Τι είναι ο έλεγχος ταυτότητας;

Στον σύγχρονο έλεγχο ταυτότητας, η διαδικασία ελέγχου ταυτότητας ανατίθεται σε ένα αξιόπιστο, ξεχωριστό σύστημα ταυτότητας, σε αντίθεση με τον παραδοσιακό έλεγχο ταυτότητας όπου κάθε σύστημα επαληθεύει τον εαυτό του. Υπήρξε επίσης μια αλλαγή στον τύπο των μεθόδων ελέγχου ταυτότητας που χρησιμοποιούνται. Οι περισσότερες εφαρμογές απαιτούν όνομα χρήστη και κωδικό πρόσβασης, αλλά καθώς οι κακόβουλοι παράγοντες έχουν εξοικειωθεί με την κλοπή κωδικών πρόσβασης, η κοινότητα ασφάλειας έχει αναπτύξει πολλές νέες μεθόδους για την προστασία των ταυτοτήτων.

Ο έλεγχος ταυτότητας που βασίζεται σε κωδικό πρόσβασης είναι η πιο συνηθισμένη μορφή ελέγχου ταυτότητας. Πολλές εφαρμογές και υπηρεσίες απαιτούν από τους χρήστες να δημιουργούν κωδικούς πρόσβασης που χρησιμοποιούν έναν συνδυασμό αριθμών, γραμμάτων και συμβόλων για να μειώσουν τον κίνδυνο να τους μαντέψει ένας κακός παράγοντας. Ωστόσο, οι κωδικοί πρόσβασης δημιουργούν επίσης προκλήσεις ασφάλειας και χρηστικότητας. Είναι δύσκολο για τους χρήστες να δημιουργήσουν και να απομνημονεύσουν έναν μοναδικό κωδικό πρόσβασης για κάθε έναν από τους online λογαριασμούς τους, για αυτό συχνά επαναχρησιμοποιούν κωδικούς πρόσβασης. Επίσης, οι εισβολείς χρησιμοποιούν πολλές τακτικές για να μαντέψουν ή να υποκλέψουν κωδικούς πρόσβασης ή να δελεάσουν τους χρήστες να τους κοινοποιήσουν αθέλητα. Για αυτόν τον λόγο, οι οργανισμοί μετακινούνται από τους κωδικούς πρόσβασης σε άλλες πιο ασφαλείς μορφές ελέγχου ταυτότητας.

Ο έλεγχος ταυτότητας βάσει πιστοποιητικού είναι μια κρυπτογραφημένη μέθοδος που επιτρέπει σε συσκευές και άτομα να προσδιορίζουν τον εαυτό τους σε άλλες συσκευές και συστήματα. Δύο συνηθισμένα παραδείγματα είναι μια έξυπνη κάρτα ή όταν μια συσκευή υπαλλήλου στέλνει ένα ψηφιακό πιστοποιητικό σε ένα δίκτυο ή διακομιστή.

Στον βιομετρικό έλεγχο ταυτότητας, οι χρήστες επαληθεύουν την ταυτότητά τους χρησιμοποιώντας βιομετρικά στοιχεία. Για παράδειγμα, πολλοί χρήστες χρησιμοποιούν το δάχτυλό τους ή τον αντίχειρά τους για να πραγματοποιήσουν είσοδο στα τηλέφωνά τους και ορισμένοι υπολογιστές σαρώνουν το πρόσωπο ή τον αμφιβληστροειδή ενός ατόμου για να επαληθεύσουν την ταυτότητά τους. Τα βιομετρικά δεδομένα συνδέονται επίσης με μια συγκεκριμένη συσκευή, επομένως οι εισβολείς δεν μπορούν να τα χρησιμοποιήσουν χωρίς να αποκτήσουν επίσης πρόσβαση στη συσκευή. Αυτός ο τύπος ελέγχου ταυτότητας είναι όλο και πιο δημοφιλής, επειδή είναι εύκολος για τους χρήστες, καθώς δεν χρειάζεται να απομνημονεύσουν κάτι και δυσκολεύει τους κακόβουλους παράγοντες και την υποκλοπή, καθιστώντας τον πιο ασφαλή από τους κωδικούς πρόσβασης.

