رمز عبور، گلوگاه امنیت دیجیتال؛ وقت تغییر مدل احراز هویت است

سال‌هاست سازمان‌ها، بانک‌ها، کسب‌وکارهای دیجیتال و کاربران عادی، احراز هویت و حفاظت از دسترسی‌های خود را بر پایه رمز عبور بنا کرده‌اند. این روش در دوره‌ای که تعداد سامانه‌ها محدود، تعاملات دیجیتال ساده‌تر و سطح تهدیدها پایین‌تر بود، راهکاری آشنا، کم‌هزینه و نسبتاً قابل‌قبول محسوب می‌شد. با گسترش خدمات آنلاین، دورکاری، خدمات ابری و اتصال کاربران، پیمانکاران و شرکای تجاری به سامانه‌های سازمانی، شرایط به‌طور اساسی تغییر کرده است. در چنین محیطی، یک اعتبارنامه افشاشده می‌تواند مسیر دسترسی به بخش مهمی از دارایی‌های دیجیتال سازمان را فراهم کند.

به گزارش روابط عمومی شرکت ره‌آورد سامانه‌های امن (ره‌سا)، محدودیت بنیادین رمز عبور در ماهیت آن نهفته است: رازی قابل‌ارائه که کاربر باید آن را به خاطر بسپارد و برای اثبات هویت خود وارد کند. هر رازی که قابل وارد کردن، انتقال یا ذخیره‌سازی باشد، ممکن است افشا، سرقت، حدس زده یا در چند سرویس باز استفاده شود. مهاجم می‌تواند آن را از طریق صفحه‌ای جعلی دریافت کند، از داده‌های افشا شده به دست آورد یا با حملات خودکار بیازماید. ازاین‌رو، حتی رمزهای طولانی و پیچیده نیز در برابر همه مسیرهای حمله مصون نیستند.

در شرایطی که حملات فیشینگ پیچیده‌تر، نشت اعتبارنامه‌ها گسترده‌تر و مهندسی اجتماعی حرفه‌ای‌تر شده است، اتکا به رمز عبور به‌ ویژه به‌عنوان تنها عامل احراز هویت، یک نقطه ضعف تکرار شونده در معماری امنیت ایجاد می‌کند. مسئله دیگر صرفاً انتخاب رمز ضعیف از سوی کاربر نیست؛ بلکه مدلی است که برای عملکرد صحیح، به حفاظت همیشگی از یک راز قابل‌ انتقال وابسته است.

بنابراین مسئله امروز، صرفاً تقویت سیاست‌های رمز عبور یا افزودن الزامات بیشتر برای کاربران نیست؛ بلکه بازنگری در مبنای احراز هویت است. سازمان‌ها به سازوکارهایی نیاز دارند که وابستگی به اسرار قابل‌سرقت را کاهش دهند، هویت را با روش‌های رمزنگاری‌شده اثبات کنند و مقاومت در برابر فیشینگ را در طراحی فنی خود جای دهند.

رمز عبور هنوز زنده است؛ اما دیگر به‌تنهایی کافی نیست

اگر رمز عبور تا امروز دوام آورده است، دلیل آن را نباید صرفاً در امنیت این روش جست‌وجو کرد. آشنایی کاربران، پشتیبانی گسترده سامانه‌ها و سازگاری با زیرساخت‌های قدیمی، مهم‌ترین عوامل ماندگاری آن بوده‌اند. بیشتر سامانه‌ها می‌توانند نام کاربری و رمز عبور را دریافت و پردازش کنند و کاربران نیز بدون آموزش ویژه با این الگوی ورود آشنا هستند. همین فراگیری، رمز عبور را به انتخاب پیش‌فرض بسیاری از سازمان‌ها تبدیل کرده است.

