Egy a jelszó? Tartós? Vége!
„ A felhasználónevek és jelszavak ötlete az 1970-es évek mainframe architektúráinak idejében született. Nem napjainkra tervezték.”
Alex Stamos a Facebook egykori biztonsági igazgatója (2016)
A számítógépes jelszavak évtizedek óta a mindennapjaink részét képezik. Feltalálója nemrégiben hunyt el, aminek kapcsán azt sem árt végiggondolni, vajon mennyire számít hatékonynak a találmánya napjainkban. A Micro Focus szakértői arra figyelmeztetnek, hogy manapság már nem nyújt elég biztonságot a felhasználónév és jelszó kombinációja, ezért fontos egyéb módszerekkel erősíteni a hitelesítési folyamatokat, különben könnyen elveszíthetjük adatainkat.
Idén nyáron veszítettük el a számítógépes tudományok egy fontos képviselőjét, Dr. Fernando Corbatót, akinek nevéhez fűződik a számítógépes jelszavak megalkotása. Az 1950-es évek elején ugyanis a számítógépek még mindössze egy feldolgozási folyamatot tudtak egyszerre elvégezni, és ha több felhasználó használta egy időben a gépet, akkor osztozniuk kellett a tartalmon. Ha mégis szükség volt elkülönítésre, azt csak úgy tudták megoldani, ha az egyes számítógépeket hozzárendelték az egyes felhasználókhoz.
Dr. Corbató ezen probléma elhárítására fejlesztette ki a CTSS (Compatible Time-Sharing System – CTSS) nevű operációs rendszert, amely lehetővé tette a felhasználók számára, hogy anélkül használják és mentsék a munkájukat, hogy azokhoz más felhasználók hozzáférnének. Itt jelent meg először a jelszó: a felhasználóknak saját jelszavukkal kellett bejelentkezniük ahhoz, hogy elérhessék saját anyagaikat – és senki másét. Ez a nagyszerű találmány azóta fontos szerepet játszik életünkben, hiszen ma már mindenhol ott vannak a jelszavak.
A szilárd biztonság alapköve
A jelszavas azonosítás nem sokat változott a kezdetekhez képest. Még mindig egy felhasználónévre és egy jelszóra van szükségünk ahhoz, hogy hozzáférjünk a számítógépen vagy a felhőben tárolt dolgainkhoz akár a munkahelyünkön, akár az otthonunkban vagy útközben. Bár egyes szakértők úgy tartják, ez az azonosítási módszer elavult, még mindig széles körben elterjedt, hiszen egyszerűen és magától értetődően használható bárhol és bármikor, bármilyen különleges, dedikált eszköz nélkül.
Ez az egyszerűség azonban kockázatot is rejt magában. Hiszen ha a felhasználók vagy az informatikai részlegek nem megfelelően kezelik a jelszavakat, azzal a kiberbűnözők malmára hajthatják a vizet, és egyszerűvé tehetik számukra, hogy ellopják az adott felhasználói fiókokhoz tartozó adatokat, majd azokon keresztül a vállalatok érzékeny információit. Egy adatszivárgási incidens pedig komoly károkat okozhat a vállalatok számára mind az anyagiak, mind a reputáció terén.
Mit hoz a jövő?
A szervezeteknek tehát biztonságosabbá kell tenniük az azonosítási folyamataikat, hogy megvédhessék azokat az illetéktelenektől. Az egypontos bejelentkezés annak idején jelentős változást hozott a hitelesítésben, és segített abban, hogy a felhasználókat az erősebb jelszavak használata felé terelje, nagyobb biztonságot szavatolva. Most azonban újabb változásra van szükség, mivel az elmúlt időszakban egyre több adatszivárgási eset bizonyította, hogy a jelszavak önmagukban nem képesek elegendő védelmet biztosítani.
Egyre több helyen alkalmaznak ezért többlépcsős azonosítást, ahol a felhasználónév és jelszó kombinációja mellett a felhasználóknak egyéb eszközökkel is azonosítaniuk kell magukat. Ilyen lehet például a mobiltelefonra küldött kód vagy valamilyen biometrikus azonosító, például ujjlenyomat. Ez utóbbinak is megvannak azonban a kockázatai, hiszen a jelszavainkkal ellentétben az ujjlenyomatunkat, arcunkat vagy íriszünket nem tudjuk egyszerűen megváltoztatni, ha ellopnák azok adatait. Márpedig olyan esetre is volt példa nemrégiben, hogy biometrikus adatokat tulajdonítottak el nagy tételben egy olyan szervezettől, amely többek között bankokkal és a rendőrséggel is együttműködik.
Bármelyik új azonosítási módszert is választják a vállalatok, érdemes olyan keretrendszert igénybe venni hozzá, mint például a NetIQ Advanced Authentication. Ezzel a megoldással a szervezetek egyszerűen, egyetlen megoldásban felügyelhetik az összes autentikációs eszközt – azokat is, amelyeket éppen aktuálisan használnak, és azokat is, amelyeket csupán később vezetnek majd be.
A Micro Focus szakértői a többlépcsős azonosítás mellett a kockázatalapú hitelesítés bevezetését is javasolják. Ez azt jelenti, hogy a rendszer akkor végez szigorúbb ellenőrzést, ha az alkalmazottak olyan körülmények között kívánnak belépni, amely nem számít szokványosnak. Ez a cég székhelyén, a munkaidő kezdetekor egyszerűbb bejelentkezési folyamatot kínál az alkalmazottaknak, azonban plusz megerősítést, például SMS-ben küldött kód megadását követeli meg a kiküldetésben lévő munkavállalótól, aki külföldről, a szállodai szobájából vagy egy konferenciateremből szeretné elérni a céges hálózatot, ahogyan a késő este, otthonából túlórázó beosztottnál is érdemes lehet beiktatni ezt az extra lépcsőt.
