Miks inimesed ütlevad, et kahefaktoriline autentimine pole täiuslik

Kui kahefaktoriline autentimine esmakordselt kasutusele võeti, muutis see seadmete turvalisuse pöörde ja aitas identiteedivarguse palju keerulisemaks muuta – sisselogimistele lisanduvate ebamugavuste väikese hinnaga.

Kuid see pole täiuslik ega lahendanud kõiki meie häkkimise ja andmete varguse probleeme. Mõned hiljutised uudised on andnud rohkem konteksti selle kohta, kuidas häkkerid on kahefaktorilisest autentimisest kõrvale hiilinud ja meie usaldust selle vastu vähendanud.

Mis täpselt on kahefaktoriline autentimine?

Kahefaktoriline autentimine lisab seadmete ja teenuste sisselogimisprotsessile täiendava turvakihi. Varem oli sisselogimisel autentimiseks üks tegur – tavaliselt parool või biomeetriline sisselogimine, näiteks sõrmejälje skaneerimine või näo ID, mõnikord lisati turvaküsimused. See andis teatud turvalisuse, kuid see polnud kaugeltki täiuslik, eriti nõrkade paroolide või automaatselt täidetud paroolide korral (või kui sisselogimisandmebaasid on häkitud ja see teave hakkab pimedas veebis ilmuma).

Kahefaktoriline autentimine lahendab need probleemid, lisades teise teguri, teise teguri, mida inimene peab tegema tagamaks, et see on tõesti tema ja tal on juurdepääs. Tavaliselt tähendab see koodi saatmist teise kanali kaudu, näiteks teenuselt tekstisõnumi või meili saamist, mille peate seejärel sisestama.

Mõned kasutavad ajatundlikke koode (TOTP, Time-Based One Time Password) ja mõned konkreetse seadmega seotud kordumatuid koode (HOTP, HMAC-põhine ühekordne parool). Teatud kommertsversioonid võivad isegi kasutada täiendavaid füüsilisi võtmeid, mis teil peab käepärast olema.

Turvafunktsioon on muutunud nii tavaliseks, et olete ilmselt harjunud nägema sõnumeid järgmiselt: "Saatsime teile sisestamiseks turvakoodiga meili, palun kontrollige oma rämpspostifiltrit, kui te pole seda saanud." See on kõige tavalisem uute seadmete puhul ja kuigi see võtab veidi aega, on see turvalisuses tohutu hüpe võrreldes ühe teguriga meetodid. Kuid on mõned vead.

See kõlab üsna turvaliselt. Mis on probleemiks?

Küberjulgeolekufirma Sophos avaldas hiljuti aruande, milles kirjeldati üllatavat uut viisi häkkerid jätavad kahefaktorilise autentimise vahele: küpsised. Halvad näitlejad on olnud "küpsiste varastamine", mis annab neile juurdepääsu peaaegu igasugusele brauserile, veebiteenusele, e-posti kontole või isegi failile.

Kuidas need küberkurjategijad need küpsised saavad? Noh, Sophos märgib, et Emoteti botnet on üks selline küpsisevarastav pahavara, mis sihib andmeid Google Chrome'i brauserites. Inimesed saavad varastatud küpsiseid osta ka maa-aluste turgude kaudu, mis sai kuulsaks hiljutise EA juhtumiga, kus sisselogimisandmed sattusid Genesise nimelisele turule. Tulemuseks oli 780 gigabaiti varastatud andmeid, mida kasutati ettevõtte väljapressimiseks.

Kuigi see on kõrgetasemeline juhtum, on selle aluseks olev meetod olemas ja see näitab, et kahefaktoriline autentimine pole kaugeltki hõbedane. Lisaks küpsiste varastamisele on aastate jooksul tuvastatud mitmeid muid probleeme.

