Többtényezős hitelesítés - Multi-factor authentication

A többtényezős hitelesítés ( MFA ; magában foglalja a kétfaktoros hitelesítést , vagy 2FA , hasonló feltételekkel együtt) olyan elektronikus hitelesítési módszer, amelyben a felhasználó csak két vagy több bizonyíték sikeres bemutatása után kap hozzáférést egy webhelyhez vagy alkalmazáshoz (vagy tényezők) a hitelesítési mechanizmushoz: tudás (valami, amit csak a felhasználó tud), birtoklás (amit csak a felhasználó birtokol) és inherencia (valami csak a felhasználó). Az MFA megvédi a felhasználói adatokat - amelyek magukban foglalhatják a személyazonosító adatokat vagy pénzügyi eszközöket - attól, hogy illetéktelen harmadik fél hozzáférjen hozzájuk, és például egyetlen jelszót is felfedezhetett.

A harmadik féltől származó hitelesítő (TPA) alkalmazás lehetővé teszi a kétfaktoros hitelesítést, általában egy véletlenszerűen generált és gyakran változó kód megjelenítésével.

Tényezők

A hitelesítésre akkor kerül sor, amikor valaki megpróbál bejelentkezni egy számítógépes erőforrásba (például hálózatba, eszközbe vagy alkalmazásba). Az erőforrás megköveteli a felhasználótól, hogy adja meg azt az identitást, amellyel a felhasználó ismeri az erőforrást, valamint a felhasználó azonosságra vonatkozó állításának hitelességét igazoló bizonyítékokkal együtt. Az egyszerű hitelesítéshez csak egy ilyen bizonyítékra (faktorra) van szükség, általában jelszóra. A további biztonság érdekében az erőforrás több tényezőt is igényelhet-többtényezős hitelesítést, vagy kétfaktoros hitelesítést, ha pontosan két bizonyítékot kell benyújtani.

A többszörös hitelesítési tényezők használata személyazonosságának igazolására azon a feltevésen alapul, hogy egy jogosulatlan szereplő valószínűleg nem tudja biztosítani a hozzáféréshez szükséges tényezőket. Ha egy hitelesítési kísérlet során legalább az egyik összetevő hiányzik vagy helytelenül van megadva, akkor a felhasználó személyazonossága nincs kellő bizonyossággal megállapítva, és a többtényezős hitelesítéssel védett eszközhöz (pl. Épülethez vagy adathoz) való hozzáférés blokkolva marad. A többtényezős hitelesítési séma hitelesítési tényezői a következők lehetnek:

  • Valami, ami a felhasználó birtokában van: Bármilyen fizikai tárgy, amely a felhasználó birtokában van, például biztonsági token ( USB -kulcs ), bankkártya, kulcs stb.
  • Valami, amit a felhasználó tud: Bizonyos ismeretek, amelyeket csak a felhasználó ismer, például jelszó, PIN -kód , TAN stb.
  • Valami, ami a felhasználó: A felhasználó néhány fizikai jellemzője (biometria), például ujjlenyomat, szivárványhártya, hang, gépelési sebesség , minta a gombnyomás időközében stb.
  • Valahol a felhasználó: valamilyen kapcsolat egy adott számítástechnikai hálózattal, vagy GPS -jel használata a hely azonosítására.

A kétfaktoros hitelesítés jó példája a pénz pénzkiadása ATM-ből ; csak a bankkártya (a felhasználó birtokában lévő) és a PIN -kód (amit a felhasználó tud) helyes kombinációja teszi lehetővé a tranzakció végrehajtását. Két másik példa a felhasználó által vezérelt jelszó kiegészítése egyszeri jelszóval (OTP) vagy kóddal, amelyet egy hitelesítő (pl. Biztonsági token vagy okostelefon) generált vagy kapott, és amely csak a felhasználó birtokában van.

Egy harmadik féltől származó hitelesítő alkalmazás másképp teszi lehetővé a kétfaktoros hitelesítést, általában egy véletlenszerűen generált és folyamatosan frissülő kód megjelenítésével, amelyet a felhasználó használhat, nem pedig SMS-t vagy más módszert. Ezen alkalmazások nagy előnye, hogy általában internetkapcsolat nélkül is tovább működnek. Harmadik féltől származó hitelesítő alkalmazások például a Google Authenticator , az Authy és a Microsoft Authenticator ; egyes jelszókezelők, mint például a LastPass is kínálják a szolgáltatást.

