प्रमाणीकरण और पासवर्ड के साथ क्या होगा? जेवलिन रिपोर्ट अनुवाद "मजबूत प्रमाणीकरण स्थिति" टिप्पणियों के साथ

रिपोर्ट के शीर्षक से स्पोइलर "नए जोखिमों के खतरों और नियामकों की आवश्यकताओं के कारण मजबूत प्रमाणीकरण का उपयोग करने के मामलों की संख्या बढ़ी है।"
रिसर्च कंपनी जेवेलिन स्ट्रेटजी एंड रिसर्च ने रिपोर्ट द स्टेट ऑफ स्ट्रॉन्ग ऑथेंटिकेशन 2019 ( पीडीएफ प्रारूप में मूल यहां दी जा सकती है ) प्रकाशित की है। यह रिपोर्ट कहती है: यूएस और यूरोपीय कंपनियां कितने प्रतिशत पासवर्ड का उपयोग करती हैं (और अब कुछ लोग पासवर्ड का उपयोग क्यों करते हैं); क्रिप्टोग्राफिक टोकन के आधार पर दो-कारक प्रमाणीकरण का उपयोग करने का प्रतिशत इतनी तेज़ी से क्यों बढ़ रहा है; एसएमएस के माध्यम से भेजे गए वन-टाइम कोड असुरक्षित क्यों हैं।

हर कोई जो उद्यमों और उपयोगकर्ता अनुप्रयोगों में वर्तमान, अतीत और भविष्य के प्रमाणीकरण के विषय में रुचि रखता है, उसका स्वागत है।

रिपोर्ट का दूसरा भाग

सिंहावलोकन

आजकल, ग्राहकों के साथ संचार के डिजिटल व्यापार चैनल पहले से कहीं अधिक महत्वपूर्ण हैं। और उद्यम के अंदर, कर्मचारियों के बीच संचार पहले से कहीं अधिक डिजिटल वातावरण पर केंद्रित है। और ये इंटरैक्शन कितने सुरक्षित होंगे यह उपयोगकर्ता प्रमाणीकरण की चुनी गई विधि पर निर्भर करता है। हमलावरों ने मास-हैक उपयोगकर्ता खातों के लिए कमजोर प्रमाणीकरण का उपयोग किया है। प्रतिक्रिया में, नियामक व्यवसायों को उपयोगकर्ता खातों और डेटा की बेहतर सुरक्षा करने के लिए मानकों को कस रहे हैं।

प्रमाणीकरण से जुड़े खतरे न केवल उपभोक्ता अनुप्रयोगों तक फैलते हैं, हमलावर उद्यम के अंदर चलने वाले एप्लिकेशन तक पहुंच प्राप्त कर सकते हैं। इस तरह का एक ऑपरेशन उन्हें कॉर्पोरेट उपयोगकर्ताओं को प्रतिरूपण करने की अनुमति देता है। कमजोर प्रमाणीकरण पहुंच बिंदुओं का उपयोग करने वाले हमलावर डेटा चुरा सकते हैं और अन्य धोखाधड़ी गतिविधियां कर सकते हैं। सौभाग्य से, इससे निपटने के उपाय हैं। मजबूत प्रमाणीकरण, उपभोक्ता अनुप्रयोगों और उद्यम व्यापार प्रणालियों दोनों पर हमला करने वाले हमलावर के जोखिम को काफी कम कर सकता है।

यह अध्ययन जांच करता है: उपयोगकर्ता अनुप्रयोगों और उद्यम व्यापार प्रणालियों की सुरक्षा के लिए उद्यम कैसे प्रमाणीकरण लागू करते हैं; प्रमाणीकरण समाधान चुनते समय जिन कारकों पर वे विचार करते हैं; उनके संगठनों में मजबूत प्रमाणीकरण की भूमिका; इन संगठनों को मिलने वाले लाभ।

सारांश

मुख्य खोज

2017 के बाद से, मजबूत प्रमाणीकरण का उपयोग करने का प्रतिशत तेजी से बढ़ा है। पारंपरिक प्रमाणीकरण समाधानों को प्रभावित करने वाली कमजोरियों की बढ़ती संख्या के साथ, संगठन मजबूत प्रमाणीकरण के साथ अपनी प्रमाणीकरण क्षमताओं को बढ़ा रहे हैं। क्रिप्टोग्राफी (एमएफए) का उपयोग करते हुए बहु-कारक प्रमाणीकरण का उपयोग करने वाले संगठनों की संख्या उपभोक्ता के लिए 2017 से तीन गुना हो गई है और उद्यम अनुप्रयोगों के लिए लगभग 50% की वृद्धि हुई है। बायोमेट्रिक प्रमाणीकरण की बढ़ती उपलब्धता के कारण मोबाइल प्रमाणीकरण में सबसे तेज वृद्धि देखी गई है।

