Zgodovina in prihodnost dvofaktorske avtentikacije

Dvostopenjska avtentikacija je v zadnjih nekaj letih postala nekakšna modna beseda o spletni varnosti. Večina od nas se je prijavila v eno ali drugo storitev samo zato, ker se nam je prikazalo sporočilo, ki nas poziva, naj to obliko naše zaščite uporabimo na računu.

Toda dvostopenjska avtentikacija ni nekaj srebrnega naboja, ki bi hekerje lahko zaustavil na njihovih poti. To je koristen protiukrep, ki ga imate med obrambo, vendar navsezadnje ni nadomestilo za delovno poznavanje največjih groženj, s katerimi se soočamo na spletu.

Aktivirajte dvostopenjsko avtentikacijo, kadar koli se ponudi priložnost – vendar ne naredite napake in se zanašajte na njeno zaščito, če ne razumete, pred čim se lahko brani in pred čim ne. Kot je dokazalo leto 2016, je varovanje podatkov zapleteno in zaradi pretirane samozavesti ste lahko izpostavljeni napadom.

Ste to, kar pravite, da ste?

Dvostopenjsko preverjanje pristnosti je v bistvu preverjanje poverilnic. To je način, kako se prepričati, da je nekdo to, za kar se predstavlja, s preverjanjem dveh različnih vrst dokazov. Ta vrsta sistema obstaja že leta.

Plačila s kreditno kartico s čipom in PIN-om so morda najbolj vseprisoten primer; zanašajo se na to, da ima uporabnik v lasti fizično kartico in pozna njegov PIN. Medtem ko bi tat lahko izvedljivo ukradel kartico in naučite se kode PIN, ni enostavno upravljati z obema.

Ne tako dolgo nazaj je bil čas, ko so bile finančne transakcije edini razlog, zakaj so morali ljudje redno preverjati svojo identiteto. Danes ima vsakdo, ki uporablja internet, vrsto računov, do katerih ne bi želel, da bi imel dostop kdorkoli iz različnih razlogov.

Finančni industriji je zelo enostavno uspelo implementirati dvofaktorsko avtentikacijo, saj je bila edina strojna oprema, ki jo je bilo treba distribuirati, bančna kartica. Distribucija podobnega sistema za vsakodnevna spletna mesta je skoraj nemogoča, zato je dvofaktor omogočen z drugimi sredstvi. In te metode imajo svoje pomanjkljivosti.

Uporabniška izkušnja

»Resnično sem sita vseh priročnih stvari v življenju, ki nenadoma postanejo preveč okorne za uporabo,« se glasi komentar, objavljen leta 2005. SlashDot članek o skorajšnjem porastu dvostopenjske avtentikacije v povezavi s spletnim bančništvom. "Resnično, res ne bi rad imel trdega žetona, ki bi ga lahko prenašal s seboj."

"Politiki nimajo pojma, kakšen vpliv ima to na resnični svet," se je strinjal drugi in obžaloval grožnjo, da bodo uporabniki prisiljeni kupiti dodatno strojno opremo. "Če ne razumete osnov računalniške varnosti, vam ne bi smeli dovoliti bančništva na internetu," je dodal drugi komentator.

Danes se takšne pritožbe zdijo naravnost nespametne, toda leta 2005 so bili uporabniki bolj premišljeni glede stroškov in nadloge zaradi nošenja neke oblike dvofaktorskega žetona. Odziv uporabnikov je lahko še bolj negativen, če je zaščiteno nekaj manj pomembnega od bančništva. Leta 2012 je bila proti razvijalcu iger Blizzard Entertainment vložena skupinska tožba, potem ko je podjetje uvedel periferno napravo za preverjanje pristnosti, zasnovano za zaščito uporabniških računov Battle.net, glede na poročilo iz BBC.

Prizadevanja za implementacijo te vrste dvofaktorske avtentikacije so bila v veljavi že od osemdesetih let prejšnjega stoletja, ko je Security Dynamics Technologies patentiral »metodo in aparat za pozitivno identifikacijo posameznika«. Do leta 2000 sta bili infrastruktura in proizvodna sposobnost za organizacije, od finančnih institucij do založnikov videoiger, da uveljavijo lastna sredstva dvofaktorja avtentikacija.

Na žalost so se uporabniki odločili, da ne bodo sodelovali. Ne glede na to, ali je bil drugi dejavnik avtentikacije tako preprost kot LCD-zaslon, ki je prikazal edinstveno kodo, ali tako zapleten kot skener prstnih odtisov, je ideja o imeti še en kos fizične strojne opreme – in potencialno enega za vsako različno storitev, ki zahteva edinstveno prijavo – ni bilo privlačno za maše.

Možno si je predstavljati alternativno zgodovino, kjer se dvofaktornost zaradi te težave ni nikoli prijela. Na našo srečo je Apple predstavil iPhone, Google pa Android. Pametni telefoni dajejo napravo, ki je zmožna dvofaktorske avtentikacije, v roke milijardam po vsem svetu, s čimer so rešili težavo s priročnostjo, nad katero so se uporabniki pritoževali leta 2005.