بااین‌حال، سادگی ظاهری استفاده از رمز عبور با مدیریت امن آن یکسان نیست. نگهداری امن اعتبارنامه‌ها به تابع مشتق‌سازی مقاوم، Salt منحصربه‌فرد، محدود سازی تلاش‌های ورود، شناسایی حملات خودکار، کنترل اعتبارنامه‌های افشا شده و فرایندهای امن بازیابی نیاز دارد. هزینه‌های فراموشی رمز، بازنشانی اعتبارنامه، قفل‌شدن حساب، پشتیبانی کاربران و رسیدگی به رخدادهای ناشی از سرقت رمز نیز باید در هزینه واقعی این مدل محاسبه شوند.

بسیاری از زیرساخت‌ها همچنان به رمز عبور متکی‌اند، نه به این دلیل که بهترین روش احراز هویت است، بلکه به‌دلیل وابستگی سامانه‌های قدیمی، پیچیدگی یکپارچه‌سازی، هزینه مهاجرت و نگرانی درباره تجربه کاربران. حفظ وضع موجود ممکن است در کوتاه‌مدت ساده‌تر باشد، اما به‌مرور بدهی امنیتی و عملیاتی ایجاد می‌کند و سازمان باید هم زیرساخت قدیمی را نگه دارد و هم پیوسته با حملات مبتنی بر اعتبارنامه و پیامدهای آنها مقابله کند.

سیاست‌هایی مانند افزایش طول رمز، جلوگیری از انتخاب رمزهای رایج و محدود کردن تلاش‌های ورود همچنان ضروری‌اند؛ اما محدودیت اصلی مدل را از بین نمی‌برند. تغییر دوره‌ای و بدون دلیل رمز عبور نیز الزاماً امنیت بیشتری ایجاد نمی‌کند و ممکن است کاربران را به انتخاب الگوهای قابل‌پیش‌بینی سوق دهد. هدف واقع‌بینانه، حذف شتاب‌زده رمز عبور از همه سامانه‌ها نیست؛ بلکه کاهش برنامه‌ریزی‌شده وابستگی به آن و انتقال تدریجی احراز هویت به سازوکارهای مقاوم‌تر است.

مسئله فقط رفتار کاربران نیست؛ محدودیت در خود مدل است

یکی از خطاهای رایج در تحلیل امنیت هویت آن است که بخش عمده مسئولیت رخدادهای مرتبط با رمز عبور به رفتار کاربران نسبت داده می‌شود. گفته می‌شود کاربران رمزهای ساده انتخاب می‌کنند، آنها را در محل‌های ناامن یادداشت می‌کنند، یک رمز را در چند سامانه به کار می‌برند یا در تشخیص صفحات فیشینگ دقت کافی ندارند. این رفتارها می‌توانند خطرآفرین باشند، اما تمرکز صرف بر آنها مسئله بنیادی‌تری را پنهان می‌کند. مدلی که امنیت آن به حافظه، توجه مستمر و تصمیم‌گیری بی‌نقص انسان وابسته باشد، با محدودیتی ساختاری مواجه است.

کاربران امروز با تعداد زیادی حساب و الزام امنیتی روبه‌رو هستند. از آنها انتظار می‌رود برای هر سرویس رمزی طولانی و منحصربه‌فرد انتخاب کنند، آن را در اختیار دیگران قرار ندهند و هم‌زمان هر صفحه یا درخواست ورود مشکوک را نیز به‌درستی تشخیص دهند. چنین انتظاری در مقیاس گسترده با محدودیت‌های طبیعی حافظه و توجه انسان سازگار نیست. باز استفاده از رمز یا انتخاب الگوهای قابل‌پیش‌بینی را نمی‌توان فقط به بی‌دقتی کاربر نسبت داد؛ این رفتارها گاه پیامد طراحی نامتناسب سازوکار احراز هویت‌اند.