यहाँ हम कहावत का एक दृष्टांत देखते हैं "जब तक गड़गड़ाहट नहीं होती, आदमी खुद को पार नहीं करता।" जब विशेषज्ञों ने पासवर्ड कमजोरियों की चेतावनी दी, तो कोई भी दो-कारक प्रमाणीकरण को लागू करने की जल्दी में नहीं था। जैसे ही हैकर्स ने पासवर्ड चुराना शुरू किया, लोगों ने टू-फैक्टर ऑथेंटिकेशन लागू करना शुरू कर दिया।

सच है, 2FA शुरू करने में व्यक्ति अधिक सक्रिय हैं। सबसे पहले, उनके लिए अपने डर को शांत करना आसान है, जो स्मार्टफोन में निर्मित बायोमेट्रिक प्रमाणीकरण पर निर्भर है, जो वास्तव में बहुत अविश्वसनीय है। संगठनों को टोकन की खरीद में निवेश करने और उनके कार्यान्वयन पर काम (वास्तव में काफी सरल) करने की आवश्यकता है। और दूसरी बात, केवल आलसी व्यक्ति ने फेसबुक और ड्रॉपबॉक्स जैसी सेवाओं से पासवर्ड लीक के बारे में नहीं लिखा, लेकिन इन संगठनों के आईटी निदेशक इस बात की कहानियों को साझा नहीं करेंगे कि कैसे संगठन में पासवर्ड चोरी हो गए (और आगे क्या हुआ)।

जो मजबूत प्रमाणीकरण का उपयोग नहीं करते हैं वे व्यवसायों और ग्राहकों के लिए अपने जोखिम को कम आंकते हैं। कुछ संगठन जो वर्तमान में मजबूत प्रमाणीकरण का उपयोग नहीं करते हैं, उपयोगकर्ता प्रमाणीकरण विधियों का उपयोग करने के लिए लॉगइन और पासवर्ड को सबसे प्रभावी और आसान मानते हैं। अन्य लोगों के पास डिजिटल संपत्ति का मूल्य नहीं है जो उनके पास है। आखिरकार, यह विचार करने योग्य है कि साइबर अपराधी किसी भी उपभोक्ता और व्यावसायिक जानकारी में रुचि रखते हैं। दो-तिहाई कंपनियां, जो अपने कर्मचारियों को प्रमाणित करने के लिए केवल पासवर्ड का उपयोग करती हैं, ऐसा इसलिए करती हैं क्योंकि उन्हें लगता है कि वे पासवर्ड बहुत अच्छे हैं जो उस प्रकार की सूचनाओं की रक्षा करते हैं।

हालांकि, पासवर्ड कब्र के लिए अपने रास्ते पर हैं। पिछले एक वर्ष में, उपभोक्ता और कॉर्पोरेट अनुप्रयोगों (44% से 31% और क्रमशः 56% से 47% तक) के लिए पासवर्ड निर्भरता में काफी कमी आई है, क्योंकि संगठन पारंपरिक एमएफए और मजबूत प्रमाणीकरण के उपयोग का विस्तार कर रहे हैं।
लेकिन अगर आप समग्र रूप से स्थिति का मूल्यांकन करते हैं, तो संवेदनशील प्रमाणीकरण विधियां अभी भी प्रबल हैं। उपयोगकर्ता प्रमाणीकरण के लिए, लगभग एक चौथाई संगठन सुरक्षा सवालों के साथ एसएमएस ओटीपी (वन-टाइम पासवर्ड) का उपयोग करते हैं। नतीजतन, सुरक्षा के अतिरिक्त साधनों को कमजोरियों से बचाने के लिए लागू किया जाना है, जिससे लागत बढ़ जाती है। लगभग 5% संगठनों में बहुत अधिक विश्वसनीय प्रमाणीकरण विधियों का उपयोग करना, जैसे कि हार्डवेयर क्रिप्टोग्राफ़िक कुंजी, बहुत कम आम है।

