दो-कारक प्रमाणीकरण (2FA) फ़िशिंग प्रतिरोधी

पिछले महीने, हर कोई और विविध लिखता है कि गुणवत्ता वाले नकली पृष्ठों के कारण 2FA (दो-कारक प्रमाणीकरण) खतरे में है। दरअसल, लेख का शीर्षक हैबे के ऐसे पदों में से एक है। बेशक, 2FA अलग हैं। कुछ "विशेष रूप से उन्नत" यूरोपीय बैंकों में, आप अभी भी एक-बार टैन कोड के साथ एक पत्ती पकड़ सकते हैं।

लेकिन कई वर्षों से, उद्योग अभी भी खड़ा नहीं हुआ है, और एक बार के बजाय टैन / पिन कोड एसएमएस के माध्यम से या आरएसए टोकन, स्टीम गार्ड, Google ऑथेंटिकेटर जैसे अनुप्रयोगों के माध्यम से आ रहे हैं, अन्य विकल्प हैं।

यहां वीडियो है, हम पहले परिदृश्य में रुचि रखते हैं। क्या चल रहा है?

संक्षिप्त

1. उपयोगकर्ता आवेदन में लॉग इन करता है। एप्लिकेशन खुद को प्रमाणित नहीं करता है - यह उपयोगकर्ता को उसके एक्सेस कंट्रोल सिस्टम पर रीडायरेक्ट करता है।
2. एक्सेस कंट्रोल सिस्टम (IAM - आइडेंटिटी एंड एक्सेस मैनेजमेंट, SSO - सिंगल साइन ऑन) उपयोगकर्ता के स्मार्टफोन पर सिंगल साइन ऑन एप्लिकेशन को सक्रिय करता है।
3. उपयोगकर्ता स्मार्टफोन स्क्रीन पर देखता है कि एक अनुरोध आ गया है (जो, जहां, आदि) प्रमाणित है और पहुंच की अनुमति देता है
4. आईएएम प्रणाली एक हरी बत्ती प्राप्त करती है और उपयोगकर्ता को आवेदन करने के लिए वापस भेजती है, साथ ही साथ एक्सेस की अनुमति भी देती है।

सवाल

• Q1: उपयोगकर्ता ने अपने कंप्यूटर में कुछ कहाँ दर्ज किया?
• प्र 2: नकली पृष्ठ एक अनुकूल निर्माण में कहाँ जाते हैं?

मैं समझता हूं कि अब अन्य प्रश्न उठ सकते हैं, इसलिए

अधिक जानकारी

1. उपयोगकर्ता आवेदन में लॉग इन करता है। एप्लिकेशन खुद को प्रमाणित नहीं करता है - यह उपयोगकर्ता को उसके एक्सेस कंट्रोल सिस्टम पर रीडायरेक्ट करता है।

* यह न केवल वेबसाइटों के लिए, बल्कि डेस्कटॉप और मोबाइल एप्लिकेशन के लिए भी काम करता है। एक कारोबारी माहौल में एक विशिष्ट उदाहरण: एमएस ऑफिस 2013+ ( वास्तव में 2010+, लेकिन वहां सब कुछ बहुत टेढ़ा था ) से आवेदन।

* कई वर्षों तक IAM / SSO सिस्टम (SAML, OAuth, OpenID Connect) के साथ एकीकरण के मानक और प्रोटोकॉल, उनके पीछे Google, Facebook और OpenSource समुदाय के प्रतिनिधि जैसे दिग्गज हैं। वहाँ पुस्तकालयों, एसडीके, आदि के टन हैं। तो केवल आलसी ही एकीकृत नहीं होता है।

* एकीकरण में एसएसओ / आईएएम और आवेदन के बीच प्रमाण पत्र का आदान-प्रदान शामिल है - नकली में शुभकामनाएं

2. एक्सेस कंट्रोल सिस्टम (IAM - आइडेंटिटी एंड एक्सेस मैनेजमेंट, SSO - सिंगल साइन ऑन) उपयोगकर्ता के स्मार्टफोन पर सिंगल साइन ऑन के लिए एप्लिकेशन को सक्रिय करता है।
* सामान्य और उन्नत सिस्टम लचीली 2FA सेटिंग्स की अनुमति देते हैं

