menedzselt szolgáltatóként (MSP) a kiberbiztonság soha nem áll távol az elmédtől. A legújabb kutatások becslése szerint a számítógépes bűnözés okozta károk évente 6 billió dollárt érnek el 2021-re, szemben az 3 billió dollárral az 2015-ban. Annak érdekében, hogy ezek a költségek a lehető legkisebbek legyenek az ügyfelek számára, az Ön felelőssége, hogy ne csak megismerje a felhasználói és hálózati biztonsággal kapcsolatos bevált gyakorlatokat, hanem közölje azokat a releváns végfelhasználókkal is. Végül is ügyfelei a csapatára támaszkodnak, hogy végigvezessék őket a folyamatosan fejlődő informatikai tájon.

míg jelenleg rengeteg hálózati hitelesítési módszer létezik a robusztus biztonsági stratégia végrehajtásának elősegítésére, a token alapú hitelesítés sok MSP kedvence. Azáltal, hogy ezt a kipróbált és valódi folyamatot más átfogó biztonsági intézkedésekkel párosítja, az MSP—k segítenek megvédeni ügyfeleiket a biztonsági megsértésektől, amelyek veszélybe sodorják a lényegüket—és hírnevüket.

mi a token alapú hitelesítés?

a Token alapú hitelesítés csak egy a sok webes hitelesítési módszer közül, amelyeket biztonságosabb ellenőrzési folyamat létrehozására használnak. Más webes hitelesítési módszerek közé tartozik a biometrikus hitelesítés és a jelszó-hitelesítés. Bár minden hitelesítési módszer egyedi, az összes módszer a következő három kategória egyikébe tartozik: tudás (valami, amit tudsz), örökség (valami, ami vagy) és birtoklás (valami, amit birtokolsz).

a jelszó-hitelesítés a tudás kategóriába tartozik, mivel a felhasználók egy korábban létrehozott szóra vagy kifejezésre támaszkodnak személyazonosságuk igazolásához. A biometrikus hitelesítés a “valami vagy” példája a biológiai tulajdonságok, például az ujjlenyomatok használata miatt. Végül, de nem utolsósorban a token alapú hitelesítés a birtoklási kategóriába tartozik.

a Token-hitelesítéshez a felhasználóknak számítógép által generált kódot (vagy tokent) kell beszerezniük, mielőtt megadnák a hálózati bejegyzést. A Token-hitelesítést általában a jelszó-hitelesítéssel együtt használják egy hozzáadott biztonsági réteghez. Ezt nevezzük kétfaktoros hitelesítésnek (2FA). Ez azt jelenti, hogy még akkor is, ha a támadó sikeresen végrehajtja a brute force támadást, hogy kivegye a jelszót a helyén, meg kell kerülnie a token hitelesítési réteget is. A tokenhez való hozzáférés nélkül a hálózathoz való hozzáférés egyre nehezebbé válik. Ez a további réteg elriasztja a támadókat, és megmentheti a hálózatokat a potenciálisan katasztrofális megsértésektől.

hogyan működnek a tokenek?

sok esetben a tokeneket hardverkulcsokon vagy kulcstartókon keresztül hozzák létre, amelyek 60 másodpercenként új hitelesítési tokent generálnak egy ismert algoritmusnak megfelelően. Ezeknek a hardvereszközöknek a hatalma miatt a felhasználóknak mindig biztonságban kell tartaniuk őket, hogy ne kerüljenek rossz kezekbe. Mint olyan, a csapattagoknak le kell mondaniuk a dongle-ról vagy a fob-ról, amikor munkaviszonyuk véget ér.

a leggyakoribb token rendszerek fejlécet, hasznos adatot és aláírást tartalmaznak. A fejléc a hasznos teher típusából, valamint a használt aláírási algoritmusból áll. A hasznos teher tartalmazza a követeléseket, amelyek egyszerűen a felhasználóra vonatkozó állítások. Az aláírás pontosan az, aminek hangzik—az aláírás annak bizonyítására szolgál, hogy az üzenetet nem veszélyeztették a szállítás során. Ez a három elem együttesen rendkívül hatékony és biztonságos hitelesítési rendszert hoz létre.

bár ezek a hagyományos token hitelesítési rendszerek még ma is érvényben vannak, az okostelefonok térnyerése könnyebbé tette a token alapú hitelesítést, mint valaha. Az okostelefonok mostantól kibővíthetők kódgenerátorként, biztosítva a végfelhasználók számára a hálózatukhoz való hozzáféréshez szükséges biztonsági kódokat. A bejelentkezési folyamat részeként a felhasználók kriptográfiailag biztonságos egyszeri jelszót kapnak, amely időben korlátozott 30 vagy 60 másodperc, a szerver végén lévő beállításoktól függően. Ezeket a puha tokeneket vagy egy hitelesítő alkalmazás generálja az eszközön, vagy igény szerint SMS-ben küldi el.

