La Vícefaktorové ověřování se stalo základním požadavkem jakékoli moderní strategie kybernetické bezpečnosti. Pouhé slušné heslo už nestačí: s ohledem na objem úniků dat, stále sofistikovanější phishing a automatizované útoky je spoléhání se pouze na „to, co víte“, téměř jako nechat pootevřené vchodové dveře.
V posledních letech se objevily Nové metody ověřování, směrnice od organizací jako PCI SSC a standardy jako FIDO2 nebo WebAuthn, které zcela změnily situaci. Výsledkem je, že dnes existuje mnoho různých způsobů, jak ověřit identitu uživatele, s velmi odlišnou úrovní zabezpečení a pohodlí. Problémem už není jen povolení vícefaktorové autentizace (MFA), ale zvolit správnou kombinaci faktorů, které použijete v závislosti na riziku, kontextu a typu služby.
Základy identifikace, autentizace a autorizace
Před porovnáním metod je dobré si uvědomit, že Autentizace není totéž jako identifikace sebe sama nebo autorizace sebe sama.ačkoli v praxi je vše součástí stejného přístupového toku.
Nejprve Identifikace je jednoduše přiřazení jedinečné identity. k osobě, systému nebo účtu: uživatelské jméno, číslo zaměstnance, certifikát atd. Je to otázka „kdo jste?“, aniž byste si ještě ověřili, že skutečně jste danou osobou, systémem nebo účtem.
La Autentizace je proces ověření, zda je daná identita platná.Za tímto účelem vás systém požádá o poskytnutí jednoho nebo více ověřovacích faktorů, které byste měli znát, vlastnit nebo být pouze vy. Pokud je tato kontrola úspěšná, systém ověří vaši identitu.
Konečně, Autorizace definuje, k čemu má daný uživatel skutečně přístup Po ověření: jaké aplikace vidí, ke kterým datům má přístup, zda může spravovat ostatní uživatele atd. To lze doplnit nástroji, které vám umožní zjistit kdo má přístup k vašim souborům a tím auditovat oprávnění a sdílení.
Soudržné řízení těchto tří prvků tvoří to, co je známé jako Správa identit a přístupu (IAM)A v frameworkech, jako je PCI DSS, je důkladně přezkoumáván z hlediska specifických požadavků na řízení přístupu. V prostředí Windows je to obvykle spravováno pomocí Editor zásad skupiny.
Faktory ověřování: něco, co znáte, máte nebo co jste
Každý moderní autentizační systém se točí kolem tři hlavní skupiny faktorůkteré lze kombinovat za účelem vytvoření dvojitých nebo vícefaktorových schémat:
Na jedné straně je „něco, co víš“Hesla, PINy, přístupové fráze nebo bezpečnostní otázky. Jejich hlavní výhodou je, že se snadno nasadí a jsou velmi dobře známé každému uživateli, ale jsou také preferovaným cílem útočníků, ať už prostřednictvím hrubé síly, phishingu, úniků databází nebo zneužití přihlašovacích údajů.
Za druhé jsme našli „něco, co máš“Může se jednat o mobilní telefon, na který je odeslána SMS, ověřovací aplikaci, čipovou kartu, fyzický token nebo klíč FIDO. V tomto případě by útočník musel daný prvek ukrást nebo naklonovat, aby obešel filtr, což teoreticky výrazně zvyšuje bezpečnost.
Třetí kategorie je „něco, co jsi“Tedy biometrické faktory, jako jsou otisky prstů, rozpoznávání obličeje, skenování duhovky nebo dokonce behaviorální charakteristiky (styl psaní, chůze, hlasové vzorce). Jsou velmi pohodlné a obtížně replikovatelné, ale představují vážné výzvy pro soukromí a správu: pokud je otisk prstu ohrožen, nemůžete si jej snadno „změnit“.