رمز عبور بر پایه عامل چیزی که کاربر می‌داند عمل می‌کند. محدودیت اساسی این عامل، قابلیت انتقال آن است. کاربر می‌تواند رمز را در صفحه‌ای جعلی وارد کند، با فرد دیگری به اشتراک بگذارد یا ناخواسته در اختیار بدافزارهای ثبت‌کننده ورودی صفحه‌کلید قرار دهد. ذخیره‌سازی امن در سمت سرور احتمال بازیابی رمز از پایگاه داده سرقت‌شده را کاهش می‌دهد، اما مانع فیشینگ، آلودگی دستگاه یا استفاده از اعتبارنامه‌ای نمی‌شود که از سامانه دیگری افشا شده است.

مدیران رمز عبور می‌توانند برای هر سرویس رمزهای قوی و منحصربه‌فرد تولید کنند و بار حفظ‌کردن آنها را کاهش دهند. این ابزارها اقدام بهبود دهنده مهمی هستند، اما مدل احراز هویت را از وابستگی به یک راز قابل‌ارائه خارج نمی‌کنند. راهکار پایدار زمانی شکل می‌گیرد که به‌جای انتظار رفتار بی‌نقص از کاربر، مقاومت امنیتی در طراحی فنی سازوکار احراز هویت تعبیه شود.

فیشینگ؛ نقطه‌ای که احراز هویت مبتنی بر رمز عبور تسلیم می‌شود

فیشینگ دیگر صرفاً ارسال یک ایمیل ساده و هدایت کاربر به صفحه‌ای ابتدایی نیست؛ بلکه مجموعه‌ای از روش‌های سازمان‌یافته برای فریب کاربر، سرقت اعتبارنامه و دورزدن سازوکارهای متعارف احراز هویت است. در این الگو، مهاجم الزاماً نیازی به نفوذ فنی مستقیم به زیرساخت ندارد؛ کافی است کاربر را متقاعد کند اطلاعات یا تأیید موردنیاز را در اختیار او قرار دهد.

قدرت فیشینگ از یک محدودیت اساسی در مدل سنتی بهره می‌گیرد: رمز عبور به دامنه یا مبدأ معتبر وابسته نیست. سامانه میان رمزی که در صفحه واقعی وارد می‌شود و همان رمز در صفحه جعلی تفاوتی قائل نیست. اگر مهاجم بتواند صفحه ورود، پیام یا درخواست احراز هویت را به‌گونه‌ای بازسازی کند که برای کاربر قابل‌اعتماد به نظر برسد، اعتبارنامه معتبر مستقیماً در اختیار او قرار می‌گیرد.

صفحات مشابه سامانه‌های واقعی، دامنه‌های فریبنده، پیامک‌های جعلی، تماس‌های ساختگی، کدهای QR هدایت‌کننده به صفحات جعلی و سناریوهای هدفمند مهندسی اجتماعی، همگی می‌توانند بخشی از حمله باشند. ابزارهای خودکار و محتوای تولید شده با هوش مصنوعی نیز امکان ساخت پیام‌های متقاعدکننده‌تر و اجرای حملات شخصی‌سازی‌شده را با هزینه کمتر فراهم کرده‌اند.

نکته مهم آن است که صفحه فیشینگ الزاماً فاقد گواهی TLS معتبر یا دارای هشدار مرورگر نیست. مهاجم می‌تواند برای دامنه‌ای که در اختیار دارد گواهی معتبر دریافت کند. نمایش قفل یا استفاده از HTTPS فقط نشان می‌دهد ارتباط با همان دامنه رمزگذاری شده است؛ نه اینکه دامنه متعلق به سازمان موردنظر یا محتوای آن مشروع است. ازاین‌رو، بررسی قفل مرورگر و تشخیص ظاهری صفحه به‌تنهایی کنترل قابل‌اتکایی در برابر فیشینگ نیست.

فیشینگ مدرن می‌تواند رمز عبور، کد یک‌بارمصرف و حتی نشست احراز‌شده را هدف قرار دهد. بنابراین آینده امنیت هویت صرفاً به آموزش بیشتر کاربران یا افزودن هشدارهای جدید وابسته نیست. سازمان‌ها به سازوکاری نیاز دارند که پاسخ احراز هویت را به سرویس و مبدأ معتبر وابسته کند تا تقلید ظاهری صفحه برای تولید اعتبارنامه‌ای قابل‌استفاده کافی نباشد. چنین مقاومتی باید در معماری احراز هویت تعبیه شود، نه اینکه فقط به تشخیص کاربر واگذار شود.

