احراز هویت برابر با مجوز نیست: آیا از کلیدهای عبور می خواهیم که بیش از حد ثابت شوند؟

تقریبا در همه حساب‌ها، ما به یک جامعه بدون رمز عبور نزدیک‌تر می‌شویم. اتحاد FIDO، که استانداردهای جدید احراز هویت بدون رمز عبور را توسعه می دهد و شعار آن به معنای واقعی کلمه "کاهش اتکا به رمزهای عبور" است، اکنون تخمین می زند که بیش از 5 میلیارد رمز عبور در سراسر جهان استفاده می شود. در واقع، بیش از سه چهارم مصرف کنندگان جهانی قبلا حداقل یک حساب کاربری را فعال کرده اند.

این فناوری یک موهبت برای صنعت مالی است زیرا در نهایت وابستگی ریشه‌دار بخش به اعتبارنامه‌های مبتنی بر دانش را از بین می‌برد - «اسرار» قابل استفاده مجدد که مجرمان می‌توانند از طریق مهندسی اجتماعی آن‌ها را بدزدند، حدس بزنند یا استخراج کنند. ناگهان، امکان نقل قول کردن نام مادر کاربر، شهری که در آن بزرگ شده یا رمز عبور چند رقمی آنها کافی نیست - و این باعث می شود دسترسی کاربر فورا ایمن تر شود.

کلیدهای عبور همچنین به مشتریان برای دسترسی به حساب‌هایشان بسیار آسان‌تر می‌شوند، و به آنها اجازه می‌دهد از یک بیومتریک کلیدی مانند اثر انگشت استفاده کنند، نه اینکه هر بار که وارد سیستم می‌شوند، از دو یا سه صفحه نمایش عبور کنند و «اطلاعات به یاد ماندنی» خود را وارد کنند.

تا اینجای کار خیلی خوبه. با این حال، طبق تحقیقات Javelin، تصاحب حساب‌ها همچنان بر حدود 6 میلیون مصرف‌کننده آمریکایی در سال 2025 تأثیر گذاشته است - افزایشی 18 درصدی نسبت به سال قبل - با زیان بیش از 15 میلیارد دلار. آمارها و تحلیل‌های بی‌شماری دیگر نیز از این روند حمایت می‌کنند، از جمله فدرال رزرو، که افزایش 36 درصدی در تصاحب حساب‌ها را بین سال‌های 2023-2023 گزارش کرد - و اینها فقط مواردی هستند که به آن توجه شده است.

مطالعه سطحی از این ارقام نشان می‌دهد که کلیدهای عبور کاملا از کار می‌افتند، اما کمی عمیق‌تر شوید و واضح است که مشکل در خود فناوری نیست، بلکه نحوه پیاده‌سازی و محافظت از آن است. اگر یک کلاهبردار بتواند با دستکاری قفل ساز کلید جدیدی را به او بدهد، ایمن کردن درب جلو کارساز نیست.

در حالی که یک احراز هویت موفق با کلید عبور کنترل یک اعتبار مرتبط با دستگاه را ایجاد می‌کند، هنوز این وظیفه مؤسسات مالی است که ثابت کنند چگونه آن اعتبارنامه ثبت شده است و آیا جلسه‌ای که به آن دسترسی می‌دهد قابل اعتماد است یا خیر. آیا دارنده حساب واقعا قصد داشت آن گیرنده پرداخت را اضافه کند، آن حساب را بازیابی کند یا مبلغ هنگفتی را جابجا کند؟ کلیدهای عبور مفید هستند، اما هرگز برای پاسخ به همه این سؤالات به تنهایی طراحی نشده اند.

در امور مالی، مقیاس همیشه با ریسک برابری نمی کند

در ماه آگوست، محققان در واحد 42 شبکه پالو آلتو جزئیات سه حمله اثبات مفهومی علیه حساب‌های محافظت شده با کلید عبور را منتشر کردند. آنها نشان دادند که چگونه بدافزار در یک دستگاه در معرض خطر می تواند خود را بدون حضور صاحب حساب احراز هویت کند. حتی می تواند با ثبت یک رمز عبور جدید تداخل داشته باشد یا حتی کلیدهای عبور هماهنگ شده با محیط آن کاربر را در معرض دید قرار دهد. ظاهرا ضربه ای دیگر برای کلیدهای عبور.

