Czym jest uwierzytelnianie
Metody uwierzytelniania i najlepsze praktyki
Od początków cywilizacji ludzkość poszukuje bezpiecznych, a jednak wygodnych sposobów uwierzytelniania tożsamości, aby umożliwić dostęp tylko tym, którzy mają odpowiednie uprawnienia, i pozostać o krok przed zagrożeniami. Wcześniej metody uwierzytelniania obejmowały cechy twarzy, tokeny, kryptografię, podpisy, odciski palców i hasła. Ewolucja tych technik napędza dzisiejsze uwierzytelnianie.
Na przykład zamiast polegać na ludzkim oku, które rozpoznaje cechy twarzy, teraz wykorzystujemy narzędzia biometryczne do uwierzytelniania osoby za pomocą tęczówki, siatkówki, odcisku palca, głosu lub innych unikalnych cech biologicznych. Podobnie, zamiast fizycznych tokenów, systemy bezpieczeństwa wydają użytkownikom tokeny cyfrowe, którzy pomyślnie potwierdzili swoją tożsamość.
Jednakże cyberprzestępcy wciąż znajdują sposoby na obejście uwierzytelnienia. Kiedyś kryminaliści mogli fałszować pieczęcie, aby przechodzić zabezpieczenia. Dziś coraz więcej cyberprzestępców kradnie tokeny uwierzytelniające, aby obejść MFA (uwierzytelnianie wieloskładnikowe), czasem z druzgocącymi skutkami. Na przykład hakerzy przejęli tokeny sesji, aby spektakularnie przejąć trzy kanały YouTube Linus Media Group.
Zespoły ds. bezpieczeństwa w gigantach technologicznych, takich jak Google, Microsoft i Apple, nieustannie pracują nad poprawą systemów uwierzytelniania, aby chronić zarówno użytkowników, jak i organizacje przed coraz sprytniejszymi i częstszymi atakami na bezpieczeństwo cybernetyczne.
Jednak wielu użytkowników woli mieć więcej wygody niż bezpieczeństwa, co mogłoby wyjaśnić wolne wdrażanie MFA przez użytkowników Microsoftu mimo 25,6 miliarda prób przejęcia kont przy użyciu siłowych ataków hasło w 2021 roku. Może to również wyjaśniać, dlaczego Microsoft wyłączył Basic authentication dla Exchange Online na rzecz nowoczesnego uwierzytelniania, które oferuje opcje takie jak MFA, karty inteligentne, uwierzytelnianie oparte na certyfikatach (CBA) i zewnętrzni dostawcy tożsamości Security Assertion Markup Language (SAML).
Przeczytaj nasz dogłębny przewodnik, aby dowiedzieć się więcej na temat:
- Znaczenie uwierzytelniania.
- Uwierzytelnianie dwuskładnikowe w porównaniu z uwierzytelnianiem wieloskładnikowym.
- Uwierzytelnianie vs autoryzacja.
- Metody uwierzytelniania.
- Uwierzytelnianie bezhasłowe.
Znaczenie uwierzytelniania
Uwierzytelnianie to metoda zabezpieczeń cybernetycznych, która pomaga zweryfikować tożsamość systemu lub użytkownika. Najpowszechniejszą metodą uwierzytelniania jest użycie nazw użytkowników i haseł. Inne metody uwierzytelniania, takie jak weryfikacja biometryczna, są bardziej zaawansowane i dokładne. Przykładem uwierzytelniania może być sytuacja, gdy próbujesz uzyskać dostęp do swojej poczty e-mail i musisz wprowadzić nazwę użytkownika i hasło, aby dostać się do swojej skrzynki.
Dlaczego uwierzytelnianie jest ważne?
Uwierzytelnianie jest kluczowe dla ochrony naszej bezpieczeństwa i prywatności. Wykonujemy wiele różnych działań online, od pracy i komunikacji po zakupy czy przechowywanie prywatnych danych, zazwyczaj zdalnie. Uwierzytelnianie pomaga zachować integralność każdej przestrzeni cyfrowej, takiej jak banki, platformy chmurowe, strony mediów społecznościowych i inne, łagodząc ryzyko nieautoryzowanego dostępu. Dzięki uwierzytelnianiu możemy ufać fizycznie niewidocznym systemom i tożsamościom.
