Jason: W tej lekcji omówimy uwierzytelnianie
wieloskładnikowe, znane również jako MFA.
Teraz, gdy korzystasz z urządzenia mobilnego,
musisz uwierzytelnić się na tym urządzeniu,
aby móc je odblokować i zacząć z niego korzystać.
Jeśli pomyślisz o swoim smartfonie, kiedy przesuniesz
palcem w górę, początkowo użyjesz twarzy, palca,
kodu PIN lub hasła, aby odblokować urządzenie i zacząć
z niego korzystać.
Gdy to zrobisz, ta rzecz, której używasz do odblokowania
urządzenia, jest znana jako czynnik uwierzytelniający.
Obecnie w świecie cyberbezpieczeństwa
mamy pięć różnych czynników uwierzytelniania, z
których można korzystać.
Są one znane jako czynnik wiedzy,
czynnik posiadania, czynnik dziedziczenia,
czynnik zachowania i czynnik lokalizacji.
Teraz, gdy patrzymy na czynnik wiedzy,
jest to najprostsza forma uwierzytelniania
i określamy ją jako coś, co wiesz.
Jeśli myślisz o czymś takim jak nazwa użytkownika,
PIN, hasło, to są to czynniki wiedzy, ponieważ udzielasz odpowiedzi
na wyzwanie, takie jak "Jakie jest Twoje
hasło? i możliwość uwierzytelnienia,
że jesteś osobą, której nazwa użytkownika
jest powiązana z tym hasłem, ponieważ
je znasz.
Największym problemem związanym z czynnikami wiedzy
jest to, że są one najłatwiejsze do złamania, ponieważ
są to tylko słowa lub liczby wprowadzane za pomocą klawiatury
lub przez użytkownika końcowego.
Jeśli więc chronisz swój smartfon
czterocyfrowym numerem PIN, mogę
usiąść i spróbować go odgadnąć, a istnieje
tylko 10 000 możliwych kombinacji z czterocyfrowym
numerem.
W końcu mogę odgadnąć numer i
dostać się do urządzenia.
To jest słabość czynnika wiedzy.
Drugim czynnikiem jest tak zwany
czynnik posiadania.
To jest coś, co masz.
Jeśli pracujesz w dużym środowisku korporacyjnym,
być może otrzymałeś tak zwany brelok RSA.
Jest to małe urządzenie z niewielkim wyświetlaczem
LCD, na którym znajduje się sześć liczb, które zmieniają
się co 30-60 sekund.
Teraz, jeśli spróbujesz zalogować się do urządzenia,
które jest z nim zsynchronizowane, wprowadzisz te sześć cyfr.
Te sześć cyfr zmienia się co 30-60 sekund.
Znajomość właściwych cyfr dowodzi,
że jesteś w posiadaniu tego breloka i dlatego nazywamy
to czynnikiem posiadania.
Inne metody to korzystanie z
fizycznych tokenów.
Na przykład w rządzie USA, gdy próbują
zalogować się do swoich komputerów,
używają swojej karty identyfikacyjnej,
która ma wbudowany mały mikrochip.
Kiedy umieszczają tę kartę w swoim komputerze,
oznacza to, że są w posiadaniu swojego dowodu osobistego
i są tym, za kogo się podają.
Trzecim czynnikiem jest tak zwany
czynnik dziedziczenia.
Czynnik dziedziczenia to coś, czym jesteś.
Lubię myśleć o tym jak o częściach ciała.
Więc kiedy myślisz o współczynniku dziedziczenia
lub czymś, czym jesteś, tak naprawdę mówimy o biometrii.
Jeśli więc urządzenie mobilne używa odcisku palca do odblokowania,
będzie to czynnik dziedziczenia.
Podobnie, jeśli używasz czegoś takiego jak Face ID, gdzie będzie
on patrzył na strukturę twojej twarzy i pozwalał
ci odblokować telefon za jej pomocą, jest to również
czynnik biometryczny.
Nazwalibyśmy to więc czynnikiem dziedziczenia
lub czymś, czym jesteś.
Czwartym czynnikiem jest to, co nazywamy czynnikiem behawioralnym,
a ja lubię określać to jako coś, co robisz.
Teraz, gdy patrzysz na czynnik zachowania, będzie
on oparty na sposobie, w jaki robisz pewne rzeczy.
Teraz nie są one zbyt powszechne w urządzeniach mobilnych,
ale są używane w innych obszarach.
Dla przykładu, w jednej z placówek, w której pracowałem,
zainstalowano system kamer, który
wykrywał osoby wchodzące do budynku.
Powodem, dla którego to
zrobili, był pomiar chodu pracowników
podchodzących do drzwi.
Używali tego jako jednego z czynników uwierzytelniających,
że dana osoba jest tym, za kogo się podaje, ponieważ to zachowanie
było unikalne dla każdej osoby.
Innym obszarem, w którym widzimy zachowanie,
jest system rozpoznawania głosu.
Teraz można pomyśleć, że rozpoznawanie głosu będzie
czynnikiem dziedziczenia i może tak być, w zależności
od tego, jak skonfigurowany jest system uwierzytelniania.
Ale tak naprawdę większość systemów rozpoznawania
głosu nie patrzy na to, co powiedziałeś,
ale na to, jak to powiedziałeś.
Dzieje się tak, ponieważ każdy mówi co innego.
Nasz głos i sposób, w jaki wypowiadamy
pewne słowa, są unikalne.
Może to być również czynnik behawioralny.
Piątym czynnikiem uwierzytelniającym
jest tak zwany czynnik lokalizacji, który lubię
nazywać miejscem, w którym się znajdujesz.