Kromě toho se stále více důležitě stávají kontextové nebo behaviorální faktory, někdy seskupené jako „něco, co děláte“ nebo „něco, co se děje kolem vás“Poloha, zařízení, ze kterého se připojujete, obvyklá denní doba, známá IP adresa atd. Samy o sobě se obvykle nepovažují za „silné“ faktory, ale jsou základem adaptivního ověřování založeného na riziku.
Hesla, PINy a ověřování založené na znalostech
Volání Ověřování založené na znalostech (KBA) Je to tradiční model: zadáte uživatelské jméno a heslo nebo odpovíte na otázku typu „Ve kterém městě jste se narodil?“. Jeho implementace je extrémně levná, podporovaná jakoukoli platformou a uživatelé už vědí, jak to funguje.
Problém je v tom, že v praxi, Hesla se hromadně opakovaně používají mezi službami a jsou často slabé. Různé studie naznačují, že obrovské procento lidí používá stejné heslo na desítkách webů, takže pokud má zranitelnost jen jeden web, zbytek účtů je ohrožen útoky typu „credential stuffing“.
the Tradiční bezpečnostní otázky jsou ještě horší.Mnoho odpovědí lze najít trochou vyhledávání na sociálních sítích nebo ve veřejně dostupných zdrojích a jiné lze relativně snadno uhodnout. Proto se nyní doporučuje omezit je na velmi specifické případy nebo je nahradit jinými vyhledávacími mechanismy.
L PINy jsou zajímavým speciálním případemNa papíře má čtyřmístný PIN velmi malou entropii a nesplňoval by požadavky na složitost, které obvykle klademe na hesla. Nedávné směrnice PCI SSC však objasňují, že PIN lze akceptovat jako faktor „něčeho, co znáte“, pokud je kombinován s dalšími kontrolami, jako jsou uzamčení po několika neúspěšných pokusech, progresivní časové limity a bezpečné úložiště.
Když to není možné zabezpečte tento PIN pomocí opatření proti hrubé síleProto musí splňovat stejná kritéria jako silné heslo: dostatečně vysokou minimální délku, zákaz triviálních vzorů, historii atd. Jinak se stává snadno zneužitelnou slabinou.
Jednorázové kódy: SMS, e-mail a předem vygenerované seznamy
Jednou z nejrozšířenějších metod víceúrovňové finanční pomoci (MFA) je i nadále použití jednorázové kódy (OTP) zaslané různými kanály nebo předem vytištěné. Toto je druhý faktor, který je pro uživatele velmi snadno pochopitelný a který mnoho služeb nabízí standardně.
V případě Jednorázové heslo přes SMS nebo hlasový hovorProces je jednoduchý: po zadání uživatelského jména a hesla systém odešle na registrované číslo vícemístný kód. Uživatel kód zadá a pokud se shoduje, je mu udělen přístup. V podstatě se ověří, zda máte nad daným telefonním číslem stále kontrolu.
Můžeme také najít Jednorázová hesla zaslaná e-mailemToto je méně časté, ale stále existuje. Riziko je zde zřejmé: pokud je vaše heslo k e-mailu stejné jako heslo k účtu, který se snažíte chránit, dodatečné zabezpečení zmizí, protože útočník se nejprve dostane k vaší schránce a snadno si kód přečte.
Klasičtější přístup je ten, předgenerované seznamy kódůTyto kódy poskytují některé banky v tištěné podobě nebo si je lze stáhnout určitými službami (například velkými online platformami) pro obnovení účtu. Každý kód se použije pouze jednou a při dalších pokusech je nutné použít jiný kód ze seznamu.
Tyto seznamy jsou poměrně bezpečné proti útokům typu zachycení, protože Jsou generovány a doručovány ve velmi specifických časech.Kritickým bodem je úložiště: pokud si list uložíte do odemčené zásuvky nebo pořídíte fotografii a necháte ji v galerii nešifrovanou, kdokoli s fyzickým přístupem k vašim věcem by se mohl zmocnit vašich účtů nebo finančních prostředků.