विकसित नियामक वातावरण उपभोक्ता अनुप्रयोगों के लिए मजबूत प्रमाणीकरण के कार्यान्वयन में तेजी लाने का वादा करता है। PSD2 की शुरुआत के साथ ही यूरोपीय संघ और कई अमेरिकी राज्यों में नए डेटा संरक्षण नियम, जैसे कि कैलिफोर्निया, कंपनियों को लगता है कि यह गर्म हो रहा है। लगभग 70% कंपनियां सहमत हैं कि वे अपने ग्राहकों के लिए मजबूत प्रमाणीकरण प्रदान करने के लिए मजबूत नियामक दबाव का सामना करते हैं। आधे से अधिक उद्यमों का मानना ​​है कि कुछ वर्षों में उनके प्रमाणीकरण के तरीके नियामक मानकों को पूरा करने के लिए पर्याप्त नहीं होंगे।

कार्यक्रमों और सेवाओं के उपयोगकर्ताओं के व्यक्तिगत डेटा की सुरक्षा के लिए रूसी और यूएस-यूरोपीय विधायकों के दृष्टिकोण में अंतर स्पष्ट रूप से ध्यान देने योग्य है। रूसियों का कहना है: प्रिय सेवा मालिकों, आप जो चाहते हैं और आप चाहते हैं, वह करें, लेकिन यदि आपका व्यवस्थापक आधार का विलय करता है, तो हम आपको दंडित करेंगे। वे विदेशों में कहते हैं: आपको ऐसे उपायों को लागू करना होगा जो आधार को विलय करने की अनुमति नहीं देंगे। यही कारण है कि मजबूत टू-फैक्टर ऑथेंटिकेशन की मौजूदगी के लिए आवश्यकताओं को वहां और मुख्य के साथ पेश किया जा रहा है।
सच है, यह इस तथ्य से बहुत दूर है कि एक बिंदु पर हमारी विधायी मशीनरी अपने होश में नहीं आएगी और पश्चिमी अनुभव को ध्यान में नहीं रखेगी। फिर यह पता चला कि सभी को रूसी क्रिप्टोग्राफिक मानकों के अनुरूप 2FA लागू करने की आवश्यकता है, और तत्काल।

एक ठोस प्रमाणीकरण नींव तैयार करने से कंपनियों को ग्राहक संतुष्टि से विनियामक अनुपालन से अपना ध्यान केंद्रित करने की अनुमति मिलती है। उन संगठनों के लिए जो अभी भी सरल पासवर्ड का उपयोग करते हैं या एसएमएस के माध्यम से कोड प्राप्त करते हैं, प्रमाणीकरण पद्धति का चयन करते समय सबसे महत्वपूर्ण कारक नियामक आवश्यकताओं का अनुपालन होगा। लेकिन जो कंपनियां पहले से ही मजबूत प्रमाणीकरण का उपयोग करती हैं, वे उन प्रमाणीकरण विधियों को चुनने पर ध्यान केंद्रित कर सकते हैं जो ग्राहक वफादारी बढ़ाते हैं।

जब एक उद्यम के भीतर कॉर्पोरेट प्रमाणीकरण की एक विधि चुनते हैं, तो नियामकों की आवश्यकताएं अब एक महत्वपूर्ण कारक नहीं हैं। इस मामले में, एकीकरण में आसानी (32%) और लागत (26%) अधिक महत्वपूर्ण हैं।

फ़िशिंग के युग में, साइबर अपराधी धोखाधड़ी के लिए कॉर्पोरेट ई-मेल का उपयोग कर सकते हैं ताकि धोखाधड़ी से डेटा तक पहुँच सकें, खातों (उपयुक्त एक्सेस अधिकारों के साथ), और यहां तक ​​कि कर्मचारियों को अपने खाते में धन हस्तांतरित करने के लिए मना सकें। इसलिए, कॉर्पोरेट मेल खातों और पोर्टलों को विशेष रूप से अच्छी तरह से संरक्षित किया जाना चाहिए।

Google ने मजबूत प्रमाणीकरण के साथ अपनी सुरक्षा को मजबूत किया है। दो साल से अधिक समय पहले, Google ने FIDO U2F मानक के अनुसार क्रिप्टोग्राफिक सुरक्षा कुंजी के आधार पर दो-कारक प्रमाणीकरण के कार्यान्वयन पर एक रिपोर्ट प्रकाशित की, जिसमें प्रभावशाली परिणाम सामने आए। कंपनी के अनुसार, 85,000 से अधिक कर्मचारियों के खिलाफ एक भी फ़िशिंग हमला नहीं किया गया था।