مطمئنا این یک تحقیق نگران کننده است، اما بهتر است با یک دانه نمک گرفته شود. عمیق‌تر در گزارش کاوش کنید، و واضح است که هر یک از این سناریوها با یک دستگاه «مسموم» شروع شده‌اند، جایی که بدافزار قبلا وجود داشت. جدی ترین موارد نیز به ترکیب بسیار خاصی از مرورگرها و سیستم عامل ها با سخت افزار امنیتی از پیش تعیین شده بستگی دارد.

با اطمینان، هیچ یک از پرونده‌ها دارای «لحظه‌ی معمایی» نبودند که در آن رمزنگاری پشت کلیدهای عبور را شکستند، و همچنین یک «حفظه اصلی» از اعتبارنامه‌ها را که می‌توانستند در یک حمله غارت شوند، کشف نکردند. این بدان معناست که حملاتی مانند این، که در آن مشتریان به صورت انفرادی تعقیب می‌شوند، بسیار سخت‌تر از نوع نقض‌هایی است که اغلب در سرفصل‌ها می‌خوانیم.

اما "مقیاس سخت" واقعا دفاع زیادی در امور مالی نیست. اگر یک "نهنگ" تلاش را توجیه کند، یک مجرم نیازی به سرقت دسترسی به هزاران حساب ندارد، و در صورت موفقیت، آن نقض واحد می تواند برای شهرت یا وضعیت نظارتی یک بانک محکوم به شکست باشد - بنابراین هشدارها، در حالی که در متن گرفته می شوند، باید مورد توجه قرار گیرند.

بازیابی اکانت ضعیف ترین حلقه بود و باقی می ماند

یکی از انتقاداتی که کاربران اغلب از کلیدهای عبور دارند این است که "وقتی دستگاهم را گم کنم یا عوض کنم چه اتفاقی می افتد؟" این یک ناراحتی برای مشتریان است و یک دردسر واقعی برای بانک ها است. البته، بانک‌ها می‌خواهند تجربه تعویض دستگاه‌ها را تا حد امکان سریع و بدون دردسر ایجاد کنند، اما صدور رمز عبور جدید مانند تنظیم مجدد رمز عبور نیست. فقط به اندازه فرآیندهای مورد استفاده برای صدور آن قابل اعتماد خواهد بود.

اگر بازیابی رمز عبور بر روی ایمیل، متن یا پین موجود در دفترچه یادداشتی در جایی بازگردد، تنها کاری که مهاجم باید انجام دهد این است که این مانع نسبتا ضعیف را برطرف کند. چگونه یک شرکت مالی می‌تواند بفهمد که فردی که ادعا می‌کند یک دستگاه جدید دارد، فقط مهاجمی نیست که به طور تصادفی یا در هنگام هدف قرار دادن یک فرد خاص به این اطلاعات رسیده است؟ این کلیدهای عبور را دوباره به امنیت پایه و مبتنی بر دانش تبدیل می کند و هدفی که برای آن ایجاد شده اند را تضعیف می کند.

یک بانک به سادگی نمی تواند اعتماد به هویت مشتری را بازیابی کند، اگر هرگز این اطمینان را در وهله اول ایجاد نکرده باشد. در حین ثبت‌نام، وقتی بانک تأیید می‌کند که یک فرد چه کسی است و هویت او را به یک سابقه قابل اعتماد متصل می‌کند، معمولا از طریق یک مرجع بیومتریک نگهداری شده در سرور انجام می‌شود - چیزی که حتی زمانی که دستگاه اصلی گم می‌شود حفظ می‌شود.

اگر موقعیتی پیش بیاید که در آن مشتری نیاز به بازیابی حساب داشته باشد، بانک باید همیشه به همان منبع حقیقت برگردد، نه اینکه با درخواست از طریق کانال‌هایی که ممکن است قبلا در معرض خطر قرار گرفته باشند، «شواهد» جدیدی ایجاد کند. بنابراین، اگرچه ممکن است ماه ها یا سال ها پس از ورود به بازیابی نیازی نباشد، کارایی آن واقعا در روز اول تعیین می شود.

