Revista si suplimente
MarketWatch
Inapoi Inainte

Accesul la sisteme, reţele şi aplicaţii de business oricând, oriunde, dar nu oricum

28 Noiembrie 2008



Internetul în 2008 - bani, afaceri şi atacuri


99.99% din oamenii de afaceri utilizează azi Internetul pentru a comunica, pentru a se informa, dar şi pentru a ţine legătura cu clienţii importanţi sau partenerii de afaceri ori pentru a face tranzacţii online. Migrarea aplicaţiilor de business către Web, disponibilitatea şi ubicuitatea aplicaţiilor de Internet Banking sau de tranzacţii financiare sunt fenomene care au schimbat modul în care facem afaceri azi.


A crescut viteza cu care câstigăm bani folosind mediul online; a crescut însă şi viteza cu care putem pierde bani online, infractorii pândind orice greşeală pentru a afla informaţii preţioase. Dacă securitatea plăţilor cu carduri s-a îmbunătăţit prin introducerea cardurilor cu cip, care presupun atât prezenţa fizică a cip-ului, cât şi introducerea PIN-ului, fraudele online s-au înmulţit. Şi, deşi există o nevoie clară de întărire a securităţii accesului la aplicaţii de tip Internet Banking sau de tranzacţii financiare, această nevoie trebuie să se propage şi la alte aplicaţii, mai ales din sectorul public, care manipulează date personale - aceste date pot fi folosite de infractori în atacuri care au folosit furtul de identitate pentru a obţine câştiguri substanţiale sau pentru a-şi ascunde urmele.


Pe masura ce a evoluat tehnologia s-au diversificat şi tipurile de atacuri. Complexitatea acestora a sporit, infractorii folosind mai mulţi vectori de atac pentru a-şi atinge ţintele, de la e-mail-uri simple cu atacuri de tip social engineering sau phishing, până la scheme complexe care implică site-uri web ce conţin malware, de cele mai multe ori folosindu-se combinaţii de mai multe metode - phishing, pharming şi Trojan Horse, de exemplu. Un atacator nu trebuie să fie din afara organizaţiei, fraudele din interior fiind la ordinea zilei - ne amintim, de exemplu, de Jerome Kerviel, francezul care a produs daune de 5.5 mld EUR făcând plasamente pe care în mod normal nu avea voie să le facă, folosind privilegiile de acces ale şefilor şi colegilor săi.


Ce putem face într-un mediu ostil?


Cea mai simplă soluţie este să întărim controlul accesului la aplicaţii, reţele şi sisteme, folosind metode avansate de autentificare şi autorizare, pentru a fi siguri că numai utilizatorii legitimi sunt acceptaţi. Cu alte cuvinte, să ne asigurăm de identitatea celui căruia îi facilităm accesul la comorile noastre.


Autentificarea de tip Two Factor (nickname 2FA)


Prima generaţie de metode de autentificare folosea perechi de tip username / password pentru a verifica şi garanta accesul. Acest mecanism, deşi sigur iniţial, a început să fie din ce în ce mai vulnerabil la atacurile man-in-the middle, în care cineva poate intercepta comunicaţia în clar de la începutul autentificării şi află astfel username şi parola. Înmulţirea evenimentelor de acest gen şi nevoia în creştere de securitate - susţinută de reglementări privind mijloacele de plată la distanţă, de exemplu - au condus la impunerea autentificării two-factor ca şi standard în cazul sistemelor importante. Aplicaţiile de Internet Banking, aplicaţiile de business şi cele de tranzacţii financiare au fost pionierii şi promotorii acestei metode, însă aplicabilitatea ei este mult mai largă.


2FA se bazează pe ceva ce utilizatorul ştie (parolă, passphrase, cod PIN etc.) şi pe ceva ce el are şi se presupune că e mai greu de pierdut, furat sau contrafăcut - token, smartcard, card etc. De multe ori, vorbim de dispozitive care generează o parolă sau un cod ce poate fi folosit o singură dată (One Time Password - OTP) pentru o singură instanţă de acces. O alternativă la OTP o constituie implementarea unei scheme de Public Key Infrastructure (PKI), care poate folosi certificate electronice stocate pe token-uri.


Una dintre provocările majore pentru 2FA era dependenţa de anumite platforme. Mai mult, securitatea întregului mecanism putea fi periclitată de securitatea platformei. Aladdin Knowledge Systems, unul dintre cei mai importanţi furnizori din domeniul autentificării, accesului şi autorizării, a rezolvat şi această problemă, introducând de curând eToken PRO Anywhere, o soluţie cu adevărat “plug and play” care elimină necesitatea de a instala vreun client software de autentificare pentru a avea acces la sisteme, reţele şi aplicaţii de business.



Parerea ta conteaza:

(0/5, 0 voturi)

Lasa un comentariu



trimite