Parolele sunt W0r$T! — Este timpul să adoptăm autentificarea fără parolă

Toată lumea știe că parolele sunt în mod inerent vulnerabile la amenințările de securitate cibernetică. De aceea, sunteți îndemnat în mod constant să utilizați autentificarea multifactor (MFA), care până de curând însemna adăugarea unui nivel sau mai mult de protecție la parolele dvs. Dar, în ultimii ani, diversitatea și disponibilitatea în creștere a metodelor alternative de autentificare au făcut ca dvs., ca lider de afaceri, să puteți începe implementarea MFA fără parole.

Sondajul nostru recent de autentificare fără parolă din 2022 a constatat că 82% dintre liderii de afaceri sunt pregătiți să adopte metode fără parolă. Așa că haideți să vorbim despre modul în care afacerea dvs. poate începe să-și sporească securitatea renunțând la parole, chiar dacă este doar o parte dintre ele.

Parolele provoacă frecări pentru utilizatori, ceea ce duce la o securitate și mai slabă

Pentru ca o parolă să valorize orice, trebuie să fie puternică. În 2022, asta înseamnă cel puțin douăsprezece caractere, inclusiv un amestec de numere, caractere speciale și litere mari și mici. Și asigurați-vă că utilizați o parolă unică pentru fiecare cont. Ah, și ar trebui să le schimbi în mod regulat. Dacă uitați o parolă, treceți printr-un proces complicat pentru a crea una nouă sau stați în așteptare cu biroul de asistență.

Cu alte cuvinte, parolele oferă o experiență slabă pentru utilizator, motiv pentru care majoritatea utilizatorilor nu se deranjează să urmeze protocoalele de bază pentru parole.

Un alarmant 77% dintre respondenții noștri folosesc aceeași parolă pentru mai multe conturi cel puțin o parte din timp - aproape jumătate (46%) din acest procent recunosc că reutiliza parolele des . Aceasta este o problemă serioasă, deoarece reutilizarea parolei este un factor principal al atacurilor de preluare a contului și al încălcării datelor. Când sunt întrebați cum își amintesc parolele, 26% le notează pe hârtie, 25% le stochează într-un document online și 21% folosesc informații personale semnificative.

Parolele oferă o securitate relativ slabă în cele mai bune circumstanțe, dar, după cum arată cercetările noastre, mulți utilizatori se lasă (și compania lor) aproape fără apărare. Acest lucru face compania dumneavoastră vulnerabilă la scheme de phishing, keylogger, atacuri cu forță brută și orice număr de alte tactici pe care infractorii cibernetici le folosesc pentru a învinge parolele.

Deci, ce este exact autentificarea fără parolă?

Este exact ceea ce sună – autentificare fără utilizarea parolelor. Dar nu este atât de simplu. Nu puteți suna pe cineva și spune „Aș dori să comand o autentificare fără parolă”. Nu vă gândiți la fără parolă ca la o destinație - gândiți-vă la aceasta ca la un obiectiv, iar orice progres pe care îl faceți în direcția obiectivului dvs. de a scăpa de parole vă face compania mai sigură.

Înainte de a merge mai departe, haideți să dezvăluim alternativele și ce cred oamenii despre ele. Există trei tipuri fundamentale de autentificare:

Astăzi, mai mult de două din cinci persoane (43%) încă preferă să folosească ceva pe care îl cunosc – acest lucru nu este surprinzător, deoarece utilizarea parolelor, a codurilor PIN și a întrebărilor de securitate au fost cele mai comune metode de autentificare timp de decenii. Ceea ce ar putea fi surprinzător este că mai mult de unul din trei (38%) preferă să folosească ceva ce sunt, cunoscut și sub numele de autentificare biometrică. Pentru a completa rezultatele noastre, aproximativ unul din cinci (19%) preferă să folosească ceva ce are.

Luați în considerare aceste preferințe în timp ce cercetăm alternativele de parole și opțiunile care ar putea funcționa cel mai bine pentru angajații companiei dvs.

Îmbunătățiți securitatea adoptând autentificarea fără parolă

Dacă autentificarea fără parolă poate îmbunătăți securitatea, ați fi dispus să faceți schimbarea? Am pus această întrebare pentru 389 de lideri de afaceri, iar 82% au spus da. Și în timp ce autentificarea fără parolă poate fi efectuată ca un singur factor (de exemplu, folosiți amprenta pentru a vă debloca telefonul), companiile trebuie să folosească MFA pentru a proteja accesul la sistemele critice și la datele sensibile.