احراز هویت نباید با مجوز اشتباه گرفته شود

خط بین احراز هویت و مجوز ممکن است در برخی مواقع نامرئی به نظر برسد، اما بین این دو فاصله وجود دارد - به خصوص در مورد انتقال پول. احراز هویت دسترسی را ایجاد می کند، اما مجوز چیزی است که چیزهای کمتر ملموسی مانند مجوز و قصد را تعیین می کند. یک رمز عبور ممکن است وجود یک اعتبار را در دستگاه ثابت کند، در حالی که یک بررسی بیومتریک یا پین آن را "آزاد می کند" و برای کاربر باز می کند.

این تأیید می کند که احراز هویت کننده ورود را تأیید کرده است، اما به این معنی نیست که هر آنچه در آن جلسه دنبال می شود قانونی است. ثابت کردن کاربری که به طور قانونی در ساعت 10:19 وارد سیستم شده است نیز ثابت نمی کند که آنها قصد داشتند 5000 دلار را در ساعت 10:26 به دریافت کننده جدید انتقال دهند - و این فاصله بین احراز هویت و مجوز است.

اینکه صنعت مالی چگونه از آن دره عبور می کند به توانایی آنها در ایجاد هدف کاربر در لحظه بستگی دارد. البته، آن‌ها نمی‌توانند به سادگی دروازه‌هایی را در هر نقطه از سفر کاربر اضافه کنند - این نوع اصطکاک باعث ناراحتی مشتریان برای شروع به فکر تغییر به یک رقیب می‌شود.

اما آنها می توانند در احراز هویت مرحله به مرحله شرکت کنند و هر کاری که می توانند برای ایجاد خطوط پایه زمینه ای انجام دهند. اگر کاربر در ساعت 9:50 وارد سیستم شود و تعادل خود را بررسی کند، همانطور که قبلا بارها و تقریبا هر چند روز یکبار در یک زمان مشابه انجام داده است، کلید عبور به تنهایی کافی است. اگر می‌خواهند پول جابه‌جا کنند، دریافت‌کننده جدیدی اضافه کنند، یا - فکر را از بین ببرند - حساب خود را بازیابی کنند، باید با مراجعه به منبع حقیقت ذخیره شده در سرور که در بالا ذکر شد، اعتماد را دوباره برقرار کنند.

هر درخواستی بسته به سطح حساسیت و آنچه در خطر است، باید فرآیند خود را برای اثبات حقیقت تضمین کند.

قرار دادن کلیدهای عبور در جای خود

وقتی صحبت از بانکداری مدرن به میان می‌آید، کلیدهای عبور کاملا شایسته جایگاه خود در رأس جدول هستند. آنها وابستگی سنتی به دانش را که می توان به راحتی به سرقت برد، از بین می برد و آن را با اعتبارنامه های مبتنی بر دستگاه جایگزین می کند که شکستن آنها از منظر مهندسی اجتماعی بسیار دشوارتر است. روی کاغذ، کلیدهای عبور باید تصاحب حساب را حذف کنند، اما در عمل، هنوز کار برای انجام دادن وجود دارد.

شرکت‌های مالی هنوز باید بدانند چه کسی در ابتدا به یک اعتبار مبتنی بر دستگاه وابسته است، و آنها باید بتوانند دسترسی را از قصد جدا کنند. کلیدهای عبور می توانند بخشی از این بار را تحمل کنند، اما نه همه آن. به طور فزاینده ای، امور مالی در خط مقدم جنگ جدید اعتماد قرار می گیرد و آنها باید هر کاری که می توانند برای ایجاد، پرورش و حفظ آن انجام دهند.

ما بهترین نرم افزار آنتی ویروس را معرفی کرده ایم.

این مقاله به عنوان بخشی از TechRadar Pro Perspectives، کانال ما برای معرفی بهترین و باهوش ترین ذهن ها در صنعت فناوری امروز تهیه شده است.

نظرات بیان شده در اینجا نظرات نویسنده است و لزوما نظرات TechRadarPro یا Future plc نیست. اگر مایل به مشارکت هستید، اطلاعات بیشتری را در اینجا بیابید: https://www.techradar.com/pro/perspectives-how-to-submit