რატომ ამბობენ ადამიანები, რომ ორფაქტორიანი ავთენტიფიკაცია არ არის სრულყოფილი

როდესაც პირველად დაინერგა ორფაქტორიანი ავთენტიფიკაცია, მან მოახდინა რევოლუცია მოწყობილობის უსაფრთხოებაში და დაეხმარა პირადობის ქურდობას ბევრად უფრო გართულდა - შესვლას დამატებული მცირე უხერხულობის ხარჯზე.

მაგრამ ეს არ არის სრულყოფილი და არც მან გადაჭრა ჩვენი ჰაკერების და მონაცემთა ქურდობის ყველა პრობლემა. ზოგიერთმა უახლესმა სიახლემ უფრო მეტი კონტექსტი მოგვაწოდა იმის შესახებ, თუ როგორ უვლიდნენ ჰაკერები ორფაქტორიან ავთენტიფიკაციას და ძირს უთხრეს მის მიმართ ჩვენს ნდობას.

რა არის ზუსტად ორფაქტორიანი ავთენტიფიკაცია?

ორფაქტორიანი ავთენტიფიკაცია ამატებს უსაფრთხოების დამატებით ფენას მოწყობილობებისა და სერვისების შესვლის პროცესს. ადრე შესვლას ჰქონდა ერთი ფაქტორი ავთენტიფიკაციისთვის - ჩვეულებრივ, პაროლი ან ბიომეტრიული შესვლა, როგორიცაა თითის ანაბეჭდის სკანირება ან Face ID, ზოგჯერ უსაფრთხოების კითხვების დამატებით. ეს უზრუნველყოფდა გარკვეულ უსაფრთხოებას, მაგრამ შორს იყო სრულყოფილი, განსაკუთრებით სუსტი პაროლებით ან ავტომატურად შევსებული პაროლებით (ან თუ შესვლის მონაცემთა ბაზები გატეხილია და ეს ინფორმაცია გამოჩნდება ბნელ ქსელში).

ორფაქტორიანი ავთენტიფიკაცია აგვარებს ამ საკითხებს მეორე ფაქტორის დამატებით, კიდევ ერთი რამ, რაც ადამიანმა უნდა გააკეთოს იმისთვის, რომ გარანტირებული იყოს, რომ ის ნამდვილად არის და მას აქვს წვდომის უფლება. როგორც წესი, ეს ნიშნავს კოდის გაგზავნას სხვა არხით, როგორიცაა ტექსტური შეტყობინების ან ელ. ფოსტის მიღება სერვისიდან, რომელიც შემდეგ უნდა შეიყვანოთ.

ზოგი იყენებს დროის მგრძნობიარე კოდებს (TOTP, Time-Based One Time Password), ზოგი კი იყენებს უნიკალურ კოდებს, რომლებიც დაკავშირებულია კონკრეტულ მოწყობილობასთან (HOTP, HMAC-ზე დაფუძნებული One Time Password). ზოგიერთმა კომერციულმა ვერსიამ შეიძლება გამოიყენოს დამატებითი ფიზიკური გასაღებები, რომლებიც ხელთ უნდა გქონდეთ.

უსაფრთხოების ფუნქცია იმდენად გავრცელებული გახდა, რომ თქვენ ალბათ მიჩვეული ხართ შეტყობინებების ყურებას შემდეგი სიტყვებით: „ჩვენ გამოგიგზავნეთ ელ.წერილი უსაფრთხო კოდით შესაყვანად, გთხოვთ შეამოწმოთ თქვენი სპამის ფილტრი, თუ ის არ მიგიღიათ. ის ყველაზე გავრცელებულია ახალი მოწყობილობებისთვის და მიუხედავად იმისა, რომ ცოტა დრო სჭირდება, ეს არის უზარმაზარი ნახტომი უსაფრთხოებაში ერთ ფაქტორთან შედარებით მეთოდები. მაგრამ არის გარკვეული ხარვეზები.

ეს საკმაოდ უსაფრთხოდ ჟღერს. Რა პრობლემაა?

ცოტა ხნის წინ გამოვიდა მოხსენება კიბერუსაფრთხოების კომპანია Sophos-ისგან, სადაც დეტალურად იყო აღწერილი გასაკვირი ახალი გზა ჰაკერები გამოტოვებენ ორფაქტორიანი ავთენტიფიკაციას: ნამცხვრები. ცუდი მსახიობები „ქუქის ქურდობას“ აძლევენ, რაც მათ პრაქტიკულად ნებისმიერ ბრაუზერზე, ვებ სერვისზე, ელფოსტის ანგარიშზე ან თუნდაც ფაილზე წვდომას აძლევს.

