מערכות ללא סיסמה הן העתיד של האימות?

סיסמאות משמשות כקו ההגנה הראשון מפני פרצות מידע, אך לעתים קרובות אנשים מפגינים הרגלים גרועים בכל הנוגע לבחירה או עדכון הסיסמאות שלהם באופן קבוע. למרות הדרישות הנרחבות לסיסמאות מאובטחות בכל יישומים ואתרים, מחקרים מצביעים על כך ש-75% מהאנשים בעולם מתעלמים מהשיטות המומלצות שנקבעו, כאשר 64% בוחרים בסיסמאות חלשות או מבצעים שינויים קלים בלבד כאשר מתבקשים לבחור סיסמה חדשה במקום להשתמש במחולל סיסמאות מאובטח. .

לזלזל בהשלכות האבטחה של בחירת סיסמאות לא תקניות היא שגיאה משמעותית, המספקת לתוקפים הזדמנויות רבות לחדור למערכות. ברגע שתוקפים רוכשים אישורי סיסמה חוקיים, הם יכולים בקלות להסלים את ההרשאות שלהם לרמות מנהל או משתמש-על, תוך עקיפת אמצעי האבטחה של ניהול זהויות של ארגון.

פרצות נתונים עלולות להכתים קשות את המוניטין של החברה ולגרום להפסדים כספיים משמעותיים, כלומר יש צורך במאמץ משותף לשיפור נוהלי סיסמאות ויישום מסגרת אבטחת זהות חזקה. כתוצאה מכך, ארגונים שחושבים קדימה מאמצים אימות רב-גורמי (MFA) כדי להפחית את הסיכון של גניבת אישורים וגישה לא מורשית. באמצעות MFA, משתמשים מקבלים גישה ליישומים ולרשתות ארגוניות על ידי מתן צורה נוספת של אימות, כגון קוד שהתקבל בדוא"ל או מוצג לרגע בטלפונים שלהם.

עם זאת, ככל שחברות מאמצות שיטות אימות מאובטחות יותר, התוקפים ממציאים אסטרטגיות חדשניות לעקוף הגנות MFA. טקטיקות אלו כוללות גניבת עוגיות, הנדסה חברתית והתקפות מבוססות עייפות של MFA. לכן, בעוד MFA מציע אבטחה גבוהה יותר מאשר סיסמאות מסורתיות, חיוני להכיר בכך שתוקפים מחפשים כל הזמן דרכים לערער אותה.

חברות חייבות להגביר את המאמצים שלהן כדי לחזק את אבטחת הזהות. איומים מתעוררים מהווים הזדמנות לטפל באופן יזום בסיכון ההולך וגובר של פרצות מידע, ולמרות שהיא לא קונבנציונלית, גישה ללא סיסמה עשויה להציע פתרון בר-קיימא.

החוצה עם הישן ונכנס עם החדש

עסקים מתחילים לאט לאט לוותר על סיסמאות מסורתיות כדי לאמץ גישות ללא סיסמאות. עם אימות אפס סיסמה, אנשים יכולים לאשר את זהותם בדרכים שונות – בין אם זה קוד QR המוצג בכניסה או באמצעות אימות ביומטרי כמו זיהוי פנים – מעבר לסיסמה שזכורה. סוג זה של גישה מסייע בהפחתת הסיכונים של חדירת שחקני איומים לרשתות, שכן מפתחות פרטיים הם ייחודיים ונגישים רק מהמכשיר המקומי של המשתמש. בסך הכל, אבטחת הזהות משופרת.

בנוסף, קל ונוח יותר גם למשתמשים וגם לצוותי IT להסיר סיסמאות. משתמשים כבר לא צריכים לזכור את הסיסמה שלהם או לשנות אותה באופן קבוע, ו-IT כבר לא צריך להשקיע זמן בסיוע לעובדים עם ביטול נעילת חשבונות ואיפוס סיסמה. לגישה זו יש גם השפעה חיובית על הפרודוקטיביות הודות לחוויית כניסה חלקה יותר.

ביצוע המעבר למערכת ללא סיסמה

חשוב לזכור שלמרות שטכנולוגיה נטולת סיסמה מביאה יתרונות משמעותיים, ביצוע המעבר הזה לא יכול להיעשות בן לילה וארגונים מסוימים עשויים אף לא להיות מסוגלים לאמץ גישה נטולת סיסמה לחלוטין. הסרת סיסמאות היא מחויבות גדולה, במיוחד עבור עסקים המנהלים אלפי משתמשים, אינספור יישומים, סביבות היברידיות ומרובות עננים וזרימות התחברות מורכבות. יש יותר מדי מערכות מדור קודם המושרשות עמוק בתשתית IT שדורשות סיסמאות.

