مزایای احراز هویت FIDO برای سازمانها
سیستم‌های مدیریت هویت و دسترسی (IAM) در حال تغییر هستند. زیرا هکرها روش‌هایشان را پیشرفته‌تر کرده و قانون‌ها هم برای حفاظت از اطلاعات کاربران سخت‌گیرانه‌تر می‌شوند. روش‌های قدیمی که از رمزهای عبور ساده استفاده می‌کنند، دیگر جوابگو نیستند. حتی روش‌های جدیدتر مثل احراز هویت دو مرحله‌ای با پیامک هم در حال کنار گذاشته شدن است. دنیای احراز هویت در حال حرکت به سمت روش‌های جدید و امن‌تری است. دیگر خبری از رمزهای عبور نبوده و به جای آنها، از روش‌هایی مثل اثر انگشت، تشخیص چهره و کلیدهای امنیتی استفاده می‌شود. چرا FIDO بسیار مهم است؟ چون این استاندارد، روش‌های احراز هویت را ساده‌تر، امن‌تر و قابل اطمینان‌تر نموده است. استاندارد FIDO به جای رمزهای عبور از کلیدهای امنیتی استفاده می‌کند که هک کردن آنها بسیار سخت‌تر است.
FIDO چیست؟
FIDO مجموعه‌ای از استانداردهای باز احراز هویت است که توسط اتحاد FIDO توسعه یافته است. این اتحاد شامل شرکت‌های پیشرو در فناوری مانند اپل، گوگل، مایکروسافت، سازمان‌های مالی مانند Bank of America، مسترکارت و ویزا و سازمان‌های نظارتی مانند NIST است. مأموریت اعلام شده آن ایجاد استانداردهای احراز هویت است که به کاهش وابستگی جهان به رمزهای عبور کمک می‌کند.
FIDO یک روش امن و مدرن برای ورود به حساب‌های آنلاین است که به جای رمز عبور از روش‌های قوی‌تر مثل اثر انگشت یا کلید امنیتی استفاده می‌کند.
مزایای FIDO برای سازمانها
یکی از مزایای اصلی فرایند احراز هویت با FIDO، استفاده همزمان از عوامل مختلف مانند کلید و ویژگی‌های ذاتی همچون اثرانگشت است. این کار شرایط احراز هویت چند عاملی را بدون استفاده از رمزهای عبور و بدون ایجاد مزاحمت برای کاربر برآورده می‌کند.
مزایای دیگری نیز در استفاده از FIDO برای احراز هویت وجود دارد، که از مهم‌ترین آنها می‌توان به هشت مزیت زیر برای سازمانها اشاره کرد.
- احراز هویت بدون رمز عبور: حملات رمز عبور همچنان بزرگترین خطر برای فضای امنیت دیجیتال است. سرقت اطلاعات ورود به سامانه‌ها ریشه اصلی 80 درصد حملات وب و 50 درصد نقض‌های داده است. آنها همچنین سکوی پرتاب برای حملات دیگر مانند باج‌افزار نیز هستند. استفاده از یک راه‌حل احراز هویت بدون رمز عبور به طور قابل توجهی دفاع‌ها در این زمینه را تقویت و آسیب‌پذیری در برابر حملات فیشینگ و مهندسی اجتماعی را کاهش می‌دهد.
- عدم وجود راز مشترکی: مشکل رازهای مشترک این است که بیش از یک طرف آنها را می‌داند و می‌تواند از آن استفاده کند. این امر در مورد رمزهای عبور و سایر MFAهای رایج مانند پیام کوتاه (SMS) و OTPها صدق می‌کند. یکی از مزایای احراز هویت FIDO و رمزنگاری کلید عمومی این است که راز حیاتی، کلید خصوصی کاربر، روی دستگاه او باقی می‌ماند. در نتیجه، هیچ راز مشترک سمت سروری برای سرقت وجود ندارد تا احتمال یک نقض موفق را افزایش دهد.
- تأمین امنیت حریم خصوصی کاربر: از جمله مزایای رمزنگاری کلید عمومی FIDO این است که جفت کلیدهای عمومی و خصوصی مورد استفاده هیچ اطلاعات شخصی را ارائه نمی‌دهند. همچنین این کلیدها هیچ ارتباطی بین سرورها یا حساب‌های مختلف کاربر ایجاد نمی‌کنند. علاوه بر این، داده‌های بیومتریک مورد استفاده برای گشودن قفل کلید خصوصی هرگز دستگاه کاربر را ترک نمی‌کند و نمی‌توان آن را از سرورها یا از طریق حملات man-in-the-middle سرقت کرد.