• Kui häkkeril on sai kätte teie teenuse kasutajanime või parooli, võib neil olla juurdepääs teie meilile (eriti kui kasutate sama parooli) või telefoninumbrile. See on eriti problemaatiline SMS-i/tekstipõhise kahefaktorilise autentimise puhul, kuna telefoninumbreid on lihtne leida ja neid saab kasutada telefoni kopeerimiseks (muu nippide hulgas) ja tekstsõnumiga koodi vastuvõtmiseks. See nõuab rohkem tööd, kuid sihikindlal häkkeril on endiselt selge tee edasi.
• Eraldi rakendused kahefaktorilise autentimise jaoks, nagu Google Auth või Duo, on palju turvalisemad, kuid kasutuselevõtu määr on väga madal. Inimesed ei taha lihtsalt turvalisuse huvides ühe teenuse jaoks teist rakendust alla laadida ja organisatsioonidel on palju lihtsam küsida lihtsalt "E-post või tekst?" selle asemel, et nõuda klientidelt a kolmanda osapoole rakendus. Teisisõnu, parimaid kahefaktorilise autentimise tüüpe tegelikult ei kasutata.
• Mõnikord on paroolide lähtestamine liiga lihtne. Identiteedivargad saavad koguda konto kohta piisavalt teavet, et helistada klienditeenindusse või leida muid võimalusi uue parooli küsimiseks. See hoiab sageli kõrvale igasugusest kahefaktorilisest autentimisest ja kui see toimib, võimaldab see varastel otse juurdepääsu kontole.
• Kahefaktorilise autentimise nõrgemad vormid pakuvad vähe kaitset rahvusriikide eest. Valitsustel on tööriistad, mis suudavad hõlpsasti võidelda kahefaktorilise autentimisega, sealhulgas SMS-sõnumite jälgimine, traadita side operaatorite sundimine või autentimiskoodide muul viisil pealtkuulamine. See pole hea uudis neile, kes soovivad hoida oma andmeid totalitaarsemate režiimide eest privaatsena.
• Paljud andmevarguse skeemid lähevad kahefaktorilisest autentimisest täielikult mööda, keskendudes selle asemel inimeste lollimisele. Lihtsalt vaata kõik andmepüügikatsed, mis näivad olevat pankadest, valitsusasutused, Interneti-teenuse pakkujad jne, kes küsivad olulist kontoteavet. Need andmepüügisõnumid võivad tunduda väga tõelised ja sisaldada midagi sellist: „Me vajame teie autentimiskood, et saaksime ka kinnitada, et olete konto omanik, või muid nippe saada koode.

Kas ma peaksin jätkama kahefaktorilise autentimise kasutamist?

Absoluutselt. Tegelikult peaksite oma teenused ja seadmed läbi vaatama ning lubama kahefaktorilise autentimise, kus see on saadaval. See pakub oluliselt paremat turvalisust selliste probleemide vastu nagu identiteedivargus kui lihtne kasutajanimi ja parool.

Isegi SMS-põhine kahefaktoriline autentimine on palju parem kui üldse mitte. Tegelikult soovitas riiklik standardite ja tehnoloogia instituut kunagi mitte kasutada SMS-i kahefaktorilises autentimises, kuid siis lükkas selle järgmisel aastal tagasi sest hoolimata puudustest oli see siiski väärt.

Võimaluse korral valige autentimismeetod, mis pole tekstisõnumitega ühendatud, ja teil on parem turvalisus. Samuti hoidke oma paroolid tugevad ja kasutage nende loomiseks paroolihaldurit sisselogimiseks, kui saate.

Kuidas saab kahefaktorilist autentimist parandada?

SMS-põhisest autentimisest eemaldumine on praegune suur projekt. Võimalik, et kahefaktoriline autentimine läheb üle käputäiele kolmanda osapoole rakendused, nagu Duo, mis eemaldavad paljud protsessiga seotud nõrkused. Ja rohkem kõrge riskiga välju liigub MFA-le ehk mitmefaktorilisele autentimisele, mis lisab kolmanda nõude, nagu sõrmejälg või täiendavad turvaküsimused.

Kuid parim viis kahefaktorilise autentimisega seotud probleemide kõrvaldamiseks on füüsilise riistvarapõhise aspekti kasutuselevõtt. Ettevõtted ja valitsusasutused hakkavad seda juba teatud juurdepääsutasemete jaoks nõudma. Lähitulevikus on tõenäoline, et meie kõigi rahakotis on kohandatud autentimiskaardid, mis on valmis teenustesse sisselogimisel oma seadmeid pühkima. See võib praegu kõlada veidralt, kuid koos küberjulgeolekurünnakute järsk tõus, võib see olla kõige elegantsem lahendus.

Toimetajate soovitused

• Miks Nvidia RTX 4060 Ti lihtsalt 2023. aastaks ei piisa
• Häkkerite auastmed plahvatavad – siin saate end kaitsta
• Miks Google Chrome'i inkognito režiim pole selline, nagu see väidetavalt on?
• Siin on põhjus, miks inimesed ütlevad, et Nvidia RTX 4090 ei ole ootamist väärt
• Siin on põhjus, miks inimesed ütlevad, et ostke M2 asemel M1 MacBook Air

Uuendage oma elustiiliDigitaalsed suundumused aitavad lugejatel hoida silma peal kiirel tehnikamaailmal kõigi viimaste uudiste, lõbusate tooteülevaadete, sisukate juhtkirjade ja ainulaadsete lühiülevaadetega.