לכן, מדובר במציאת הגישה הטובה ביותר עבור כל חברה ומה שעובד גם מנקודת מבט של אבטחת זהות וגם מנקודת מבט של עלות. המסע לאימות אפס סיסמה ייחודי לדרישות של כל חברה, ולצרכים של כל משתמש. אין גישה אחת שמתאימה לכולם. ועם הטכנולוגיה המתפתחת ללא הרף ואימוץ המשתמש עולה, השגת סביבה מוצלחת לחלוטין ללא סיסמה כרוכה בגישה מדורגת.

שקול את כל הפתרונות הזמינים

למרות שביטול מוחלט של סיסמאות עשוי להוות אתגרים לעסקים מסוימים, הם עדיין יכולים להפחית את התלות שלהם בהן על ידי אימוץ פתרונות ניהול זהות וגישה (IAM) מתאימים המאפשרים פונקציונליות ללא סיסמאות. וכאשר מעריכים פתרונות IAM, ארגונים צריכים לתעדף יכולות ספציפיות, כגון:

1. כניסה אפסית (ZSO) משתמשת בתקני הצפנה חזקים כגון אישורים ומערבבת זהויות משתמש עם מידע הקשרי כגון טביעות אצבע של מכשיר ותנוחת אבטחה. זהו העמוד הראשון של פתרון אמיתי ללא אישורים. עם ZSO, משתמשים יכולים להיכנס בצורה חלקה ליישומים ולשירותים שהוקצו להם לאחר שהמכשירים שלהם נבדקו ויאושר שהם עומדים בדרישות תנוחת האבטחה. משתמשים אינם זקוקים לשום צורה של אימות נוסף. ניתן לשלב את ZSO עם גורמי אימות אחרים ללא סיסמה המתאימים ביותר לדרישות העסקיות, מה שמאפשר לעסקים לשפר את השימושיות ולהגביר את אבטחת הזהות.

2. אימות אינטרנט FIDO2 (WebAuthn) נתמך באופן נרחב על ידי כמעט כל ספקי זהות וממלא תפקיד מרכזי בהפעלת אימות ללא סיסמה עבור משתמשי קצה טיפוסיים. יחד עם FIDO2, מפתחות הסיסמה של FIDO מציעים גישה חדשה להשגת גישה ללא סיסמה על פני התקנים מרובים, תוך שימוש ביכולות האבטחה של מכשירי המשתמשים כדי לשפר עוד יותר את חוויית האנשים. מפתחות סיסמה אלה גם עמידים מאוד בפני ניסיונות דיוג, במילים אחרות, הם יכולים להפחית ביעילות וקטורי תקיפה הקשורים ל-MFA המחייבים אינטראקציה אנושית.

3. מאחר שעבודה מרחוק כיום היא מגמה רווחת, הבטחת גישה מאובטחת לעובדים הניגשים לרשת ארגונית דרך VPN היא חיונית. בפרט, מומלץ להשתמש ב-MFA אדפטיבי מכיוון שהדבר מוסיף שכבה נוספת של אבטחת זהות לגישה מרחוק, הגנה על הרשת הארגונית של החברה ועל האפליקציות והמשאבים באתר, תוך הבטחת חווית כניסה חלקה שמעריכה ומתכווננת באופן רציף לפי הצורך עם גורמים ללא סיסמה. מבוסס על ניתוח הקשר וסיכון . MFA אדפטיבית כגישה חשובה ויעילה מכיוון שהיא נותנת למשתמשים בסיכון גבוה או לבקשות הרשאה שלבים נוספים לפני מתן גישה ולהיפך.

4. כדי להשיג חוויה אמיתית ללא סיסמה, חיוני לפרוס פתרון המאפשר למשתמשים לרשום בעצמם, להחליף ולמחוק מאמתים ללא סיסמה תחת פרוטוקולי אבטחה מתאימים, יחד עם מגוון רחב של שיטות אימות אלטרנטיביות ללא סיסמה לבחירה. לדוגמה, במקרה של אדם שמאבד את הטלפון הנייד שלו, הוא אמור להיות מסוגל להחליף את גורם המאמת ללא סיסמה מגורמים שונים בבקרות האבטחה המתאימות.