A jelszó kombinálása többfaktoros azonosítással, közösségi szolgáltatással való bejelentkezéssel, biometriával vagy kockázatértékelő algoritmussal hatékonyabb védelmet nyújt az ügyfelek számára, és növeli a szolgáltató reputációját.
Sokan és sokszor temették már az utóbbi években a jelszavakat. Ez a régóta használt azonosítási módszer azonban – úgy tűnik -, még jó ideig köztünk marad, de a biztonság növelése érdekében más azonosítási technológiákkal: két- és többfaktoros azonosítással, közösségi bejelentkezéssel, biometrikus azonosítással és kockázatelemzésen alapuló ellenőrzéssel kombinálják a különféle webes szolgáltatások. A csak jelszóval történő bejelentkezés ugyanis egyre nagyobb veszélyekkel jár együtt.
Jelszólopásra és -feltörésre szakosodott hackerek milliószámra szereznek meg bejelentkezési azonosítókat, amelyek segítségével könnyedén hozzáférhetnek a mit sem sejtő áldozatok bizalmas adataihoz. Szakértők szerint a jelszavak esetében a legnagyobb problémát az okozza, hogy legyenek azok bármilyen erősek, mégiscsak megosztott titokként működnek, mert a szolgáltatók is eltárolják őket. Bár a jelszavakat titkosítják, gyakran olyan elavult algoritmusokat használnak erre a célra, amelyek feltörése pofonegyszerű a legmodernebb módszereket bevető hackerek számára. Ráadásul a jobb megjegyezhetőség érdekében sokan szeretik újrafelhasználni a jelszavaikat, így ha azokat egyszer megszerzi a kiberbűnöző, az összes szolgáltatás megnyílik előtte.
Kétfaktoros azonosítás
Manapság a biztonságos azonosítás minimális követelményévé vált, hogy a jelszó mellett még legalább egy azonosításra alkalmas információt közöljenek magukról a bejelentkezők. Ilyen járulékos információ lehet például egy biztonsági kérdésre adott válasz vagy a felhasználó mobiltelefonjára sms-ben küldött megerősítő kód. A módszer nem teljesen biztonságos. Az Equifaxot érintő adatlopási incidensnél a hackerek egyes felhasználóknál némi internetes kutatást követően meg tudták válaszolni az ellenőrző kérdéseket. Az SS7 üzenetküldő protokoll sérülékenységét kihasználva pedig hozzá lehet férni a hálózati forgalomhoz, és így az sms-ben küldött megerősítő kódhoz is.
Biztonságosabb megoldás lehet egy hardveres token vagy okostelefonos token app használata, mivel ezeknél nem kell másik mechanizmust igénybe venni a megerősítő kód kiküldéséhez. A hackernek közvetlenül a tokenhez kell hozzáférnie, ha meg akarja szerezni a megerősítő kódot, ami szinte lehetetlen feladat. Ezért jelenleg a tokenek a legbiztonságosabb kódtárolók, de nem örvendenek nagy népszerűségnek, mert bonyolítják a bejelentkezést, ezért főként vállalati környezetben használatosak.
Többfaktoros azonosítás
Tovább nehezíti a hackerek dolgát, ha még több információt kell megszerezniük a felhasználói fiók feltöréséhez. Többfaktoros azonosításkor az azonosító-jelszó páros mellett további információt kell megadniuk a szolgáltatásba bejelentkezni kívánó felhasználóknak (lásd lentebb). Az azonosításnak ez a módszere sokszor többlépcsős folyamat, ami azt jelenti, hogy a kiegészítő információkat akkor kéri a szolgáltató, ha a rendszer a szokásostól eltérő körülményeket észlel. Például ha valaki a bankszámlájáról nagyobb összeg külföldre utalását kezdeményezi, a banki rendszer gyanút fog, és további azonosítási kérdéseket tesz fel a csalás elkerülése érdekében.
Szakértők szerint a módszer nem nyújt százszázalékos biztonságot, de a támadások túlnyomó többségét blokkolja. Egy, a többfaktoros azonosítást nyújtó biztonsági szolgáltatótól származó információ szerint egy háromnegyed éves időszakban az azonosítási esetek 88 százaléka egyfaktoros eljárás volt, vagyis a hitelesnek ítélt bejelentkezéseknél nem terhelték feleslegesen az ügyfeleket további információkérésekkel.