Tudás

A tudástényezők a leggyakrabban használt hitelesítési forma. Ebben a formában a felhasználónak igazolnia kell a titok ismeretét a hitelesítéshez.

A jelszó egy titkos szó vagy karakterlánc, amelyet a felhasználó hitelesítésére használnak. Ez a leggyakrabban használt hitelesítési mechanizmus. Sok többtényezős hitelesítési technika a jelszavakra támaszkodik, mint a hitelesítés egyik tényezője. A változatok között vannak a hosszabbak is, amelyek több szóból állnak ( jelszó ), és a rövidebb, tisztán numerikus, személyi azonosítószám (PIN), amelyet általában használnak az ATM -hez való hozzáféréshez. Hagyományosan a jelszavak memorizálása várható .

Sok titkos kérdés , például "Hol születtél?" gyenge példák egy tudástényezőre, mert az emberek széles csoportja ismerheti őket, vagy kutathatók.

Birtoklás

RSA SecurID token, egy példa a leválasztott tokengenerátorra

A birtoklási tényezőket ("valamit csak a felhasználó") évszázadok óta használtak a hitelesítéshez, egy zár kulcsa formájában. Az alapelv az, hogy a kulcs egy titkot testesít meg, amelyet megosztanak a zár és a kulcs között, és ugyanez az elv alapozza meg a birtoklási tényező hitelesítést a számítógépes rendszerekben. A biztonsági token egy példa a birtoklási tényezőre.

A leválasztott jogkivonatok nem kapcsolódnak az ügyfélszámítógéphez. Általában beépített képernyőt használnak a generált hitelesítési adatok megjelenítésére, amelyeket a felhasználó manuálisan ír be. Ez a típusú jogkivonat többnyire " egyszeri jelszót " használ , amely csak az adott munkamenethez használható.

A csatlakoztatott tokenek olyan eszközök , amelyek fizikailag kapcsolódnak a használni kívánt számítógéphez. Ezek az eszközök automatikusan továbbítják az adatokat. Számos típus létezik, beleértve a kártyaolvasókat, a vezeték nélküli címkéket és az USB -tokeneket.

A szoftver token (más néven soft token ) egy olyan kétfaktoros hitelesítési biztonsági eszköz, amely felhasználható a számítógépes szolgáltatások használatának engedélyezéséhez. A szoftver tokenek egy általános célú elektronikus eszközön, például asztali számítógépen , laptopon , PDA -n vagy mobiltelefonon vannak tárolva, és sokszorosíthatók. (Kontrasztos hardver tokenek , ahol a hitelesítő adatokat egy dedikált hardvereszközön tárolják, és ezért nem másolhatók, az eszköz fizikai inváziójának hiányában.) A lágy token nem lehet olyan eszköz, amellyel a felhasználó interakcióba lép. Általában az X.509v3 tanúsítványt töltik be az eszközre, és biztonságosan tárolják ezt a célt.

Veleszületett

Ezek a felhasználóhoz kapcsolódó tényezők, és általában biometrikus módszerek, beleértve az ujjlenyomat , az arc , a hang vagy az írisz felismerését. Viselkedési biometria, például a billentyűleütés dinamikája is használható.

Elhelyezkedés

Egyre inkább megjelenik egy negyedik tényező, amely magában foglalja a felhasználó fizikai tartózkodási helyét. Míg a vezetékes kapcsolat a vállalati hálózathoz csatlakozik, a felhasználónak engedélyeznie kell a bejelentkezést csak PIN -kód használatával. Míg ha a felhasználó ki volt kapcsolva a hálózatból, akkor egy kódot is be kell írni egy lágy tokenből. Ez elfogadható szabványnak tekinthető, ahol az irodába való belépést ellenőrzik.

A hálózati hozzáférés -vezérlő rendszerek hasonló módon működnek, ahol a hálózati hozzáférés szintje függhet attól a hálózattól, amelyhez az eszköz csatlakozik, például a wifi és a vezetékes kapcsolat. Ez azt is lehetővé teszi, hogy a felhasználó mozogjon az irodák között, és dinamikusan kapjon azonos szintű hálózati hozzáférést mindegyikben.

