράγοντα, όπως κωδικό OTP, έγκριση εντός εφαρμογής ή βιομετρικό έλεγχο.
Αυτή η προσέγγιση έχει το σημαντικό πλεονέκτημα της εξισορρόπησης της ασφάλειας και της χρηστικότητας : δεν επιβαρύνει τον χρήστη με περιττά βήματα όταν όλα φαίνονται να είναι εντάξει, αλλά κρούει τον κώδωνα του κινδύνου όταν κάτι φαίνεται να μην πάει καλά. Για τράπεζες, μεγάλες διαδικτυακές πλατφόρμες ή εταιρείες με χιλιάδες υπαλλήλους, αποτελεί ήδη πρακτικά ένα πρότυπο.
Το κύριο μειονέκτημά του είναι ότι δεν είναι εύκολο να σχεδιαστεί ή να βελτιστοποιηθεί . Εάν τα όρια κινδύνου δεν βαθμονομηθούν σωστά, μπορεί να καταλήξει να ζητά συνεχώς MFA από νόμιμους χρήστες ή, στο αντίθετο άκρο, να παραβλέπει ύποπτη συμπεριφορά. Εδώ, η προηγμένη ανάλυση και, ολοένα και περισσότερο, η τεχνητή νοημοσύνη παίζουν βασικό ρόλο στην ανίχνευση ανωμαλιών και ασυνήθιστων μοτίβων.
Έλεγχος ταυτότητας πολλαπλών παραγόντων: πολυπαραγοντικός έναντι πολυβηματικού ελέγχου ταυτότητας
Όταν συνδυάζουμε δύο ή περισσότερους διαφορετικούς παράγοντες, το ονομάζουμε έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA) . Η ιδέα είναι ότι ακόμη και αν ένας εισβολέας καταφέρει να παραβιάσει έναν από τους παράγοντες (για παράδειγμα, τον κωδικό πρόσβασης), θα πρέπει να ξεπεράσει ένα δεύτερο, ανεξάρτητο φίλτρο (όπως ένα OTP ή ένα φυσικό κλειδί).
Από άποψη συμμόρφωσης, πλαίσια όπως το PCI DSS συνδέουν την έννοια του MFA με πολύ συγκεκριμένες απαιτήσεις: απομακρυσμένη πρόσβαση σε εσωτερικά δίκτυα, είσοδο σε περιβάλλοντα δεδομένων καρτών, λογαριασμούς με αυξημένα δικαιώματα κ.λπ. Σε αυτές τις περιπτώσεις, η αποκλειστική χρήση ονόματος χρήστη και κωδικού πρόσβασης δεν είναι πλέον αποδεκτή.
Για χρόνια υπήρχε σημαντική σύγχυση σχετικά με τη διαφορά μεταξύ του "πολλαπλού βήματος" ελέγχου ταυτότητας και του MFA συμβατού με PCI . Οι παλαιότερες οδηγίες απαιτούσαν την αξιολόγηση όλων των παραγόντων χωρίς την παροχή μερικής ανατροφοδότησης στον χρήστη. Δηλαδή, δεν του ενημέρωναν εάν ο κωδικός πρόσβασης ήταν σωστός πριν ζητηθεί ο δεύτερος παράγοντας.
Οι πιο πρόσφατες εκδόσεις των κατευθυντήριων γραμμών διευκρινίζουν τα κριτήρια: είναι αποδεκτό να υποδεικνύεται η επιτυχία ενός παράγοντα πριν ζητηθεί ο επόμενος , υπό την προϋπόθεση ότι η πρόσβαση δεν χορηγείται μέχρι να επαληθευτούν με επιτυχία όλοι οι παράγοντες. Αυτό σημαίνει ότι ροές όπως "πρώτα κωδικός πρόσβασης, μετά OTP" είναι συμβατές, ακόμη και αν ο χρήστης έχει επιβεβαιωθεί ότι ο κωδικός πρόσβασής του είναι έγκυρος.
Παρόλα αυτά, εξακολουθεί να αποτελεί καλή πρακτική η μείωση αυτής της λεπτομερούς ανατροφοδότησης : είτε η μη αποκάλυψη της εγκυρότητας κανενός παράγοντα μέχρι να παρουσιαστούν όλοι, είτε η αυθεντικοποίηση πρώτα με έναν παράγοντα περιόδου σύνδεσης μίας χρήσης (OTP, κλειδί ανθεκτικό στο ηλεκτρονικό ψάρεμα) πριν από την επικύρωση άλλων στατικών παραγόντων, όπως ο κωδικός πρόσβασης.
