A technológiai óriások a jelszómentes azonosítás mellett tették le voksukat, hiszen ez jelentősen növelheti a vállalat biztonsági szintjét. Remények szerint az egész IT-ipar követi majd a nagyok példáját, amivel számos kiskapu bezáródik a kiberbűnözők előtt.
n Még általánosabb lesz a nyilvános kulcsú titkosítás
| A tíz leggyakrabban használt jelszó
1. 123456 Forrás: SplashData, 2022. január |
Idén május 5-én, a jelszó világnapján jelentette be együttműködését a három technológiai óriás, az Apple, Google és a Microsoft. Nem, nem valamilyen versenytorzító megállapodásról volt szó, hanem arról, hogy egy év leforgása alatt minden platformjukon megvalósítják a jelszó nélküli bejelentkezést. Ez azt jelenti, hogy hamarosan az Android és az iOS operációs rendszerekbe és a Windows világba is jelszó begépelése nélkül léphetünk be.
A jelszó nélküli bejelentkezés nem azt jelenti, hogy nem lesz jelszó, hanem azt, hogy azt helyettünk a szolgáltató tárolja valahol, biztonságosan. Ennél a megoldásnál például a mobiltelefon lehet a fő hitelesítési eszköz. A telefon feloldásához a felhasználó az általa preferált azonosítást használja, lehet az például egy minta, PIN-kód vagy ujjnyomat. Ez viszont már elég ahhoz, hogy a különféle webes szolgáltatásokba is belépjünk. Ezt a nyilvános kulcsú titkosítást alkalmazó FIDO szabvány teszi lehetővé, amely révén a telefon és a weboldal megoszthat egy titkosító tokent (passkey-t), de csak akkor, amikor a telefont feloldották.
Ha nincs jelszó, nincs betörés
Ha nincs jelszó, amely kiszivárog (ellopják, kicsalják vagy egy cetlire leírva, más is megtudhatja), akkor biztonságosabbá válik az azonosítás és bejelentkezés. A felhasználók jelszó híján arra sem éreznek késztetést, hogy minden szolgáltatásnál ugyanazt használják. Így értelmüket vesztik az adathalász-támadások is, hiszen a kolléga nem fogja tudni azt a bizonyos jelszót, amelyet a hamis weboldalakon ki akarnak tőle csalni. Nyilván, ha a mobiltelefonhoz hozzáférnek a támadók, és tudják PIN-kódunkat, mintázatunkat, vagy ellopták ujjlenyomatunkat, akkor ők is beléphetnek, de ezek „fizikai hozzáférést” igényelnek, ami nagyságrenddel nehezebb, mint távolról, megtévesztéssel megszerezni az azonosítót. Azért be kell látni, ez eléggé sok bűnözőt tart vissza attól, hogy megpróbáljon bejutni egy hálózatba.
A jelszó nélküli világot az Apple szokásos éves rendezvényén, a WWDC 2022-en mutatta be. A Microsoft felhasználói egy részének már tavaly ősz óta lehetővé tette, hogy például az Autheticator appot használva lépjenek be felhasználói fiókjukba. A Google is elkezdett már kísérletezni a megoldással tavaly ősszel.
Költséges a régi szokások felszámolása
A helyzetet úgy lehet orvosolni, ha az autentikációs eljárás méregfogát kihúzzuk, vagyis a jelszót megszüntetjük. Azonosításra viszont ezután is szükség lesz. A nagy technológiai cégek a mobiltelefont látják az erre alkalmas eszköznek – az összes ismert hátrányával. Hiszen a telefon lemerülhet, ellophatják, vagy néha cserélni kell, és ilyenkor probléma adódhat az azonosítással.
Maximálisan egyetért a jelszavak mellőzésével Virág Csaba, a Talgen kiberbiztonsági szakértője. „Az a cél ezzel, hogy az autentikáció menedzselése a leggyengébb láncszemről, a felhasználó válláról, a backend-megoldásokra kerüljön át. Jelszó nélkül a felhasználó úgy tudja ezeket a rendszereket használni, hogy nem várunk el tőle extra erőfeszítést”, mondja a szakértő.
