Многофакторная аутентификация для бизнеса

Согласно отчёту об исследовании утечек данных от Verizon Threat Research Advisory Center,
80% инцидентов случается из-за слабых паролей, которые легко взломать. Для этого злоумышленники используют автоматизированные системы или целый ряд других способов, обеспечивающих доступ. По стандартам информационной безопасности слабые пароли недопустимы. Однако сложные пользователям практически невозможно удержать в памяти. Сотрудники записывают и хранят их на бумаге, что повышает риск утечки.

Это говорит о том, что аутентификация посредством паролей медленно, но уверенно уходит в прошлое. Применяя такой подход для доступа к своим цифровым активам, организация ставит под угрозу конфиденциальные данные. Оптимальный вариант – введение многофакторной аутентификации (англ. “MFA”). Она минимизирует вероятность доступов со стороны третьих лиц и количество успешных кибератак.

Что такое многофакторная аутентификация?

Много- или мультифакторная аутентификация представляет собой расширенную процедуру проверки подлинности пользователя. Она является методом контроля доступа к компьютеру или целой системе, требующим предъявления более чем одного фактора аутентификации. В зависимости от особенностей системы это может быть:

• Фактор знания – тайная информация, известная только авторизованному пользователю (к примеру, пароль, PIN-код, контрольное слово). Раскрывая её, пользователь подтверждает свою личность. Такой механизм реализовать достаточно просто, однако он имеет серьёзные недостатки. Данный метод безопасен лишь до того момента, пока кто-то другой не узнает тайную информацию, не взломает PIN-код путём перебора всех возможных комбинаций четырёхзначных чисел.
• Фактор владения – уникальный предмет, которым обладает только авторизованный пользователь. В зависимости от ситуации это может быть смартфон, токен, файл данных с определённой характеристикой, которая содержится в смарткарте. Для цифровых активов это может быть адрес электронной почты или приложение-аутентификатор, на которые приходит секретный код. Заполучить их злоумышленнику очень непросто: в случае кражи физического объекта владелец имеет возможность сразу же поднять тревогу.
• Фактор свойства – нечто неповторимое, которое является частью авторизованного пользователя, то есть его биометрия. Это может быть отпечаток ладони или пальца, уникальность сетчатки глаза, особенности голоса или строение лица. Для самого субъекта данный метод очень прост, поскольку не требует запоминания кодов и паролей или хранения каких-то предметов.

Законодательное регулирование стандартов аутентификации

Стандарты аутентификации регулируются на законодательном уровне государственным стандартом Российской Федерации ИСО/МЭК 9594-8-98. В нём предусмотрено следующее:

• определение формата аутентификации;
• описание способа получения этой информации;
• определение трёх способов, посредством которых прикладные программы могут использовать информацию аутентификации для её выполнения;
• описание того, каким образом при помощи аутентификации можно обеспечить другие сервисы защиты.

В 2014 году специалисты ФСТЭК утвердили методику по защите информации в государственных информационных системах. В ней была прописана рекомендация отказаться от стандартной аутентификации с применением постоянных паролей для всех пользователей и перейти к надёжной многофакторной процедуре с применением аппаратных средств и механизма одноразовых паролей как при локальном, так и при удалённом доступе.

Как работает многофакторная аутентификация?

Суть мультифакторной аутентификации – запрос у пользователя нескольких форм, удостоверяющих его личность в процессе регистрации учётной записи. Сохраняя информацию и идентификатор, система проверяет с их помощью пользователя при следующем входе. Аутентификация происходит в несколько этапов, во время которых проверяются пароль и другие сведения. Этапы процесса многофакторной аутентификации заключаются в следующем:

1. Регистрация – создание учётной записи с именем и паролем. Привязывание к ней адреса электронной почты или номера смартфона для уникальной идентификации.
2. Аутентификация – указание имени и пароля (фактор знания), а также кода аутентификации со смартфона или электронной почты (фактор владения).
3. Реакция – завершение процесса путём проверки других элементов (в частности – введения полученного на смартфон или электронную почту кода).

Реализация процесса аутентификации может быть разной, к примеру:

• запрос пароля и идентификатора системой;
• запрос пароля сторонним приложением (аутентификатором) и его подтверждение;
• верификация посредством биометрических данных (сканирование сетчатки, отпечатка пальца).

Бывает и так, что система запрашивает сразу несколько аутентификаций лишь при первом запросе с нового устройства. После этого она его запомнит и будет запрашивать исключительно пароль.

Почему вырос спрос на MFA для бизнеса?

Многофакторная аутентификация минимизирует риски нелегитимных доступов в информационные системы компаний, исключая кражи конфиденциальных данных и целый ряд других негативных последствий. Использование второго идентификатора для проверки личности пользователя затрудняет доступ хакеров к корпоративным системам, и следовательно – вносит свой вклад в создание дополнительных уровней защиты.