Niektóre narzędzia uwierzytelniania mogą również spowolnić lub powstrzymać cyberatak. Na przykład cyberprzestępca posiadający skradzioną nazwę użytkownika i hasło może naruszyć konto, aby ukraść dane, umieścić złośliwe oprogramowanie lub przeprowadzić atak typu Man-in-the-Middle (MitM). Jednak jego ruchy mogą zostać powstrzymane w systemie z głębszymi protokołami uwierzytelniania.
Uwierzytelnianie jest również niezbędne, ponieważ zwiększa odpowiedzialność użytkowników. Użytkownikom, którzy są uwierzytelnieni, może mniej chcieć się angażować w działalność złośliwą, ponieważ wiedzą, że są śledzeni. Uwierzytelnianie może pomóc organizacjom z niektórych branż w spełnieniu wymogów z zakresu bezpieczeństwa i prywatności, poprawiając bezpieczeństwo danych.
Do czego służy uwierzytelnianie?
Uwierzytelnianie można wykorzystać do różnych celów:
- Bezpieczeństwo urządzeń: Wszystkie typy urządzeń z systemami operacyjnymi implementują uwierzytelnianie dla bezpieczeństwa, w tym komputery stacjonarne, laptopy, smartfony, tablety, a nawet szerokie spektrum urządzeń Internetu Rzeczy (IoT).
- Bezpieczeństwo kont: Wiele platform wykorzystuje uwierzytelnianie do zwiększenia bezpieczeństwa kont. Na przykład konta e-mail i w mediach społecznościowych używają uwierzytelniania, aby zapobiec nieautoryzowanemu dostępowi do kont. Platformy finansowe chronią bankowość internetową, płatności cyfrowe i e-commerce przed oszustwami dzięki uwierzytelnianiu.
- Chmura obliczeniowa: W miarę jak coraz więcej organizacji przenosi się na platformy chmurowe, takie jak Microsoft Azure, uwierzytelnianie jest używane do zabezpieczenia zasobów, danych i operacji. Uwierzytelnianie jest również stosowane do zabezpieczenia organizacji z zasobami lokalnymi, takimi jak sieci i systemy, które przyjmują zdalną pracę.
- Kontrola dostępu: Uwierzytelnianie jest używane nie tylko do zewnętrznego zabezpieczenia, ale również do wewnętrznego. Organizacje mogą używać uwierzytelniania, aby zapewnić, że personel ma dostęp do sieci, aplikacji i danych wyłącznie na zasadzie „muszę wiedzieć”.
Uwierzytelnianie a autoryzacja
Choć uwierzytelnianie i autoryzacja wydają się podobne i terminy te czasem są niewłaściwie używane zamiennie, to są to dwa różne pojęcia w cyberbezpieczeństwie. Długa odpowiedź brzmi, że autoryzacja to proces weryfikacji tożsamości za pomocą danych logowania, cech twarzy, głosu lub tokena uwierzytelniającego. Autoryzacja to to, co następuje po uwierzytelnieniu. Gdy system uwierzytelni tożsamość systemu lub osoby, pozwala tej jednostce na dostęp do zasobów lub wykonywanie działań na podstawie ich uprawnień.
Krótka odpowiedź na pytanie "uwierzytelnianie vs autoryzacja" jest taka, że pierwsze określa, czy podmiot jest uprawniony do dostępu, a drugie określa, z jakimi zasobami mogą się zetknąć po autoryzacji.
Najczęściej używane czynniki uwierzytelniania
Każdy, kto korzystał z nowoczesnego systemu operacyjnego lub pracował na platformie chmurowej, wie, że istnieje wiele różnych rodzajów metod i narzędzi uwierzytelniania, takich jak PIN-y (Personal Identification Numbers), odciski palców, tokeny i adresy IP. Te metody lub narzędzia podlegają różnym kategoriom, zwanym czynnikami uwierzytelniania.
Czynniki wiedzy
Czynnik wiedzy to wszystko, co użytkownik zna, na przykład hasło lub odpowiedź na pytanie bezpieczeństwa. Czynniki wiedzy są zazwyczaj szybkie, ale podatne na włamania. Na przykład hasła mogą być skradzione. Słabe hasła są podatne na ataki brute-force, jak atak słownikowy.
Gorąco polecamy, aby nauczyć się jak stworzyć silne hasło w celu ochrony swoich kont. Możesz również rozważyć użycie najlepszego menadżera haseł do zarządzania listą złożonych danych logowania.
