Monivaiheinen todennus ( MFA , englanninkielinen monivaiheinen todennus , MFA ) - edistynyt todennus , menetelmä, jolla valvotaan pääsyä johonkin ( tietokone , sivusto ja niin edelleen ), jossa käyttäjän on esitettävä useampi kuin yksi "todiste todennusmekanismista " päästäkseen käsiksi tietoihin .
Tällaisten todisteiden luokkiin kuuluvat:
Pääartikkeli: Todennus
Jo ennen tietokoneiden tuloa käytettiin kohteen erilaisia erityisiä piirteitä, sen ominaisuuksia. Nyt yhden tai toisen ominaisuuden käyttö järjestelmässä riippuu vaaditusta luotettavuudesta, turvallisuudesta ja toteutuskustannuksista. Todennustekijöitä on kolme:
Asiantuntijoiden mukaan monitekijäinen todennus vähentää merkittävästi verkkoidentiteettivarkauksien mahdollisuutta, sillä uhrin salasanan tunteminen ei riitä petoksen tekemiseen. Monet monitekijätodennusmenetelmät ovat kuitenkin edelleen haavoittuvia tietojenkalastelu- , selain- ja mies keskellä -hyökkäyksille .
Pääartikkeli: Todennus
Järjestelmälle yhtä tai toista todennustekijää tai -menetelmää valittaessa on ensinnäkin noudatettava vaadittua turvallisuustasoa, järjestelmän rakentamiskustannuksia ja tutkittavan liikkuvuuden varmistamista.
Tässä vertailutaulukko:
| Riskin taso | Laitteistovaatimukset | Todennustekniikka | Sovellusesimerkkejä |
|---|---|---|---|
| Lyhyt | Järjestelmään pääsy edellyttää todennusta, eikä varkaus, hakkerointi tai luottamuksellisten tietojen paljastaminen aiheuta merkittäviä seurauksia | Suositeltu vähimmäisvaatimus on uudelleenkäytettävien salasanojen käyttö. | Rekisteröityminen Internet-portaalissa |
| Keskiverto | Järjestelmään pääsy edellyttää todennusta, ja varkaus, hakkerointi ja luottamuksellisten tietojen paljastaminen aiheuttavat vain vähän vahinkoa | Suositeltu vähimmäisvaatimus on kertakäyttöisten salasanojen käyttö | Pankkitoimintojen suorittaminen kohteen toimesta |
| Korkea | Järjestelmään pääsy edellyttää todennusta, ja varkaus, hakkerointi ja luottamuksellisten tietojen paljastaminen aiheuttavat merkittäviä vahinkoja | Suositeltu vähimmäisvaatimus - Käytä monivaiheista todennusta | Suurten pankkien välisten liiketoimien suorittaminen johtohenkilöstön toimesta |
Maksukorttiteollisuuden (PCI) tietoturvastandardi, vaatimus 8.3, edellyttää MFA:n käyttöä kaikessa verkon ulkopuolisessa etäverkkokäytössä Card Data Environment (CDE) -ympäristöön. [1] PCI-DSS-versiosta 3.2 alkaen MFA:n käyttö vaaditaan CDE:n järjestelmänvalvojan käyttöön, vaikka käyttäjä olisi luotetussa verkossa.
Kaksivaiheinen todennus ( DFA , englanniksi kaksivaiheinen todennus , joka tunnetaan myös nimellä kaksivaiheinen todennus ) on eräänlainen monitekijätodennus. DFA on tekniikka, joka mahdollistaa käyttäjän tunnistamisen kahden eri komponentin yhdistelmällä.
Esimerkkejä kaksivaiheisesta todennuksesta ovat Googlen ja Microsoftin valtuutus . Kun käyttäjä kirjautuu sisään uudelta laitteelta, häntä pyydetään antamaan käyttäjätunnus-salasana-todennuksen lisäksi kuusinumeroinen (Google) tai kahdeksannumeroinen (Microsoft) vahvistuskoodi. Tilaaja voi vastaanottaa sen tekstiviestillä , soittamalla puhelimeensa, vahvistuskoodin voi ottaa etukäteen laaditusta kertakoodien rekisteristä tai todennussovelluksella voidaan luoda uusi kertakäyttöinen salasana lyhyesti. ajanjaksoja . Menetelmä valitaan Google- tai Microsoft-tilin asetuksista.