როგორ იღებენ ეს კიბერკრიმინალები ამ ქუქი-ფაილებს? ისე, Sophos აღნიშნავს, რომ Emotet ბოტნეტი არის მავნე პროგრამის ერთ-ერთი ასეთი ქუქიების მოპარვა, რომელიც მიზნად ისახავს Google Chrome ბრაუზერებში არსებულ მონაცემებს. ადამიანებს ასევე შეუძლიათ შეიძინონ მოპარული ქუქი-ფაილები მიწისქვეშა ბაზრების მეშვეობით, რაც ცნობილი გახდა ბოლოდროინდელ EA საქმეში, როდესაც შესვლის დეტალები გამოჩნდა ბაზარზე სახელად Genesis. შედეგი იყო 780 გიგაბაიტი მოპარული მონაცემები, რომლებიც გამოიყენეს კომპანიის გამოძალვის მიზნით.

მიუხედავად იმისა, რომ ეს გახმაურებული შემთხვევაა, ძირითადი მეთოდი არსებობს და ის აჩვენებს, რომ ორფაქტორიანი ავთენტიფიკაცია შორს არის ვერცხლის ტყვიისგან. ქუქი-ფაილების მოპარვის გარდა, არის მრავალი სხვა საკითხი, რომელიც გამოვლინდა წლების განმავლობაში:

• თუ ჰაკერს აქვს მიიღეთ თქვენი მომხმარებლის სახელი ან პაროლი სერვისისთვის, მათ შეიძლება ჰქონდეთ წვდომა თქვენს ელფოსტაზე (განსაკუთრებით თუ თქვენ იყენებთ იმავე პაროლს) ან ტელეფონის ნომერზე. ეს განსაკუთრებით პრობლემურია SMS/ტექსტზე დაფუძნებული ორფაქტორიანი ავთენტიფიკაციისთვის, რადგან ტელეფონის ნომრები ადვილად მოსაძებნია და მათი გამოყენება შესაძლებელია თქვენი ტელეფონის კოპირებისთვის (სხვა ხრიკებთან ერთად) და ტექსტური კოდის მისაღებად. ამას მეტი შრომა სჭირდება, მაგრამ მტკიცე ჰაკერს ჯერ კიდევ აქვს წინსვლის ნათელი გზა.
• ცალკეული აპები ორფაქტორიანი ავთენტიფიკაციისთვის, როგორიცაა Google Auth ან Duo, ბევრად უფრო უსაფრთხოა, მაგრამ მიღების მაჩვენებლები ძალიან დაბალია. ადამიანებს არ სურთ სხვა აპლიკაციის ჩამოტვირთვა მხოლოდ უსაფრთხოების მიზნებისთვის ერთი სერვისისთვის და ორგანიზაციებს უფრო უადვილდებათ უბრალოდ შეკითხვა „ელ.წერილი თუ ტექსტი?“ ვიდრე კლიენტებს მოსთხოვონ ჩამოტვირთოთ ა მესამე მხარის აპლიკაცია. სხვა სიტყვებით რომ ვთქვათ, ორი ფაქტორიანი ავთენტიფიკაციის საუკეთესო ტიპები ნამდვილად არ გამოიყენება.
• ზოგჯერ პაროლების გადატვირთვა ძალიან ადვილია. პირადობის ქურდებს შეუძლიათ შეაგროვონ საკმარისი ინფორმაცია ანგარიშის შესახებ, რათა გამოიძახონ მომხმარებელთა სერვისი ან მოიძიონ ახალი პაროლის მოთხოვნის სხვა გზები. ეს ხშირად არღვევს ორფაქტორიან ავთენტიფიკაციას და, როდესაც ის მუშაობს, ქურდებს საშუალებას აძლევს პირდაპირ წვდომას ანგარიშზე.
• ორფაქტორიანი ავთენტიფიკაციის სუსტი ფორმები მცირე დაცვას გვთავაზობს ეროვნული სახელმწიფოებისგან. მთავრობებს აქვთ ინსტრუმენტები, რომლებსაც შეუძლიათ ადვილად დაუპირისპირდნენ ორფაქტორიან ავთენტიფიკაციას, მათ შორის SMS შეტყობინებების მონიტორინგს, უსადენო ოპერატორების იძულებას ან ავტორიზაციის კოდების სხვა გზებით აღკვეთას. ეს არ არის კარგი ამბავი მათთვის, ვისაც სურს საკუთარი მონაცემების კონფიდენციალურობის გზები უფრო ტოტალიტარული რეჟიმებისგან.
• მონაცემთა ქურდობის მრავალი სქემა მთლიანად გვერდს უვლის ორფაქტორიან ავთენტიფიკაციას და ამის ნაცვლად ფოკუსირებულია ადამიანების მოტყუებაზე. უბრალოდ შეხედე ყველა ფიშინგის მცდელობა, რომელიც თითქოს ბანკიდანაა, სამთავრობო უწყებები, ინტერნეტ პროვაიდერები და ა.შ., ითხოვენ ანგარიშის მნიშვნელოვან ინფორმაციას. ეს ფიშინგ შეტყობინებები შეიძლება ძალიან რეალურად გამოიყურებოდეს და შეიძლება მოიცავდეს მსგავსს: „ჩვენ გვჭირდება თქვენი ავთენტიფიკაციის კოდი ჩვენს ბოლოშია, რათა ჩვენ ასევე დავადასტუროთ, რომ თქვენ ხართ ანგარიშის მფლობელი,“ ან სხვა ხრიკები მიიღეთ კოდები.

