Строгая аутентификация – будущее уже сегодня

Даниил Пустовой
Менеджер по развитию бизнеса/
Business development manager, DNA Distribution

С этим вопросом мы обратимся к Thales e-Security, мировому лидеру в области аппаратных средств защиты информации, чьи решения защищают около 80% пользователей кредитных карт в мире и развиваются уже более 40 лет. Решение Thales SafeSign по строгой аутентификации используются правительствами и банками многих стран, и в том числе рядом крупнейших банков России.

Проверка доступа

Без сомнения, использование биометрии значительно повышает уровень безопасности доступа к смартфонам, хотя и вызывает очень много дополнительных вопросов и опасений. Важно то, что эта технология открывает огромный потенциал не только для защиты доступа к телефону и его приложениям, но также большие перспективы для использования строгой аутентификации во множестве различных сервисов и услуг, которые могут быть доступны через телефон, компьютер или даже лично, например домашний банкинг, e-commerce, покупки в магазине. В рамках же современной бизнес-концепции корпоративной мобильности BYOD строгая аутентификация может поднять персональный телефон с уровня корпоративной угрозы до уровня корпоративного соратника.

Однако пока мы ждали, когда технологии строгой аутентификации завоюют массовый рынок, злоумышленники становились умнее, расчетливее и технически лучше оснащены. До сих пор, пока большинство пользователей полагалось на относительно слабую парольную защиту, большая часть инвестиций в средства аутентификации шла на поведенческий анализ и управление рисками, чтобы усилить общую защиту с помощью других механизмов. В рамках этого подхода строгая аутентификация идентифицирует личность в контексте того, какие предпринимаются действия, а не только проверяет предъявленный токен, смарт-карту, отпечаток пальца или другой фактор аутентификации. Очевидно, что чем ценнее информация, к которой необходимо получить доступ, тем более строгие проверки доступа должны проводиться.

При добавлении контекста в процесс аутентификации возникают новые задачи и проблемы защиты данных. Персональная информация в форме поведенческих данных пользователей, их предпочтений, места расположения, профессии и увлечений весьма интересна и имеет большую ценность для злоумышленников, взламывающих системы, а также полезна для атак на основе социального инжиниринга. Все эти данные также необходимо защищать, как и процессы, использующие их.

Современный подход

Современные системы аутентификации по паролю давно показали свой относительно низкий уровень защиты от компрометации, проще говоря, неприемлемый для защиты ценной, например финансовой, информации. Более продвинутые адаптивные аутентификационные схемы отягощены грузом данных, которые тоже нужно защищать, а с популяризацией биометрии этот груз становится куда более существенным для безопасности бэк-энд-систем.

В результате мы находимся между двумя крайностями: пароли – просто, дешево, но небезопасно, биометрия – сложно, дорого, но безопасно (при условии обеспечения безопасности огромного объема ПДн).

Сейчас чаще всего применяются промежуточные варианты строгой аутентификации с использованием одноразовых паролей, носимых токенов, цифровых сертификатов и смарт-карт. С ними хорошо знакомы пользователи интернет-банкинга, в котором использование строгой аутентификации является обязательным требованием. Биометрические системы аутентификации пока еще несовершенны и дороги для массового централизованного использования, например, в банке или электронной коммерции, однако их популяризация – вопрос самого ближайшего будущего.