- انطباق با قوانین و الزامات بالادستی: احراز هویت ناامن خطر عدم انطباق با مقررات امنیت و حریم خصوصی را افزایش می‌دهد که می‌تواند منجر به جریمه، از دست دادن اعتماد عمومی و افزایش هزینه‌های کسب و کار شود. احراز هویت مبتنی بر FIDO با استانداردهای امنیت سایبری تعیین شده توسط سازمان‌های دولتی و صنعت مانند NIST 800-63B و PSD2 مطابقت دارد و حتی از آنها پیشی گرفته است. علاوه بر این، حمایت سازمان‌های بزرگ دنیا به آن جایگاه قوی در زمینه روش‌های پذیرفته شده برای برآورده کردن سایر الزامات نظارتی مانند PCI-DSS می‌دهد.
- قابلیت همکاری: پروتکل FIDO توسط گروه بزرگی از سازمان‌های امنیتی، فناوری، موسسات مالی و نهادهای نظارتی توسعه و مدیریت می‌شود. تمام مشخصات به صورت رایگان برای بررسی و پیاده‌سازی در دسترس است. علاوه بر این، احراز هویت FIDO به عنوان یک استاندارد منبع باز می‌تواند بدون محدودیت با یک سیستم عامل، ارائه دهنده هویت (IdP) یا سرویس ورود یکپارچه (SSO) در تمام پلتفرم‌ها بدون مشکل کار کند. این به کاربران امکان می‌دهد تا تمام دستگاه‌ها و برنامه‌های کاربردی خود را با همان احراز هویت امن ادغام کنند.
- راحتی کاربر: مزایای استفاده از احراز هویت FIDO نه تنها به سمت توسعه‌دهنده محدود نیست، بلکه به سمت کاربران نیز گسترش می‌یابد. فرآیند احراز هویت FIDO، احراز هویت چند عاملی ایمن را در یک حرکت ساده، مثل تایید یک اعلان، امکان‌پذیر می‌کند. طیف وسیعی از دستگاه‌ها و روش‌های موجود، مانند تلفن هوشمند و کلیدهای امنیتی، یک سیستم انعطاف‌پذیر ایجاد می‌کنند که می‌تواند نیازهای کاربران فردی و سازمانی را به سادگی برآورده کند.
- مقیاس‌پذیری: یکی از چالش‌های اصلی برای گسترش پذیرش فرایندهای احراز هویت ایمن‌تر، هزینه و دشواری استقرار دارایی‌هایی مانند کلیدهای امنیتی یا حسگرهای بیومتریک است. از دیگر مزایای FIDO این است که چگونه به کاربران اجازه می‌دهد تا عوامل مورد نیاز احراز هویت را با استفاده از دستگاه‌های موجود و فعلی خود برآورده کنند. از این جمله می‌توان به تلفن همراه هوشمند، کارت شناسایی RFID یا NFC و هرگونه کلید سخت‌افزاری اشاره نمود. همچنین، سازگاری بین پلتفرم‌های FIDO، یک راه‌حل احراز هویت استاندارد را خیلی سریع در کل اکوسیستم سازمان قابل استقرار و مقیاس‌پذیر می‌کند.
- کاهش هزینه‌ها: رمزهای عبور نه تنها خطر قابل توجهی برای سازمان ایجاد می‌کنند، بلکه یک هزینه مستقیم نیز هستند. یک گزارش تحقیقاتی از Verizon نشان می‌دهد که کارمندان 6-10 بار در سال به خاطر مشکلات رمز عبور با پشتیبانی فناوری اطلاعات سازمان تماس می‌گیرند. هزینه هر بازنشانی رمز عبور می‌تواند برای سازمان قابل توجه باشد. علاوه بر این، هزینه عدم ورود و در واقع عدم بهره‌وری در زمانی که کارمندان به دلیل فراموشی رمز عبور امکان ورود به سیستم‌های خود را ندارند نیز باید در نظر گرفت تا هزینه کامل وارده به سازمان محاسبه گردد. مزایای احراز هویت FIDO شامل حذف این هزینه‌ها و همچنین اختلال در کسب و کار و هزینه‌های پاسخگویی به حوادث مرتبط با حملات مبتنی بر رمزهای عبور است.
نشانه، راهکار احراز هویت بدون رمز عبور مبتنی بر FIDO است که در شرکت رهسا و به صورت کاملا بومی توسعه داده شده است. ما در تیم توسعه نشانه تلاش می‌کنیم با ارائه راهکاری کارامد، به صرفه و آسان، فرآیند کنار گذاشتن رمزهای عبور و مهاجرت به دنیای امن بدون رمزعبور را برای افراد و سازمانها تسهیل کنیم. راهکار نشانه به گونه‌ای تهیه شده است تا تمامی مزایای تشریح شده را برای سازمانها محقق گرداند. در این مسیر با معرفی نقاط ضعف روش‌های موجود احراز هویت، معرفی روش‌های جدید این حوزه و آخرین دستاوردهای آن و ارائه اطلاعات فنی به متخصصان، تلاش می‌نماییم تا نقشی هر چند کوچک در ارتقای دانش عمومی و سطح امنیت سرویس‌های داخلی داشته باشیم.