Din fericire, aproape toți liderii de afaceri (95%) spun că compania lor utilizează MFA pentru cel puțin unele aplicații de afaceri — 55% spun că îl folosesc pentru toate aplicațiile. Aceste cifre au crescut constant de-a lungul anilor în care am pus această întrebare. Unul dintre motive este că MFA nu este doar cea mai bună practică, ci este din ce în ce mai solicitat. Mai mult de jumătate (56%) dintre liderii de afaceri intervievați spun că compania lor este obligată să utilizeze MFA prin reglementări (de exemplu, HIPAA, PCI DSS, SOX), iar 17% trebuie să facă acest lucru printr-o poliță de asigurare cibernetică.

Având toate acestea în minte, să aruncăm o privire la modul în care funcționează MFA fără parolă.

Activați MFA fără parolă cu jetoane de autentificare

Un jeton de autentificare este un dispozitiv hardware (sau obiect de date) care este conectat cu identitatea unei persoane pentru a permite accesul la activele digitale. Jetonul, de obicei un smartphone sau cheie hardware USB, se presupune a fi în posesia personală a identității la care este legat.

Phone-as-a-token există de mulți ani și cuprinde out-of-band (OOB), o parolă unică (OTP) și din ce în ce mai mult, autentificare cu coduri QR. Recent, jetoanele cu cheie publică au câștigat teren și ar putea foarte bine să fie viitorul autentificării bazate pe jetoane. Să aruncăm o privire la modul în care sunt utilizate aceste tipuri diferite de jetoane.

Autentificare în afara benzii (OOB).

Unele metode OOB vă trimit un cod pe e-mail sau pur și simplu trimit un „link magic” pe care îl puteți face clic pentru a obține acces instantaneu la serviciu. Este demn de remarcat faptul că utilizarea e-mailurilor și a linkurilor magice într-o schemă fără parolă este discutabilă, deoarece majoritatea oamenilor folosesc o parolă pentru a accesa contul de e-mail de la care primesc parola sau linkul unic.

Autentificarea OOB este concepută pentru a utiliza două canale diferite pentru autentificare, cum ar fi o conexiune la internet și o rețea fără fir. Un exemplu comun de autentificare OOB este atunci când primiți un mesaj SMS sau un apel vocal automat pe telefon cu un cod pe care apoi îl introduceți pe un site web. Alte metode includ notificări push care sunt mai sigure decât mesajele SMS.

Autentificare cu parolă unică (OTP).

Autentificarea OTP se realizează în general folosind o aplicație de autentificare pe un telefon mobil (deși există dispozitive OTP hardware) pentru a genera un cod temporar, care este apoi introdus pentru a obține acces la un activ digital.

Coduri de răspuns rapid (QR).

Codurile QR sunt peste tot, de la restaurante la reclame la Super Bowl și, din ce în ce mai mult, sunt folosite în scopuri de securitate. Folosind un smartphone pentru a scana un cod QR afișat în panoul de conectare al unui site web, puteți fi autentificat. Desigur, dezavantajul este că codurile QR nu pot fi folosite pentru a obține acces la un site de pe telefonul însuși.

Jetoane cu cheie publică

Tokenurile cu cheie publică se autentifică folosind criptografia asimetrică (adică o pereche de chei publice și private) și folosesc adesea un certificat X.509. Tokenurile cu cheie publică pot fi bazate pe software sau hardware, inclusiv chei hardware USB, carduri inteligente și smartphone-uri și dispozitive portabile cu Bluetooth sau NFC.

Poate viitorul autentificării fără parolă, Fast Identity Online (FIDO) este un set de protocoale care încorporează token-uri cu cheie publică și este special conceput pentru a reduce dependența de parole. Autentificarea FIDO folosește doi pași, unul pentru a debloca autentificatorul și următorul pentru a genera cheile criptografice necesare pentru autentificare cu un serviciu online.

Factorul folosit în primul pas, pentru a debloca pe dispozitivul local, poate fi selectat din orice opțiune disponibilă, cum ar fi o amprentă, introducerea unui PIN sau introducerea unui dispozitiv hardware dedicat (de exemplu, YubiKey). După deblocarea autentificatorului FIDO, dispozitivul furnizează cheia privată corectă care corespunde cu cheia publică a furnizorului de servicii. Informațiile furnizate în primul pas rămân private, fără a părăsi niciodată dispozitivul utilizatorului.

Autentificarea cu ceva ce știi (dar nu cu o parolă!), ceva ce ești și orice altceva

Autentificarea fără parolă poate folosi ceva ce știți, atâta timp cât nu este o parolă. Cea mai comună alternativă este un PIN. Și deși un PIN poate părea similar cu o parolă, este destul de diferit. Codurile PIN sunt de obicei folosite pentru a debloca un dispozitiv local, cum ar fi un card de debit. Fără PIN, cardul tău bancar este inutil. În schimb, parolele sunt asociate cu informațiile stocate într-o bază de date centrală și sunt vulnerabile în sine.