Tokenek

Sok többtényezős hitelesítési gyártó kínál mobiltelefon-alapú hitelesítést. Egyes módszerek közé tartozik a push-alapú hitelesítés, a QR-kód-alapú hitelesítés, az egyszeri jelszó-hitelesítés (eseményalapú és időalapú ), valamint az SMS-alapú ellenőrzés. Az SMS-alapú ellenőrzés bizonyos biztonsági aggályokat szenved. A telefonok klónozhatók, az alkalmazások több telefonon is futtathatók, a mobiltelefon-karbantartó személyzet pedig SMS-eket olvashat. Nem utolsósorban a mobiltelefonok általában veszélybe kerülhetnek, vagyis a telefon már nem csak a felhasználóé.

A hitelesítés fő hátránya, beleértve azt is, amit a felhasználó birtokol, hogy a felhasználónak gyakorlatilag mindig magánál kell tartania a fizikai jelzőt (USB -kulcs, bankkártya, kulcs vagy hasonló). A veszteség és a lopás kockázatot jelent. Sok szervezet tiltja az USB és elektronikus eszközök hordozását a helyiségekben vagy azokon kívül rosszindulatú programok és adatlopási kockázatok miatt, és a legfontosabb gépek ugyanezen okból nem rendelkeznek USB portokkal. A fizikai tokenek általában nem méretezhetők, jellemzően új tokent igényelnek minden új fiókhoz és rendszerhez. Az ilyen típusú tokenek beszerzése és későbbi cseréje költségekkel jár. Ezenkívül a használhatóság és a biztonság között veleszületett konfliktusok és elkerülhetetlen kompromisszumok vannak.

A mobiltelefonokat és okostelefonokat magában foglaló kétlépcsős azonosítás alternatívát kínál a dedikált fizikai eszközökhöz. A hitelesítéshez az emberek használhatják személyes hozzáférési kódjaikat az eszközhöz (azaz olyat, amit csak az egyéni felhasználó tud), valamint egy egyszer érvényes, dinamikus, jellemzően 4-6 számjegyből álló jelszót. A jelszót SMS-ben lehet elküldeni a mobileszközükre, vagy egy egyszeri kódkód-generáló alkalmazással is elő lehet állítani. Mindkét esetben a mobiltelefon használatának előnye, hogy nincs szükség további dedikált tokenre, mivel a felhasználók hajlamosak mindig hordozni a mobileszközeiket.

Az SMS -hitelesítés népszerűsége ellenére a biztonsági támogatók nyilvánosan bírálták az SMS -ellenőrzést, és 2016 júliusában az Egyesült Államok NIST -iránymutatás -tervezete azt javasolta, hogy érvénytelenítsék azt hitelesítési formaként. Egy évvel később a NIST visszaállította az SMS -ellenőrzést érvényes hitelesítési csatornának a véglegesített útmutatóban.

2016-ban és 2017-ben a Google és az Apple alternatív módszerként kétlépcsős hitelesítést kínál a felhasználóknak push értesítéssel .

A mobil által szállított biztonsági tokenek biztonsága teljes mértékben a mobilszolgáltató működési biztonságától függ, és a nemzetbiztonsági ügynökségek lehallgatással vagy SIM-klónozással könnyen megsérthetik .

Előnyök:

  • Nincs szükség további tokenekre, mert olyan mobileszközöket használ, amelyeket (általában) folyamatosan hordoznak.
  • Mivel folyamatosan változnak, a dinamikusan generált jelszavak biztonságosabbak, mint a rögzített (statikus) bejelentkezési információk.
  • A megoldástól függően a használt jelszavakat automatikusan kicserélik annak biztosítása érdekében, hogy mindig érvényes kód legyen elérhető, ezért az átviteli/vételi problémák nem akadályozzák a bejelentkezést.