• आवेदन द्वारा (मेल / वित्त - महत्वपूर्ण, कॉर्पोरेट जिम अनुसूची - 2FA के बिना संभव है),
• प्रमाणीकरणकर्ता आवेदन में प्रमाणीकरण के प्रकार (मेल - उंगली / पिन, वित्त - पूर्ण लंबा पासवर्ड)
• संदर्भ, आदि। (आईपी रेंज - आंतरिक रूप से कार्यालय से या हवाई अड्डे से; किस डिवाइस से, क्या डिवाइस कॉर्पोरेट है, क्या यह अनुपालन नीति का अनुपालन करता है, आदि)।

* इस तरह से आप दिलचस्प परिदृश्यों को लागू कर सकते हैं। उदाहरण के लिए, वित्तीय अनुप्रयोग के लिए समान पहुंच:

• कार्यालय में कॉर्पोरेट लैपटॉप - एक प्रमाण पत्र के माध्यम से एसएसओ, उपयोगकर्ता बस बिना किसी सवाल के लॉग इन करता है, लेकिन केवल तभी जब लैपटॉप ने स्वास्थ्य परीक्षण परीक्षण (एंटीवायरस, फ़ायरवॉल, इत्यादि) पास कर दिया हो, सब कुछ ठीक है।
• कार्यालय के बाहर एक ही लैपटॉप (घर पर, जाने पर) - 2FA
• [वैकल्पिक] वीपीएन में कार्यालय के बाहर एक ही लैपटॉप - पासवर्ड
• स्वयं के लैपटॉप - पहुंच से इनकार किया जाता है, और यहां तक ​​कि पासवर्ड और इंस्टॉल किए गए वीपीएन क्लाइंट को जानने से भी मदद नहीं मिलेगी , क्योंकि एंटरप्राइज़ MDM सिस्टम चेकों से जुड़ा है।
• लेकिन आप अपने लैपटॉप / फोन से कॉर्पोरेट जिम का शेड्यूल देख सकते हैं - लेकिन 2FA के माध्यम से
• और यदि आप अपने स्वयं के और 2FA के बिना चाहते हैं - डिवाइस को कॉर्पोरेट एमडीएम ( निजी और कॉर्पोरेट के अलगाव के साथ) में पंजीकृत करें और फिर यह 2FA के बिना संभव है

3. उपयोगकर्ता स्मार्टफोन स्क्रीन पर देखता है कि एक अनुरोध आ गया है (जो, जहां, आदि), प्रमाणित है और पहुंच की अनुमति देता है

* कृपया ध्यान दें कि इस दृष्टिकोण के साथ, उपयोगकर्ता, यहां तक ​​कि एक कॉर्पोरेट नए साल की पार्टी में, तुरंत देखेगा कि कोई उसके संसाधनों तक पहुंचने की कोशिश कर रहा है या नहीं।

लेकिन अपने बालों को फाड़ने के बजाय, यह केवल पहुंच के अनुरोध को अस्वीकार करने और सांस्कृतिक रूप से पीने के लिए जारी रखने के लिए पर्याप्त है, और सूचना सुरक्षा के बाद, यह पता लगाएगा।

* इसके अलावा, असली उपयोगकर्ता पासवर्ड कहीं भी प्रकट नहीं होता है, और वेब पेज / एप्लिकेशन को कुछ भी नहीं लिखा जाता है - नकली या वास्तविक

4. IAM प्रणाली एक हरी बत्ती प्राप्त करती है और उपयोगकर्ता को समानांतर में एक एक्सेस अनुमति देते हुए, एप्लिकेशन को लौटाती है।

* अनुमति (SAML अभिकथन) IAM प्रणाली के EDS द्वारा हस्ताक्षरित है और केवल इस सत्र के लिए वैध है - केवल नकली नहीं

* अनुमति में अतिरिक्त एक्सेस पैरामीटर हो सकते हैं: भूमिका, प्रतिबंध (पोर्टल के कुछ वर्गों को बंद करना), सौंदर्यशास्त्र के लिए एक अस्थायी विंडो, आदि।

* और जो बहुत उपयोगी भी है (लेकिन दोनों तरफ से समर्थन किया जाना चाहिए) - बस समय में प्रावधान - यानी। आवेदन में गतिशील खाता निर्माण।

यदि 10 लोग कंपनी में आए, और सभी को 10 खाते बनाने की आवश्यकता है - क्या संभावना है कि व्यवस्थापक कहीं और पेंच करेंगे और फिर ठीक करने के लिए कितना होगा? JIT प्रोविजनिंग का उपयोग करते हुए, एप्लिकेशन IAM सिस्टम से डेटा प्राप्त करता है और स्वचालित रूप से सब कुछ बनाता है। एक अच्छा उदाहरण Salesforce है।