برای سازمان‌ها، سرقت یک رمز عبور می‌تواند آغاز یک رخنه گسترده باشد

در سطح فردی، افشای رمز عبور ممکن است به تصاحب یک حساب یا مشاهده اطلاعات شخصی منجر شود. در محیط سازمانی، دامنه پیامدها گسترده‌تر است. هر هویت دیجیتال ممکن است به چندین سامانه داخلی، سرویس ابری، مخزن اسناد، داده حساس یا فرایند تصمیم‌گیری متصل باشد. بنابراین سرقت یک رمز عبور می‌تواند نقطه آغاز زنجیره‌ای از دسترسی‌های غیرمجاز باشد.

بخش قابل‌توجهی از حملات سازمانی با سوءاستفاده از حساب‌های معتبر آغاز می‌شوند. مهاجم ممکن است با رمز سرقت‌شده یک کارمند، مدیر، پیمانکار یا تأمین‌کننده وارد محیط شود. از دید سامانه، این ورود در ابتدا شبیه فعالیت کاربر مجاز است؛ زیرا اعتبارنامه معتبر ارائه شده است. همین شباهت به رفتار عادی می‌تواند تشخیص حمله را دشوارتر کند.

پس از ورود اولیه، مهاجم سطح دسترسی حساب را بررسی و مسیرهای گسترش دسترسی را جست‌وجو می‌کند. مجوزهای بیش از نیاز، حساب‌های قدیمی فعال و تفکیک ناکافی سامانه‌ها می‌توانند زمینه حرکت جانبی، افزایش سطح دسترسی یا تصاحب حساب‌های دیگر را فراهم کنند. در این شرایط، رمز عبور از یک ابزار ورود به نقطه شروع گسترش حمله در زیرساخت تبدیل می‌شود.

شدت پیامد به نوع حساب وابسته است. تصاحب حساب کاربر عادی ممکن است دسترسی به ایمیل یا اسناد کاری را فراهم کند؛ درحالی‌که تصاحب حساب مدیر یا کاربر دارای دسترسی ممتاز می‌تواند تنظیمات امنیتی، سرورها، پایگاه‌های داده و سامانه‌های حیاتی را در معرض خطر قرار دهد. در حساب‌های ممتاز، یک رمز افشا شده ممکن است مرز میان رخدادی محدود و بحرانی سازمانی باشد.

کاهش اثر این تهدید فقط با سیاست رمز عبور ممکن نیست. حداقل‌سازی سطح دسترسی، تفکیک حساب‌های عادی و ممتاز، مدیریت دسترسی‌های ویژه، کنترل نشست، ارزیابی مستمر ریسک، ثبت رویدادها و شناسایی رفتارهای غیرعادی باید در کنار احراز هویت قوی قرار گیرند. حفاظت از هویت یک مرحله ساده ورود نیست؛ بخشی محوری از معماری امنیت سازمان است.

آیا احراز هویت چند عاملی کافی است؟ همه روش‌های MFA یکسان نیستند

احراز هویت چند عاملی یا MFA یکی از مهم‌ترین کنترل‌ها برای کاهش ریسک حساب‌های مبتنی بر رمز عبور است. استفاده از عاملی اضافی می‌تواند موفقیت حملاتی مانند حدس‌زدن رمز، Credential Stuffing و سوءاستفاده مستقیم از اعتبارنامه افشا شده را به‌طور محسوسی کاهش دهد. بااین‌حال، صرف فعال‌بودن MFA به این معنا نیست که حساب در برابر همه حملات، به‌ویژه فیشینگ، مقاوم شده است.