Hátrányok:

  • A felhasználók továbbra is érzékenyek lehetnek az adathalász támadásokra. A támadó szöveges üzenetet küldhet, amely egy hamisított webhelyre mutat, amely azonos a valódi webhellyel. A támadó ezután megkaphatja a hitelesítési kódot, a felhasználónevet és a jelszót.
  • A mobiltelefon nem mindig áll rendelkezésre - elveszhet, ellophatják, lemerülhet az akkumulátor, vagy más módon nem működik.
  • Mobiltelefon vétel nem mindig áll rendelkezésre - nagy területeken, különösen a városokon kívül, nincs lefedettség.
  • A SIM -klónozás hozzáférést biztosít a hackerekhez a mobiltelefon -kapcsolatokhoz. A mobilszolgáltató cégek elleni társadalombiztosítási támadások eredményeként duplikált SIM-kártyákat adtak át a bűnözőknek.
  • Az SMS- t küldő mobiltelefonokra küldött szöveges üzenetek nem biztonságosak, és az IMSI-elkapók el tudják fogadni őket . Így harmadik felek ellophatják és használhatják a tokent.
  • A fiók-helyreállítás általában megkerüli a mobiltelefon kétfaktoros hitelesítését.
  • A modern okostelefonokat e -mailek és SMS -ek fogadására használják. Tehát ha a telefon elveszik vagy ellopják, és nincs védve jelszóval vagy biometrikus adatokkal, akkor minden fiók, amelynek e -mail a kulcsa, feltörhető, mivel a telefon megkapja a második tényezőt.
  • A mobilszolgáltatók üzenetküldési díjat számíthatnak fel a felhasználótól.

A mobileszközök kétfaktoros hitelesítésének kutatásában elért haladás különböző módszereket mérlegel, amelyekben egy második tényező is megvalósítható, miközben nem akadályozza a felhasználót. A mobil hardverek, például a GPS, a mikrofon és a giroszkóp/gyorsulásvezérlő folyamatos használatával és pontosságának javításával a hitelesítés második tényezőjeként való használatuk egyre megbízhatóbbá válik. Például, ha rögzíti a felhasználó tartózkodási helyének környezeti zaját egy mobileszközről, és összehasonlítja azt a számítógépről származó környezeti zaj rögzítésével, ugyanabban a helyiségben, amelyben a felhasználó hitelesíteni próbál, akkor hatékony másodpercet kaphat. hitelesítési tényező. Ez csökkenti a folyamat befejezéséhez szükséges időt és erőfeszítést is.

Jogszabályok és szabályozás

A fizetési kártyaipar (PCI) adatbiztonsági szabványának 8.3. Követelménye előírja az MFA használatát minden olyan távoli hálózati hozzáféréshez, amely a hálózaton kívülről érkezik a kártyaadat -környezetbe (CDE). A PCI-DSS 3.2-es verziójától kezdve az MFA használata szükséges a CDE rendszergazdai hozzáféréséhez, még akkor is, ha a felhasználó megbízható hálózaton belül van.

Európai Únió

A második fizetési szolgáltatásokról szóló irányelv előírja az „ erős ügyfél -hitelesítést ” az Európai Gazdasági Térség legtöbb elektronikus fizetésére 2019. szeptember 14 -e óta.

India

Indiában az Indiai Tartalékbank kétfaktoros hitelesítést rendelt el minden olyan online tranzakcióhoz, amelyet betéti vagy hitelkártyával, jelszóval vagy SMS-ben küldött egyszeri jelszóval használtak . Ezt 2016 -ban ideiglenesen visszavonták a legfeljebb 2 000 ₹ összegű tranzakciókhoz a 2016. novemberi bankjegyek demonetizálása nyomán . Az olyan szállítók, mint például az Uber , a bankot arra bízta, hogy módosítsák fizetési feldolgozó rendszereiket a kétfaktoros hitelesítés bevezetésének megfelelően.

Egyesült Államok

Az USA szövetségi alkalmazottai és vállalkozói hitelesítésének részleteit a belbiztonsági elnöki irányelv 12 (HSPD-12) határozza meg.

A meglévő hitelesítési módszerek magukban foglalják az alapvető „tényezők” három típusát. A több tényezőtől függő hitelesítési módszerek nehezebb kompromisszumot kötni, mint az egyfaktoros módszerek.

