עדכון אבטחת אינטרנט: אימות דו-גורמי ואימות רב-גורמי

באמצע שנות ה-80, כשהתחלתי את המסע שלי עם אלקטרוניקה למחשבים, לאנשים לא היו מספר חשבונות מקוונים כמו היום. אם היה לך כל סוג של "חשבון" הקשור למחשב, כנראה שהיית מחובר לסוכנות ממשלתית, מתקן מחקר או סוג של אקדמיה, באמצעות ARPANET, CSNET או NSFNET, מבשרי האינטרנט המודרני.

לחילופין, אם היית כמוני ומוגבל לשאיפות מחשוב צנועות יותר, השתמשת במחשב "ביתי" (שלי היה קומודור 64) והתחברת ל"מערכות לוח מודעות", שהיו דומות לאינטרנט המודרני, באמצעות מונה. . – הגדרת המודם דרך רשתות טלפון. ניתן גם להירשם לשירותי רשת מוכווני צרכן כגון FidoNet או Compuserve, הנטענים לפי דקה.

כדי לגשת לכל הטכנולוגיות הנפלאות הללו, השתמשת, ממש כמו היום, ב"חשבון", שהורכב משם משתמש (או שהוקצה או הומצא על ידך) וסיסמה. שני הדברים האלה פתחו את כל הדלתות שהיו לו לאינטרנט. דרישות הסיסמה היו פשוטות; אבטחה לא הייתה שיקול מרכזי ופשעי סייבר היו נדירים יחסית.

מהר קדימה להיום, ודברים השתנו באופן דרמטי. למרות שהפשיעה המקוונת התפוצצה לממדי מגיפה עצומים, אנחנו עדיין משתמשים בשמות משתמש וסיסמאות. למרות שדרישות הסיסמה הפכו מחמירות יותר והאבטחה נכנסה למוקד, אנחנו צריכים יותר במאבק כדי להישאר בטוחים באינטרנט; שמות משתמש וסיסמאות כבר לא מספיקים. הזן 2FA ו-MFA.

אימות דו-גורמי (2FA) ואימות רב-גורמי (MFA) הם מונחים המתארים למעשה את אותו הדבר: דרך להציג ראיות נוספות (הנקראות "גורמים") כדי להוכיח שאתה מי שאתה אומר שאתה כשאתה מנסה לגשת לשירות מקוון. כל התהליך נקרא "אימות", כלומר אתה בתום לב, או "אותנטי", ה"אתה" האמיתי.

מודל שם המשתמש/סיסמה הישן משתמש רק ב"גורם" אחד, שהוא הסיסמה. סיבה אחת לקבל "גורם" נוסף היא שכל כך הרבה מסדי נתונים של סיסמאות נפרצו ונחשפו לכל מי שמעוניין להסתכל. חלק מהאנשים אשמים גם בשימוש בסיסמאות חלשות, קלות לניחוש, שהם לעולם לא משנים. סיבה נוספת להזדקק ל"גורם" נוסף היא שאנשים רבים משתמשים באותה סיסמה עבור כל החשבונות שלהם. העובדה שיש יותר גורמים מקשה על האדם הלא נכון לגשת לחשבון.

הגורמים כוללים משהו שיש לך (כגון כרטיס בנק), משהו שאתה יודע (כגון סיסמה או PIN), משהו שאתה (ביומטרי, כגון טביעת אצבע או מאפיינים פיזיים אחרים ייחודיים לך), ואיפשהו אתה נמצא (כגון כמחובר לרשת ספציפית או מידע מיקום כגון GPS).

השימוש הנפוץ ביותר של אימות רב-גורמי הוא שליחת קוד בהודעת טקסט לטלפון שלך כאשר אתה מנסה להיכנס לחשבון מקוון. לדוגמה, אתה נכנס לאמזון על ידי הזנת הסיסמה שלך (הגורם הראשון). אמזון שולחת לך קוד שאתה חייב להזין (הגורם השני) ואז אתה רשאי להשתמש בחשבון אמזון שלך.

לרוע המזל, למרות שעדיין נעשה שימוש נרחב, השימוש בהודעות טקסט כדרך להשיג קודי MFA/2FA אינו מומלץ יותר. הרעים של האינטרנט מצאו דרכים רבות ושונות לפרוץ לשיטת הטקסט. מיקרוסופט למעשה פרסמה התראה בנובמבר האחרון שאמרה כי בשל חששות אבטחה, אנשים צריכים להתרחק מ-2FA מבוסס הודעות טקסט ולהתחיל להשתמש באפליקציות אימות כמו Authy, Microsoft Authenticator, או "טוקן מאובטח" כמו YubiKey.

העמודה הבאה: כיצד להשתמש בכלי MFA/2FA כמו Authy ו- Yubikey.

דייב מור, CISSP, מתקן מחשבים באוקלהומה מאז 1984. מייסד קבוצת Internet Safety Ltd ללא מטרות רווח, הוא גם מלמד סמינרי הדרכה קהילתיים בנושא בטיחות באינטרנט. ניתן ליצור איתו קשר בטלפון 405-919-9901 או internetsafetygroup.org