احراز هویت دومرحله ای به این صورت شکل می گیرد که از فرد خواسته می شود برای اثبات هویت خود، گواه بیاورد و او از مولفه دیگری برای اثبات هویت خود استفاده کند.
این روش برای کاهش احتمال ورود اطلاعات غلط یا ورود فرد غیرمجاز به سیستم طراحی شـده است. هر چه تعداد گواه ها یا همان مرحله های احراز هویت بیشتر باشد، احتمال تطابق مدعی هویت با فرد اصلی بیشتر خواهد شد.
به عنوان مثال، برای دسترسی به سیستم های دولت فدرال آمریکا، مدعی باید چند معیار را به یاد داشته باشد:
ـ چیزی که کاربر می داند (رمز عبور، PIN، الگو و )
ـ چیزی که کاربر دارد (کارت ATM، کارت هوشمند و )
ـ بخشی از بدن کاربر ( اثر انگشت، رتینای چشم و )
احراز هویت دومرحله ای مقوله جدیدی نیست و در طول تاریخ بسیار مورد استفاده قرار گرفته است. مثلا وقتی فردی به خودپرداز بانک مراجعه می کند و کارت خود را وارد دستگاه می کند، باید شماره رمز خود را به عنوان فاکتور دوم نیز وارد کند و بدون تائید هر دوی اینها، احراز هویت و در نتیجه عملیات انجام نمی شود.
سیستم های احراز هویت امروزی، از Token (توکن) برای انجام عملیات استفاده می کنند. توکن می تواند به صورت دستگاهی قطع (Disconnected Token) یا به صورت متصل باشد. در حالت دوم، توکن می تواند شکل و ساختارهای مختلفی داشته باشد و در بسترهای مختلفی پیاده سازی شود که معمول ترین آنها، پیامک و نرم افزارهای تلفن همراه است.
احراز هویت دومرحله ای می تواند ترکیبی از رمزهای عبور و پاسخ های پنهان به یک سوال یا سریالی از اعداد و حروف در فرم، یا یک پیام کوتاه باشد. با این که بسیاری از سیستم های احراز هویت دو مرحله ای از وقوع تقلب جلوگیری می کنند، اما دیوار محکمی مقابل تمام تهدیدها نیستند.
این سیستم احراز هویت در شاخه های مختلفی از صنعت همچون فعالیت های سازمانی (دورکاری، بانکداری آنلاین، تجارت الکترونیک و بیومتریک به کار گرفته شده اند.
انواع مختلفی از احراز هویت های دو مرحله ای (که به اختصار ۲FA نامیده می شود) امروزه در حال استفاده است. وب سایت های معروف و مشهوری مانند فیس بوک، گوگل، مایکروسافت و اپل این مدل احراز هویت را به کار گرفته اند. با وجود این، شبکه و اطلاعات مشتریان هنوز در معرض خطر خواهند بود.
پیش از انتخاب یک سیستم احراز هویت دو مرحله ای، بهتر است در میان گزینه های موجود تحقیق کرد و درکی واضح از سطح امنیت آن داشت.
افسانه شماره ۱
احراز هویت دو مرحله ای امکان هک شدن اطلاعات کاربران سایت را به طور کل نابود می کند.
واقعیت موجود
برای پیاده سازی احراز هویت دو مرحله ای، وب سایت ها باید از توکن یا کلیدهای رمزگذاری شده خاصی در دستگاه های کاربران استفاده کنند. استفاده از احراز هویت دومرحله ای به همکاری کاربر نیز نیاز دارد و پیاده سازی آن را کند و دشوارتر می کند.
معمولا وب سایت ها احراز هویت دومرحله ای را به عنوان یک گزینه غیرضروری در کنار گزینه دیگر قرار می دهند و بیشتر کاربران هم از کنار آن بسادگی می گذرند.
افسانه شماره ۲
مجرمان مجازی هنوز نتوانسته اند وب سایتی را که از احراز هویت دومرحله ای استفاده می کند، هک کنند.