باید میان چندمرحله‌ای و چند عاملی تفاوت قائل شد. ممکن است فرایند ورود چند مرحله داشته باشد، اما همه مراحل به یک نوع عامل وابسته باشند. MFA واقعی زمانی شکل می‌گیرد که دست‌کم دو عامل مستقل از دسته‌های متفاوت ترکیب شوند؛ مانند چیزی که کاربر می‌داند، چیزی که در اختیار دارد و ویژگی زیست‌سنجی کاربر.

همه عوامل سطح امنیت یکسانی ندارند. کد پیامکی می‌تواند در معرض تعویض سیم‌کارت، انتقال غیرمجاز شماره یا مهندسی اجتماعی قرار گیرد. کدهای یک‌بارمصرف نرم‌افزاری مانند TOTP در برابر برخی حملات ایمن‌ترند، اما همچنان ممکن است در صفحه فیشینگ وارد و در همان لحظه در سامانه واقعی استفاده شوند. یک‌بارمصرف‌بودن کد، مانع سرقت و استفاده بلادرنگ آن نمی‌شود.

اعلان‌های تأیید نیز در صورت طراحی نامناسب می‌توانند هدف حملات خستگی MFA قرار گیرند. مهاجم با ارسال درخواست‌های متعدد تلاش می‌کند کاربر را به پذیرش یکی از آنها وادار کند. تطبیق عدد، نمایش اطلاعات ورود و محدود کردن تعداد درخواست‌ها این خطر را کاهش می‌دهند، اما همه سناریوهای فیشینگ و واسطه‌گری را از بین نمی‌برند.

در حملات Adversary-in-the-Middle، مهاجم می‌تواند ارتباط میان کاربر و سامانه واقعی را در لحظه واسطه‌گری کند، رمز و کد موقت را دریافت کند و حتی نشست معتبر را به دست آورد. بنابراین رمز عبور همراه با OTP، هرچند از رمز عبور تنها امن‌تر است، ذاتاً در برابر فیشینگ مقاوم نیست. انتخاب نوع عامل از تعداد مراحل ورود مهم‌تر است.

سازمان‌ها نباید صرفاً به گزاره «MFA فعال است» اکتفا کنند. باید مشخص شود عامل انتخاب‌شده در برابر سرقت، انتقال، بازپخش و فیشینگ تا چه اندازه مقاومت دارد و آیا مسیر بازیابی یا روش جایگزین می‌تواند آن را تضعیف کند. هدف، افزودن بی‌پایان مراحل نیست؛ بلکه انتخاب عاملی است که پاسخ احراز هویت را به سرویس معتبر وابسته کند و با کمترین اصطکاک، سطح اطمینان بیشتری فراهم سازد.

زمان بازطراحی مدل احراز هویت فرا رسیده است

مسئله امروز امنیت هویت، صرفاً انتخاب رمزهای طولانی‌تر یا افزودن مراحل بیشتر به ورود نیست. هدف راهبردی سازمان‌ها باید کاهش وابستگی به رمز عبور و حرکت به سمت مدلی باشد که اثبات هویت را بر سازوکارهای رمزنگاری‌شده، غیرقابل‌بازپخش و وابسته به سرویس معتبر بنا می‌کند. این تحول فقط تغییر صفحه ورود نیست؛ بازطراحی منطق اعتماد دیجیتال است.

در احراز هویت مبتنی بر استانداردهای خانواده FIDO، کاربر به‌جای ارائه راز مشترک، مالکیت یک کلید خصوصی را اثبات می‌کند. هنگام ثبت‌نام، یک جفت‌کلید برای کاربر و سرویس ایجاد می‌شود؛ کلید عمومی در اختیار سرویس قرار می‌گیرد و کلید خصوصی در احراز گر یا سازوکار همگام‌سازی محافظت‌شده نگهداری می‌شود و هرگز در اختیار سرویس قرار نمی‌گیرد. هنگام ورود، احراز گر یک Challenge منحصربه‌فرد را امضا می‌کند و سرویس امضا را با کلید عمومی ثبت‌شده می‌سنجد. پاسخ هر ورود منحصربه‌فرد است و برای ورود دیگری قابل‌بازپخش نیست.

