Egyre egyszerűbb a jelszómentesség, de sok múlik a bevezetésén
„A jelszavak olyanok, mint az internet csótányai, amelyeket a vállalatok évek óta próbálnak kiirtani.”
Merritt Maxim, a Forrester Research vezető biztonsági elemzője
A biztonsági szakértők évtizedek óta jövendölik a „jelszómentes jövőt”, amely a jelek szerint már valóban a küszöbön áll. A FIDO 2 szabvány terjedésével ugyanis hamarosan tényleg búcsút inthetünk végre a jelszavaknak. A jól ismert azonosítási módszer olcsó és egyszerű, ám egyúttal nagy támadási felületet is nyújt a kiberbűnözőknek: az adatlopási incidensek közel felénél ugyanis feltört hitelesítési adatokkal jutnak be a vállalatok rendszereibe. A Micro Focus szakértői szerint a vállalatoknak érdemes minél hamarabb bevezetniük a jelszómentes azonosítást, és emellett ajánlott egy dedikált hitelesítési keretrendszert igénybe venniük ahhoz, hogy egységesen tudják kezelni a régi és új típusú azonosítási technológiáikat.
Körülbelül harminc évvel ezelőtt merült fel először, hogy a jelszavak helyett más módszerre lenne szükség az azonosításhoz. Ám a vállalatok számára a jelszavas azonosítás egyszerű és költséghatékony megoldást jelent, ezért sok helyen még mindig ragaszkodnak hozzá.
Mindenkinek kihívás
A módszer azonban nem elég biztonságos, amint arra a legutóbbi Verizon Data Breach Report is rámutatott. A jelentés szerint az elmúlt időszakban az adatszivárgási incidensek 83 százalékánál kívülről érkezett a támadás, és az ilyen esetek 49 százalékánál a kiberbűnözők feltört hitelesítési adatok segítségével jutottak be a célpontok rendszereibe, további 12 százalékban pedig phishing támadással csalták ki a jelszavakat az áldozatokból. A vállalatok tisztában vannak vele, hogy az erős hitelesítés a biztonság alapja, ezért óriási összegeket költenek a kapcsolódó megoldásokra, ám a számok alapján ettől még nem csökken az adatlopási esetek száma.
A jelszó ráadásul nem csupán a vállalatok dolgát nehezíti meg, de a felhasználókét is, akik számos online fiókot használnak a munkájuk során és a magánéletükben egyaránt, a közösségi oldalaktól kezdve a felhőszolgáltatásokon és tartalomfogyasztási felületeken át egészen az e-kereskedelmi platformokig. Ezért sok esetben olyan jelszót választanak a különféle fiókokhoz, amit könnyen meg tudnak jegyezni. Ezeket azonban könnyebben fel is törik a kiberbűnözők, a túl sok és túl egyszerű jelszó tehát csak növeli a kockázatokat.
A jelszómentesség vágja át a gordiuszi csomót
Mindenképpen szükség van tehát egy hatékonyabb megoldásra. Ezért egyre inkább előtérbe kerülnek az úgynevezett jelszómentes megoldások. Valójában ezeknél is használnak jelszavakat, ám azokat nem a felhasználóknak kell begépelniük, hanem a szolgáltató tárolja magas szintű biztonság mellett. Ebben az esetben a mobiltelefon vagy egy fizikai biztonsági kulcs lehet a fő hitelesítési eszköz, amelyen a felhasználó az általa preferált azonosítási módszert alkalmazza, például egy PIN-kódot vagy ujjlenyomatot. Ennek megadása után már beléphet az adott webes szolgáltatásokba.
A fizikai biztonsági kulcs lehet egy egyszerű USB-eszköz, amelynél a hitelesítés megerősítéséhez csak érintésre van szükség, létezik azonban olyan is, amely beépített ujjlenyomat-olvasóval rendelkezik. Sokan kényelmesebbnek találják azonban a telefont, hiszen így nem kell egy további eszközre is vigyázniuk.
A nagyobb szolgáltatók már korábban is szorgalmazták ennek a módszernek a használatát, ám most újabb lökést ad a törekvésnek a jelszómentes azonosítást lehetővé tévő FIDO szabvány, amelyet egyre szélesebb körben alkalmaznak. A Google, az Apple és a Microsoft hamarosan minden platformján kiterjeszti a FIDO támogatását, legyen szó mobilról, számítógépről vagy böngészőkről. (A Micro Focus megoldása, a NetIQ Advanced Authentication az elsők között kezdte el támogatni a szabványt 2014-ben.)
Bevezetés professzionális támogatással
A vállalatok nem tudnak azonban egyik pillanatról a másikra átállni az új módszerre, ezért sokaknak kihívást jelent az új megközelítés integrálása a saját, összetett infrastruktúráikba és annak összehangolása a meglévő hitelesítési megoldásaikkal, valamint a számos különféle hitelesítési technológia együttes felügyelete.
Ebben nyújt támogatást a NetIQ Advanced Authentication, amely lehetővé teszi a szervezetek számára, hogy egyszerűen, egyetlen platformon keresztül felügyeljék az összes azonosítási eszközt és technológiát. Ez magában foglalja azokat a módszereket, amelyeket jelenleg használnak, valamint azokat is, amelyeket a jövőben terveznek bevezetni. A megoldásnak köszönhetően a vállalatok egységes szabályokat alkalmazhatnak minden azonosítási eljárásukra, ami elősegíti a biztonság növelését és a megfelelőségi előírások betartását. Emellett a termék úgy biztosítja a kibertérben jelentkező kockázatok értékelését és kezelését, hogy közben nem nehezíti meg a felhasználók dolgát bonyolult azonosítási metódusokkal. Ezáltal az üzleti folyamatokat is optimalizálja és a távolról dolgozó kollégák számára is garantálja a biztonságos munkavégzést, illetve a hatékony támogatást.
