Çelësat e sigurisë fizike eliminojnë phishing në Google

Çelësat e sigurisë fizike eliminojnë phishing në Google

Përpjekjet e suksesshme të phishing janë eliminuar në mesin e punonjësve të Google duke ndjekur një kërkesë për të përdorur çelësat e sigurisë fizike në mënyrë që të kenë qasje në të gjitha llogaritë e Google.  

Google pretendon se ka eliminuar plotësisht sulme të suksesshme phishing ndaj punonjësve të saj përmes përdorimit të çelësave të sigurisë fizike dhe Universal Second Factor.

Google filloi të futë dhe të vlerësojë çelësat e sigurisë fizike në 2014 dhe deri në fillim të vitit 2017 të gjithë 85.000 punonjës të Google-it iu kërkua t'i përdorin ato kur hynë në llogaritë e kompanisë. Në kohën që, kompania i tha Brian Krebs, asnjë punonjës nuk është marrë me sukses phishing. Një zëdhënës i Google tha se vendimi për të përdorur çelësat e sigurisë fizike të Universal Second Factor (U2F) në vend të legalizimit me një fjalëkalim të bazuar në softuer (OTP) u bazua në testimin e brendshëm.

"Ne besojmë se çelësat e sigurisë ofrojnë mbrojtje më të forta kundër phishing", - shkroi një zëdhënës i Google përmes postës elektronike. "Ne bëmë një studim dyvjeçar që tregoi se autentifikimi me bazë OTP kishte një normë mesatare dështimi prej 3% dhe me çelësat e sigurisë U2F, kemi përjetuar dështim zero për qind".

Lane Thames, studiues i lartë i sigurisë në Tripwire, me seli në Portland, Ore, tha se arsyeja kryesore për këto aplikacione të bazuara në softuer janë më pak të sigurta është "sepse sulmuesit mund t'i kapin këto OTP nga distanca".

"Një çështje tjetër është prodhimi pjesa më e madhe e OTP-ve që përdoruesit mund të ruajnë në nivel lokal ose madje të shtypen. Kjo bëhet për të bërë procesin e legalizimit të dyfishtë të lehtë për përdoruesit përfundimtarë ose në mënyrë që përdoruesit e fundit të mund të ruajnë OTP-të për përdorim të mëvonshëm , nëse nuk kanë qasje në telefonat e tyre kur të jetë e nevojshme kodi, "shkroi Thames përmes postës elektronike. "Kjo është e ngjashme me një problem të ngjashëm ku përdoruesit shkruajnë fjalëkalime dhe i lënë ata rreth hapësirës së tyre të punës".

Sidoqoftë, John Callahan, CTO në Veridium, një shitës i softuerit për menaxhimin e identitetit dhe qasjes bazuar në Quincy, Mass., Vuri në dukje se ka edhe përfitime për përdoruesit që vendosin për 2FA nëpërmjet smartphone.

"Disa njerëz që përdorin një çelës U2F kanë frikë ta humbasin atë ose ta dëmtojnë atë. Kjo biometrikë mund të luajë një rol kyç. Metoda të përdorimit të biometrikës ndihmojnë për të parandaluar sulmet," shkroi Callahan përmes postës elektronike. "Përdorimi i biometrikës me aplikacionin Google Authenticator është një zgjidhje e sigurt, sepse një telefon celular gjithmonë është afër për të vërtetuar një transaksion".

Kompanitë në lëvizje për çelësat e sigurisë fizike

Çelësat e sigurisë fizike që zbatojnë U2F ishin pjesë thelbësore e Programit të Avancuar të Mbrojtjes të Google, i cili u zhvillua si një mënyrë për përdoruesit me rrezik të lartë për të mbrojtur llogaritë e tyre të Google. Një çelës sigurie fizik, si një YubiKey, mund të vërtetojë një përdorues thjesht duke futur çelësin në një kompjuter, duke e goditur atë me një smartphone të aftë për NFC ose duke u lidhur me një pajisje iOS nëpërmjet Bluetooth.

