V raccoons vysvětlujeme, jaký je rozdíl mezi identifikací a autorizací a proč je potřeba autentizace, zejména dvoufaktorová.
Stává se to každému z nás, každý den: jsme neustále identifikováni, ověřováni a autorizováni v různých systémech. A přesto si mnoho lidí pletou význam těchto slov a často používají termín „identifikace“ nebo „autorizace“, když ve skutečnosti mluvíme o autentizace.
Na tom není nic tak hrozného – pokud se jedná o každodenní konverzaci a obě strany dialogu z kontextu chápou, co se vlastně myslí. Vždy je ale lepší znát a rozumět slovům, která používáte, jinak dříve či později narazíte na nudného specialistu, který vám vyndá duši za „autorizaci“ místo „ověřování“, kastrovanou kávu a takové to srdečné, ale ve vážném rozhovoru nevhodné slovo „jejich“.
Identifikace, autentizace a autorizace: Vážné definice
Co tedy znamenají pojmy „identifikace“, „autentizace“ a „autorizace“ – a jak se tyto procesy od sebe liší? Začněme Wikipedií:
- Identifikace je postup, v jehož důsledku je pro subjekt identifikace identifikován identifikátor, který tento subjekt v informačním systému jednoznačně definuje.
- Autentizace je proces ověřování identity, například ověření identity uživatele porovnáním hesla, které zadal, s heslem uloženým v databázi.
- Autorizace je udělení práv konkrétní osobě nebo skupině osob k provádění konkrétních úkonů.
Vysvětlení identifikace, autentizace a autorizace u mývalů
Výše bylo spousta módních slov, nyní si to zjednodušme na konkrétní příklady. Řekněme, že se uživatel chce přihlásit ke svému účtu Google. Google je nejlepší volbou, protože jasně rozděluje postup přihlášení do několika jednoduchých kroků. Zde je to, co se stane:
- Nejprve systém požaduje přihlášení, uživatel jej zadá, systém jej rozpozná jako existující – to je identifikace.
- Poté Google požádá o heslo, uživatel ho zadá a systém souhlasí s tím, že se uživatel zdá být skutečný, protože heslo se shoduje – to je autentizace.
- Google s největší pravděpodobností navíc požádá o jednorázový kód z SMS nebo aplikace. Pokud jej uživatel zadá správně, systém nakonec souhlasí s tím, že je skutečným majitelem účtu – to je dvoufaktorové ověření.
- Poté systém udělí uživateli právo číst dopisy v jeho poštovní schránce a tak dále – to je oprávnění.
Autentizace bez předchozí identifikace je bezvýznamná – dokud systém nepochopí, co je třeba ověřit, nemá absolutně žádný smysl ověřování zahajovat. Nejprve se musíte představit.
Identifikace bez autentizace je prostě hloupost. Protože nikdy nevíte, kdo zadal přihlašovací údaje, které již v systému existují! Systém se musí ujistit, že tento někdo zná i heslo. Heslo ale mohlo být odposloucháno nebo uhádnuto, takže je lepší hrát na jistotu a požádat o něco navíc, co by mohl znát pouze tento uživatel: například jednorázový kód pro potvrzení vstupu.
Autorizace bez identifikace a ještě více autentizace je ale docela možná. Například v Dokumentech Google můžete publikovat dokumenty tak, aby byly přístupné komukoli. V tomto případě se vám jako vlastníkovi souboru nahoře zobrazí poznámka, že jej čte neidentifikovaný mýval. Přestože je mýval zcela neidentifikovaný, systém ho i tak autorizoval – tedy mu udělil právo tento dokument číst.
Pokud byste ale tento dokument otevřeli pouze pro čtení určitým uživatelům, musel by se mýval nejprve identifikovat (zadat své přihlašovací údaje), poté se ověřit (zadat heslo a jednorázový kód) a teprve poté získat právo dokument číst – autorizovat se.
A pokud jde o obsah vaší poštovní schránky, Google nikdy, ale nikdy nepovolí neidentifikovanému mývalovi číst vaši korespondenci – pokud se samozřejmě neidentifikuje pomocí vašich přihlašovacích údajů a neověří pomocí vašeho hesla. Pak už to ale nebude neidentifikovaný mýval, protože Google tohoto mývala jasně identifikuje jako vás.