واقعیت موجود
هیچ چیز در وب امن نیست. در حالی که بیشتر پیاده سازی های احراز هویت دو مرحله ای باعث بهبود امنیت می شود، اما بسیاری از آنها مشکلات عمده ای در حوزه امنیت دارند. با استفاده از احراز هویت دومرحله ای مبتنی بر توکن، مشخص نمی شود سطح امنیت بهتر می شود یا خیر بخصوص در مواردی که احراز هویت را شرکتی جانبی به عهده دارد و تنها زمانی می توان حفره امنیتی آن را متوجه شد که یک حمله امنیتی رخ دهد و اطلاعاتی از دست برود.
به عنوان مثال در مارس ۲۰۱۱ موسسه امنیتی RSA SecurID که احراز هویت دومرحله ای را از طریق پیامک انجام می داد، با چنین مشکلی مواجه شد.
مشکلات امنیتی باتوجه به اپراتور مخابراتی یا به روزرسانی های نرم افزاری بیشتر می شود. همچنین امکان نصب بدافزارها روی تلفن همراه نیز وجود دارد و عامل دیگری به عنوان سیستم عامل مشترکان نیز در جهت بالابردن میزان خطر به عملیات احراز هویت دو مرحله ای اضافه می شود.
افسانه شماره ۳
احراز هویت دو مرحله ای به دو دستگاه مختلف مثل لپ تاپ یا تلفن همراه نیاز دارد.
واقعیت موجود
دستگاه های موبایل بسادگی می توانند روی یک دستگاه، اطلاعات کلیدی و معیارهای مهم را در خود ذخیره کنند تا ورود از طریق همان دستگاه ممکن شود. احراز هویت دو مرحله ای می تواند در دستگاه هایی پیاده شود که قابلیت ذخیره اطلاعات کلیدی را دارند. هر چند این اقدام باید به گونه ای انجام شود که کاربر بتواند مالکیت خود را بر آن دستگاه ثابت کند.
یک نرم افزار می تواند بسادگی این اطلاعات را از کاربر دریافت و با استفاده از تکنیک های رمزگذاری، به کلید رمزگذاری شده دسترسی پیدا کند و بدون نیاز به ترک کاربر، تمام اطلاعات لازم برای نفوذ به اطلاعات کاربر را در یک محل داشته باشد.
افسانه شماره ۴
احراز هویت دومرحله ای از زمان معرفی خود تاکنون تغییر نکرده است.
واقعیت موجود
سیستم های احراز هویت دومرحله ای طی چند سال اخیر با تغییرات بسیاری مواجه شده اند. فناوری اولیه احراز هویت دومرحله ای از توکن های سخت افزاری استفاده می کرد که رمزهای عبور یک بار مصرف تولید می کردند. اخیرا سیستم های رمزگذاری دو مرحله ای از پیامک یا دیگر واسطه های ارتباطی برای انجام کارهای خود استفاده می کنند و به روزترین آنها، از نرم افزار موبایلی بهره می برند که می تواند کلیدهای معتبر را به کاربر نشان دهد.
افسانه شماره ۵
سیستم های احراز هویت دومرحله ای در واکنش به مشکلات امنیتی یا پاسخ به رگولاتوری ایجاد شده اند و مزاحم تجربه کاربر از سیستم می شوند.
واقعیت موجود
برخی شرکت ها احراز هویت دو مرحله ای را به این دلیل ارائه می کنند که مجبورند. راه حل هایی که این شرکت ها از آنها استفاده می کنند، همچون تشخیص مرورگر به زحمت می تواند کاربرد احراز هویت دو مرحله ای آنها را تامین کند.
شاید دلیل اصلی این رویداد این باشد که توسعه دهندگان و متخصصان فناوری اطلاعات هنوز نمی دانند احراز هویت دومرحله ای به چه شیوه ای می تواند جلوی تقلب را بگیرد و می خواهند جلوی به زحمت افتادن بیشتر کاربران را بگیرند.
یکی از روش هایی که می توان از طریق آن، تجربه کاربر را دستخوش تغییر عمده نکرد، پیاده سازی سازوکار احراز هویت چندسطحی است که به کاربر اجازه می دهد در انجام عملیات با ریسک پایین تر، از احراز هویت تک مرحله ای استفاده کند و به این ترتیب با کاهش ریسک می توان از کند شدن روند استفاده کاربر از نرم افزار کاست.