Pro dobrou správu těchto seznamů je vhodné uložte je na bezpečném fyzickém místě nebo v šifrovaném digitálním kontejnerunapříklad zabezpečené poznámky ve správci hesel. Mají však jasný problém se škálovatelností: pokud provádíte mnoho transakcí nebo máte mnoho účtů, rychle se vyčerpají a jejich správa se stává obtížnou, takže se stále častěji používají méně jako primární metoda a více jako nouzový mechanismus.
Autentizace a aplikace TOTP
Nejnovější směrnice a praktické zkušenosti se shodují v tom, že Aplikace pro ověřování na základě času (TOTP) Nabízejí velmi dobrou rovnováhu mezi bezpečností a pohodlím, a proto se doporučují jako „výchozí“ volba, kdykoli je to možné.
Princip je jednoduchý: během vypouštění druhého faktoru, Služba a vaše ověřovací aplikace sdílejí tajný klíč (obvykle naskenováním QR kódu). Aplikace i server poté každých 30 sekund generují stejný 6- nebo 8místný kód bez nutnosti připojení, a to díky standardnímu algoritmu.
Nástroje jako Google Authenticator, Microsoft Authenticator, Authy, Aegis nebo Duo Mobile Umožňují vám zaregistrovat více účtů a centralizovat všechny vaše kódy. Některé zahrnují šifrované cloudové zálohy nebo synchronizaci napříč zařízeními, což je velmi praktické, ale mělo by být pečlivě nakonfigurováno, aby se předešlo vzniku nových rizik.
Existují také Správci hesel, kteří integrují TOTP (1Password, Bitwarden, Dashlane a další). V těchto případech stejný produkt ukládá heslo a generuje dočasný kód, což přihlášení extrémně usnadňuje. Z čistě bezpečnostního hlediska však ztrácíte určitou nezávislost mezi faktory, protože oba se spoléhají na jediný bod selhání.
V každém případě mají TOTP ve srovnání s SMS nebo e-mailem jasné výhody: Nejsou závislé na mobilní síti ani operátorovi.Jsou méně náchylné k útokům typu výměna SIM karet, fungují bez pokrytí a nezveřejňují kód na snadno zachytitelných kanálech.
Biometrie: otisky prstů, obličej, hlas a další vlastnosti
La Biometrické ověřování už není sci-fi stát se součástí každodenního života: téměř každý současný chytrý telefon umožňuje odemknutí otiskem prstu nebo obličejem a mnoho notebooků integruje čtečky otisků prstů nebo fotoaparáty kompatibilní s bezpečným rozpoznáváním obličeje.
Biometrie se spoléhá na fyzické nebo behaviorální vlastnosti, které je obtížné napodobitOtisky prstů, rysy obličeje, duhovka, hlas, dynamika psaní, chůze atd. Z pohledu uživatele je to mimořádně pohodlné, protože se vyhýbá nutnosti si cokoli pamatovat a snižuje se tření při přístupu.
Existují však důležité nuance. První je, že Biometrické údaje jsou ze své podstaty citlivéNemůžete „odvolat“ svůj obličej ani otisky prstů, pokud jsou ohroženy, a ty slouží nejen k ověřování, ale také k právní identifikaci. To znamená, že jejich snímání, ukládání a zpracování musí probíhat s velmi vysokou úrovní ochrany.
Z tohoto důvodu většina moderních architektur omezuje biometrii na lokální ověřovací procesy na samotném zařízeníNapříklad když používáte Face ID nebo čtečku otisků prstů, data se ukládají a zpracovávají v zabezpečené enklávě v telefonu a neodesílají se vzdálené službě. Přenáší se pouze „ano“ nebo „ne“ z operačního systému, což znamená, že legitimní uživatel zařízení odemkl.
V případě čistě vzdálené biometrické autentizace služba, která tato data přijímá Musí implicitně důvěřovat výrobci zařízení nebo poskytovateli systému.To je něco, co je jen málo organizací ochotno dělat, s výjimkou velmi uzavřených ekosystémů. Ukázkovým příkladem je Apple, který má komplexní kontrolu nad hardwarem a softwarem a nabízí mechanismy jako Face ID integrované s přístupovými klíči.