Czynniki posiadania
Czynnik posiadania może być bezpieczniejszy niż czynnik wiedzy, ponieważ wymaga posiadania przez użytkownika określonego przedmiotu, takiego jak token lub smartfon, aby udowodnić swoją tożsamość. Na przykład system może wysłać jednorazowe hasło na smartfona użytkownika, gdy ten próbuje uzyskać dostęp. Jednak czynniki posiadania również nie są idealne, ponieważ rzeczy mogą być przechwycone lub skradzione.
Czynniki odziedziczone
Jednym z najbezpieczniejszych faktorów uwierzytelniania jest czynnik dziedzictwa, ponieważ polega na unikalnych cechach fizycznych użytkownika, takich jak odcisk palca czy tęczówka.
Największym minusem polegania na czynnikach dziedzictwa jest to, że sprzęt systemowy musi być zdolny do przyjmowania i przetwarzania danych biometrycznych, choć większość nowoczesnych urządzeń ma takie funkcje.
Czynnik dziedzictwa może okazać się zbyt skuteczny w rzadkich okolicznościach. Na przykład zdarzały się przypadki, gdy spadkobiercy nie mogli uzyskać dostępu do krypto-waluty zmarłego dziecka, ponieważ ich urządzenie było chronione przez czynnik dziedzictwa.
Czynniki lokalizacyjne
Firma, taka jak serwis streamingowy, może wykorzystać czynnik lokalizacyjny, taki jak blokowanie geograficzne, aby ograniczyć dostęp użytkowników z określonych miejsc. Na przykład serwis streamingowy, taki jak Netflix USA, może zablokować użytkownikom z Kanady dostęp do niektórych treści. Jednak czynniki lokalizacyjne zwykle mają obejścia. Na przykład ktoś w Kanadzie może teoretycznie wykorzystać prywatną sieć VPN, aby ukryć swoją lokalizację i uzyskać dostęp do Netflix USA.
Czynniki behawioralne
Czynnik uwierzytelniania oparty na zachowaniu wymaga, aby użytkownik wykonał pewne czynności, aby udowodnić swoją tożsamość. Na przykład mogą być wymagane do rysowania pewnych wzorów lub rozwiązywania prostych zagadek, aby udowodnić, że są ludźmi, a nie botem. Google’s reCAPTCHA korzysta z silnika analizy ryzyka i śledzi ruchy myszy, aby sprawdzić ludzkie zachowanie.
Rodzaje uwierzytelnienia
Uwierzytelnianie oparte na haśle
Najpowszechniejsza forma uwierzytelniania, uwierzytelnianie oparte na hasłach, polega na weryfikacji tożsamości użytkownika przez podanie hasła, które całkowicie zgadza się z zapisanym. System odrzuci hasło, które nie zgadza się z zapisanym choćby o jeden znak.
Jak wspomniano, hakerzy mogą bardzo szybko odgadnąć słabe hasła, używając najnowszych narzędzi. Dlatego użytkownicy powinni ustawiać hasła, które mają co najmniej 10 znaków, są skomplikowane i okresowo zmieniać hasła.
Uwierzytelnianie wieloskładnikowe (MFA)
MFA powstało z konieczności. Nawet najbardziej wyrafinowane hasło może zostać skradzione. Z uwierzytelnianiem wieloskładnikowym, nieautoryzowani użytkownicy mogą być zmuszeni do uwierzytelnienia swojej tożsamości w inny sposób, jeśli wyzwolą system bezpieczeństwa. Na przykład, jeśli system zidentyfikuje nowe urządzenie lub adres IP podczas próby logowania, może poprosić o PIN lub token, nawet jeśli użytkownik podaje poprawne dane logowania.
Uwierzytelnianie dwuskładnikowe (2FA)
Wiele osób zastanawia się nad różnicą między 2FA a MFA. Odpowiedź jest taka, że 2FA jest w zasadzie podzbiorem MFA. Jak wspomniano, MFA wymaga dwóch lub więcej czynników uwierzytelniających. 2FA wymaga tylko dwóch, zazwyczaj hasła i kodu wysyłanego na konto e-mail lub urządzenie mobilne. Możesz przeczytać o podstawach uwierzytelniania dwuskładnikowego, aby dowiedzieć się więcej.
Podczas gdy użytkownicy mediów społecznościowych korzystają z 2FA, aby chronić swoje konta, niektóre platformy niestety monetyzują bezpieczeństwo kont. Na przykład, możesz przeczytać o Twitterze i uwierzytelnianiu dwuskładnikowym, gdzie platforma radykalnie zmienia ustawienia bezpieczeństwa. Od 19 marca użytkownicy nie mogą korzystać z 2FA opartego na SMS bez opłacenia subskrypcji.