در ورود بدون رمز عبور مبتنی بر FIDO، هیچ رمز عبوری میان کاربر و سرویس مبادله نمی‌شود. اثر انگشت، تشخیص چهره یا PIN محلی نیز برای بازکردن قفل احراز گر و اجازه استفاده از کلید خصوصی به کار می‌روند؛ داده خام زیست‌سنجی در اختیار سرویس قرار نمی‌گیرد. سرویس فقط شواهد لازم درباره موفقیت تأیید محلی کاربر را دریافت می‌کند.

مقاومت در برابر فیشینگ از وابستگی اعتبارنامه به شناسه سرویس و مبدأ معتبر ناشی می‌شود. احرازگر برای دامنه مهاجم پاسخی تولید نمی‌کند که در دامنه اصلی معتبر باشد. در نتیجه، حتی اگر صفحه جعلی از نظر ظاهری کاملاً مشابه صفحه اصلی باشد، نمی‌تواند یک اعتبارنامه قابل‌استفاده برای سرویس واقعی به دست آورد.

FIDO2 معماری‌ای مبتنی بر WebAuthn و پروتکل‌های CTAP ارائه می‌کند. WebAuthn رابط استاندارد میان برنامه وب، مرورگر و سرویس متکی را فراهم می‌سازد و CTAP ارتباط با احرازگرهای سازگار را پشتیبانی می‌کند. این خانواده استاندارد امکان استفاده از احرازگر داخلی دستگاه، کلید امنیتی سخت‌افزاری و گذر کلید (Passkey) را در پلتفرم‌های مختلف فراهم می‌کند.

بااین‌حال، Passwordless به‌طور خودکار به معنای مقاوم در برابر فیشینگ نیست. لینک ورود ایمیلی یا کد پیامکی ممکن است رمز ثابت را حذف کند، اما همچنان در معرض فیشینگ یا تصاحب کانال ارتباطی باشد. ارزش امنیتی واقعی زمانی ایجاد می‌شود که حذف رمز با رمزنگاری کلید عمومی، وابستگی به مبدأ و تأیید امن کاربر همراه باشد.

موفقیت این تحول به تمام چرخه عمر اعتبارنامه وابسته است. ثبت احراز گر، افزودن دستگاه، بازیابی حساب، لغو اعتبارنامه گم‌شده و احراز مجدد برای عملیات حساس باید به‌اندازه روش اصلی ورود ایمن باشند. اگر مسیر بازیابی ضعیف‌تر باشد، مهاجم همان مسیر را هدف قرار می‌دهد. حفاظت از نشست‌ها، ثبت رویدادها، ارزیابی ریسک و کنترل دسترسی نیز همچنان ضروری‌اند؛ احراز هویت قوی نقطه شروع زنجیره اعتماد است، نه جایگزین همه کنترل‌ها.

گذار به مدل جدید می‌تواند تدریجی و مبتنی بر ریسک باشد. حساب‌های ممتاز، مدیران سامانه، دسترسی‌های راه دور و عملیات حساس نقاط مناسبی برای آغازند. سپس، با ارزیابی سازگاری سامانه‌ها، تجربه کاربران و فرایندهای پشتیبانی، دامنه استفاده می‌تواند گسترش یابد. در این مدل، کاربر با تعاملی ساده مانند لمس احراز گر، PIN محلی یا تأیید زیست‌سنجی هویت خود را اثبات می‌کند؛ تجربه‌ای ساده‌تر برای کاربر و مانعی سخت‌تر برای مهاجم.