Urządzenie jest wyposażone w odbiornik GPS, dzięki
czemu przez cały czas wie, gdzie
się znajduje.
Możemy więc wykorzystać tę lokalizację jako część
procesu uwierzytelniania i powiedzieć, że możesz zalogować
się do tego telefonu i korzystać z niego tylko wtedy,
gdy znajdujesz się w określonych obszarach.
Może to być kraj, stan lub miasto,
a nawet tylko przecznica wokół
budynku.
Będzie to zależeć od przypadku użycia, ale
byłem w organizacjach, w których mieliśmy
urządzenia mobilne, które mogły działać i być używane
tylko w obrębie jednej przecznicy od siedziby naszej firmy.
A jeśli posuniesz się dalej,
urządzenia te faktycznie się wyłączą i zablokują,
dopóki nie wrócisz do obwodu.
Jest to znane jako czynnik lokalizacji.
Teraz, jeśli użyjemy któregokolwiek z tych pięciu
czynników, czynnika wiedzy, czynnika posiadania, czynnika dziedziczenia,
czynnika zachowania lub czynnika lokalizacji, nazywamy
to uwierzytelnianiem jednoczynnikowym.
Jeśli więc wezmę moje urządzenie mobilne, przesunę
palcem w górę i wprowadzę czterocyfrowy
kod PIN, będzie to pojedynczy czynnik wiedzy.
Ale jeśli połączę dwa lub więcej z tych czynników razem, otrzymam
tak zwane uwierzytelnianie wieloskładnikowe.
Jeśli używasz dwóch czynników,
czasami nazywamy to uwierzytelnianiem dwuskładnikowym lub 2FA.
Jeśli masz mieszankę dwóch, trzech, czterech lub pięciu
z tych czynników, będzie to również znane
jako uwierzytelnianie wieloskładnikowe, ponieważ masz dwa lub więcej,
co czyni je wieloma czynnikami uwierzytelniania.
Teraz, gdy masz urządzenie wydane przez
twoją korporację, może ona użyć swojego MDM lub oprogramowania
do zarządzania urządzeniami mobilnymi, aby dokładnie określić, jakie
wymagania musisz spełnić, aby uzyskać
dostęp do tego urządzenia.
Może to być tak proste, jak ustawienie
kodu PIN lub długiego hasła o określonej
liczbie znaków, lub może wymagać użycia czynnika
dziedziczenia lub uwierzytelniania biometrycznego, takiego
jak odcisk palca lub skan twarzy.
Będzie to zależeć od polityki korporacyjnej
oraz używanego systemu i obsługiwanych
urządzeń.
Większość dzisiejszych smartfonów obsługuje
co najmniej jeden czynnik biometryczny lub czynnik dziedziczenia.
Będzie to odcisk palca lub skan twarzy, w zależności
od używanego modelu.
Innym zastosowaniem naszych smartfonów jest
obecnie system uwierzytelniania dwuskładnikowego.
Jeśli wejdziesz na stronę internetową,
w wielu przypadkach witryna będzie wymagać zalogowania
się przy użyciu nazwy użytkownika i hasła,
które są czynnikiem wiedzy lub czymś, co znasz.
Następnie wyślą ci wiadomość tekstową
z unikalnym kodem na twój smartfon.
To, co tutaj robią, to w rzeczywistości tworzenie MFA lub 2FA, ponieważ
używają teraz dwóch czynników, czynnika
wiedzy o nazwie użytkownika i haśle oraz czynnika
posiadania faktu, że masz smartfon
i odbierasz tę wiadomość tekstową.
Obecnie coraz więcej witryn korzysta z uwierzytelniania
dwuskładnikowego lub wieloskładnikowego, ponieważ zapewnia
ono znacznie bezpieczniejsze środowisko dla użytkowników.
Aby w tym pomóc, można również pobrać aplikację
o nazwie Authenticator, która służy jako czynnik posiadania wewnątrz
urządzenia mobilnego.
Authenticator umożliwia zarejestrowanie
go w witrynie obsługującej 2FA lub MFA.
Będzie on używany do tworzenia losowych kodów bez konieczności
posiadania fizycznego pilota do kluczy, ponieważ smartfon
działa jak pilot do kluczy i jest zsynchronizowany
ze stroną internetową, na której próbujesz
się uwierzytelnić.
Należy o tym pamiętać, myśląc o uwierzytelnianiu
wieloskładnikowym.
Wieloczynnikowy oznacza, że musisz mieć co najmniej
dwa z tych czynników.
Ostatnią rzeczą, o której chcę
wspomnieć, jeśli chodzi o uwierzytelnianie wieloskładnikowe,
i jest to coś, co często przeszkadza studentom, jest to,
że tylko dlatego, że masz dwa czynniki, nie oznacza jeszcze,
że jesteś wieloskładnikowy.
Gdybym kazał ci zalogować się przy użyciu nazwy użytkownika,
hasła i kodu PIN, byłyby to dwa czynniki wiedzy.
Nie jest to jednak uwierzytelnianie dwuskładnikowe
ani wieloskładnikowe, ponieważ oba te czynniki
należą do tej samej kategorii.
Oba są czymś, co wiesz, co
jest czynnikiem wiedzy.
Aby móc korzystać z uwierzytelniania
dwuskładnikowego lub wieloskładnikowego, musisz mieć co najmniej
dwie kategorie reprezentowane przez pięć czynników:
wiedzę, posiadanie, dziedziczenie, zachowanie i lokalizację.