I když má biometrie své nevýhody, nabízí Klíčová výhoda: drasticky snižuje třeníUživatel, který odemyká svůj mobilní telefon prstem nebo obličejem stokrát denně, je mnohem ochotnější akceptovat víceúčelovou autentizaci (MFA), pokud je to další „nepříjemnost“, kterou musí nést, místo aby při každém přístupu zadával kilometr dlouhá hesla.
Ověřování na základě polohy, kontextu a rizik (RBA)
Kromě klasických faktorů se uplatňuje mnoho moderních systémů ověřování na základě rizik (RBA)dynamicky upravují požadavky na základě toho, co pozorují v reálném čase.
Systém v podstatě analyzuje kontextové proměnné, jako je umístění, zařízení, IP adresa, denní doba nebo vzorec používáníPokud se někdo pokusí přihlásit ze svého obvyklého notebooku, ve svém obvyklém čase a z kancelářské sítě, riziko je považováno za nízké a nemusí být požádán o nic dalšího kromě hesla nebo relace SSO.
Pokud však a Přihlášení z jiné země, v neobvyklou dobu nebo z neznámého zařízeníSystém pro posuzování rizik může zvýšit úroveň požadavků a vyžadovat druhý dodatečný faktor, jako je jednorázové heslo, schválení aplikace nebo biometrická kontrola.
Tento přístup má velkou výhodu, vyvážení bezpečnosti a použitelnostiNetrestá uživatele zbytečnými kroky, když se zdá, že je vše v pořádku, ale zvyšuje ostražitost, když se něco zdá být v nepořádku. Pro banky, velké online platformy nebo firmy s tisíci zaměstnanci je to prakticky standard.
Jeho hlavní nevýhodou je, že Není triviální navrhnout ani upravitPokud jsou prahové hodnoty rizika nesprávně kalibrovány, můžete skončit s neustálým požadavkem na vícefaktorovou autentizaci (MFA) od legitimních uživatelů, nebo, v opačném extrému, s přehlížením podezřelého chování. V tomto případě hraje klíčovou roli při odhalování anomálií a neobvyklých vzorců pokročilá analytika a stále častěji umělá inteligence.
Vícefaktorové ověřování: vícefaktorové vs. vícekrokové
Když kombinujeme dva nebo více různých faktorů, mluvíme o vícefaktorové ověřování (MFA)Myšlenka je taková, že i když se útočníkovi podaří prolomit jeden z faktorů (například heslo), bude muset překonat i druhý nezávislý filtr (například jednorázové heslo nebo fyzický klíč).
Z hlediska dodržování předpisů propojují rámce jako PCI DSS koncept MFA s velmi specifickými požadavky: vzdálený přístup k interním sítím, přístup k prostředím s daty karet, účty se zvýšenými oprávněnímiatd. V těchto případech již není přijatelné spoléhat se pouze na uživatelské jméno a heslo.
Po léta panoval značný zmatek ohledně rozdílu mezi Vícestupňové ověřování a vícefaktorová autentizace kompatibilní s PCIStarší pokyny vyžadovaly, aby všechny faktory byly vyhodnoceny bez částečné zpětné vazby, tedy aby uživatel nebyl informován o správnosti hesla předtím, než se zeptá na druhý faktor.
Nejnovější verze průvodce objasňují kritéria: Je přijatelné uvést úspěšnost jednoho faktoru před požadováním dalšího.za předpokladu, že přístup není udělen, dokud nebudou všichni úspěšně ověřeni. To znamená, že postupy typu „nejprve heslo, poté jednorázové heslo“ jsou kompatibilní, i když je uživateli potvrzeno, že jeho heslo je platné.
I tak to zůstává tak, jak dobrý postup pro snížení detailní zpětné vazbybuď neodhalení platnosti žádného faktoru, dokud nebudou předloženy všechny, nebo nejprve ověření pomocí jednorázového faktoru relace (OTP, klíč odolný proti phishingu) před ověřením dalších statických faktorů, jako je heslo.