უნდა გავაგრძელო ორფაქტორიანი ავთენტიფიკაციის გამოყენება?

აბსოლუტურად. სინამდვილეში, თქვენ უნდა გაიაროთ თქვენი სერვისები და მოწყობილობები და ჩართოთ ორფაქტორიანი ავთენტიფიკაცია, სადაც ის ხელმისაწვდომია. ის გთავაზობთ მნიშვნელოვნად უკეთეს უსაფრთხოებას ისეთი პრობლემებისგან, როგორიცაა პირადობის მოპარვა, ვიდრე მარტივი მომხმარებლის სახელი და პაროლი.

SMS-ზე დაფუძნებული ორფაქტორიანი ავთენტიფიკაციაც კი ბევრად უკეთესია, ვიდრე საერთოდ. სინამდვილეში, სტანდარტებისა და ტექნოლოგიების ეროვნულმა ინსტიტუტმა ერთხელ რეკომენდაცია გაუწია SMS-ის გამოყენებას ორფაქტორიანი ავთენტიფიკაციის დროს, მაგრამ შემდეგ შემოვიდა ეს უკან მომავალ წელს რადგან ხარვეზების მიუხედავად მაინც ღირდა.

როდესაც ეს შესაძლებელია, აირჩიეთ ავტორიზაციის მეთოდი, რომელიც არ არის დაკავშირებული ტექსტურ შეტყობინებებთან და გექნებათ უსაფრთხოების უკეთესი ფორმა. ასევე, შეინახეთ თქვენი პაროლები ძლიერი და გამოიყენეთ პაროლის მენეჯერი მათი გენერირებისთვის შესვლისთვის თუ შეიძლება.

როგორ შეიძლება გაუმჯობესდეს ორფაქტორიანი ავთენტიფიკაცია?

SMS-ზე დაფუძნებული ავთენტიფიკაციისგან თავის დაღწევა დიდი მიმდინარე პროექტია. შესაძლებელია, რომ ორფაქტორიანი ავთენტიფიკაცია გადავიდეს რამდენიმეზე მესამე მხარის აპები, როგორიცაა Duo, რომელიც აშორებს პროცესთან დაკავშირებულ ბევრ სისუსტეს. და მეტი მაღალი რისკის ველი გადავა MFA-ში, ან მრავალფაქტორიან ავთენტიფიკაციაში, რაც ამატებს მესამე მოთხოვნას, როგორიცაა თითის ანაბეჭდი ან უსაფრთხოების დამატებითი კითხვები.

მაგრამ საუკეთესო გზა ორფაქტორიანი ავთენტიფიკაციის პრობლემების მოსაშორებლად არის ფიზიკური, აპარატურაზე დაფუძნებული ასპექტის დანერგვა. კომპანიები და სამთავრობო უწყებები უკვე იწყებენ ამის მოთხოვნას გარკვეული წვდომის დონისთვის. უახლოეს მომავალში, არის დიდი შანსი, რომ ჩვენ ყველას გვექნება მორგებული ავთენტიფიკაციის ბარათები ჩვენს საფულეებში, რომლებიც მზად იქნება გადაფურცლეთ ჩვენს მოწყობილობებზე სერვისებში შესვლისას. შეიძლება ახლა უცნაურად ჟღერდეს, მაგრამ კიბერუსაფრთხოებაზე თავდასხმების მკვეთრი ზრდა, ეს შეიძლება იყოს ყველაზე ელეგანტური გადაწყვეტა.

რედაქტორების რეკომენდაციები

• რატომ უბრალოდ არ არის საკმარისი Nvidia RTX 4060 Ti 2023 წლისთვის
• ჰაკერების რიგები ფეთქდება - აი, როგორ შეგიძლიათ დაიცვათ თავი
• რატომ არ არის Google Chrome-ის ინკოგნიტო რეჟიმი ისეთზე, როგორსაც ამტკიცებს
• აი, რატომ ამბობენ ადამიანები, რომ Nvidia RTX 4090 არ ღირს ლოდინი
• აი, რატომ ამბობენ, რომ M2-ის ნაცვლად M1 MacBook Air იყიდეთ

განაახლეთ თქვენი ცხოვრების წესიDigital Trends ეხმარება მკითხველს თვალყური ადევნონ ტექნოლოგიების სწრაფ სამყაროს ყველა უახლესი სიახლეებით, სახალისო პროდუქტების მიმოხილვებით, გამჭრიახი რედაქციებითა და უნიკალური თვალით.