Κλειδιά και κλειδιά πρόσβασης υλικού FIDO U2F / FIDO2
Αντιμέτωποι με τα προβλήματα του ηλεκτρονικού "ψαρέματος" (phishing) και των επιθέσεων "man-in-the-middle" από πολλές παραδοσιακές μεθόδους, έχουν αναδυθεί λύσεις όπως τα κλειδιά ασφαλείας FIDO U2F/FIDO2 , τα οποία έχουν γίνει δημοφιλή από συσκευές όπως το YubiKey, το Google Titan ή μοντέλα από τα Feitian και SoloKeys.
Αυτά τα κλειδιά εφαρμόζουν κρυπτογραφία δημόσιου κλειδιού και, κατά την εγγραφή, δημιουργούν ένα μοναδικό κλειδί που σχετίζεται με κάθε υπηρεσία . Όταν επαναλαμβάνετε τον έλεγχο ταυτότητας, ο διακομιστής στέλνει μια πρόκληση που το κλειδί υπογράφει μόνο εάν ο τομέας και το περιβάλλον ταιριάζουν με αυτά που έχουν καταχωρηθεί. Εάν κάποιος προσπαθήσει να σας εξαπατήσει με έναν ψεύτικο ιστότοπο, το κλειδί ανιχνεύει ότι δεν είναι ο νόμιμος ιστότοπος και δεν υπογράφει τίποτα. Πολλές πλατφόρμες χρησιμοποιούν TPM 2.0 για την προστασία των κλειδιών που σχετίζονται με τη συσκευή.
Αυτός ο τύπος ελέγχου ταυτότητας δεν επαληθεύει μόνο τον χρήστη αλλά και την ίδια την υπηρεσία , προσφέροντας πολύ υψηλή αντοχή σε επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing), επανάληψης (replay) και αναμετάδοσης (relay). Για αυτόν τον λόγο, πολλοί οργανισμοί τον θεωρούν το χρυσό πρότυπο για την προστασία κρίσιμων λογαριασμών, διαπιστευτηρίων διαχειριστή και εταιρικής πρόσβασης στο email.
Από την οπτική γωνία του χρήστη, η διαδικασία είναι εκπληκτικά απλή: συνδέστε το κλειδί στη θύρα USB ή φέρτε το κοντά στο τηλέφωνό σας μέσω NFC, αγγίξτε τον χωρητικό αισθητήρα και είστε έτοιμοι. Υπάρχει πολύπλοκη κρυπτογραφία πίσω από αυτό, αλλά η χειρονομία είναι πιο εύκολη από την πληκτρολόγηση ενός OTP.
Βασιζόμενη στην ίδια αρχή, η Συμμαχία FIDO έχει προωθήσει τα κλειδιά πρόσβασης , τα οποία προωθούν την ιδέα ένα βήμα παραπέρα, αντικαθιστώντας απευθείας τους κωδικούς πρόσβασης. Το ιδιωτικό κλειδί αποθηκεύεται στη συσκευή (ή κρυπτογραφείται και συγχρονίζεται μέσω του cloud του παρόχου) και ο χρήστης επαληθεύει την ταυτότητά του ξεκλειδώνοντας τη συσκευή με βιομετρικά στοιχεία ή PIN.
Τα κλειδιά πρόσβασης παραμένουν πολυπαραγοντικά εκ κατασκευής, συνδυάζοντας κάτι που έχετε (τη συσκευή) με κάτι που είστε ή γνωρίζετε (βιομετρικά στοιχεία ή PIN) , αλλά εξαλείφουν τον παραδοσιακό κωδικό πρόσβασης. Όλο και περισσότερες μεγάλες υπηρεσίες αρχίζουν να τα προσφέρουν, αν και το οικοσύστημα παραμένει κάπως κατακερματισμένο, με κάθε πλατφόρμα να εφαρμόζει διαφορετικές αποχρώσεις.
SSO, έλεγχος ταυτότητας βάσει διακριτικών και ψηφιακά πιστοποιητικά
Σε εταιρικά περιβάλλοντα, είναι σύνηθες να συνδυάζονται αυτοί οι παράγοντες με μηχανισμούς όπως το Single Sign-On (SSO) , το οποίο σας επιτρέπει να συνδεθείτε μόνο μία φορά σε έναν αξιόπιστο πάροχο ταυτότητας (π.χ., Azure AD, Okta, Google Workspace) και να αποκτήσετε πρόσβαση σε πολλαπλές εφαρμογές χωρίς να επαναλαμβάνετε συνεχώς τα διαπιστευτήρια.