Hardwarové klíče a přístupové klíče FIDO U2F / FIDO2
Vzhledem k problémům s phishingem a útoky typu „man-in-the-middle“ z mnoha tradičních metod se objevila řešení, jako například následující: Bezpečnostní klíče FIDO U2F/FIDO2popularizovány zařízeními jako YubiKey, Google Titan nebo modely od společností Feitian a SoloKeys.
Tyto klíče implementují kryptografii s veřejným klíčem a během registrace Generují jedinečný klíč přidružený ke každé službě.Při opětovném ověření server odešle výzvu, že klíč podepíše pouze v případě, že doména a kontext odpovídají registrovaným doménám. Pokud se vás někdo pokusí oklamat falešným webem, klíč zjistí, že se nejedná o legitimní web, a nic nepodepíše. Mnoho platforem to používá. TPM 2.0 k ochraně klíčů spojených se zařízením.
Tento typ ověřování tedy nejen ověřuje uživatele, ale také Také ověřuje samotnou službu.Nabízejí velmi vysokou odolnost proti phishingovým, replay a relay útokům. Proto je mnoho organizací považuje za zlatý standard pro ochranu kritických účtů, administrátorských přihlašovacích údajů a přístupu k firemnímu e-mailu.
Z pohledu uživatele je proces překvapivě jednoduchý: Připojte klíč k USB portu nebo jej přibližte pomocí NFC. Jednoduše klepněte na kapacitní senzor na telefonu a máte hotovo. Skrývá se za tím složitá kryptografie, ale toto gesto je jednodušší než psaní jednorázového hesla.
Na stejném základě propagovala aliance FIDO přístupové klíče nebo heslaTyto technologie posouvají tuto myšlenku o krok dále tím, že přímo nahrazují hesla. Soukromý klíč je uložen v zařízení (nebo je šifrován a synchronizován prostřednictvím cloudu poskytovatele) a uživatel se autentizuje odemčením zařízení pomocí biometrických údajů nebo PINu.
Přístupové klíče zůstávají svou konstrukcí vícefaktorové, protože kombinují něco, co máte (zařízení) v kombinaci s něčím, co jste nebo znáte (biometrické údaje nebo PIN)Ale z rovnice vylučují tradiční heslo. Stále více velkých služeb je začíná nabízet, ačkoli ekosystém zůstává poněkud fragmentovaný a každá platforma implementuje jiné nuance.
SSO, ověřování na základě tokenů a digitální certifikáty
V korporátním prostředí je běžné kombinovat tyto faktory s mechanismy, jako je Jediné přihlášení (SSO)což vám umožňuje se jednou přihlásit u důvěryhodného poskytovatele identity (např. Azure AD, Okta, Google Workspace) a přistupovat k více aplikacím bez nutnosti neustálého opakování přihlašovacích údajů.
V těchto schématech poskytovatel identity vydává bezpečnostní tokeny (například JWT) Po silném počátečním ověření (ideálně s MFA) jsou tyto tokeny prezentovány integrovaným aplikacím k ověření vaší identity, aniž byste museli při každém připojení znovu zadávat heslo.
Autentizace založená na tokenech snižuje zátěž serverů a usnadňuje bezstavové architektury Široce se používá v moderních API a aplikacích. Správa vypršení platnosti tokenů, jejich obnovení a zneplatnění však musí být velmi dobře navržena, aby se zabránilo tomu, že se z ukradeného tokenu stane neomezená permanentka.
Další velmi robustní metodou, zejména pro interní sítě a VPN přístup, je ověřování na základě digitálních certifikátůMísto hesla uživatel předloží certifikát vydaný firemní certifikační autoritou a server kryptograficky ověří jeho platnost.
Tento přístup je extrémně odolný vůči mnoha běžným útokům, ale zahrnuje udržovat dobře spravovanou infrastrukturu veřejných klíčů (PKI)Vydávání, obnovení, zrušení, zásady používání, správa zařízení atd. Proto je obvykle vyhrazena pro prostředí s vysokým zabezpečením, kde se vynaložené úsilí vyplatí.