Mobiililaitteen kaksivaiheisen todennuksen etu:
Mobiililaitteen kaksivaiheisen todennuksen haitat:
Nyt monet suuret palvelut, kuten Microsoft, Google, Dropbox, Facebook, tarjoavat jo mahdollisuuden käyttää kaksivaiheista todennusta. Ja kaikissa niissä voit käyttää yhtä autentikointisovellusta , joka täyttää tietyt standardit, kuten Google Authenticator, Microsoft Authentificator, Authy tai FreeOTP.
Monet monitekijätodennustuotteet edellyttävät, että käyttäjällä on asiakasohjelmisto, jotta monitekijätodennusjärjestelmä toimii. Jotkut kehittäjät ovat luoneet erilliset asennuspaketit verkkokirjautumiseen, verkkokäyttöoikeuksiin ja VPN-yhteyteen. Jotta voit käyttää merkkiä tai älykorttia näiden tuotteiden kanssa , sinun on asennettava neljä tai viisi erityistä ohjelmistopakettia tietokoneellesi. Nämä voivat olla versionhallintapaketteja tai paketteja, joilla tarkistetaan ristiriitoja yrityssovellusten kanssa. Jos pääsy voidaan tehdä web-sivujen kautta, ei odottamattomia kustannuksia aiheudu. Muilla monitekijätodennusohjelmistoratkaisuilla, kuten "virtuaalisilla" tunnuksilla tai joillakin laitteistotunnisteilla, suorat käyttäjät eivät voi asentaa mitään ohjelmistoa.
Monitekijätodennusta ei ole standardoitu. Sen toteuttamiseen on erilaisia muotoja. Siksi ongelma piilee sen kyvyssä olla vuorovaikutuksessa. On monia prosesseja ja näkökohtia, jotka on otettava huomioon valittaessa, kehitettäessä, testattaessa, toteutettaessa ja ylläpidettäessä täydellistä tietoturvan identiteetin hallintajärjestelmää, mukaan lukien kaikki asiaankuuluvat todennusmekanismit ja niihin liittyvät tekniikat: Brent Williams kuvailee nämä kaikki "Identity"-kontekstissa. Elinkaari" [1]
Monitekijätodennuksella on useita haittoja, jotka estävät sen jakelun. Erityisesti henkilön, joka ei ymmärrä tätä aluetta, on vaikea seurata laitteistotunnusten tai USB-avainten kehitystä. Monet käyttäjät eivät pysty asentamaan sertifioitua asiakasohjelmistoa itse, koska heillä ei ole asianmukaisia teknisiä taitoja. Yleensä monitoimiratkaisut vaativat lisäasennus- ja käyttökustannuksia. Monet tokeneihin perustuvat laitteistokompleksit on patentoitu, ja jotkut kehittäjät veloittaa käyttäjiltä vuosimaksun. Logistisesta näkökulmasta laitteistotokeneja on vaikea sijoittaa, koska ne voivat vaurioitua tai kadota. Tokenien liikkeeseenlaskua suurissa organisaatioissa, kuten pankeissa ja muissa suurissa yrityksissä, tulisi säännellä. Monitekijätodennuksen asennuskustannusten lisäksi huomattava summa maksetaan myös ylläpidosta. Vuonna 2008 suuri mediaresurssi Credit Union Journal suoritti tutkimuksen yli 120 yhdysvaltalaisen luotto-osuuskunnan kesken. Kyselyn tarkoituksena on näyttää kaksivaiheiseen tunnistamiseen liittyvät ylläpitokustannukset. Lopulta kävi ilmi, että ohjelmiston sertifioinnilla ja työkalurivin pääsyllä on korkeimmat kustannukset.
Vuonna 2013 Dotcomissa Kim väitti keksineensä vuonna 2000 patentoidun kaksivaiheisen todennuksen [4] ja uhkasi hetken haastaa kaikki suuret verkkopalvelut oikeuteen. Euroopan patenttivirasto kuitenkin peruutti hänen patenttinsa [5] AT&T:n aiemman vuoden 1998 Yhdysvaltain patentin vuoksi. [6]