Biztonsági szakemberek zömmel a többfaktoros azonosítás elterjesztését szorgalmazzák, amelynek legmegbízhatóbb megvalósításainál a bejelentkezni kívánó felhasználótól olyan információkat kérnek, amelyeket ismer (jelszó, biztonsági kérdésre adott válasz), olyan eszközök meglétét kell bizonyítania, amelyeket birtokol (okostelefon, token), továbbá vizsgálják a felhasználó tartózkodási helyét, valamint ellenőrzik személyes jellemzőit (biometrikus adatok, viselkedés).
Közösségi bejelentkezés
Ennek a megoldásnak a létjogosultságát az adja, hogy a nagy közösségi és internetes szolgáltatók (Google, Facebook, Twitter stb.) sokkal megbízhatóbban őrködnek felhasználóik jelszava és azonosítója felett, mint más webhely-üzemeltetők. Kínálnak továbbá kétfaktoros azonosítást is, és viselkedéselemzéssel igyekeznek kiszűrni a jogosulatlan bejelentkezési kísérleteket. A közösségi azonosítást általában a szokásos azonosítós-jelszavas hitelesítés alternatívájaként kínáló weboldalak és mobilalkalmazások lehetővé teszik, hogy a felhasználók valamelyik közösségi fiókjukkal regisztráljanak és jelentkezzenek be. Így nem kell újabb jelszavakat és azonosítókat megjegyezniük.
E módszer kockázata, hogy amennyiben valakinek mégis feltörik a közösségi fiókját, a hackerek minden olyan weboldalhoz hozzá fognak férni, ahol a felhasználó ezt a fiókot használta bejelentkezéshez. A közösségi fiókok feltörésének veszélye ugyanakkor jelentősen csökkenthető, ha kétfaktoros azonosításra térnek át a felhasználók, ezt azonban egyelőre nagyon kevesen veszik igénybe, mivel bonyolítja a bejelentkezést a közösségi szolgáltatásokba. Aggályos lehet továbbá, hogy a már így is túlontúl sok személyes adatot birtokló közösségi oldalak szolgáltatói információhoz jutnak arról, felhasználóik még milyen egyéb weboldalakat látogatnak.
Biometrikus azonosítás
Ez a módszer az egyedi fizikai jellemzőket – arc, írisz, véna, ujjlenyomat stb. – használja azonosításra. Előnyei között szokták megemlíteni, hogy kényelmesen használható: a bejelentkezéshez elég a képernyőre bámulni vagy az ujjunkat az
érzékelőre nyomni, jelszavakat pedig nem kell megjegyezni. Hátránya, hogy messze van a tökéletes biztonságtól: az arcfelismerést például háromdimenziós modellel be lehet csapni. Ráadásul a digitális profilként eltárolt, összehasonlításra használt biometrikus adatok ellophatók, és ellentétben a jelszavakkal, amelyeket meg lehet változtatni, a biometrikus jellemzők állandóak, erre tehát nincs mód.
Márpedig egyes hitelesítési szolgáltatók milliószámra tárolnak biometrikus adatokat, amelyek illetéktelen kezekbe kerülése komoly kockázatokat jelent, és az érintettek többé már nem tudják ellopott biometrikus jellemzőiket hiteles azonosításra használni. Biztonsági szakértők ezért azt tanácsolják a szervezeteknek, hogy – tanulva a rengeteg bejelentkezési adat ellopásával járó hackertámadásokból – ne egyetlen adatbázisban tárolják a biometrikus információkat.
Kockázatalapú azonosítás
A jelszavas, a biometrikus és a többfaktoros azonosításoknál a felhasználóra hárul személyének hitelt érdemlő azonosítása. A kockázatalapú azonosításnál a szolgáltatók növelik a biztonságot azáltal, hogy a körülmények átfogó elemzésével képesek kiszűrni akár a valódi (ellopott) bejelentkezési adatokkal próbálkozó jogosulatlan próbálkozásokat is. Szoftverrel elemzik a felhasználó gépelési módját és az egérrel végzett képernyős műveleteit, figyelik az IP-címét, illetve a tartózkodási helyét, és gépi tanulás segítségével létrehozzák az illető profilját. Ezt minden bejelentkezésnél összehasonlítják a viselkedésével, és ha eltérést tapasztalnak, megakadályozzák a fiók használatát, és további információkat kérnek a felhasználó hitelesítéséhez.
Sajnos a kockázatalapú azonosítás sem nyújt teljes biztonságot. Így például változhatnak a felhasználó gépelési szokásai akkor, ha megsérül a keze, ezért szakértők szerint a módszert más technológiákkal együtt érdemes használni. Annál is inkább, mert egy mindenre elszánt hacker képes lehet egy ember digitális viselkedési profiljának utánzására vagy megváltoztatására is, bár ez egyáltalán nem egyszerű feladat.
Mészáros Csaba