Σε αυτά τα σχήματα, ο πάροχος ταυτότητας εκδίδει διακριτικά ασφαλείας (όπως JWT) μετά από ισχυρό αρχικό έλεγχο ταυτότητας (ιδανικά με MFA). Αυτά τα διακριτικά παρουσιάζονται σε ενσωματωμένες εφαρμογές για να αποδείξουν την ταυτότητά σας χωρίς να απαιτείται να εισάγετε ξανά τον κωδικό πρόσβασής σας σε κάθε βήμα.
Η πιστοποίηση βάσει διακριτικών μειώνει το φόρτο εργασίας στους διακομιστές και διευκολύνει τις αρχιτεκτονικές χωρίς κατάσταση που χρησιμοποιούνται ευρέως στα σύγχρονα API και εφαρμογές. Ωστόσο, η διαχείριση της λήξης, της ανανέωσης και της ανάκλησης διακριτικών πρέπει να είναι πολύ καλά σχεδιασμένη ώστε να αποτρέπει το ενδεχόμενο ένα κλεμμένο διακριτικό να γίνει απεριόριστο πέρασμα.
Μια άλλη πολύ ισχυρή μέθοδος, ειδικά για εσωτερικά δίκτυα και πρόσβαση σε VPN, είναι ο έλεγχος ταυτότητας που βασίζεται σε ψηφιακά πιστοποιητικά . Αντί για κωδικό πρόσβασης, ο χρήστης παρουσιάζει ένα πιστοποιητικό που έχει εκδοθεί από μια εταιρική αρχή πιστοποίησης και ο διακομιστής επαληθεύει κρυπτογραφικά την εγκυρότητά του.
Αυτή η προσέγγιση είναι εξαιρετικά ανθεκτική έναντι πολλών κοινών επιθέσεων, αλλά απαιτεί τη διατήρηση μιας καλά διαχειριζόμενης υποδομής δημόσιου κλειδιού (PKI) : έκδοση, ανανέωση, ανάκληση, πολιτικές χρήσης, διαχείριση συσκευών κ.λπ. Επομένως, συνήθως προορίζεται για περιβάλλοντα υψηλής ασφάλειας όπου η προσπάθεια αξίζει τον κόπο.
Διαχείριση Συνεδριών και Μηδενική Εμπιστοσύνη
Μόλις ολοκληρωθεί η αρχική διαδικασία ελέγχου ταυτότητας, σχεδόν όλα τα συστήματα δημιουργούν μια συνεδρία που αντιπροσωπεύει τη σχέση εμπιστοσύνης μεταξύ του χρήστη και της υπηρεσίας. Αντί να ζητείται MFA με κάθε κλικ —κάτι που είναι ανέφικτο— αυτή η συνεδρία επαναχρησιμοποιείται για την εξουσιοδότηση επόμενων αιτημάτων.
Αυτό οδηγεί πολλούς εισβολείς να επικεντρώνονται στην κλοπή ή την παραβίαση ενεργών συνεδριών χρησιμοποιώντας cookies, διακριτικά ή παρόμοιους μηχανισμούς, αντί να παρακάμπτουν άμεσα τον έλεγχο ταυτότητας πολλαπλών παραγόντων. Γι' αυτό είναι τόσο σημαντικό να συμπληρώνεται η MFA με καλές πρακτικές διαχείρισης συνεδριών.
Συνήθεις συστάσεις περιλαμβάνουν τη σύνδεση περιόδων σύνδεσης με συγκεκριμένους χρήστες και συσκευές , ώστε να μην μπορούν να επαναχρησιμοποιηθούν από διαφορετικούς υπολογιστές, την εφαρμογή εύλογων χρονικών ορίων αδράνειας, την επιβολή εκ νέου ελέγχου ταυτότητας MFA σε ιδιαίτερα ευαίσθητες λειτουργίες και τη χρήση κρυπτογραφημένων καναλιών όπως το TLS.
Όλα αυτά τα στοιχεία ευθυγραμμίζονται καλά με την προσέγγιση της Αρχιτεκτονικής Μηδενικής Εμπιστοσύνης (ZTA) , η οποία δεν προϋποθέτει έμμεση εμπιστοσύνη απλώς και μόνο επειδή βρίσκεται κανείς «μέσα» στο εταιρικό δίκτυο. Κάθε σχετικό αίτημα αξιολογείται με βάση το περιβάλλον, την κατάσταση της συσκευής και την ταυτότητα, μειώνοντας τον αντίκτυπο μιας πιθανώς παραβιασμένης συνεδρίας.