Nyní víte, jak se identifikace liší od autentizace a autorizace. Co dalšího je důležité pochopit: autentizace je pravděpodobně nejdůležitějším z těchto procesů z hlediska zabezpečení vašeho účtu. Pokud jste líní a používáte k autentizaci pouze slabé heslo, pak vám nějaký mýval může účet unést. Proto:
- Vytvořte silná a jedinečná hesla pro všechny účty.
- Pokud máte potíže s jejich zapamatováním, správce hesel vám vždycky pomůže. Pomůže vám je také vygenerovat.
- Nezapomeňte mít ve všech službách, které to umožňují, povoleno dvoufaktorové ověřování – jednorázové kódy přes SMS nebo aplikaci. Jinak si nějaký neznámý mýval, který se nějakým způsobem dostane k vašemu heslu, bude moci přečíst vaši tajnou korespondenci nebo udělat něco ještě nepříjemnějšího.
- 2FA
- Kaspersky Password Manager
- oprávnění
- autentizace
- Dvoufaktorová autentizace
- identifikace
- hesla
Útočníci se pravidelně pokoušejí útočit na uživatelské účty, proto by kromě spolehlivého přihlašovacího jména a hesla měla být přijata i další bezpečnostní opatření. Dvoufaktorové ověřování je vysoce účinné. Vysvětlíme, proč a kde se používá a jak funguje.
Co je dvoufaktorové ověřování
Dvoufaktorové ověřování je metoda rozpoznávání uživatele ve dvou fázích. Při přihlášení do služby bude zadán požadavek na zadání různých informací, kterými bude uživatel moci potvrdit svou příslušnost k účtu.
Princip ochrany je založen na vzorci „co uživatel ví“ + „co má“ nebo „co je pro něj typické“. Například zaměstnanec má heslo/přihlašovací jméno a může pomocí mobilního zařízení přijmout SMS kód nebo potvrdit vstup skenováním otisku prstu. Přesné schéma závisí na požadavcích, které systém přiřadí.
Příklad, jak dvoufaktorové ověřování s potvrzením SMS nebo e-mailem chrání data:
- Při přihlašování k účtu uživatel zadá heslo a přihlásí se.
- Pokud jsou vaše přihlašovací údaje správné, služba si vyžádá kód, který bude zaslán na váš e-mail nebo prostřednictvím SMS.
- Pokud uživatel zadal správný kód, bude přihlášen k účtu. Pokud ne, bude mu přístup odepřen.
Někdy si zdroje místo kódu vyžádají USB klíče nebo biometrické údaje majitele účtu. Taková ochrana je poskytována především pro osobní účty na specializovaných a seriózních službách.
Typy dvoufaktorového ověřování
Nejoblíbenějšími možnostmi dodatečného ověření před přihlášením k účtu jsou SMS zprávy, e-maily a USB klíčenky. Dvoufázové ověřování může také pomoci chránit data pomocí chytrých karet, které se používají pro přístup ke konkrétním zdrojům a VPN sítím.
Mezi méně běžné typy dvoufaktorového ověřování patří:
- Generátory kódu jsou zařízení s obrazovkou a tlačítkem.
- SecurID je technologie, která vyžaduje přihlašovací jméno a kódovou frázi místo obvyklého vstupního páru.
- Hesla TAN jsou předem vygenerované kódy, které je nutné zadávat postupně při potvrzování transakce.
První dvě metody se častěji používají v korporátním prostředí. Třetí se používá v bankovní struktuře. Některé finanční instituce poskytují klientům seznam jednorázových kódů pro přístup k internetovému bankovnictví. Ty je také nutné zadat k potvrzení všech transakcí.
Sekundární fází ochrany účtu je někdy biometrická identifikační metoda. Co toto dvoufaktorové ověřování poskytuje? Potvrzuje, že se do systému přihlašuje majitel účtu. Některé služby skenují otisky prstů, jiné čtou srdeční tep uživatele a dokonce i oči. Ty druhé systémy jsou v Rusku stále extrémně vzácné, ale seznam moderních bezpečnostních metod se rychle rozšiřuje.