Nadav Avital, menaxher i kërkimit të kërcënimeve në Imperva, me seli në Redwood Shores, Kaliforni, tha, "në një botë ideale", më shumë kompani do të kërkonin autentifikim shumëfaktor (MFA).

Në përgjithësi, çelësat fizikë ofrojnë siguri më të mirë, sepse vërtetimi i bazuar në softuer bazohet në një sekret të përbashkët ndërmjet klientit dhe ofruesit që mund të zbulohet.

Menaxheri i hulumtimit kërkues Nadav Avital në Imperva  "Në përgjithësi, çelësat fizikë ofrojnë siguri më të mirë, sepse vërtetimi i bazuar në softuer mbështetet në një sekret të përbashkët midis klientit dhe ofruesit që mund të zbulohet. Për fat të keq, shumica e njerëzve nuk përdorin [2FA ose MFA] sepse ata nuk i kuptojnë implikimet ose sepse preferojnë thjeshtësinë për sigurinë, "shkruante Avital me anë të postës elektronike. "Klientët mund të vuajnë nga mashtrimet, vjedhjet e të dhënave ose vjedhjet e identitetit, ndërkohë që kompania mund të pësojë dëmtime të reputacionit, dëmtime financiare nga paditë e mundshme dhe më shumë."

Richard Ford, shkencëtari kryesor në Forcepoint, një kompani kibernetike me seli në Austin, Texas, tha se shqetësimet rreth mënyrës më të mirë për të zbatuar 2FA mund të jenë të parakohshme, pasi "ne ende kemi kompani që ende përdorin përdoruesit dhe fjalëkalimet e thjeshta".

"Duke u nisur nga ajo kombinim i thjeshtë për diçka më të sigurt, siguron një rritje të menjëhershme për sigurinë. Shikoni profilin tuaj të rrezikut dhe përpiquni të shikoni pak në të ardhmen", tha Ford. "Mbani mend, se çfarë planifikoni sot nuk do të jetë realitet për një kohë, kështu që ju doni të luani aty ku do të luajë kutia. Me këtë, ju lutem mos lejoni që përsosja të jetë armiku i së mirës". Ekspertët vunë në dukje se jo të gjitha ekipet e IT-së do të kenë një kohë sa më të lehtë për të bindur bord për të investuar në çelësat e sigurisë fizike ose një formë tjetër të legalizimit multifaktor një kërkesë siç do të ishte Google.

Mateu Gardiner, ekspert për cybersecurity në Mimecast, një kompani e sigurisë në internet dhe e-mail me qendër në Lexington, Mass., Sugjeroi inkuadrimin e çështjes në drejtim të reduktimit të rrezikut. "Është e vështirë të përcaktoni rrezikun nëse nuk keni përjetuar një shkelje të kohëve të fundit. Përdorimi i MFA nuk është një ide teorike, tani është një praktikë më e mirë e sigurisë që është jashtëzakonisht e lirë dhe e lehtë për t'u përdorur nga shitësit e shumtë dhe ofruesit e shërbimeve cloud"

Gardiner shkroi me email. "Unë vetëm mund të supozoj se nëse organizatat ende përdorin vetëm një faktor të vetëm të legalizimit në mbështetje të aplikacioneve B-to-B ose B-to-E, ata duhet të mendojnë se nuk kanë asgjë me vlerë për sulmuesit". Ford tha se ndoshta ishte më mirë të mos e shtynte bordin për efekt, "pa marrë parasysh se sa joshëse mund të ishte." "Unë, megjithatë, do të sugjeroja që vetë të dhënat e Google mund të jenë të një vlere të jashtëzakonshme. Bordet e kuptojnë rrezikun në fushën e biznesit dhe mendoj se ka shumë të dhëna tani për të mbështetur investimet në mekanizmat më të sofistikuara të legalizimit" shkroi. "Filloni me një diskutim rreth Google dhe sukseset e tyre të fundit në këtë hapësirë, dhe gjithashtu keni një diskutim të arsyetuar dhe të bazuar në para në lidhje me të dhënat që keni në rrezik. ka gjasa të bëjë vendimin e duhur. "