в мобильной аутентификации думайте об оборудовании, а не о программном обеспечении

Розничная торговля находится в неловкой промежуточной стадии, когда дело доходит до онлайн-безопасности. Перемещая свои покупки в онлайн-варианты, покупатели используют как настольные компьютеры, так и мобильные устройства. Если бы они перешли сразу на мобильные устройства, вариантов аутентификации было бы множество, включая селфи и другую биометрическую аутентификацию, такую ​​как отпечатки пальцев.

Но Национальный центр передового опыта в области кибербезопасности (NCCoE) Национального института стандартов и технологий пытается укрепить безопасность и аутентификацию на настольных компьютерах и мобильных устройствах. Он был побужден заняться своим проектом многофакторной аутентификации для электронной коммерции из-за осознания того, что усиление безопасности в физическом мире (с такими шагами, как карты с чипами EMV) означает, что воры начнут больше сосредотачиваться на транзакциях без карты. .

[ Related: Dual biometrics may just be the authentication answer we need ]

Согласно NCCoE, его рекомендация по запуску многофакторной аутентификации заимствована из метода, который уже широко используется на сайтах розничной торговли. Пользователь может начать совершать покупки в Интернете с минимально инвазивной аутентификацией — просто именем пользователя и паролем или даже автоматическим входом в систему. Но если того требуют обстоятельства, может потребоваться больше. Это решение будет основываться на таких факторах, как «характер продукта, известный IP-адрес, связанный с покупателем, типичная геолокация и соответствие прошлым моделям онлайн-покупок», — говорится в сообщении NIST. Другими словами, ваша история покупок и использования различных устройств в разных местах будет проанализирована, чтобы увидеть, ведете ли вы себя необычно — и, возможно, это не так.

Что интересно, так это характер дополнительной аутентификации, которую рекомендует NCCoE.

В современной электронной коммерции для настольных компьютеров вторичная аутентификация часто включает отправку одноразового кода на мобильное устройство — не очень безопасный подход, поскольку текст может быть перехвачен. Лучшим подходом будет аутентификация самого настольного устройства с помощью таких сведений, как версия ОС, загруженные приложения, серийные номера этих приложений, количество сохраненных изображений, количество и названия сохраненных песен и имена папок.

Стивен Спраг — генеральный директор Rivetz, одного из поставщиков, работающих с NCCoE над этой задачей. Спрэг утверждает, что многие попытки мобильной аутентификации совершают ошибку, работая внутри программного обеспечения.

«Программный код легко изменить, а память можно скопировать», — сказал он. « [whole] Программный процесс можно наблюдать. Вы просто не можете скрыть секрет в операционной системе. Пришло время, наконец, сделать это правильно, с усиленными ключами внутри устройства».

Как и во многих современных мобильных устройствах, Apple лидирует в этой борьбе, начиная с аппаратного элемента защиты iPhone на основе чипа.

Но, честно говоря, у Apple гораздо более простой путь к аппаратной безопасности, потому что она имеет полный контроль над всеми устройствами iOS. Это далеко не так в мире Google Android, где все производители телефонов сами за себя.

На самом деле, мир быстро развивается, но мир настольных компьютеров, ноутбуков и ПК (и, да, Mac) вряд ли исчезнет как минимум через пять лет. Но одним из преимуществ подхода на основе чипов является то, что он не зависит от мобильного или настольного оборудования.

Аутентификация устройств и аутентификация пользователей

Но в чем опасность аутентификации устройств, а не пользователей? Да, аутентификация устройства проще. Пользователю не нужно ничего делать, чтобы сайт мог аутентифицировать устройство. Но что происходит, когда устройство используется кем-то другим? Некоторые из атрибутов устройства, рассматриваемых для проверки подлинности устройства, могут сохраниться при программной очистке.

Конечно, аутентификация пользователей является более сложной задачей, требующей биометрических данных, таких как отпечаток пальца или сканирование лица — на языке безопасности, что-то, чем вы являетесь — или «секретные» вопросы — что-то, что вы знаете.

В документе NCCoE представлены гипотетические примеры того, как аутентификация может работать в конкретных ситуациях, а контрольные вопросы в некоторых случаях были частью процесса. Но необходимость отвечать на такие вопросы может сделать электронную коммерцию слишком утомительной для многих людей. Ритейлеры, всегда стремящиеся к конкурентному преимуществу, могут предпочесть меньшую безопасность и большее удобство.

Спрэг возвращается к аргументу аппаратной аутентификации устройства. Он утверждает, что покупатель, скорее всего, заметит пропажу телефона и сделает это быстро. Пока у пользователя есть простой и интуитивно понятный способ быстро предупредить власти о том, что устройство пропало и что универсальная аутентификация должна быть отключена, это может сработать.

Авторское право © 2017 IDG Communications, Inc.