Наиболее уязвимыми к атакам хакеров являются учётные записи сотрудников организаций. Стандартной аутентификации здесь уже недостаточно. Даже строгие требования к используемым для пароля символам и его длине не помогут, поскольку самого его могут перехватить внедрив вредоносное ПО на компьютер. Пароль может быть скомпрометирован при фишинге или за счёт психологического воздействия на пользователя с целью заполучить его путём обмана. Ещё один риск – халатность специалистов департамента безопасности, которые не удаляют из базы логины и пароли уволенных сотрудников.

Заполучив один пароль, злоумышленник может получить доступ сразу к нескольким учётным записям пользователя при условии, что он был использован и для верификации в них. Таким образом, многофакторная аутентификация работает как вспомогательный уровень безопасности, исключающий доступ третьих лиц к учётным записям, даже если пароль был похищен или получен обманом.

Уже сегодня MFA применяют во многих отечественных компаниях, ведущих свою деятельность в финансовой сфере, где есть необходимость создания сервисов обмена файлами или интернет-банкинга. Хорошим примером может стать процедура двухфакторной аутентификации пользователей, реализованная многими банками. Согласно ей, для входа в персональный кабинет пользователя через интернет нужно ввести пароль на странице, а потом – ещё и одноразовый код, который придёт на смартфон.

Сильные и слабые стороны многофакторной аутентификации

Важно понимать, что не существует такого уровня информационной безопасности, который можно было бы назвать стопроцентным. Риски, пускай и минимальные, всегда существуют – и стоит их учитывать, что и происходит при задействовании сразу нескольких современных решений при многофакторной аутентификации. Она позволяет достичь самого высокого уровня безопасности из доступных сегодня.

Одно из её преимуществ – способность обеспечить защиту информации от угроз как внутри (инсайдерские угрозы), так и снаружи (внешние атаки). Что касается недостатков, то это – необходимость задействовать вспомогательные программно-аппаратные комплексы, устройства для хранения и считывания данных, а также:

• потеря или кража аппаратных токенов;
• необходимость использования смартфона для получения кода аутентификации;
• неточность биометрии или завершение процесса аутентификации ошибкой;
• риск потери или кражи смартфона;
• необходимость модернизировать методы аутентификации.

Многофакторная аутентификация сводит к минимуму риски, связанные с человеческим фактором или утерянными устройствами и паролями. Другие её преимущества заключаются в следующем:

• невозможность повторно использовать одноразовые сгенерированные пароли, которые приходят на смартфоны или адреса электронной почты;
• гарантия безопасного осуществления сотрудниками взаимодействия в режиме «онлайн», а также транзакций;
• возможности, которые даёт ограничение доступа пользователей по времени суток или их географическому местопребыванию;
• повышение эффективности реагирования системы безопасности за счёт отправки предупреждений при подозрительных попытках входа в систему.

Последнее позволяет предприятиям оперативно реагировать на кибератаки и сводить потенциальный ущерб к минимуму. Таким образом, использование программ аутентификации минимизирует риски кражи информации, упрощает вход в систему и сокращает эксплуатационные расходы.

Критерии выбора IAM-решений для 2FA или MFA

От правильности решений при выборе IAM (систем управления доступом) для 2FA или MFA зависит многое. Это связано с разнообразием задач, которые они способны решать, и различию подходов в самих решениях. По этой причине оптимально в первую очередь определиться с перечнем задач, ведь он достаточно разнообразен – к примеру:

• аутентификация для API (программные интерфейсы приложений) и M2M;
• обеспечение защиты корпоративных систем в интернете посредством технологии единого входа “Single Sign-On”;
• обеспечение должного уровня защиты унаследованных информационных систем организации при помощи технологии “Single Sign-On”;
• прозрачная аутентификация при переходах между приложениями посредством технологии “Single Sign-On”;
• унификация аутентификации в разных типах корпоративных приложений посредством таких технологий, как “Single Sign-On” и “Reverse Proxy”;
• двухфакторная аутентификация для ПК и серверов, работающих на операционных системах “Windows” и “Linux”;
• обеспечение кросс-доступа к приложениям для холдингов с поддержкой мультидоменности.

Каждая из вышеперечисленных задач предусматривает использование целого ряда технологий. Поскольку IAM-решения нуждаются в серьёзной интеграции с другими системами, которые применяются на предприятии, одним из ключевых критериев их выбора будет их комплекс.

Необходимость интеграции решений мультифакторной системы аутентификации определяет ещё один критерий: доступность поэтапного ввода в эксплуатацию по департаментам и подключаемым системам. Таким образом, внедрение будет доступным уже на первом этапе эксплуатации такой инфраструктуры и станет залогом планомерности всего процесса. Особенно это актуально при импортозамещении, которое проводится сегодня во многих компаниях. Важную роль играют простота и скорость подключения вспомогательных информационных систем без остановки работы действующих.

Если вы хотите быть уверены в том, что IAM-решений для 2FA или MFA в вашей компании будет правильным, передайте их на аутсорсинг специалистам компании «Онланта». Они изучат особенности вашего направления деятельности, требования к информационной безопасности и предложат оптимальные решения, а также помогут с их внедрением и эксплуатацией.