Správa relací a nulová důvěra
Jakmile je dokončen proces počátečního ověřování, téměř všechny systémy vytvoří sezení, které představuje vztah důvěry mezi uživatelem a službou. Místo vyžádání MFA při každém kliknutí – což je nepraktické – se tato relace znovu použije k autorizaci následných požadavků.
To vede mnoho útočníků k tomu, že se zaměřují na krádež nebo únos aktivních relací prostřednictvím souborů cookie, tokenů nebo podobných mechanismů, namísto pokusu o přímé obejití vícefaktorového ověřování. Proto je tak důležité doplnit MFA o osvědčené postupy správy relací.
Mezi obvyklými doporučeními najdeme propojit relace s konkrétními uživateli a zařízeními Aby se zabránilo opětovnému použití z různých zařízení, používejte přiměřené časové limity nečinnosti, vynucujte opětovné ověřování MFA v obzvláště citlivých operacích a vždy používejte šifrované kanály, jako je TLS.
Všechny tyto prvky velmi dobře zapadají do přístupu Architektura nulové důvěry (ZTA)kde se implicitní důvěra nepředpokládá pouze na základě přítomnosti „uvnitř“ podnikové sítě. Každý relevantní požadavek je vyhodnocen na základě kontextu, stavu zařízení a identity, čímž se snižuje dopad potenciálně kompromitované relace.
Praktické srovnání metod a doporučení MFA
Vzhledem k výše uvedenému je rozumné se ptát Které metody vícefaktorového ověřování jsou nejlepší? a jak vybrat správnou kombinaci pro každý případ použití, aniž by se uživatel pobláznil.
Pokud seřadíme faktory od nejslabších po nejrobustnější, můžeme je umístit na konec SMS, e-mail a bezpečnostní otázkySplňují formální požadavek „něčeho, co máte/víte“, ale jsou vysoce zranitelné vůči výměně SIM karty, přesměrování, phishingu a opětovnému použití hesla.
Na střední úrovni jsou Aplikace TOTP, jednoduché fyzické tokeny a určité biometrické metody Jsou dobře implementovány, nabízejí dobrou rovnováhu mezi zabezpečením a použitelností a jsou standardním doporučením pro ochranu většiny osobních účtů a mnoha firemních účtů.
Výše nacházíme Klíče FIDO U2F/FIDO2 a přístupové klíče odolné proti phishinguTyto metody kombinují robustní kryptografii, vazbu na doménu a ověřování spojené se zařízením. Pro účty s vysokou hodnotou – finance, systémová administrace, přístup k důležitým řídicím panelům – jsou preferovanou metodou.
Od tohoto okamžiku by se při výběru konkrétního podniku mělo zvážit Jaký typ dat chrání, jakou úroveň tření mohou jeho uživatelé tolerovat a jaký má rozpočet? k nasazení a údržbě infrastruktury. Většina organizací nakonec kombinuje několik přístupů: silnou vícefaktorovou autentizaci (MFA) pro citlivý přístup, jednotné přihlašování (SSO) pro každodenní pohodlí a přístup k založeným na službách (RBA) pro vyvážení zabezpečení a uživatelské zkušenosti.
V každém případě existují jasné body shody: Kdykoli je to možné, povolte vícefaktorovou autentizaci (MFA) a upřednostňujte metody odolné proti phishingu. Pokud to riziko ospravedlňuje, například velmi dobře chraňte vymáhání účtů. Znovu získat přístup k systému Windowsa proškolit uživatele, aby pochopili, proč jsou požádáni o tento „druhý krok“ a jak odhalit pokusy o podvod.
V prostředí, kde krádeže identity tvoří velkou část incidentů, umožňuje posílení ověřování pomocí vhodných metod drasticky snížit pravděpodobnost kompromitace účtu aniž by se obětovala rozumná uživatelská zkušenost, a stala se základním požadavkem jak pro jednotlivé uživatele, tak pro jakoukoli organizaci, která chce brát bezpečnost byť jen minimálně vážně.