Alte metode comune în acest domeniu includ recunoașterea imaginilor și a modelelor. În timpul înregistrării, unele servicii vă vor solicita să selectați o imagine. Apoi, când vă autentificați, vă selectați imaginea dintre mai multe opțiuni. În mod similar, autentificarea cu recunoaștere a modelelor necesită să vă amintiți punctele preselectate pe o imagine sau pe o grilă.

Autentificarea biometrică devine mai acceptată

Autentificarea biometrică utilizează caracteristici fizice unice, cum ar fi fața sau amprenta, pentru a vă autentifica identitatea. Tehnologia biometrică devine curentă, mai ales atunci când este utilizată în scopuri de securitate. Sondajul nostru arată că 76% dintre consumatori se simt confortabil să folosească recunoașterea facială pentru a-și accesa computerul sau telefonul. Poate mai surprinzător, 64% se simt confortabil să-l folosească pentru a se conecta la un cont online.

Autentificarea biometrică se integrează rapid cu metodele de telefon ca simbol. Telefoanele inteligente au microfoane, camere și scanere de amprente, toate putând fi folosite pentru a accepta o serie de moduri de autentificare biometrică care confirmă simultan posesia dispozitivului.

Autentificarea contextuală oferă flexibilitate utilizatorilor fără parolă

Pe lângă confirmarea activă a identității dvs., metodele de autentificare contextuală detectează pasiv riscul folosind factori precum locația, activitatea și identificatorii dispozitivului. Cunoscut și ca autentificare bazată pe semnale, acest proces poate permite scenariul final fără parolă, cunoscut sub numele de autentificare cu factor zero (0FA), prin care utilizatorului i se acordă acces dacă nu sunt prezente semnale de risc. Dacă sistemul nu este sigur, utilizatorului i se solicită pur și simplu o măsură de autentificare, cum ar fi un PIN sau o trăsătură biometrică.

Modelele avansate, cum ar fi încrederea adaptivă continuă (CAT) utilizează învățarea automată pentru a analiza seturi și mai bogate de variabile despre utilizator pentru a determina riscul, cum ar fi măsurarea presiunii apăsării tastei sau recunoașterea mișcării specifice a utilizatorului atunci când merge cu un dispozitiv.

Trei pași pe care îi puteți face pentru a implementa autentificarea fără parolă

După cum am menționat, fără parolă este o aspirație (cel puțin deocamdată), iar fiecare pas pe care îl faceți în acest sens vă îmbunătățește poziția generală de securitate. În acest spirit, să aruncăm o privire la trei pași pe care îi puteți face pentru a începe să reduceți numărul de parole la compania dumneavoastră.

Obțineți acceptarea de la părțile interesate cheie explicând exact modul în care îndepărtarea parolelor le va aduce beneficii echipelor și le va ușura munca. Determinați prioritățile pentru îmbunătățirea securității, aflați cum ar putea fi afectate fluxurile de lucru și identificați preferințele pentru noi metode de autentificare.

Faceți un bilanț și exploatați opțiunile fără parolă pe care le aveți deja la dispoziție. De exemplu, dacă afacerea dvs. folosește deja Windows 10, puteți utiliza Windows Hello for Business, care combină o metodă de autentificare locală, cum ar fi autentificarea biometrică sau bazată pe dispozitiv.

Pune următoarele întrebări:

• Ce opțiuni fără parolă avem deja disponibile?
• Putem modifica fluxurile de autentificare curente pentru a evita parolele?
• Aceste modificări vor reduce în cele din urmă frecarea pentru utilizatori?

Pentru a vă pregăti compania pentru adoptarea universală a autentificării fără parolă, este important să vă simplificați calea de migrare în timp, schimbând investițiile actuale și viitoare acolo unde este posibil. Atunci când achiziționați software nou, luați în considerare disponibilitatea opțiunilor de autentificare care folosesc datele biometrice, telefonul ca simbol și protocoalele emergente, cum ar fi FIDO2.

Încrederea noastră pe parole va trece în curând

În cele din urmă, vom ajunge la un viitor în care nu va trebui să vă amintiți o parolă, serverele nu trebuie să le stocheze și hackerii nu le pot exploata. Aceasta este o lume digitală mult mai sigură decât cea în care trăim astăzi. Dar se va întâmpla încetul cu încetul și va necesita noi moduri de a gândi despre securitate, cum ar fi dovezi cu cunoștințe zero și modele de securitate cu încredere zero (ambele în care vom explora în timpul viitoarelor rapoarte de cercetare).

Tendința este să se îndepărteze de parole și să se îndrepte către forme de autentificare mai personale, contextuale și fără fricțiuni.

Metodologie

Capterra a efectuat Sondajul de autentificare fără parolă 2022 în ianuarie 2022 în rândul a 974 de consumatori, inclusiv 389 de lideri de afaceri care au raportat responsabilități de management sau mai mari pentru a afla despre atitudinile față de diferite metode de autentificare și despre utilizarea acestora de către companiile din SUA.