مقاومت در برابر فیشینگ باید به معیار اصلی بازار هویت دیجیتال تبدیل شود

تحول در امنیت هویت دیگر یک انتخاب لوکس یا صرفاً آینده‌نگرانه نیست. با گسترش بانکداری دیجیتال، تجارت الکترونیکی، خدمات ابری، دولت دیجیتال و تعاملات بین‌سازمانی، هویت به یکی از زیرساخت‌های اصلی اعتماد تبدیل شده است. ضعف در این لایه می‌تواند رخداد امنیتی، اختلال در خدمات، هزینه عملیاتی و آسیب اعتباری به همراه داشته باشد.

بازار نباید صرفاً از یک روش اختصاصی ورود به روشی اختصاصی دیگر مهاجرت کند. جایگزینی رمز عبور با سازوکاری بسته و وابسته به یک تولیدکننده، ممکن است بخشی از ریسک را کاهش دهد، اما پیچیدگی و وابستگی تازه‌ای ایجاد می‌کند. گذار پایدار باید بر استانداردهای باز، قابل‌ارزیابی و سازگار میان پلتفرم‌ها استوار باشد.

ارزش استانداردهای خانواده FIDO فقط در حذف رمز عبور نیست؛ این استانداردها زبان مشترکی میان سرویس‌ها، مرورگرها، سیستم‌عامل‌ها، دستگاه‌ها و احرازگرها ایجاد می‌کنند. استانداردسازی می‌تواند وابستگی به پیاده‌سازی اختصاصی را کاهش دهد، حق انتخاب میان تأمین‌کنندگان را حفظ کند و از ایجاد جزایر جدید احراز هویت جلوگیری کند.

استفاده از عنوان‌هایی مانند Passwordless ،Passkey یا FIDO به‌تنهایی برای ارزیابی امنیت یک راهکار کافی نیست. سازمان باید بررسی کند که پیاده‌سازی موردنظر از رمزنگاری کلید عمومی استفاده می‌کند، اعتبارنامه را به سرویس معتبر وابسته می‌سازد، تأیید کاربر را امن انجام می‌دهد و فرایندهای ثبت، بازیابی و لغو اعتبارنامه را پوشش می‌دهد.

مقاومت در برابر فیشینگ باید از قابلیتی اختیاری به یکی از معیارهای اصلی طراحی، خرید و ارزیابی سامانه‌های هویتی تبدیل شود. صرف اعلام پشتیبانی از MFA کافی نیست؛ نوع عامل، سازگاری با استانداردهای باز، قابلیت یکپارچه‌سازی، مدیریت متمرکز، ثبت رویدادها و امکان ممیزی نیز باید ارزیابی شوند. در چنین بازاری، مقاومت در برابر فیشینگ یک مزیت تبلیغاتی نیست؛ حداقل انتظار از احراز هویت مدرن است.

مدل مبتنی بر رمز عبور با مقیاس اقتصاد دیجیتال سازگار نیست

اقتصاد دیجیتال بر اعتماد استوار است و این اعتماد باید در لایه‌های هویت، احراز هویت و کنترل دسترسی قابل‌اثبات باشد. هر تعامل دیجیتال، از ورود مشتری به همراه‌بانک تا دسترسی مدیر به سامانه سازمانی یا ارتباط یک سرویس با API، بر این فرض بنا شده است که هویت طرف مقابل به‌درستی اعتبارسنجی شده است.

با افزایش تعداد حساب‌ها، کانال‌های دسترسی، خدمات ابری، کاربران راه دور و سامانه‌های متصل، محدودیت رمز عبور آشکارتر می‌شود. هر سرویس جدید ممکن است یک اعتبارنامه، فرایند بازیابی و نقطه بالقوه دیگری برای فیشینگ یا نشت اطلاعات ایجاد کند. فراموشی رمز، قفل‌شدن حساب، بازنشانی اعتبارنامه و پشتیبانی کاربران نیز در مقیاس سازمانی هزینه‌ای مستمر ایجاد می‌کنند.