A szövetségi kormányzati rendszerekhez való hozzáférésre vonatkozó informatikai szabályozási szabványok megkövetelik a többtényezős hitelesítés használatát az érzékeny informatikai erőforrások eléréséhez, például amikor bejelentkezik a hálózati eszközökre adminisztratív feladatok elvégzése céljából, és amikor bármely számítógéphez privilegizált bejelentkezést használ.

A 800-63-3 számú NIST különkiadvány a kétfaktoros hitelesítés különböző formáit tárgyalja, és útmutatást ad azok használatához a különböző szintű bizonyosságot igénylő üzleti folyamatokban.

2005-ben az Egyesült Államok " Szövetségi Pénzügyi intézmények vizsgálata Tanács iránymutatást adott ki a pénzügyi intézmények számára ajánlja a pénzügyi intézmények magatartásának kockázatalapú értékeléseket, értékelje vásárlói tudatosság programok és dolgozzon ki olyan biztonsági intézkedéseket, hogy megbízhatóan hitelesíteni ügyfelek távolból hozzáférünk online pénzügyi szolgáltatásokat , hivatalosan javasolta a használatát hitelesítés olyan módszerek, amelyek több tényezőtől függenek (konkrétan attól, amit a felhasználó tud, rendelkezik és van) a felhasználó személyazonosságának meghatározásához. A kiadványra válaszul számos hitelesítési gyártó helytelenül "kihívást jelentő kérdéseket", titkos képeket és más tudásalapú módszereket kezdett népszerűsíteni "többtényezős" hitelesítésként. Az ebből adódó zűrzavar és az ilyen módszerek széles körű elterjedése miatt 2006. augusztus 15-én az FFIEC kiegészítő irányelveket tett közzé-amelyek kimondják, hogy definíció szerint az "igazi" többtényezős hitelesítési rendszernek a három hitelesítési tényezőtől eltérő példányokat kell használnia definiálták, és nem csak egyetlen tényező több példányát használták.

Biztonság

A támogatók szerint a többtényezős hitelesítés drasztikusan csökkentheti az online személyazonosság-lopások és más online csalások előfordulását , mert az áldozat jelszava már nem lenne elegendő ahhoz, hogy a tolvajnak állandó hozzáférést biztosítson az információihoz. Számos többtényezős hitelesítési módszer azonban továbbra is sebezhető az adathalászat , az ember a böngészőben és az ember a közepén támadásokkal szemben . A webes alkalmazások kétfaktoros hitelesítése különösen érzékeny az adathalász támadásokra, különösen az SMS-ekben és az e-mailekben, és válaszul sok szakértő azt tanácsolja a felhasználóknak, hogy ne osszák meg senkivel az ellenőrző kódjaikat, és sok webes alkalmazásszolgáltató tanácsot ad kódot tartalmazó e-mailben vagy SMS-ben.

A többtényezős hitelesítés hatástalan lehet olyan modern fenyegetésekkel szemben, mint az ATM átfutás, adathalászat és rosszindulatú programok.

2017 májusában az O2 Telefónica német mobilszolgáltató megerősítette, hogy a kiberbűnözők SS7 biztonsági réseket használtak ki az SMS-alapú kétlépcsős azonosítás megkerülése érdekében, hogy jogosulatlanul kivonják a felhasználók bankszámláit. A bűnözők először megfertőzték a számlatulajdonos számítógépeit, hogy ellopják bankszámla hitelesítő adataikat és telefonszámukat. Ezután a támadók hozzáférést vásároltak egy hamis távközlési szolgáltatóhoz, és átirányították az áldozat telefonszámát az általuk irányított kézibeszélőre. Végül a támadók bejelentkeztek az áldozatok online bankszámláira, és kérték, hogy a számlákon lévő pénzt vonják vissza a bűnözők tulajdonában lévő számlákra. Az SMS jelszavakat a támadók által ellenőrzött telefonszámokra irányították, és a bűnözők átutalták a pénzt.