Pametni telefoni so priročni, vendar imajo svoja tveganja

Vseprisotna narava pametnih telefonov je spletnim mestom in storitvam omogočila, da odstranijo težave s postopkom dvostopenjske avtentikacije. "Tisti, ki uporabljajo vaš mobilni telefon, so ponavadi zelo enostavni za uporabo, zelo majhen vpliv," je dejal varnostni strokovnjak in sodelavec Harvarda Bruce Schneier, ki je v začetku tega meseca govoril za Digital Trends. »Ker je to nekaj, kar že imaš. To ni nekaj novega, kar bi morali nositi s seboj.«

V določenih scenarijih lahko ta pristop nudi določene koristi. Če se na primer prijavljate v storitev iz novega računalnika, boste morda morali vnesti kodo, poslano zaupanja vredni napravi, in svoje standardno geslo. To je dober primer uporabe dvostopenjske avtentikacije; nekdo drug bi lahko ukradel vaše geslo in se poskušal prijaviti v povezani račun iz svojega sistema - vendar, razen če je že ukradel vaš telefon, ne bo mogel pridobiti dostopa.

Vendar pa obstajajo grožnje, ki jih tovrstna zaščita preprosto ne more obvladati. Leta 2005 je Schneier v blog objava poglabljanje v njegove slabosti.

Nadalje je opisal, kako lahko napad človeka v sredini uporabnika zavede, da misli, da so na zakonitem spletnem mestu in jih prepričati, da lažni prijavi ponudijo obe obliki avtentikacije zaslon. Opozarja tudi, da bi lahko trojanca uporabili za zamenjavo zakonite prijave, ki je bila izvedena z uporabo dveh oblik avtentikacije. Obstaja tudi problem centralizacije varnosti na eni sami napravi; večina ljudi uporablja dvofaktor, ki ga podpira pametni telefon, za več spletnih mest. Če je ta telefon ukraden in ogrožen, so vsa ta spletna mesta ogrožena.

Znanje je moč

"Ko se prijavljate v svoj račun, je dvofaktor super," je dejal Schneier. »Moja univerza, Harvard, ga uporablja, moje podjetje ga uporablja. Veliko ljudi ga je sprejelo in je zelo uporaben. Ampak tisto, o čemer sem takrat pisal, je bil problem v tem, da so na to gledali kot na zdravilo, rešilo bo vse. Seveda vemo, da ne.”

Finančni dobiček bo vedno motiviral zlonamerne hekerje, da gojijo nove tehnike za dostop do računov drugih ljudi. Dokler obstaja korist od posedovanja poverilnic nekoga drugega, bomo videli, kako se vdiranje nenehno razvija.

"Obstaja veliko različnih groženj in veliko različnih varnostnih mehanizmov," je pojasnil Schneier. "Ne obstaja samo ena grožnja, ne samo en mehanizem, obstaja veliko groženj in veliko mehanizmov."

Najboljša obramba je stalen tok novih in izboljšanih protiukrepov. Če bomo še naprej spreminjali in posodabljali metode, ki jih uporabljamo za zagotavljanje varnosti naših računov, bomo otežili stvari vsem, ki poskušajo pridobiti dostop brez dovoljenja.

Na žalost imajo pobudo napadalci. Potrebovala so leta, da so množice sprejele dvostopenjsko avtentikacijo. Ko so na voljo nove oblike zaščite, se moramo kot uporabniki zavezati, da jih bomo izkoristili. In to nas postavi nazaj na forume Slashdot, okoli leta 2005. Vsi spet postanemo uporabniki, ki se pritožujejo nad udobjem, namesto da bi skrbeli za varnost.

Težko je prezreti, kako običajni so obsežni vdori postali in nič ne kaže, da bo ta oblika kriminala izumrla. Ni obrambe, ki bi bila 100-odstotno sposobna preprečiti kakršen koli napad; kriminalci bodo vedno našli način, da izkoristijo tudi najmanjšo slabost. Čeprav ni enostavno, je najboljši način, da ostanete varni na spletu, da se zavedate groženj in se zavedate, kaj lahko storite, da se zaščitite pred temi grožnjami.

Spletna varnost je kot plačilo zavarovanja ali obisk zobozdravnika. Ne zdi se tako pomembno, dokler ni. Ni dovolj, da se preprosto odločite za oblike zaščite, ki jih ponujajo različna spletna mesta in storitve. Vedeti, pred kakšnimi napadi nas te zaščite branijo – in pred katerimi ne – je edini način, da prevzamete odgovornost za lastno varnost.

Priporočila urednikov

• Twitterjeva dvostopenjska avtentikacija SMS ima težave. Tukaj je opisano, kako zamenjate metode
• Zato ljudje pravijo, da dvostopenjska avtentikacija ni popolna
• Hekerji najdejo način, kako zaobiti Gmailovo dvostopenjsko avtentikacijo