對多因子身份驗證的四個錯誤看法
作者:星期四, 十一月 21, 20190

一旦員工落入網絡釣魚陷阱或共享了密碼,未實施多因子身份驗證 (MFA) 方法的公司企業便對攻擊敞開了大門。拿什么來阻止他們滑向深淵?

被盜憑證是當今公司企業面臨的一大威脅。為什么?攻擊者用的就是有效(被盜但有效)憑證,公司設置的殺毒軟件、防火墻和其他防護技術憑什么將這些東西標記為異常?這些工具假定訪問公司網絡的人就是他們自己聲稱的身份。

現在公司企業都已熟知此類威脅,但很多公司的密碼安全仍有許多工作要做。兩年前針對美國和英國 500 位 IT 安全經理的調查表明,僅 38% 的公司企業采用多因子身份驗證 (MFA) 以更好地保護網絡憑證。令人遺憾的是,最近的調查研究顯示這一情況并未發生多大變化。

為什么公司企業疏于采納 MFA?

有幾個誤解在阻礙 MFA 采納:

1. 只有大企業才該用 MFA

這是個常見的錯誤認知。很多企業認為公司需達一定規模才能從 MFA 獲益。他們都錯了。任何企業,無論規模如何,都應將 MFA 當做關鍵安全措施。任何一家公司,需要保護的數據都同樣敏感,數據泄露造成的破壞也一樣嚴重。而使用 MFA 既不復雜,也不昂貴,更不會讓人有挫敗感。

2. MFA 應僅用于保護特權用戶

又錯了。絕大多數企業里,大部分員工都能訪問有價值數據,所以他們*僅*依賴本地 Windows 憑證。似乎要求他們使用 MFA 登錄有點夸張。但真不是這樣。這些“非特權”雇傭實際上擁有可對公司造成傷害的數據訪問權。舉個例子,一名護士就能將名人就醫資料賣給媒體。這顯示出了數據的價值,以及不當使用該數據可造成的危害。

而且,不止如此。網絡罪犯通常不直接對特權賬戶下手;他們利用上鉤網絡釣魚的任何賬戶,然后在網絡中橫向移動,以便查找、訪問和滲漏有價值數據。

3. MFA 不完美

好吧,沒有哪個安全解決方案是完美的,但 MFA 已經接近完美了。或許您已經聽說了,FBI 最近發布了一份警告,是關于網絡罪犯能夠繞過 MFA 的幾種情況的。存在兩個主要的身份驗證器漏洞:“信道劫持” 和 “實時網絡釣魚”。前者涉及接管身份驗證器所用通信信道,后者采用中間機器攔截并重放身份驗證消息。專家稱,此類攻擊需花費大量資金和精力。多數黑客如果遇到 MFA 就會轉向其他更容易攻克的受害者了,不會嘗試繞過此安全措施。用戶也可采取簡單的預防措施來避免一些漏洞,比如選擇不依賴短信驗證的 MFA 身份驗證器。(美國國家標準與技術局在其最新的《數字身份指南》中勸阻采用短信和語音驗證方法。)

盡管發現了 MFA 漏洞,FBI 仍確認,MFA 依然有效,是公司改善安全可采取的最簡單步驟之一。

4. MFA 有礙用戶生產力

未必。每種新技術都面臨同樣的挑戰:以最不影響員工生產力的方式實現。如果干擾太大,用戶就會設法規避這些安全控制。沒有這種敏感度,技術采納就會很慢,甚至停滯。因此,MFA 需要靈活性。管理員可能希望避免讓用戶每次登錄都要面對 MFA 驗證彈框。這正是 MFA 應根據每家公司具體需求加以調整的原因所在。

任何人都可能淪為被盜憑證的受害者,無論您是特權用戶還是非特權用戶。使用 MFA 應成為每家公司的主要安全措施,也是保持賬戶安全的最簡單方法之一。

相關閱讀

 

多因子身份驗證的五個趨勢

多因子身份驗證(MFA)技術盤點

 

 


相關文章

寫一條評論

 

 

0條評論