निष्कर्ष में

विषय को लंबे समय तक विकसित किया जा सकता है। कई विकल्प हैं। यह महत्वपूर्ण है कि उपरोक्त सभी स्थान नहीं हैं, लेकिन काफी वास्तविक चीजें हैं जो किसी भी संगठन को 1 से 100,000 लोगों तक खर्च कर सकते हैं।

स्वाभाविक रूप से, यदि बहुत सारे भद्दे पुराने अनुप्रयोग हैं, तो सब कुछ अधिक जटिल होगा, लेकिन विशिष्ट परिदृश्यों में, कार्यान्वयन की तारीखें <1 महीने वास्तविक हैं।

एक महत्वपूर्ण बारीकियों यह है कि IAM प्रणाली को MDM (लैपटॉप / पीसी सहित मोबाइल उपकरणों के प्रबंधन के लिए एक प्रणाली) के साथ काम करने में सक्षम होना चाहिए - अन्यथा, सुरक्षा का उचित स्तर सुनिश्चित नहीं किया जा सकता है (जबकि सादगी के स्तर को बनाए रखते हुए)।

दो सबसे बड़े समाधान (गार्टनर एमक्यू 2018 के अनुसार):

* Microsoft Azure AD प्रीमियम P2 + Intune या MS 365 E3 / E5

यह पूरी तरह से संगठनों के प्रारूप (विशेष रूप से बड़े वाले) में फिट बैठता है जो Office 365 को लागू कर रहे हैं या Azure क्लाउड पर जा रहे हैं, लाइसेंसिंग में कुछ नुकसान हैं (जैसे कि अलग-अलग पैकेजों में प्रत्येक प्रमाणीकरण के लिए 2FA के लिए एक अलग शुल्क), जिसे अन्य MS और Azure उत्पादों के साथ विभिन्न एकीकरणों के एक समूह द्वारा मुआवजा दिया जाता है। (मोबाइल एप्लिकेशन सहित), एनालिटिक्स, एआई आदि।

वैकल्पिक रूप से, MS ADFS (एक्टिव डायरेक्टरी फेडरेशन सर्विसेज़) आपको बहुत कुछ खुद और बिना क्लाउड के लागू करने की अनुमति देता है (जिसमें यह भी शामिल है कि Azure अभी भी नहीं जानता कि कैसे करना है, लेकिन आपको वस्तुतः विभिन्न विक्रेताओं के विभिन्न उत्पादों को एकीकृत और समर्थन करते हुए एक पैचवर्क रजाई को सिलाई करना होगा)

* VMware कार्यक्षेत्र एक

2014 में, वीएमवेयर ने एमडीएम / ईएमएम एयरवॉच बाजार के नेता (एमक्यू 2018 सहित) को पूर्ण दिन खरीदा और इसके समाधान के साथ अपनी कार्यक्षमता का विस्तार किया।

Microsoft के रूप में बहुत सारे ट्विस्ट नहीं हैं, लेकिन यह न केवल क्लाउड, अधिक एकीकरण के अवसरों, अधिक समर्थित प्लेटफार्मों (और अक्सर अधिक कार्यक्षमता - मैक, एंड्रॉइड) पारिस्थितिकी तंत्र में काम करता है (माइक्रोसॉफ्ट पर लक्षित नहीं है, जैसे इंटुएन / अज़ुराद, विशेष विक्रेताओं के साथ बहुत अधिक एकीकरण है। सुरक्षा, थ्रेट इंटेलिजेंस, थ्रेट मैनेजमेंट), लाइसेंसिंग सरल है और इसके परिणामस्वरूप, छोटे संगठन बिना किसी अतिरिक्त लागत के "वयस्क" चिप्स खरीद सकते हैं।

दोनों समाधान विंडोज 10 आधुनिक प्रबंधन का समर्थन करते हैं। Win10 के लिए MDM प्रोटोकॉल विकसित किया गया था (जहाँ तक मुझे पता है) AirWatch का उपयोग करके।

सामान्य तौर पर, यह गोल करने का समय है। मुझे लगता है कि कहानी में छेद अभी भी बना हुआ है। यदि आपके पास प्रश्न हैं, तो पूछें। नया साल मुबारक हो!