Użytkownicy mają jednak inne opcje (na razie). Na przykład mogą skonfigurować dwuskładnikowe uwierzytelnianie na Twitterze za pomocą sprzętowego klucza dla zaawansowanego zabezpieczenia. Sprzętowy klucz stanowi lepsze zabezpieczenie niż SMS, który może być podatny na ataki swim-swapping.
Uwierzytelnianie jednoskładnikowe (SFA)
Jak sama nazwa wskazuje, SFA wymaga od użytkowników jedynie jednego elementu uwierzytelnienia. Zazwyczaj jest to hasło, które jest najczęstszą formą SFA. Chociaż SFA może być bardziej wygodne niż MFA, może być znacznie mniej bezpieczne, zwłaszcza jeśli rodzaj uwierzytelnienia jest słaby. SFA jest także podatne na ataki inżynierii społecznej, takie jak phishing.
Uwierzytelnianie oparte na certyfikatach
W tym rodzaju uwierzytelniania system korzysta z cyfrowego certyfikatu. Uwierzytelnianie oparte na certyfikatach jest bezpieczniejsze niż hasła, ponieważ certyfikaty są zaawansowane i wykorzystują klucze oraz są odwołalne przez podmiot wydający. Wysoko profilowane organizacje, takie jak rządy, używają tej kryptograficznej techniki dla zwiększenia bezpieczeństwa.
Uwierzytelnianie biometryczne
Jak wspomniano, uwierzytelnianie biometryczne polega na unikalnych cechach fizycznych, takich jak odciski palców, głosy i tęczówki, aby chronić systemy. Uwierzytelnianie biometryczne jest najbezpieczniejszą i najwygodniejszą formą uwierzytelniania.
Uwierzytelnianie oparte na tokenach
Aplikacje internetowe, API i inne systemy często używają tokenów do uwierzytelniania użytkowników. W skrócie, token to unikalny identyfikator wydany upoważnionemu użytkownikowi. Podczas gdy użycie tokenów wzrasta wraz z rozwojem hybrydowych środowisk pracy, rośnie także kradzież tokenów.
Podstawowe uwierzytelnianie
Podstawowy system uwierzytelniania wymaga jedynie nazwy użytkownika i hasła do uwierzytelnienia użytkownika. Systemy korzystające z podstawowych metod są bardziej podatne na ataki hakerów. Obecnie tylko wewnętrzne zasoby testowe lub publiczne systemy, takie jak publiczne WiFi, używają podstawowego uwierzytelniania. Podstawowe uwierzytelnianie jest głównie powodem, dla którego użytkownicy muszą być bardziej uważni podczas korzystania z publicznego WiFi.
Uwierzytelnianie bezhasłowe
W miarę jak użytkownicy i organizacje wymagają większej wygody i bezpieczeństwa, opcje uwierzytelniania bezhasłowego, takie jak biometria, klucze bezpieczeństwa, tokeny i jednorazowe kody, zyskują na popularności w środowiskach korporacyjnych i platformach używanych przez konsumentów.
Oprócz dodatkowej wygody, uwierzytelnianie bezhasłowe może zapewnić większe bezpieczeństwo, ponieważ wielu użytkowników wciąż używa słabych haseł lub pada ofiarą ataków phishingowych atakujących dane uwierzytelniające.
Uwierzytelnianie oparte na wiedzy (KBA)
KBA to rodzaj uwierzytelniania, który testuje wiedzę osoby na temat informacji, które zapisała w celu uwierzytelnienia swojej tożsamości. Przykłady KBA to np. odpowiadanie na pytania dotyczące ulicy, na której dorastał, ulubionego koloru lub panieńskiego nazwiska matki.
Jest kilka powodów, dla których KBA jest słabą metodą uwierzytelniania. Dzięki coraz większej ilości danych użytkowników dostępnych publicznie na forach i platformach społecznościowych jak LinkedIn i Facebook, łatwiej jest aktorom zagrożeń pozyskać potrzebne dane do obejścia KBA. Ponadto użytkownicy rzadziej ustawiają skomplikowane odpowiedzi na pytania zabezpieczające niż skomplikowane hasła.