ورود یکپارچه (SSO) با کاهش تعداد رمزهای مورد نیاز، مدیریت متمرکز هویت و تجربه کاربری را بهبود می‌دهد. بااین‌حال، اگر هویت مرکزی فقط با رمز عبور یا عاملی قابل‌فیشینگ محافظت شود، همان حساب به نقطه‌ای حساس با دامنه اثر گسترده تبدیل می‌شود. مقیاس‌پذیری واقعی زمانی حاصل می‌شود که مدیریت متمرکز با احراز هویت قوی، سیاست‌های تطبیقی و کنترل دقیق نشست همراه باشد.

تعاملات ماشینی نیز محدودیت اسرار ثابت را نشان می‌دهند. APIها، سرویس‌ها و بارهای کاری نمی‌توانند از روش‌های تعاملی کاربران انسانی استفاده کنند، اما نگهداری رمزها و کلیدهای بلندمدت در کد یا فایل پیکربندی نیز خطرناک است. هویت‌های ماشینی به سازوکارهای متناسب خود، مانند گواهی دیجیتال، هویت بار کاری، کلیدهای مدیریت‌شده و توکن‌های کوتاه‌عمر نیاز دارند. جهت‌گیری مشترک در هر دو حوزه، کاهش وابستگی به اسرار ثابت و قابل‌بازتولید است.

معماری هویتی مقیاس‌پذیر باید تعداد زیادی احراز هویت را بدون تکثیر اسرار مشترک مدیریت کند، سیاست‌های یکپارچه را در کانال‌های مختلف اعمال کند، سطح اطمینان را بر اساس ریسک تنظیم کند و چرخه عمر اعتبارنامه‌ها را کنترل کند. ادامه وابستگی محوری به رمز عبور، انتقال هزینه، پیچیدگی و ریسک به آینده است؛ درحالی‌که استانداردهای باز و رمزنگاری کلید عمومی امکان توسعه خدمات را بدون افزایش متناسب سطح حمله فراهم می‌کنند.

آینده احراز هویت بر رمز عبور بنا نمی‌شود

رمز عبور همچنان در بسیاری از سامانه‌ها حضور دارد، اما فراگیری آن نباید با کفایت اشتباه گرفته شود. روشی که زمانی ابزاری ساده برای کنترل دسترسی بود، امروز در برابر فیشینگ، نشت اعتبارنامه، باز استفاده از رمز و حملات مبتنی بر تصاحب هویت با محدودیت‌های جدی مواجه است.

مسئله فقط رفتار کاربران نیست؛ محدودیت اصلی در مدلی است که اثبات هویت را بر ارائه یک راز قابل‌انتقال بنا می‌کند. پیچیده‌ترکردن رمز یا افزودن عوامل قابل‌فیشینگ، این محدودیت را به‌طور کامل برطرف نمی‌کند. معیار اصلی باید میزان مقاومت سازوکار در برابر سرقت، انتقال، بازپخش و فیشینگ باشد.

استانداردهای خانواده FIDO نشان می‌دهند که می‌توان به‌جای ارائه راز، از اثبات رمزنگاری‌شده مالکیت اعتبارنامه استفاده کرد و هم‌زمان تجربه‌ای ساده‌تر برای کاربر فراهم ساخت. بااین‌حال، این تحول باید فرایندهای ثبت، بازیابی، لغو اعتبارنامه، حفاظت از نشست و کنترل دسترسی را نیز پوشش دهد.

این گذار به معنای حذف فوری رمز عبور از همه سامانه‌ها نیست. زیرساخت‌های قدیمی و الزامات یکپارچه‌سازی، مهاجرت تدریجی و مبتنی بر ریسک را ضروری می‌کنند. رمز عبور ممکن است در دوره گذار باقی بماند، اما دیگر نباید مبنای اصلی طراحی امنیت و نقطه اتکای آینده احراز هویت باشد.

زمان تغییر مدل احراز هویت فرا رسیده است: گذار از رازی که می‌تواند سرقت شود، به هویتی که باید به‌صورت امن و رمزنگاری‌شده اثبات شود.