az okostelefon-token alapú hitelesítés megjelenése azt jelenti, hogy a legtöbb alkalmazott már rendelkezik hardverrel a kódok előállításához. Ennek eredményeként a megvalósítási költségek és a személyzet képzése minimálisra csökken, így a token alapú hitelesítés ezen formája sok vállalat számára csábító lehetőség.

biztonságos a token alapú hitelesítés?

a kiberbűnözők előretörésével párhuzamosan az MSP-k által bevezetett védelmi gyakorlatoknak és politikáknak is működniük kell. A brute force támadások, a szótári támadások és az adathalász taktikák növekvő használata miatt a felhasználói hitelesítő adatok megragadására egyre nyilvánvalóbbá válik, hogy a jelszó-hitelesítés már nem elegendő a támadók távol tartásához.

a Token alapú hitelesítés, ha más hitelesítési gyakorlatokkal párhuzamosan használják, létrehoz egy 2FA akadályt, amelynek célja A legfejlettebb hacker megállítása is. Mivel a tokeneket csak az őket előállító eszközről lehet összegyűjteni—legyen az kulcstartó vagy okostelefon—a token engedélyezési rendszereket rendkívül biztonságosnak és hatékonynak tekintik.

de a hitelesítési token platform számos előnye ellenére mindig fennáll a kockázat csekély esélye. Míg az okostelefon – alapú tokenek hihetetlenül kényelmesek, az okostelefonok potenciális sebezhetőségeket is bevezetnek. A szövegként küldött tokenek kockázatosabbak, mert tranzit közben elfoghatók. Más hardvereszközökhöz hasonlóan az okostelefonok is elveszhetnek vagy ellophatók, és veszélyes szándékúak kezébe kerülhetnek.

Token alapú hitelesítési bevált gyakorlatok

a robusztus hitelesítési stratégia megvalósítása kritikus fontosságú, amikor segít ügyfeleinek megvédeni hálózataikat a biztonsági megsértésektől. De ahhoz, hogy stratégiája valóban hatékony legyen, szigorúan be kell tartania az összes releváns bevált gyakorlatot. Íme néhány kulcsfontosságú tényező, amelyet szem előtt kell tartani a token alapú hitelesítési stratégia telepítésekor:

• tegye a megfelelő tokent játékba: bár számos webes token létezik, egyik sem felel meg a JSON Web Token (JWT) népszerűségének és megbízhatóságának. A JWT nyílt szabványnak (RFC 7519) tekinthető az érzékeny információk több fél közötti továbbítására. A kicserélt információkat digitálisan aláírják algoritmus vagy nyilvános / privát kulcs párosítás segítségével az optimális biztonság érdekében.
• tartsa titokban: a tokent ugyanúgy kell kezelni, mint a felhasználói hitelesítő adatokat. Oktassa az ügyfeleket annak fontosságáról, hogy a token kódjaikat magántulajdonban tartsák—azaz ugyanúgy kezeljék őket, mint a kódot a legértékesebb vagyonukkal teli boltozathoz. Ez a gondolkodásmód különösen fontos, amikor az aláíró kulcsról van szó.
• HTTPS kapcsolatok kihasználása: a HTTPS kapcsolatokat a legfontosabb biztonsági protokollokkal hozták létre, kihasználva a titkosítást és a biztonsági tanúsítványokat, amelyek az érzékeny adatok védelmére szolgálnak. Fontos, hogy HTTPS-kapcsolatot vagy HTTP-t vagy bármilyen más kapcsolatot használjon tokenek küldésekor, mivel ezeknek az alternatív rendszereknek nagyobb esélyük van a támadó elfogására.

a hitelesítési tokenek előnyeinek kihasználása

történelmileg a hitelesítés egyik rétege volt az arany standard. De a mai kiberbiztonsági légkörben—amelyben a hackerek ravaszabbak, mint valaha-az egyik hitelesítés a minimális. A tudásalapú hitelesítési gyakorlatok akkor működnek a legjobban, ha a birtoklási alapúak mellett robusztus 2FA rendszereket alkotnak.

itt lép hatályba a token hitelesítés. A számítógép által generált kódok telepítéséhez hardverre támaszkodó Token rendszerek minden átfogó biztonsági stratégia kritikus elemei. Ezek a rendszerek arra késztetik a 2FA—t, hogy megállítsa a támadókat, mielőtt hozzáférnének a hálózathoz—és pusztítást okoznának rajta.

az ügyfélhálózatok proaktív biztosítása mellett azonban kritikus fontosságú, hogy az MSP-k is segítsenek az ügyfeleknek reagálni az adatsértésekre. Abban az esetben, ha egy rossz színésznek sikerül hozzáférnie egy hálózathoz, az adatok biztonságos tárolása a felhőben megakadályozhatja, hogy ügyfelei adatvesztés vagy súlyos váltságdíjak veszélyének áldozatává váljanak.