सिफारिशें

मोबाइल और ऑनलाइन अनुप्रयोगों के लिए मजबूत प्रमाणीकरण लागू करें। क्रिप्टोग्राफ़िक कुंजियों पर आधारित मल्टीफ़ॉर्मर प्रमाणीकरण पारंपरिक एमएफए विधियों की तुलना में बहुत अधिक हैकिंग से बचाता है। इसके अलावा, क्रिप्टोग्राफ़िक कुंजियों का उपयोग बहुत अधिक सुविधाजनक है, क्योंकि आपको उपयोगकर्ता की डिवाइस से प्रमाणीकरण सर्वर तक अतिरिक्त जानकारी - पासवर्ड, वन-टाइम पासवर्ड या बायोमेट्रिक डेटा का उपयोग और संचार करने की आवश्यकता नहीं है। इसके अलावा, प्रमाणीकरण प्रोटोकॉल के मानकीकरण से नए प्रमाणीकरण तरीकों को लागू करना बहुत आसान हो जाता है क्योंकि वे उपलब्ध हो जाते हैं, उपयोग की लागत को कम करते हैं और अधिक महत्वपूर्ण धोखाधड़ी योजनाओं से रक्षा करते हैं।

वन-टाइम पासवर्ड (OTP) के सूर्यास्त के लिए तैयार हो जाइए। ओटीपी में निहित कमजोरियां तब स्पष्ट हो रही हैं जब साइबर अपराधी इन प्रमाणीकरण उपकरणों से समझौता करने के लिए सोशल इंजीनियरिंग, स्मार्टफोन क्लोनिंग और मैलवेयर का उपयोग करते हैं। और अगर कुछ मामलों में ओटीपी के कुछ फायदे हैं, तो केवल सभी उपयोगकर्ताओं के लिए सार्वभौमिक पहुंच के दृष्टिकोण से, लेकिन सुरक्षा के दृष्टिकोण से नहीं।

यह नोटिस करना असंभव है कि एसएमएस या पुश-नोटिफिकेशन द्वारा कोड प्राप्त करना, साथ ही स्मार्टफोन के लिए प्रोग्राम का उपयोग करके कोड उत्पन्न करना - यह उसी वन-टाइम पासवर्ड (ओटीपी) का उपयोग है जिसके लिए हमें सूर्यास्त की तैयारी करने की पेशकश की जाती है। तकनीकी दृष्टिकोण से, समाधान बहुत सही है, क्योंकि एक दुर्लभ जालसाज एक भोला-भाला उपयोगकर्ता से एक बार पासवर्ड प्राप्त करने का प्रयास नहीं करता है। लेकिन मुझे लगता है कि इस तरह के सिस्टम के निर्माता मरने की तकनीक से आखिरी तक चिपके रहेंगे।

ग्राहक विश्वास बढ़ाने के लिए विपणन उपकरण के रूप में मजबूत प्रमाणीकरण का उपयोग करें। मजबूत प्रमाणीकरण न केवल आपके व्यवसाय की वास्तविक सुरक्षा में सुधार कर सकता है। ग्राहकों को सूचित करना कि आपका व्यवसाय मजबूत प्रमाणीकरण का उपयोग करता है, इस व्यवसाय की सुरक्षा की सार्वजनिक धारणा को मजबूत कर सकता है - एक महत्वपूर्ण कारक जब विश्वसनीय प्रमाणीकरण विधियों के लिए एक महत्वपूर्ण ग्राहक की मांग है।

कॉर्पोरेट डेटा के महत्व की पूरी सूची और मूल्यांकन का संचालन करें और महत्व के अनुसार इसकी रक्षा करें। यहां तक ​​कि कम जोखिम वाले डेटा, जैसे कि ग्राहक संपर्क जानकारी ( नहीं, हालांकि, रिपोर्ट "कम-जोखिम" कहती है, यह बहुत अजीब है कि वे इस जानकारी के महत्व को कम आंकते हैं ) स्कैमर को महत्वपूर्ण मूल्य दे सकते हैं और कंपनी के लिए समस्या पैदा कर सकते हैं। ।

