När du får åtkomst till en skyddad resurs autentiserar du dig mot ett datalager med din referensinformation. Den består av en påstådd identitet och en hemlighet som är associerad med den. Traditionellt har detta gjorts med ett enkelt användarnamn och lösenord, och det är den vanligaste autentiseringsmetoden idag. Tyvärr har det visat sig att autentisering med användarnamn/lösenord är ganska sårbart för nätfiske och hackning av inloggningsuppgifter. Eftersom lösenord kan vara svåra att komma ihåg tenderar människor att välja ett enkelt lösenord och återanvända det i sina olika online- och molntjänster. Detta innebär att när en referens hackas på en tjänst testar illvilliga utomstående den på andra personliga och professionella digitala tjänster.
Flerfaktorsautentisering (MFA) är utformad för att skydda mot dessa och andra typer av hot genom att kräva att användaren tillhandahåller två eller flera verifieringsmetoder innan de kan få tillgång till en specifik resurs som en applikation, datalagring eller ett privat nätverk.
Begreppet "faktor" beskriver de olika typer av autentisering eller metoder som används för att verifiera någons påstådda identitet. De olika metoderna är:
Säkerhets- och användbarhetskrav avgör vilken process som används för att bekräfta sökandens identitetsanspråk. Flerfaktorsautentisering gör det möjligt för säkerhetsteamen att reagera på sammanhanget eller situationen för den som begär det (person eller programprocess), där borttagning av åtkomst är det vanligaste scenariot. Utöver att bestämma hur många typer av autentisering som ska krävas måste IT också balansera kostnaden för användbarhetskraven med kostnaden för att implementera dem.
Single-Factor Authentication (SFA)
SFA har varit och är fortfarande standard för att säkra åtkomst till mobil, online och annan säkrad information och anläggningar. Eftersom det är så vanligt förekommande och billigt är den vanligaste typen av SFA användarnamn och lösenord. Ändå används lösenordslös teknik i allt större utsträckning för att undvika hot från olika nätfiskeattacker. Till exempel tillåter de flesta mobilbaserade appar användning av fingeravtryck eller ansiktsigenkänning i stället för det traditionella användarnamnet och lösenordet.
Idag erbjuder Microsofts och Yahoos onlinetjänster ett lösenordsfritt SFA-alternativ, och andra leverantörer som Apple och Google kommer att erbjuda samma alternativ under det kommande året.
Eftersom de används för att verifiera identiteter måste autentiseringstokens skyddas mot utomstående. Förutom stark token-säkerhet konfigureras de ofta så att de går ut ganska ofta, vilket ökar uppdateringsfrekvensen. Även om implementering av kortlivade tokens som används under det lösenordslösa gränssnittet höjer säkerheten, når det inte upp till den nivå som erbjuds av tvåfaktorsautentisering.
Tvåfaktorsautentisering (2FA)
2FA stärker säkerheten genom att kräva att användaren tillhandahåller en andra typ (vet, har, är) för identitetsverifiering. Det ena identitetsbeviset kan vara en fysisk token, t.ex. ett ID-kort, och det andra kan vara något som memoreras, t.ex. en utmaning/ett svar, en säkerhetskod eller ett lösenord. En andra faktor höjer ribban avsevärt för illvilliga och andra utomstående aktörer att lyckas bryta sig igenom säkerheten.
Här är en lista över populära autentiseringsmetoder:
Trefaktorsautentisering (3FA)
Lägger till ytterligare en faktor till tvåfaktorn för att göra det ännu svårare att förfalska en påstådd identitet. Ett typiskt scenario kan vara att lägga till biometri till ett befintligt användarnamn/lösenord plus en inloggning med närhetskort. Eftersom det tillför en betydande grad av friktion bör det reserveras för situationer som kräver en hög säkerhetsnivå. Banker kan hitta situationer där 3FA är meningsfullt, liksom olika statliga myndigheter. Specifika högkontrollområden inom en del av en flygplats eller ett sjukhus är också områden där säkerhetsteam har ansett att 3FA är nödvändigt.
Även om många organisationer ser användarverifiering som en eftertanke, är det viktigt att notera att Verizons årliga DBIR konsekvent visar att hackning av referenser är en toppstrategi för intrång. Det är bara en tidsfråga innan praktiskt taget alla organisationer drabbas av en händelse där de förlorar känslig information som resulterar i en påtaglig ekonomisk förlust och potentiell förlust av kundförtroende.
Det som gör dessa trender anmärkningsvärda är att det aldrig har funnits en tid då multifaktorautentisering har varit så bekvämt och prisvärt att implementera som det är idag. Traditionellt har organisationer begränsat sina MFA-implementeringar till en liten undergrupp av specialiserade användare som arbetar med information som utgör en högre risknivå för verksamheten. Kostnad och användbarhet har ofta varit de begränsande faktorerna som förhindrat en bredare användning av teknik för stark autentisering. Historiskt sett har metoder för stark autentisering varit dyra att köpa in, distribuera (inklusive att registrera användarna) och administrera. Men på senare tid har det skett en rad genomgripande förändringar i olika branscher, inom organisationerna själva, deras kunder (eller patienter, medborgare, partners etc.) och den teknik som de har tillgång till.
Vilka är de viktigaste affärsdrivkrafterna för att implementera multifaktorautentisering?
Även om varje organisation har sina egna konkreta krav finns det affärsdrivande faktorer på hög nivå som ofta är gemensamma för alla:
Vilka mandat kräver att organisationer använder MFA för att uppfylla kraven?
