jako poskytovatel spravovaných služeb (MSP) není kybernetická bezpečnost nikdy daleko od vaší mysli. Nedávný výzkum odhaduje, že škody způsobené počítačovou kriminalitou dosáhnou do roku 2021 překvapivých 6 bilionů dolarů ročně, z 3 bilionů dolarů v roce 2015. Chcete-li tyto náklady udržet na minimu pro své zákazníky, je vaší odpovědností nejen porozumět osvědčeným postupům pro zabezpečení uživatelů a sítí, ale také je sdělit příslušným koncovým uživatelům. Koneckonců, Vaši zákazníci se spoléhají na váš tým, který je provede neustále se vyvíjejícím IT prostředím.

zatímco v současné době existuje nepřeberné množství metod ověřování sítě, které pomáhají při provádění robustní bezpečnostní strategie, ověřování založené na tokenu je oblíbeným mezi mnoha MSP. Spárováním tohoto osvědčeného procesu s dalšími komplexními bezpečnostními opatřeními pomáhají MSP udržovat své zákazníky v bezpečí před narušením bezpečnosti, které ohrožuje jejich spodní řádek—a jejich pověst.

co je ověřování založené na tokenu?

ověřování založené na tokenu je jen jednou z mnoha metod ověřování na webu používaných k vytvoření bezpečnějšího ověřovacího procesu. Mezi další metody ověřování na webu patří biometrické ověřování a ověřování heslem. Zatímco každá metoda ověřování je jedinečná, všechny metody spadají do jedné z následujících tří kategorií: znalosti (něco, co víte), dědictví (něco, co jste) a vlastnictví (něco, co vlastníte).

ověření hesla spadá do kategorie znalostí, protože uživatelé se spoléhají na slovo nebo frázi, které dříve vytvořili, aby ověřili svou totožnost. Biometrická autentizace je příkladem „něčeho, čím jste“ díky použití biologických vlastností, jako jsou otisky prstů. A v neposlední řadě patří ověřování založené na tokenu do kategorie vlastnictví.

ověření tokenu vyžaduje, aby uživatelé získali počítačově generovaný kód (nebo token) před tím, než jim bude udělen vstup do sítě. Ověření tokenu se obvykle používá ve spojení s ověřením heslem pro přidanou vrstvu zabezpečení. To je to, co označujeme jako dvoufaktorová autentizace (2FA). To znamená, že i když útočník úspěšně implementuje útok hrubou silou, aby odstranil jakékoli heslo na místě, bude muset také obejít vrstvu ověřování tokenů. Bez přístupu k tokenu je získání přístupu k síti stále obtížnější. Tato další vrstva odrazuje útočníky a může zachránit sítě před potenciálně katastrofálními porušeními.

jak tokeny fungují?

v mnoha případech jsou tokeny vytvářeny pomocí klíčů nebo klíčenek, které generují nový autentizační token každých 60 sekund v souladu se známým algoritmem. Vzhledem k síle, kterou tato hardwarová zařízení drží, jsou uživatelé povinni je neustále udržovat v bezpečí, aby se ujistili, že nespadají do nesprávných rukou. Jako takový, členové týmu se musí vzdát svého dongle nebo fob, když skončí jejich zaměstnání.

nejběžnější tokenové systémy obsahují hlavičku, užitečné zatížení a podpis. Hlavička se skládá z typu užitečného zatížení a použitého podpisového algoritmu. Užitečné zatížení obsahuje nároky, což jsou jednoduše jakákoli prohlášení týkající se uživatele. Podpis je přesně to, co zní—podpis použitý k prokázání, že zpráva nebyla ohrožena při přepravě. Tyto tři prvky spolupracují na vytvoření vysoce účinného a bezpečného autentizačního systému.

zatímco tyto tradiční systémy ověřování tokenů jsou stále v platnosti, vzestup chytrých telefonů usnadnil ověřování založené na tokenu než kdy jindy. Chytré telefony lze nyní rozšířit tak, aby sloužily jako generátory kódu a poskytovaly koncovým uživatelům bezpečnostní přístupové kódy potřebné k získání přístupu k jejich síti v daném okamžiku. V rámci procesu přihlášení uživatelé obdrží Kryptograficky Bezpečný jednorázový přístupový kód, který je časově omezen na 30 nebo 60 sekund, v závislosti na Nastavení Na konci serveru. Tyto měkké tokeny jsou generovány buď aplikací authenticator v zařízení, nebo odesílány na vyžádání prostřednictvím SMS.