उद्यम में मजबूत प्रमाणीकरण का उपयोग करें। कई प्रणालियां अपराधियों के लिए सबसे आकर्षक लक्ष्य हैं। इनमें आंतरिक और इंटरनेट से जुड़ी प्रणालियाँ शामिल हैं जैसे कि लेखा कार्यक्रम या कॉर्पोरेट डेटा संग्रहण। मजबूत प्रमाणीकरण हमलावरों को अनधिकृत पहुंच प्राप्त करने की अनुमति नहीं देता है, और आपको यह भी निर्धारित करने की अनुमति देता है कि कर्मचारियों में से किसने दुर्भावनापूर्ण गतिविधि की थी।

मजबूत प्रमाणीकरण क्या है?

मजबूत प्रमाणीकरण का उपयोग करते समय, उपयोगकर्ता को प्रमाणित करने के लिए कई तरीकों या कारकों का उपयोग किया जाता है:

• ज्ञान कारक: उपयोगकर्ता और उपयोगकर्ता प्रमाणीकरण विषय के बीच एक साझा रहस्य (जैसे पासवर्ड, गुप्त प्रश्नों के उत्तर, आदि)
• स्वामित्व कारक: एक उपकरण जो केवल एक उपयोगकर्ता के पास होता है (जैसे, एक मोबाइल उपकरण, क्रिप्टोग्राफ़िक कुंजी, आदि)
• निष्क्रियता कारक: उपयोगकर्ता की भौतिक (अक्सर बायोमेट्रिक) विशेषताएं (जैसे, फिंगरप्रिंट, आईरिस पैटर्न, आवाज, व्यवहार आदि)।

कई कारकों को हैक करने की आवश्यकता हमलावरों के लिए विफलता की संभावना को काफी बढ़ा देती है, क्योंकि विभिन्न कारकों की परिधि या धोखे के लिए प्रत्येक कारक के लिए अलग-अलग हैकिंग रणनीति के उपयोग की आवश्यकता होती है।

उदाहरण के लिए, 2FA "पासवर्ड + स्मार्टफोन" के साथ, एक हमलावर उपयोगकर्ता के पासवर्ड को देखकर और अपने स्मार्टफोन की एक सटीक सॉफ्टवेयर कॉपी बनाकर प्रमाणित कर सकता है। और यह केवल एक पासवर्ड चुराने की तुलना में बहुत अधिक जटिल है।

लेकिन अगर 2FA के लिए पासवर्ड और क्रिप्टोग्राफिक टोकन का उपयोग किया जाता है, तो कॉपी विकल्प यहां काम नहीं करता है - टोकन को डुप्लिकेट करना असंभव है। जालसाज को उपयोगकर्ता से टोकन चोरी करने की आवश्यकता होगी। यदि उपयोगकर्ता समय में नुकसान को नोटिस करता है और व्यवस्थापक को सूचित करता है, तो टोकन अवरुद्ध हो जाएगा और जालसाज का काम व्यर्थ हो जाएगा। यही कारण है कि स्वामित्व कारक के लिए विशेष संरक्षित उपकरणों (टोकन) का उपयोग करना आवश्यक है, न कि सामान्य प्रयोजन के उपकरणों (स्मार्टफोन) के लिए।

सभी तीन कारकों का उपयोग करना इस प्रमाणीकरण पद्धति को लागू करने के लिए काफी महंगा होगा और उपयोग करने के लिए काफी असुविधाजनक होगा। इसलिए, आमतौर पर तीन कारकों में से दो का उपयोग किया जाता है।

टू-फैक्टर ऑथेंटिकेशन के सिद्धांतों को यहां "कैसे टू-फैक्टर ऑथेंटिकेशन काम करता है" सेक्शन में विस्तार से बताया गया है।

यह ध्यान रखना महत्वपूर्ण है कि मजबूत प्रमाणीकरण में उपयोग किए गए प्रमाणीकरण कारकों में से कम से कम सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करना चाहिए।

