多重认证并非固若金汤,谁是救命稻草?
  

beloved小子 1509

{{ttag.title}}
多重认证并非固若金汤,谁是救命稻草?
一个很重要的问题是,有哪种安全控制曾被证明是绝对有效的?即使与互联网隔离的网络也有可能遭到USB设备上所携带的恶意软件攻击。
与之类似的是,虽然多重认证给口令窃取带来了很大困难,但多重认证是否绝对无懈可击?为了进一步减轻风险,还要考虑哪些风险?在防止外部威胁进入企业时,还是会发生情况导致多重认证失效:
外包
你可能听说过有一位开发人员曾将其工作交给外国人做的故事,如此一来,开发者就可以上网购物并更新其社交网站的信息,同时还能承担工作责任。这位开发人员的雇主是一家重要的基础架构公司,此公司努力通过RSA令牌实施双重认证并访问公司的VPN。但是,他们都没有考虑到编码人员心甘情愿地将其登录凭据交给了一家外国咨询公司,并且只需向其支付薪水可以搞定。如此,所有的安全举措岂不成了摆设?
帮手
在多重认证的三个因素中,在生物识别提供了一种可以展示“你是你”的方法。但是,如果有人手上弄上了石膏而无法提供指纹或手印该怎么办?或者,一个振振有词的或忙得不可开交的员工说“把自己的密码卡忘在家里了”,又该怎么办?真正可能的是情况是,保安或同事可以提供帮助。
变向
用于硬件令牌中的一次性口令与移动应用使用的软令牌都容易被他人截获。通过运行在机器上或获得访问权的移动设备上或在某公司网络上的恶意软件就可以做到这些。恶意软件可用于阻止合法的用户请求,同时又可以捕获凭据使攻击者立即就能够使用。SIM卡也可以被欺骗。随着移动设备上漏洞的不断增多,以及通过移动平台进行的访问日渐增多,这种可能性越来越大。
共享
纽约大学做过的一项试验发现,通过短信发送到用户手机上用于口令重置的验证码,在要求用户转发后,攻击者很轻松地就可以获得。其方法是,在攻击者用一种看起来像是官方的文本(就像是合法供应商要求的验证)来跟进这个短消息时,大约有四分之一的用户愿意分享其收到的数字。如果攻击者已经成功地获得了这个口令,并在用户提交验证码进行验证时,他就可以访问账户。
同步
客户端和移动平台的浏览器之间的同步可以提供很大方便,并且其使用也很广泛。这种方便可以使我们共享短消息服务或者在平台之间分享网站的书签。阿姆斯特丹大学的一项研究指出,这种同步还可用于破坏基于移动平台的多重认证。如果桌面遭到了攻击和损害,那么这种同步就提供了一种机会,可以实现诸如远程安装等功能,将恶意软件安装到用户的移动设备上。在设备遭到破坏后,任何依赖多重认证的一切机制都无法幸免。
如何应对多重认证的局限性?
上述每个例子的威胁都可以通过不同的方法来减轻其危害。由于多数情况都与不安全的行为方式有关,所以教育成为一种减轻威胁的非常明显的方法。在多重认证中至少要有三个因素,所以,增加复杂性是另一种方法,但是必须考虑到这样做给用户带来的不方便。
我们还要考虑到,攻击者总会找到一种破坏凭据的方法。因而,我们不仅要控制访问,还要监视用户们如何访问和访问了什么,要查找一些可能表明正在发生攻击的异常模式。这种将用户行为分析、安全分析、身份分析等结合起来的观念虽然仍处于完善阶段,却提供了一种防止或限制由被凭据损坏而造成危险的可能性。
就像是所有的安全措施一样,多重认证并不是一种保护凭据的万全之策。但是,理解多重认证局限性的风险是减轻威胁的首要一步。

wang51cto 发表于 2017-4-12 21:58
  
安全意识尤其重要
肺疼 发表于 2017-4-12 22:03
  
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
技术笔记
干货满满
技术咨询
产品连连看
新版本体验
功能体验
标准化排查
GIF动图学习
自助服务平台操作指引
通用技术
2023技术争霸赛专题
运维工具
信服课堂视频
秒懂零信任
技术晨报
用户认证
答题自测
深信服技术支持平台
安装部署配置
SDP百科
设备维护
社区帮助指南
每日一记
项目案例
玩转零信任
畅聊IT
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
云计算知识
原创分享
解决方案
sangfor周刊
VPN 对接
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选

本版达人

SANGFOR...

本周分享达人