Πρακτική σύγκριση μεθόδων MFA και συστάσεις
Έχοντας όλα τα παραπάνω κατά νου, είναι λογικό να αναρωτηθούμε ποιες μέθοδοι πολυπαραγοντικής επαλήθευσης είναι οι καλύτερες και πώς να επιλέξουμε τον σωστό συνδυασμό για κάθε περίπτωση χρήσης χωρίς να τρελάνουμε τον χρήστη.
Αν ταξινομήσουμε τους παράγοντες από τον πιο αδύναμο στον πιο ισχυρό, μπορούμε να τοποθετήσουμε τα SMS, τα email και τις ερωτήσεις ασφαλείας στο κάτω μέρος . Πληρούν την επίσημη απαίτηση του "κάτι που έχετε/γνωρίζετε", αλλά είναι ιδιαίτερα ευάλωτα σε ανταλλαγή SIM, προώθηση, ηλεκτρονικό "ψάρεμα" (phishing) και επαναχρησιμοποίηση κωδικού πρόσβασης.
Σε ενδιάμεσο επίπεδο βρίσκονται οι εφαρμογές TOTP, τα απλά φυσικά διακριτικά και ορισμένες καλά εφαρμοσμένες βιομετρικές μέθοδοι. Αυτές προσφέρουν μια καλή ισορροπία μεταξύ ασφάλειας και χρηστικότητας και αποτελούν την τυπική σύσταση για την προστασία των περισσότερων προσωπικών λογαριασμών και πολλών εταιρικών λογαριασμών.
Πάνω από αυτά βρίσκονται τα κλειδιά FIDO U2F/FIDO2 και τα κλειδιά πρόσβασης ανθεκτικά στο ηλεκτρονικό ψάρεμα (phishing) , τα οποία συνδυάζουν ισχυρή κρυπτογραφία, σύνδεση τομέα και έλεγχο ταυτότητας που σχετίζεται με συσκευές. Για λογαριασμούς υψηλής αξίας —όπως χρηματοοικονομικά, διαχείριση συστημάτων και κρίσιμη πρόσβαση σε πίνακα ελέγχου— αποτελούν την προτιμώμενη μέθοδο.
Από αυτό το σημείο, η επιλογή για μια συγκεκριμένη επιχείρηση θα πρέπει να λαμβάνει υπόψη τον τύπο δεδομένων που προστατεύει, το επίπεδο τριβής που μπορούν να ανεχθούν οι χρήστες της και τον προϋπολογισμό που διαθέτει για την ανάπτυξη και τη συντήρηση της υποδομής. Οι περισσότεροι οργανισμοί καταλήγουν να συνδυάζουν διάφορες προσεγγίσεις: ισχυρή MFA για ευαίσθητη πρόσβαση, SSO για καθημερινή ευκολία και RBA για την εξισορρόπηση της ασφάλειας και της εμπειρίας χρήστη.
Σε κάθε περίπτωση, υπάρχουν σαφείς συναινέσεις: ενεργοποίηση του MFA όποτε είναι δυνατόν, ιεράρχηση μεθόδων που είναι ανθεκτικές στο ηλεκτρονικό "ψάρεμα" (phishing) όταν ο κίνδυνος το δικαιολογεί, πολύ καλή προστασία της ανάκτησης λογαριασμού, για παράδειγμα, ανάκτηση πρόσβασης στα Windows , και εκπαίδευση των χρηστών ώστε να κατανοούν γιατί τους ζητείται αυτό το "δεύτερο βήμα" και πώς να εντοπίζουν απόπειρες απάτης.
Σε ένα περιβάλλον όπου η κλοπή ταυτότητας ευθύνεται για μεγάλο ποσοστό των περιστατικών, η ενίσχυση της επαλήθευσης ταυτότητας με τις κατάλληλες μεθόδους μειώνει δραστικά τις πιθανότητες παραβίασης λογαριασμού χωρίς να θυσιάζει μια λογική εμπειρία χρήστη και έχει γίνει βασική απαίτηση τόσο για τους μεμονωμένους χρήστες όσο και για κάθε οργανισμό που θέλει να λάβει σοβαρά υπόψη την ασφάλεια έστω και στο ελάχιστο.