این روش برای کاهش احتمال ورود اطلاعات غلط یا ورود فرد غیرمجاز به سیستم طراحی شـده است. هر چه تعداد گواه ها یا همان مرحله های احراز هویت بیشتر باشد، احتمال تطابق مدعی هویت با فرد اصلی بیشتر خواهد شد.
به عنوان مثال، برای دسترسی به سیستم های دولت فدرال آمریکا، مدعی باید چند معیار را به یاد داشته باشد:
ـ چیزی که کاربر می داند (رمز عبور، PIN، الگو و )
ـ چیزی که کاربر دارد (کارت ATM، کارت هوشمند و )
ـ بخشی از بدن کاربر ( اثر انگشت، رتینای چشم و )
احراز هویت دومرحله ای مقوله جدیدی نیست و در طول تاریخ بسیار مورد استفاده قرار گرفته است. مثلا وقتی فردی به خودپرداز بانک مراجعه می کند و کارت خود را وارد دستگاه می کند، باید شماره رمز خود را به عنوان فاکتور دوم نیز وارد کند و بدون تائید هر دوی اینها، احراز هویت و در نتیجه عملیات انجام نمی شود.
سیستم های احراز هویت امروزی، از Token (توکن) برای انجام عملیات استفاده می کنند. توکن می تواند به صورت دستگاهی قطع (Disconnected Token) یا به صورت متصل باشد. در حالت دوم، توکن می تواند شکل و ساختارهای مختلفی داشته باشد و در بسترهای مختلفی پیاده سازی شود که معمول ترین آنها، پیامک و نرم افزارهای تلفن همراه است.
احراز هویت دومرحله ای می تواند ترکیبی از رمزهای عبور و پاسخ های پنهان به یک سوال یا سریالی از اعداد و حروف در فرم، یا یک پیام کوتاه باشد. با این که بسیاری از سیستم های احراز هویت دو مرحله ای از وقوع تقلب جلوگیری می کنند، اما دیوار محکمی مقابل تمام تهدیدها نیستند.
این سیستم احراز هویت در شاخه های مختلفی از صنعت همچون فعالیت های سازمانی (دورکاری، بانکداری آنلاین، تجارت الکترونیک و بیومتریک به کار گرفته شده اند.
انواع مختلفی از احراز هویت های دو مرحله ای (که به اختصار ۲FA نامیده می شود) امروزه در حال استفاده است. وب سایت های معروف و مشهوری مانند فیس بوک، گوگل، مایکروسافت و اپل این مدل احراز هویت را به کار گرفته اند. با وجود این، شبکه و اطلاعات مشتریان هنوز در معرض خطر خواهند بود.
پیش از انتخاب یک سیستم احراز هویت دو مرحله ای، بهتر است در میان گزینه های موجود تحقیق کرد و درکی واضح از سطح امنیت آن داشت.
افسانه شماره ۱
احراز هویت دو مرحله ای امکان هک شدن اطلاعات کاربران سایت را به طور کل نابود می کند.
واقعیت موجود
برای پیاده سازی احراز هویت دو مرحله ای، وب سایت ها باید از توکن یا کلیدهای رمزگذاری شده خاصی در دستگاه های کاربران استفاده کنند. استفاده از احراز هویت دومرحله ای به همکاری کاربر نیز نیاز دارد و پیاده سازی آن را کند و دشوارتر می کند.
معمولا وب سایت ها احراز هویت دومرحله ای را به عنوان یک گزینه غیرضروری در کنار گزینه دیگر قرار می دهند و بیشتر کاربران هم از کنار آن بسادگی می گذرند.
افسانه شماره ۲
مجرمان مجازی هنوز نتوانسته اند وب سایتی را که از احراز هویت دومرحله ای استفاده می کند، هک کنند.