मजबूत प्रमाणीकरण क्लासिक पासवर्ड और पारंपरिक एमएफए के आधार पर एकल-कारक प्रमाणीकरण की तुलना में बहुत अधिक सुरक्षा प्रदान करता है। सोशल इंजीनियरिंग (जब धोखेबाज पीड़िता अपना पासवर्ड खुद भेजती है) के आधार पर कीगलर्स, फ़िशिंग साइटों या हमलों की मदद से पासवर्डों की जासूसी या अवरोधन किया जा सकता है। इसके अलावा, पासवर्ड के मालिक को चोरी के बारे में कुछ भी पता नहीं होगा। पारंपरिक एमएफए (ओटीपी कोड सहित, स्मार्टफोन या सिम कार्ड के लिए बाध्यकारी) को भी आसानी से हैक किया जा सकता है, क्योंकि यह सार्वजनिक कुंजी क्रिप्टोग्राफी पर आधारित नहीं है ( वैसे, ऐसे कई उदाहरण हैं, जहां एक ही सामाजिक इंजीनियरिंग तकनीकों का उपयोग करके, उपयोगकर्ताओं को धोखा दिया गया है) उन्हें एक बार पासवर्ड दें )।

सौभाग्य से, पिछले साल से, मजबूत प्रमाणीकरण और पारंपरिक एमएफए का उपयोग उपभोक्ता और उद्यम दोनों अनुप्रयोगों में गति प्राप्त कर रहा है। उपभोक्ता अनुप्रयोगों में मजबूत प्रमाणीकरण का उपयोग विशेष रूप से तेजी से बढ़ा है। यदि 2017 में इसका उपयोग केवल 5% कंपनियों द्वारा किया गया था, तो 2018 में यह पहले से ही तीन गुना है - 16%। इसे सार्वजनिक कुंजी क्रिप्टोग्राफी (पीकेसी) एल्गोरिदम का समर्थन करने वाले टोकन की बढ़ती उपलब्धता से समझाया जा सकता है। इसके अलावा, नए सूचना सुरक्षा नियमों, जैसे कि PSD2 और GDPR, को अपनाने के बाद यूरोपीय नियामकों का बढ़ा दबाव यूरोप ( रूस सहित ) के बाहर भी एक मजबूत प्रभाव था।

आइए इन नंबरों पर करीब से नज़र डालें। जैसा कि हम देख सकते हैं, वर्ष के लिए बहु-कारक प्रमाणीकरण का उपयोग करने वाले निजी व्यक्तियों का प्रतिशत प्रभावशाली 11% की वृद्धि हुई। और यह पासवर्ड प्रेमियों की कीमत पर स्पष्ट रूप से हुआ, क्योंकि पुश नोटिफिकेशन, एसएमएस और बायोमेट्रिक्स की सुरक्षा में विश्वास करने वालों की संख्या में बदलाव नहीं हुआ है।

लेकिन कॉर्पोरेट उपयोग के लिए दो-कारक प्रमाणीकरण के साथ, सब कुछ इतना अच्छा नहीं है। सबसे पहले, रिपोर्ट को देखते हुए, केवल 5% कर्मचारियों को पासवर्ड प्रमाणीकरण से टोकन में स्थानांतरित किया गया था। और दूसरी बात, कॉर्पोरेट वातावरण में वैकल्पिक एमएफए विकल्पों का उपयोग करने वालों की संख्या में 4% की वृद्धि हुई है।

मैं एनालिटिक्स खेलने और अपनी व्याख्या देने की कोशिश करूंगा। व्यक्तिगत उपयोगकर्ताओं के डिजिटल दुनिया के केंद्र में एक स्मार्टफोन है। इसलिए, यह आश्चर्यजनक नहीं है कि अधिकांश उन सुविधाओं का उपयोग करते हैं जो डिवाइस उन्हें प्रदान करता है - बायोमेट्रिक प्रमाणीकरण, एसएमएस और पुश सूचनाएं, साथ ही स्मार्टफोन पर एप्लिकेशन द्वारा उत्पन्न एक-बार पासवर्ड। आमतौर पर लोग अपने सामान्य उपकरणों का उपयोग करते समय सुरक्षा और विश्वसनीयता के बारे में नहीं सोचते हैं।

यही कारण है कि आदिम "पारंपरिक" प्रमाणीकरण कारकों के उपयोगकर्ताओं का प्रतिशत अपरिवर्तित रहता है। लेकिन जो लोग पहले पासवर्ड का उपयोग करते थे वे समझते हैं कि वे कितना जोखिम रखते हैं, और एक नया प्रमाणीकरण कारक चुनते समय, वे सबसे नए और सबसे सुरक्षित विकल्प पर रोकते हैं - एक क्रिप्टोग्राफिक टोकन।

