Устали запоминать пароль, созданных полгода назад с минимум 8-ю знаками, одной заглавной буквой, одной цифрой и специальным символом? А вы ведь сделали все свои пароли разными, не так ли?
Во всемирный день паролей (5 мая) эксперты по безопасности и технологические гиганты проинформировали отрасль об инициативах создания будущего, которое защитит нас без паролей. Об этом пишет Джесика Дэвис (Jessica Davis) в журнале Data Center Knowledge.
Проблема с паролями
Согласно недавнему отчету SpyCloud о персональных данных, повторно используемые пароли были основной целью кибератак. В отчете также отмечается, что 64% пользователей использовали пароли повторно.
Но как запомнить все эти пароли? Исследование NordPass показало, что самым популярным паролем был «123456», а пятым по популярности паролем было слово «пароль».
Понятно, что в мире паролей что-то сломалось. И давно. Хотя многофакторная аутентификация и обеспечивает дополнительный уровень безопасности предприятий, но она снижает производительность, заставляя сотрудников прерывать работу с тем, чтобы ввести код или предоставить отпечаток пальца. И чем неудобнее меры безопасности, тем больше вероятность того, что пользователи будут искать способ их игнорирования или обхода.
Отказ от паролей
“Полное устранение паролей когда-то звучало, как смелая идея, — говорит Грег Стьюклин (Greg Stuecklin), вице-президент и генеральный менеджер компании WSO2, которая, среди прочих решений, создает сервер идентификации. — Отмечено, что уязвимости с учетными данными, такими, как имя пользователя и пароль, составляют более 84% утечек данных. Существуют более простые и эффективные способы аутентификации пользователей, включая альтернативные варианты входа в систему, такие как стандарт Fast ID Online 2.0 (FIDO2), вход по биометрическим данным и внешние аутентификаторы”.
Марк Ручи (Mark Ruchie), директор по информационным технологиям компании Entrust, занимающейся цифровой безопасностью и защитой данных, говорит, что мобильные push-токены, вход по учетным данным на основе сертификатов и различные формы биометрии могут облегчить работу сотрудников и создать простую и надежную инфраструктуру безопасности с меньшей “поверхностью” атак со стороны широкого арсенала угроз. Поскольку кибератаки становятся все более изощренными, компании понимают, что пароли создают головную боль, как для ИТ-отделов, так и для сотрудников. “Они — проклятие в жизни каждого директора по информационной безопасности”, — заключает Ручи.
Apple, Google, Microsoft расширяют поддержку FIDO
Три технологических гиганта пообещали расширить поддержку FIDO. Согласно заявлению, опубликованному Альянсом FIDO – Apple, Google и Microsoft объявили об ускорении разработок по доступу без пароля. Данные компании уже поддерживают стандарты Альянса, но декларированы еще две новые возможности, которые позволят пользователям автоматически получать доступ к своим учетным данным для входа в FIDO или «парольным ключам» без необходимости повторной регистрации каждой учетной записи. Они дадут возможность использовать Аутентификацию FIDO на мобильных устройствах для входа в приложение или веб-сайт независимо от типа операционной системы или браузера. Новые возможности станут доступны на платформах Apple, Google и Microsoft в следующем году.
Директор Google по безопасной аутентификации Сампат Шринивас (Sampath Srinivas) заявил, что компания внедрит беспарольную поддержку стандартов входа FIDO в Android и Chrome.
На своем сайте Microsoft Tech Community Алекс Саймонс (Alex Simons), вице-президент по управлению продуктами подразделения идентификации и доступа, написал, что компания представляет несколько новых возможностей, в том числе беспарольный доступ для Windows 365, Azure Virtual Desktop и инфраструктуру виртуальных рабочих столов. В настоящее время эти функции находятся в предварительной версии тестирования Windows 11.
Windows Hello для бизнеса Cloud Trust — новая модель развертывания, которая может устранить прежние требования к инфраструктуре открытых ключей и синхронизации открытых ключей между Azure Active Directory и локальными контроллерами домена. Microsoft Authenticator теперь позволяет использовать несколько учетных записей вместо одной, начиная с конца этого месяца на устройствах iOS, а позже появится и на Android. Кроме того, со следующего месяца Microsoft добавит временный пропуск доступа в Azure AD. Это ограниченный по времени пароль, который позволяет организациям использовать временный пропуск доступа для настройки новых устройств Windows вместо использования пароля.
Эти долгожданные подвижки в корпоративной и личной среде должны облегчить жизнь пользователям, разочаровавшимся в попытках запомнить сразу несколько паролей.
===
В качестве примера: разновидностью беспарольного доступа можно назвать ssh-аутентификацию по ключу, которой, например, пользуются сотрудники нашего дата-центра. Этот способ позволяет создать зашифрованное соединение между компьютером пользователя и сервером без необходимости постоянной аутентификации (ввода пароля) для каждой сессии.