Uživatelé se někdy setkávají s problémy při ověřování. Například nemají po ruce druhé zařízení, na kterém by bylo možné přijmout SMS. Některé zdroje s takovými situacemi počítají a nabízejí alternativní metody ověřování. V některých případech je nutné kontaktovat podporu a prokázat svou příslušnost k účtu.
Výhody a nevýhody dvoufaktorového ověřování
Dvoufázová ochrana zabrání neoprávněnému přístupu k účtu. Samozřejmě není možné stoprocentně zaručit, že hackerův plán na hacknutí selže. Svou roli bude hrát i spolehlivost přihlašovacího jména a hesla. Bohužel mnoho lidí používá krátké a jednoduché přihlašovací údaje, které lze snadno uhodnout. A přesto se díky dvoufaktorovému ověřování incidenty stávají mnohem méně častými, protože k hacknutí účtu musí hackeři nejprve získat přístup k e-mailu nebo telefonu oběti.
Kromě ochrany vašich dat může být dvoufaktorové ověřování také indikátorem pokusu o hackerský útok. Například jste se možná nechtěli přihlásit ke svému účtu, ale obdrželi jste zprávu s kódem. To téměř vždy znamená hrozbu neoprávněného přístupu. V tomto případě budete mít čas změnit své slabé heslo.
Dvoufázové ověřování zapadá do konceptu vícefaktorové autentizace. Ano, neposkytuje další bezpečnostní faktory, jako je sledování geolokace, IP adresy, denní doby, typu zařízení, ze kterého se přihlašování provádí. Je však zcela dostačující k zajištění bezpečnosti, pokud se nejedná o přístup ke kritickým uzlům informační infrastruktury.
Kde funguje dvoufaktorové ověřování?
Mnoho služeb nabízí propojení takového postupu, ale není to vhodné všude. Například účet na zábavním portálu pravděpodobně neukládá důležitá data, takže nemá smysl ztrácet čas zbytečnými akcemi. Sociální sítě, pracovní zdroje, online bankovnictví a poštovní schránky však rozhodně stojí za ochranu.
Vývojáři služeb obvykle uvádějí, jak dvoufaktorové ověřování pomůže chránit vaše data, a nabízejí povolení této možnosti. Například Apple a všechny populární sociální sítě poskytují v nastavení sekci, kde je funkce pro aktivaci dodatečné ochrany. Můžete ji ignorovat, ale v tomto případě nebudou existovat žádné záruky bezpečnosti osobních údajů.
Pokud máte vlastní webové stránky, má smysl povolit i dvoufaktorovou ochranu. Tuto možnost nabízí téměř všechny známé platformy.
Implementace dalších bezpečnostních nástrojů pro přihlašovací údaje
Zjistili jsme, co je dvoufaktorové ověřování. Zbývá už jen implementovat nový ověřovací algoritmus a zajistit centralizovanou správu účtů. S tím vám pomůže systém Solar inRights IDM. Umožňuje vám kontrolovat individuální identifikační údaje a celý proces ověřování.
- Vhodné pro jakoukoli organizaci, včetně těch s rozsáhlou informační infrastrukturou.
- Pomáhá kontrolovat dodržování předpisů a automatizuje správu přístupu.
- Hraje důležitou roli při vyšetřování kybernetických útoků na informační infrastrukturu společnosti.
- Pomáhá rychle shromažďovat data pro audit.
- Přizpůsobuje se potřebám konkrétních organizací.
Stručně řečeno, dvoufaktorové ověřování znamená dvojité ověření před přihlášením k účtu. To znamená, že budete muset zadat klíče, které znáte (heslo a přihlašovací jméno), a také akci potvrdit pomocí zařízení, které máte k dispozici (nebo dodatečných informací). Spolehlivý nástroj Solar inRights pomůže optimalizovat procesy správy přihlášení. Systém splňuje požadavky FSTEC a je efektivním zástupcem domácího softwaru.
OSTATNÍ PRODUKTOVÉ ČLÁNKY
Ještě více o našich schopnostech