कॉरपोरेट बाजार के लिए, यह समझना महत्वपूर्ण है कि किस सिस्टम में प्रमाणीकरण किया जाता है। यदि विंडोज डोमेन में लॉगिंग लागू किया जाता है, तो क्रिप्टोग्राफिक टोकन का उपयोग किया जाता है। 2FA के लिए उनका उपयोग करने की संभावनाएं पहले से ही विंडोज और लिनक्स दोनों में शामिल हैं, और वैकल्पिक विकल्पों को लागू करना लंबा और कठिन है। पासवर्ड से टोकन तक 5% के प्रवास के लिए बहुत कुछ।

और कॉर्पोरेट सूचना प्रणाली में 2FA का कार्यान्वयन बहुत हद तक डेवलपर्स की योग्यता पर निर्भर करता है। और डेवलपर्स के लिए क्रिप्टोग्राफिक एल्गोरिदम के काम को समझने की तुलना में एक-बार पासवर्ड बनाने के लिए तैयार मॉड्यूल लेना बहुत आसान है। नतीजतन, सिंगल साइन-ऑन या प्रिविलेज्ड एक्सेस मैनेजमेंट जैसे सिक्योरिटी-क्रिटिकल एप्लिकेशन ओटीपी को दूसरे कारक के रूप में उपयोग करते हैं।

पारंपरिक प्रमाणीकरण विधियों में कई कमजोरियाँ

हालांकि कई संगठन विरासत एकल-कारक प्रणालियों पर निर्भर रहते हैं, पारंपरिक बहु-कारक प्रमाणीकरण में कमजोरियां तेजी से स्पष्ट हो रही हैं। एक बार का पासवर्ड, आमतौर पर लंबाई में छह से आठ अक्षर, एसएमएस के माध्यम से वितरित, पासवर्ड ज्ञान कारक के अलावा प्रमाणीकरण का सबसे आम रूप है (बेशक,)। और अगर लोकप्रिय प्रेस में "दो-कारक प्रमाणीकरण" या "दो-चरणीय सत्यापन" शब्दों का उल्लेख किया जाता है, तो वे लगभग हमेशा एक-बार एसएमएस पासवर्ड का उपयोग करके प्रमाणीकरण का उल्लेख करते हैं।

यहाँ लेखक थोड़ा गलत है। एसएमएस के माध्यम से वन-टाइम पासवर्ड देना कभी भी दो-कारक प्रमाणीकरण नहीं रहा है। यह अपने शुद्ध रूप में दो-चरणीय प्रमाणीकरण का दूसरा चरण है, जहां पहला चरण लॉगिन और पासवर्ड दर्ज करना है।

2016 में, नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी (NIST) ने एसएमएस के माध्यम से भेजे गए एक बार के पासवर्ड के उपयोग को बाहर करने के लिए अपने प्रमाणीकरण नियमों को अद्यतन किया। हालांकि, इन नियमों को उद्योग में विरोध के बाद काफी हद तक आराम दिया गया था।

इसलिए, कथानक का पालन करें। अमेरिकी नियामक सही रूप से मानता है कि पुरानी तकनीक उपयोगकर्ताओं की सुरक्षा सुनिश्चित करने में सक्षम नहीं है और नए मानकों का परिचय देती है। , ( ). , , « ». , NIST. , , ( ) . .

, SMS OTP, . SMS-:

• SIM-. SIM ( , , ). SMS . AT&T , 24 . , AT&T - , SIM-.

  . AT&T? , , , . ? ? ? ? , ?
  
  - - , , – , «»

• (malware). . , « » (man-in-the-browser) « » (man-in-the-middle) , .
  

  — «» . — , - , .
  , , , , — , .

• . , SMS, , , , .
  

  , , - -. , , . , « », . , . - , « ».

, . , ( ? ? ), OTP ( , ), ; .
, ( ), ( ) , , . .

2.
, , , FIDO (U2F FIDO2). , – , , (, , ).

- PIN-. , USB, Bluetooth, NFC SmartCard Reader. , PIN-, . PIN- , . . PIN- , / -.

, , .

सबसे स्वादिष्ट हमारे लिए इंतजार कर रहा है - आंकड़े और तथ्य, जिस पर पहले भाग में दिए गए निष्कर्ष और सिफारिशें आधारित हैं। उपयोगकर्ता अनुप्रयोगों और कॉर्पोरेट सिस्टम में प्रमाणीकरण पर अलग से चर्चा की जाएगी।