Azzal, hogy a jelszót, ezt a rossz azonosítási megoldást a technológiai ipar folyamatosan életben tartja, arra kényszeríti a felhasználót, hogy alkalmazkodjon hozzá – rossz, kitalálható szokásokkal. A jelszavakat kezelő rendszerek sincsenek a helyzet magaslatán, hiszen gyakran sima szövegként tárolják a jelszavakat, vagy csak gyenge, könnyen feltörhető titkosítással védik. Nagyon kevesen vállalják fel annak a költségét, hogy ezt az évtizedek óta létező technológiai hagyatékot felszámolják. „Szerencsére a technológiai óriások felismerték ezt, és mernek változtatni. Példájuk várhatóan ragadós lesz”, tette hozzá.
A szakember szerint a jelszavak elhagyása növelheti egy vállalat biztonsági szintjét. A biztonság mindig a kényelem, az implementálhatóság és a felhasználhatóság háromszögében valósul meg. Egy ujjlenyomattal mindig egyszerűbb azonosítani magunkat. „Minden, ami egyszerűsíti az emberek életét, a biztonságot is növeli, ha mindezt vállalati oldalról a megfelelő backend-módszerekkel támasztják alá”, fejezte be Virág Csaba.
Hadd dolgozhasson biztonságban a kolléga
Polereczki Andrea, az M-RTL Televízió Zrt. (RTL Magyarország) kiberbiztonsági szakértője nagy híve a jelszómentes azonosítási megoldásoknak. „Rengeteg alkalmazás és szolgáltatás kér jelszót tőlünk, több százra is rúghat egy egyéni felhasználó által használt jelszavak száma. Ezeket megjegyezni képtelenség, ezért találtuk ki a jelszómenedzsereket, a böngészőben tárolt jelszavakat, de ezeknek a megoldásoknak is hamar kibújtak a sérülékeny pontjai”, mondja a szakember.
A mostantól terjedő jelszómentes azonosítás a közhiedelemmel ellentétben nem azt jelenti, hogy nincsenek jelszavaink, hanem azt, hogy a felhasználók nem tudják azokat, így nem is kerülhetnek ki tőlük, ami csökkenti a „humán faktor” sérülékenységet, a felhasználó munkavégzése sokkal biztonságosabbá válik. A nyilvános kulcsú titkosítás ugyanis matematikailag biztonságos.
A kiberbiztonsági kockázatokat mindig mérlegelni kell, a legfontosabb szempont, hogy a rendszereket csak az arra jogosult használhassa és csak arra, amire felhatalmazása van. Ezek a megoldások biztosítják mindezt, viszont egy bevezetés csak akkor lehet sikeres, ha a felhasználói élmény is javul, és a jelszót háttérbe szorító azonosítási megoldások megadják ezt.
„Miért is félünk a jelszavaktól?” tette fel a kérdést Polereczki Andrea. „Mert gyakorlatilag kétfajta jelszó létezik: amit a felhasználó meg tud jegyezni, de nem elég komplex, ezért nem biztonságos. A másik, amely bonyolult, ezért biztonságos, de a felhasználó képtelen megjegyezni. Ezért kell a felhasználókat olyan megoldással segíteni, amely az autentikációt és autorizációt egyaránt segíti.” A munkáltató biztonságban szeretné tudni saját rendszerét, a felhasználó pedig egyszerűen és könnyedén be szeretne lépni a rendszerekbe, hogy dolgozhasson.
„Ezért jó egy olyan megoldás, mely például egy RFID-s kártyára/olvasóra alapozva, automatizált folyamat segítségével a jelszó megadásának szüksége nélkül viszi végig a felhasználót a szükséges alkalmazásokon, az on-premise és a felhős környezet között, beleértve akár az irodabeléptetést is. Ezzel tudjuk támogatni a szervezetet, hogy a kolléga dolgozhasson, a szervezet pedig biztonságban legyen”, fejezte be Polereczki Andrea.