Végrehajtás

Sok többtényezős termékek megkövetelik a felhasználók telepíteni kliens szoftver , hogy többtényezős rendszerek működésének. Egyes gyártók külön telepítési csomagokat hoztak létre a hálózati bejelentkezéshez, a webes hozzáférési hitelesítő adatokhoz és a VPN -kapcsolat hitelesítő adataihoz . Az ilyen termékek esetében négy vagy öt különböző szoftvercsomagot lehet leküldeni az ügyfélszámítógépre a token vagy az intelligens kártya használatához . Ez négy vagy öt csomagot jelent, amelyeken a verzióellenőrzést végre kell hajtani, és négy vagy öt csomagot kell ellenőrizni, hogy nincsenek -e ütközések az üzleti alkalmazásokkal. Ha a hozzáférés weboldalak segítségével is működtethető , akkor a fent felsorolt ​​általános költségeket egyetlen alkalmazásra lehet korlátozni. Más többtényezős hitelesítési megoldások, például "virtuális" tokenek és egyes hardver token termékek esetén a végfelhasználóknak nem kell szoftvert telepíteniük.

A többtényezős hitelesítésnek vannak hátrányai, amelyek megakadályozzák számos megközelítés elterjedését. Néhány felhasználónak nehézségei vannak a hardveres token vagy az USB -csatlakozó nyomon követésében. Sok felhasználó nem rendelkezik az ügyféloldali szoftvertanúsítvány önálló telepítéséhez szükséges technikai ismeretekkel. Általában a többtényezős megoldások további beruházásokat és végrehajtási költségeket igényelnek. A legtöbb hardver token alapú rendszer saját tulajdonú, és néhány gyártó éves díjat számít fel felhasználónként. A hardver tokenek telepítése logisztikai szempontból kihívást jelent. Hardver zsetont kaphat sérült vagy elveszett és kiadása tokenek a nagy iparágak, mint a banki vagy akár a nagyvállalatok kell kezelni. A telepítési költségek mellett a többtényezős hitelesítés gyakran jelentős kiegészítő támogatási költségekkel jár. Egy 2008-as felmérés több mint 120 amerikai hitelszövetkezetek által Credit Union Journal számolt be a támogatási költségek kapcsolódó kéttényezős hitelesítést. Jelentésükben a szoftvertanúsítványok és a szoftveres eszköztár -megközelítések jelentették a legmagasabb támogatási költségeket.

A többtényezős hitelesítési rendszerek telepítésével kapcsolatos kutatások kimutatták, hogy az ilyen rendszerek bevezetését befolyásoló tényezők egyike a többtényezős hitelesítési rendszert alkalmazó szervezet üzletága. A hivatkozott példák közé tartozik az amerikai szövetségi kormány, amely a fizikai tokenek bonyolult rendszerét alkalmazza (amelyeket maga is erős nyilvános kulcsú infrastruktúra támogat ), valamint a magánbankok, amelyek inkább a többtényezős hitelesítési rendszereket részesítik előnyben ügyfeleik számára, amelyek hozzáférhetőbbek. , a személyazonosság ellenőrzésének olcsóbb eszközei, például az ügyfél tulajdonában lévő okostelefonra telepített alkalmazás. Annak ellenére, hogy a rendelkezésre álló rendszerek között léteznek eltérések, amelyek közül a szervezeteknek választaniuk kell, ha egy többtényezős hitelesítési rendszert telepítenek a szervezeten belül, akkor általában a helyén marad, mivel a felhasználók változatlanul alkalmazkodnak a rendszer jelenlétéhez és használatához, és idővel a vonatkozó információs rendszerrel való interakció mindennapi folyamatának normalizált eleme.

Bár a felfogás szerint a többtényezős hitelesítés a tökéletes biztonság körébe tartozik, Roger Grimes azt írja, hogy ha nem megfelelően hajtják végre és konfigurálják, a többtényezős hitelesítés valójában könnyen legyőzhető.

Szabadalmak

2013-ban Kim Dotcom azt állította, hogy egy 2000-es szabadalomban feltalálta a kétfaktoros hitelesítést, és röviden azzal fenyegetőzött, hogy bepereli az összes főbb webszolgáltatást. Az Európai Szabadalmi Hivatal azonban visszavonta szabadalmát az AT&T korábbi 1998 -as amerikai szabadalmának fényében.

Példák

Számos népszerű webszolgáltatás többtényezős hitelesítést alkalmaz, általában opcionális szolgáltatásként, amely alapértelmezés szerint ki van kapcsolva.

Lásd még

Hivatkozások

További irodalom

Külső linkek