Στον έλεγχο ταυτότητας βάσει διακριτικού, τόσο μια συσκευή όσο και το σύστημα δημιουργούν έναν νέο μοναδικό αριθμό που ονομάζεται PIN μίας χρήσης βάσει χρόνου (time-based one-time PIN - TOTP) κάθε 30 δευτερόλεπτα. Εάν οι αριθμοί συμφωνούν, το σύστημα επαληθεύει ότι ο χρήστης έχει τη συσκευή.

Οι κωδικοί πρόσβασης μίας χρήσης (OTP) είναι κωδικοί που δημιουργούνται για ένα συγκεκριμένο συμβάν εισόδου που λήγουν λίγο μετά την έκδοση. Παραδίδονται μέσω μηνυμάτων SMS, ηλεκτρονικού ταχυδρομείου ή διακριτικού υλικού.

Ορισμένες εφαρμογές και υπηρεσίες χρησιμοποιούν ειδοποιήσεις push για τον έλεγχο ταυτότητας των χρηστών. Σε αυτές τις περιπτώσεις, οι χρήστες λαμβάνουν ένα μήνυμα στο τηλέφωνό τους ζητώντας τους να εγκρίνουν ή να απορρίψουν την αίτηση πρόσβασης. Επειδή ορισμένες φορές οι χρήστες εγκρίνουν κατά λάθος ειδοποιήσεις push, παρόλο που προσπαθούν να εισέλθουν στις υπηρεσίες που έστειλαν την ειδοποίηση, αυτή η μέθοδος μερικές φορές συνδυάζεται με μια μέθοδο OTP. Με το OTP το σύστημα δημιουργεί έναν μοναδικό αριθμό που πρέπει να εισαγάγει ο χρήστης. Αυτό κάνει τον έλεγχο ταυτότητας πιο ανθεκτικό στο ηλεκτρονικό "ψάρεμα".

Στον έλεγχο ταυτότητας μέσω φωνής, το άτομο που προσπαθεί να αποκτήσει πρόσβαση σε μια υπηρεσία λαμβάνει μια τηλεφωνική κλήση, στην οποία του ζητείται να εισαγάγει έναν κωδικό ή να προσδιορίσει τον εαυτό του προφορικά.

Ένας από τους καλύτερους τρόπους για να περιορίσετε την παραβίαση λογαριασμού είναι να απαιτήσετε δύο ή περισσότερες μεθόδους ελέγχου ταυτότητας, οι οποίες μπορεί να περιλαμβάνουν οποιαδήποτε από τις μεθόδους που αναφέρονται προηγουμένως. Μια αποτελεσματική βέλτιστη πρακτική είναι να απαιτείται οποιοδήποτε από τα εξής δύο:

• Κάτι που γνωρίζει ο χρήστης, συνήθως έναν κωδικό πρόσβασης.
• Κάτι που διαθέτει, όπως μια αξιόπιστη συσκευή που δεν αντιγράφεται εύκολα, όπως ένα τηλέφωνο ή ένα διακριτικό υλικού.
• Κάτι που είναι ο χρήστης, όπως σάρωση δακτυλικού αποτυπώματος ή προσώπου.

Για παράδειγμα, πολλοί οργανισμοί ζητούν έναν κωδικό πρόσβασης (κάτι που γνωρίζει ο χρήστης) και επίσης στέλνουν ένα OTP μέσω SMS σε μια αξιόπιστη συσκευή (κάτι που έχει ο χρήστης) προτού επιτραπεί η πρόσβαση.

Ο έλεγχος ταυτότητας δύο παραγόντων είναι ένας τύπος ελέγχου ταυτότητας πολλών παραγόντων που απαιτεί δύο μορφές ελέγχου ταυτότητας.