příchod autentizace založené na tokenu smartphonu znamená, že většina zaměstnanců již má hardware pro generování kódů. Výsledkem je, že náklady na implementaci a školení zaměstnanců jsou omezeny na minimum, což činí tuto formu ověřování na základě tokenů lákavou volbou pro mnoho společností.

je ověřování založené na tokenu bezpečné?

jak kyberzločinci postupují, tak musí být zavedeny ochranné postupy a zásady, které MSP zavedly. Vzhledem k rostoucímu používání útoků hrubou silou, slovníkových útoků a phishingových taktik k získání přihlašovacích údajů uživatelů je zřejmé, že ověřování heslem již nestačí k tomu, aby útočníci udrželi na uzdě.

ověřování založené na tokenu, pokud je použito v tandemu s jinými ověřovacími postupy, vytváří bariéru 2FA navrženou tak, aby zastavila i nejpokročilejšího hackera v jeho stopách. Protože tokeny lze sbírat pouze ze zařízení—které je vyrábí-ať už se jedná o klíčenku nebo smartphone-autorizační systémy tokenů jsou považovány za vysoce bezpečné a efektivní.

ale navzdory mnoha výhodám spojeným s platformou autentizačních tokenů existuje vždy malá šance na riziko, které zůstává. Zatímco žetony založené na chytrých telefonech jsou neuvěřitelně pohodlné, chytré telefony také představují potenciální zranitelnosti. Tokeny odeslané jako texty jsou rizikovější, protože mohou být zachyceny během přepravy. Stejně jako u jiných hardwarových zařízení, smartphony mohou být také ztraceny nebo odcizeny a skončit v dosahu těch, kteří mají nebezpečné úmysly.

osvědčené postupy ověřování založené na tokenu

implementace robustní strategie ověřování je zásadní, pokud jde o pomoc zákazníkům chránit jejich sítě před porušením zabezpečení. Aby však byla vaše strategie skutečně účinná, vyžaduje přísné dodržování všech relevantních osvědčených postupů. Zde je několik klíčových faktorů, které je třeba mít na paměti při zavádění strategie ověřování založené na tokenu:

• vložte správný token do hry: i když existuje řada webových tokenů, Žádný zcela neodpovídá popularitě a spolehlivosti webového tokenu JSON (JWT). JWT je považován za otevřený standard (RFC 7519) pro přenos citlivých informací mezi více stranami. Vyměňované informace jsou digitálně podepsány pomocí algoritmu nebo párování veřejných / soukromých klíčů, aby byla zajištěna optimální bezpečnost.
• zachovat soukromí: s tokenem by se mělo zacházet stejně jako s přihlašovacími údaji uživatele. Vzdělávejte zákazníky o důležitosti zachování jejich tokenových kódů v soukromí-tj. zacházejte s nimi stejným způsobem, jakým by kódovali do trezoru plného jejich nejcennějších majetků. Toto myšlení je zvláště důležité, pokud jde o podepisovací klíč.
• využijte připojení HTTPS: připojení HTTPS byla vytvořena s bezpečnostními protokoly, které využívají šifrování a bezpečnostní certifikace určené k ochraně citlivých dat. Při odesílání tokenů je důležité použít připojení HTTPS vs HTTP nebo jakoukoli jinou formu připojení, protože tyto alternativní systémy čelí vyšší šanci na zachycení od útočníka.

využití výhod autentizačních tokenů

historicky byla jedna vrstva autentizace zlatým standardem. Ale v dnešním prostředí kybernetické bezpečnosti—ve kterém jsou hackeři mazanější než kdykoli předtím-je jedna autentizace naprostým minimem. Postupy ověřování založené na znalostech fungují nejlépe, když jsou implementovány společně s postupy založenými na držení a vytvářejí robustní systémy 2FA.

zde vstupuje v platnost ověření tokenu. Tokenové systémy, které se spoléhají na hardware pro nasazení počítačem generovaných kódů, jsou kritickou součástí jakékoli komplexní bezpečnostní strategie. Tyto systémy daly 2FA do práce, aby zastavily útočníky dříve, než získají přístup k síti a způsobí zmatek.

kromě proaktivního zabezpečení zákaznických sítí je však důležité, aby MSP také pomohli zákazníkům reagovat na narušení dat. V případě, že se špatnému herci úspěšně podaří získat přístup k síti, může mít bezpečně uložená data v cloudu zabránit tomu, aby se vaši zákazníci museli stát obětí ztráty dat nebo hrozby statného výkupného.