Uwierzytelnianie wzajemne
Uwierzytelnianie wzajemne, znane także jako dwustronne uwierzytelnianie, to rodzaj uwierzytelniania, w którym obie strony w połączeniu weryfikują siebie nawzajem, zazwyczaj za pomocą cyfrowych certyfikatów. Chociaż uwierzytelnianie wzajemne jest najczęściej używane przez protokoły komunikacyjne jak Transport Layer Security (TLS) i Secure Sockets Layer (SSL), wiele urządzeń Internetu Rzeczy (IoT) również korzysta z tej techniki w połączeniach urządzenie-urządzenie.
Uwierzytelnianie SMS
Uwierzytelnianie SMS wykorzystuje wiadomości tekstowe jako składnik MFA. Uwierzytelnienie SMS działa najlepiej, gdy metody uwierzytelniania są niezmienione. Na przykład, operator bezprzewodowy miał świetny pomysł mieszania uwierzytelniania SMS z reklamą, co mogłoby pozwolić aktorom zagrożeń na projektowanie bardziej przekonujących ataków smishing.
Uwierzytelnianie sieciowe lub serwerowe
Uwierzytelnianie sieciowe odnosi się do identyfikacji użytkowników, którzy próbują uzyskać dostęp do sieci lub serwera. Ten typ uwierzytelniania jest używany w protokołach komunikacyjnych, VPN, firewalle i systemach kontroli dostępu do aplikacji.
Uwierzytelnianie klucza tajnego
W systemie, który korzysta z uwierzytelniania klucza tajnego, użytkownik i system dzielą wspólny klucz sesji kryptograficznej, znany tylko obu stronom. Klucze te są symetryczne. Innymi słowy, działają zarówno na potrzeby szyfrowania, jak i deszyfrowania. Protokoły komunikacyjne, takie jak Secure Sockets Layer (SSL), używają autoryzacji klucza tajnego dla zapewnienia bezpieczeństwa transferu danych, na przykład pomiędzy przeglądarką internetową a stroną internetową.
Fizyczny klucz bezpieczeństwa
Fizyczny klucz bezpieczeństwa to sprzęt, który pomaga użytkownikowi potwierdzić swoją tożsamość i jest przykładem czynnika posiadania. Fizyczny klucz bezpieczeństwa zazwyczaj generuje unikalny kod, który jest udostępniany systemowi w celu uwierzytelnienia. Ponad dekadę temu fizyczne klucze bezpieczeństwa były używane tylko przez organizacje o wysokim profilu, takie jak banki i agencje wywiadowcze.
Jednak wiele różnych typów platform, takich jak gaming, e-commerce i media społecznościowe, pozwala obecnie użytkownikom chronić swoje konta przy pomocy fizycznych kluczy bezpieczeństwa. Na przykład użytkownicy mogą włączyć uwierzytelnianie sprzętowe Facebooka dla iOS i Androida dla dodatkowej ochrony czynnika posiadania ich kont.
Najlepsze praktyki dotyczące uwierzytelniania
- Uważaj na złośliwe oprogramowanie, które jest zaprojektowane do kradzieży danych uwierzytelniających lub wrażliwych informacji, takie jak niektóre rodzaje trojanów, spyware i keyloggery. Naucz się również jak usunąć keyloggera, ponieważ może on zbierać naciśnięcia klawiszy, zrzuty ekranu i inne informacje, aby oszukać system uwierzytelniania.
- Ustaw hasła, które mają co najmniej dziesięć znaków i zawierają mieszankę cyfr, symboli i liter.
- Unikaj używania znanych wzorców w hasłach, takich jak data urodzenia lub imię ulubionego celebryty.
- Nigdy nie przechowuj swoich danych logowania na widoku, na przykład na kartce papieru na biurku. Szyfruj hasła w urządzeniach.
- Wspomóż swoje hasło, używając metod MFA, takich jak identyfikacja biometryczna lub klucz bezpieczeństwa.
- Bądź ostrożny wobec ataków inżynierii społecznej, które mają na celu kradzież twoich danych uwierzytelniających.
- Unikaj ponownego używania hasła; w przeciwnym razie skradzione hasło może prowadzić do wielu naruszeń kont.
- Regularnie zmieniaj swoje hasło. Wygodnie korzystaj z renomowanego menedżera haseł.
- Zachęcaj administratora sieci swojej organizacji do ograniczenia długości sesji, aby zapobiec przejęciu sesji.
- Administratorzy muszą monitorować dzienniki uwierzytelniania i dane sieciowe, aby szybko reagować na podejrzaną aktywność, taką jak wielokrotne próby logowania z podejrzanych adresów IP.
- Organizacje powinny rozważyć wdrożenie architektury zero zaufania dla większego bezpieczeństwa.
