Вопросы обеспечения информационной безопасности становятся ключевыми для большинства компаний как в России, так и за ее пределами. Рост числа кибератак требует пересмотра традиционных методов защиты данных.
Парольная аутентификация, которая ранее считалась надежным способом доступа к корпоративным ресурсам, уже не отвечает современным требованиям безопасности. Александр Яров, руководитель по информационной безопасности ELMA, рассказал, как повысить надежность аутентификации, отказавшись от использования паролей.
Аутентификация: что такое и зачем нужна
Аутентификация — барьер, находящийся на пути кибермошенника к данным компании. Она необходима для того, чтобы подтвердить подлинность пользователя корпоративного сайта, системы или аккаунта. Часто ее путают с авторизацией, которая представляет собой проверку прав на выполнение каких-либо действий.
Существует несколько видов аутентификации:
- Пароли («What I know»). Это наиболее распространенный способ входа в системы благодаря своей простоте и удобству использования для конечных пользователей.
- Физические носители («What I have»). Включает применение физических средств: токенов, карт доступа, смартфонов, SMS-сообщений или электронной почты.
- Биометрические технологии («What I am»). Они представляют собой наиболее продвинутый уровень безопасности, так как сканируются индивидуальные характеристики человека: отпечатки пальцев, сетчатка глаза, геометрия лица и другие биологические данные. Такие факторы аутентификации обеспечивают высокую степень защиты благодаря уникальности используемых параметров.
- Делегирование. В этом случае запрос на аутентификацию отправляется через сервис, где она уже была успешно выполнена (например, через OAuth, SSO или Active Directory). Однако это не является полноценной беспарольной аутентификацией, так как другой сервис может инициировать запрос на предоставление доступа.
Отдельно можно выделить еще два метода: геолокационную аутентификацию, когда система определяет местоположение пользователя и на основе этой информации принимает решение о предоставлении доступа к данным или системам, и поведенческую аналитику. В этом случае программа анализирует паттерны поведения пользователей и их взаимодействия с системой. Однако эти методы редко используются из-за сложности реализации и необходимости обработки больших объемов данных.
В практике обеспечения информационной безопасности часто применяется комбинация различных методов аутентификации для повышения уровня защиты.
Важно отметить, что безопасность системы в целом определяется слабым звеном в цепи аутентификационных механизмов, и пароли зачастую являются таким уязвимым местом.
Аутентификация без паролей: преимущества и недостатки
Когда речь идет об отказе от паролей, это означает полный отказ от всех способов идентификации, которые требуют запоминания информации — сложных комбинаций символов, пин-кодов, графических ключей. В этом случае на первый план выходят биометрические данные и физические атрибуты.
В качестве примера можно привести оплату банковской картой, когда человек использует беспарольную аутентификацию. Или же при обращении в отделение банка оператор сначала проверяет личность клиента по фотографии в паспорте, а затем в качестве второго фактора использует карту через терминал.
Беспарольная аутентификация имеет свои плюсы:
- Упрощение процесса регистрации. Пользователи больше не сталкиваются с необходимостью придумывать сложные комбинации символов, что значительно упрощает процесс регистрации.
- Нет риска забыть пароль. С ростом количества сервисов и ужесточением требований к длине безопасных паролей становится все труднее хранить их в памяти. Если раньше можно было использовать пароль из шести или восьми символов для разных ресурсов, то сегодня для обеспечения безопасности рекомендуется использовать пароли длиной 12 и более символов. При этом они должны быть неосмысленными (фамилия или дата рождения не подойдут) и уникальными на разных сайтах и приложениях, чтобы в случае кражи пароля не потерять доступ ко всем ресурсам.
Несмотря на весомые преимущества, есть и недостатки:
- Невозможность быстро восстановить доступ. Забытый пароль можно быстро восстановить, а в случае потери биометрических данных, USB-ключа или карты быстро получить к ним доступ будет затруднительно.
- Уменьшение количества факторов защиты. Отказ от паролей означает потерю одного из проверенных временем методов аутентификации.
- Риск раскрытия биометрических данных. В отличие от пароля, который можно изменить при подозрении на утечку, биометрические данные не могут быть обновлены или заменены.
При рассмотрении вопросов безопасности в контексте отказа от использования паролей в первую очередь необходимо учесть риски процесса или сервиса, для которого планируется отказ от паролей. Это включает в себя детальный анализ возможных угроз и разработку стратегии их минимизации.
Рекомендуется провести расчеты, чтобы найти оптимальный баланс между затратами на внедрение альтернативных мер защиты, стоимостью самого актива или сервиса и требованиями бизнеса. Важно также учитывать удобство использования для конечных пользователей, поскольку высокий уровень безопасности не должен идти в ущерб функциональности и доступности сервисов.
Убираем пароли: как выбрать альтернативный способ аутентификации
При выборе методов защиты информации важно учитывать множество факторов, включая ценность хранящихся данных и доступные ресурсы.
Количество и выбор факторов аутентификации
Выбор количества и типов факторов аутентификации зависит от уровня конфиденциальности обрабатываемой информации. Для менее важных данных может быть достаточно одного фактора — например, Oauth через популярный сервис.
Если же речь идет о защите критически важной информации, целесообразно использовать комбинацию двух или более факторов — например, одноразовую ссылку на электронную почту в сочетании с приложением TOTP (Time-based One-Time Password) на мобильном устройстве.
Для максимальной безопасности можно применять мультифакторные OTP-устройства с биометрической аутентификацией и дополнительно использовать физические токены.
Восстановление или блокировка доступа
В случае утери или кражи устройства пользователи должны иметь возможность быстро восстановить доступ к своим аккаунтам. Это может быть реализовано через службу поддержки, которая проверит личность пользователя и предоставит инструкции по восстановлению доступа. Также важно предусмотреть механизмы удаленной блокировки устройства.
Защита от фишинга и мошенничества
В защиту от фишинговых атак входят:
- обучение пользователей навыку распознавать подозрительные запросы и ссылки;
- использование двухфакторной аутентификации для подтверждения операций;
- внедрение систем обнаружения и предотвращения мошеннических действий.
Запасные варианты и меры против злоупотреблений
При невозможности использовать один из факторов аутентификации должна быть предусмотрена альтернативная процедура подтверждения личности. Важно, чтобы такой fallback не снижал уровень безопасности и был защищен от возможного злоупотребления.
В качестве примера эффективных подходов можно изучить практики ведущих компаний. Так, на основе маркетингового подхода к CJM (Customer Journey Map) в банковской сфере можно проанализировать факторы улучшения безопасности. В частности, определить, где стоит запрашивать аутентификацию и в каком формате. Важно понимать, что процесс аутентификации не ограничивается только входом в систему. Он должен охватывать все критические функции сервиса.
Основная задача — тщательно продумать систему защиты и выбрать подходящие средства. Каждый метод имеет свои слабые места и не может быть универсальным решением для всех случаев. Кроме того, необходимо найти баланс между удобством использования сервиса и уровнем его безопасности. Этот баланс зависит от множества факторов:
- резервных способов аутентификации;
- риска компрометации данных пользователей;
- совместимости технологий;
- затрат на реализацию;
- ценности защищаемых данных.
Только с учетом всех этих аспектов можно разработать эффективную стратегию безопасности для любого сервиса.