واقعیت موجود
هیچ چیز در وب امن نیست. در حالی که بیشتر پیاده سازی های احراز هویت دو مرحله ای باعث بهبود امنیت می شود، اما بسیاری از آنها مشکلات عمده ای در حوزه امنیت دارند. با استفاده از احراز هویت دومرحله ای مبتنی بر توکن، مشخص نمی شود سطح امنیت بهتر می شود یا خیر بخصوص در مواردی که احراز هویت را شرکتی جانبی به عهده دارد و تنها زمانی می توان حفره امنیتی آن را متوجه شد که یک حمله امنیتی رخ دهد و اطلاعاتی از دست برود.
به عنوان مثال در مارس ۲۰۱۱ موسسه امنیتی RSA SecurID که احراز هویت دومرحله ای را از طریق پیامک انجام می داد، با چنین مشکلی مواجه شد.
مشکلات امنیتی باتوجه به اپراتور مخابراتی یا به روزرسانی های نرم افزاری بیشتر می شود. همچنین امکان نصب بدافزارها روی تلفن همراه نیز وجود دارد و عامل دیگری به عنوان سیستم عامل مشترکان نیز در جهت بالابردن میزان خطر به عملیات احراز هویت دو مرحله ای اضافه می شود.
افسانه شماره ۳
احراز هویت دو مرحله ای به دو دستگاه مختلف مثل لپ تاپ یا تلفن همراه نیاز دارد.
واقعیت موجود
دستگاه های موبایل بسادگی می توانند روی یک دستگاه، اطلاعات کلیدی و معیارهای مهم را در خود ذخیره کنند تا ورود از طریق همان دستگاه ممکن شود. احراز هویت دو مرحله ای می تواند در دستگاه هایی پیاده شود که قابلیت ذخیره اطلاعات کلیدی را دارند. هر چند این اقدام باید به گونه ای انجام شود که کاربر بتواند مالکیت خود را بر آن دستگاه ثابت کند.
یک نرم افزار می تواند بسادگی این اطلاعات را از کاربر دریافت و با استفاده از تکنیک های رمزگذاری، به کلید رمزگذاری شده دسترسی پیدا کند و بدون نیاز به ترک کاربر، تمام اطلاعات لازم برای نفوذ به اطلاعات کاربر را در یک محل داشته باشد.
افسانه شماره ۴
احراز هویت دومرحله ای از زمان معرفی خود تاکنون تغییر نکرده است.
واقعیت موجود
سیستم های احراز هویت دومرحله ای طی چند سال اخیر با تغییرات بسیاری مواجه شده اند. فناوری اولیه احراز هویت دومرحله ای از توکن های سخت افزاری استفاده می کرد که رمزهای عبور یک بار مصرف تولید می کردند. اخیرا سیستم های رمزگذاری دو مرحله ای از پیامک یا دیگر واسطه های ارتباطی برای انجام کارهای خود استفاده می کنند و به روزترین آنها، از نرم افزار موبایلی بهره می برند که می تواند کلیدهای معتبر را به کاربر نشان دهد.
افسانه شماره ۵
سیستم های احراز هویت دومرحله ای در واکنش به مشکلات امنیتی یا پاسخ به رگولاتوری ایجاد شده اند و مزاحم تجربه کاربر از سیستم می شوند.
واقعیت موجود
برخی شرکت ها احراز هویت دو مرحله ای را به این دلیل ارائه می کنند که مجبورند. راه حل هایی که این شرکت ها از آنها استفاده می کنند، همچون تشخیص مرورگر به زحمت می تواند کاربرد احراز هویت دو مرحله ای آنها را تامین کند.
شاید دلیل اصلی این رویداد این باشد که توسعه دهندگان و متخصصان فناوری اطلاعات هنوز نمی دانند احراز هویت دومرحله ای به چه شیوه ای می تواند جلوی تقلب را بگیرد و می خواهند جلوی به زحمت افتادن بیشتر کاربران را بگیرند.
یکی از روش هایی که می توان از طریق آن، تجربه کاربر را دستخوش تغییر عمده نکرد، پیاده سازی سازوکار احراز هویت چندسطحی است که به کاربر اجازه می دهد در انجام عملیات با ریسک پایین تر، از احراز هویت تک مرحله ای استفاده کند و به این ترتیب با کاهش ریسک می توان از کند شدن روند استفاده کاربر از نرم افزار کاست.
نظرات شما عزیزان:
تبادل
لینک هوشمند