IT-avdelningen har tillgång till några tekniker för att minska den friktion som MFA potentiellt kan innebära för användarna:
Enkel inloggning (SSO)
Single sign-on (SSO) gör det möjligt för en användare att autentisera sig till flera resurser genom en enda interaktion från användaren, vilket innebär att användaren anger en enda autentiseringsuppgift från vilken den underliggande infrastrukturen autentiserar sig till var och en av de skyddade resurserna för användarens räkning under den sessionen. Den säkraste metoden för SSO är att autentiseringsmotorn använder en unik uppsättning autentiseringsuppgifter för varje resurs som konfigureras för SSO. Detta bygger upp säkerheten till en hög nivå eftersom:
Alternativ för autentisering med låg friktion
Även om de traditionella OTP:erna/TOTP:erna kommer att fortsätta vara den vanligaste typen av 2:a-faktorautentisering kan det finnas andra alternativ som är mer meningsfulla i en viss situation. Mobila push-appar utanför bandbredden erbjuder ett lågfriktionsalternativ till OTP eftersom allt användaren behöver göra är att trycka på acceptknappen. För situationer med högre risk har vissa push-appar alternativet Push-mobilappar kan konfigureras så att de kräver ett fingeravtryck för att verifiera personens identitet samt en bekräftelse av information, till exempel ett nummer, som presenteras på skrivbordet för att ytterligare verifiera att användaren har både skrivbordet och smarttelefonen.
Ansiktsigenkänning håller snabbt på att bli det biometriska valet för autentisering. Windows Hello har låg friktion och blir bättre med tiden, vilket ger en bekväm användarupplevelse. Den största utmaningen är att Windows Hello inte fungerar bra i olika ljussituationer. Denna oförmåga att känna igen ansikten i olika ljusförhållanden kan hanteras med ytterligare ansiktsregistreringar. På senare tid har vissa mobilappar börjat erbjuda möjligheten att registrera en persons irismönster i ögonen. När biometriska autentiseringsalternativ används tillsammans (ansikte, fingeravtryck, iris) höjs säkerhetsribban ganska högt för en utomstående. Biometriska metoder är också ett utmärkt alternativ för organisationer som letar efter ett lågfrekvent sätt att skydda sig mot nätfiskeattacker.
Röstigenkänning har blivit populärt inom sektorn för finansiella tjänster. Institutionerna gillar det eftersom det är helt passivt för kunderna när de talar med en servicerepresentant. Representanten får ett meddelande när kundens identitet har verifierats. De använder röstigenkänning i stället för utmaningsfrågor med kunder som ofta har svårt att komma ihåg de korrekta svaren på dem. I det här fallet optimeras säkerheten och användbarheten.
FIDO/FIDO2 är attraktiva alternativ där användarna rör sig mellan flera enheter. En del av det som gör FIDO till ett attraktivt autentiseringsalternativ är dess breda leverantörsstöd och deras fokus på användbarhet. FIDO har fått en anmärkningsvärd dragkraft på universitet som hanterar ett stort antal studenter som använder en mängd olika digitala tjänster. FIDO gör det möjligt att porta lösenordsfri autentisering mellan olika enheter och plattformar.
Profilering av smartphone-gester är en typ av beteendeanalys som utför heuristik om hur ägaren hanterar och fysiskt interagerar med sin enhet. Resultatet är förtroendebetyg baserade på spårning av gestmönster. Med tiden ökar profileringen i förtroende och bygger ut gesttroheten. Även om gestprofilering inledningsvis inte är tillräckligt stark för att vara den primära formen av identitetsverifiering, kan den fungera som en lämplig metod som används tillsammans med andra typer av autentisering.
Säkerhetsteam implementerar ofta den stödjande programvara som medföljde den autentisering som de använder. Detta verkar fungera bra tills olika enheter köps in som kräver en annan programvaruimplementering, vilket skapar ännu en silo. I stora organisationer är det fullt möjligt att ha flera silos av lösenordslös teknik som används för antingen multifaktorautentisering eller för att uppfylla något annat autentiseringskrav. Svagheten med den här situationen är att varje autentiseringssilo har sin egen uppsättning policyer. Att hålla dessa flera policylager uppdaterade kräver högre administrativa kostnader och medför en risk för ojämna policyer.
OpenText™ NetIQ™ Advanced Authentication är utformat för att tillgodose även den största organisationens behov av multifaktorautentisering. Det standardbaserade tillvägagångssättet ger en öppen arkitektur som är fri från riskerna med inlåsning av leverantörer. Ramverket stöder en mängd olika enheter och ytterligare metoder direkt, men kan också utökas i takt med att ny teknik kommer ut på marknaden.
Oavsett plattform (webb, mobil, klient) ger AA också stöd för de vanligaste plattformarna och applikationerna. Utöver att fungera som den centrala policymotorn för företagsövergripande autentiseringar, erbjuder AA också en riskbaserad motor för att styra när MFA aktiveras samt vilka autentiseringstyper som erbjuds under olika risknivåer. Utöver sin egen inbyggda motor kan AA integreras med NetIQ Access Manager som tillhandahåller en robust uppsättning av single sign-on-alternativ och riskmätningar som kan användas som en del av en adaptiv åtkomsthantering.
Möjliggör lösenordsfri autentisering och multifaktorautentisering för enkelt skydd i hela organisationen
Möjliggör enkel inloggning och åtkomstkontroll över mobila, molnbaserade och äldre plattformar