为什么对MFA有如此大的抵抗心理?
当医生谈到电子病历以及她们办公室是如何保护病人信息的,医生介绍所有通常和预期的保障措施,如密码短语、多因素身份验证(MFA)和双因素身份验证(2FA)。医生补充说,如果他需要开某些药物,必须使用多种认证方法——多因素身份验证!
对许多人来说,仅仅是使用密码,短时间的密码,都会引起强烈的抵抗心理。认识一些人,他们宁愿永久地登录着他们的电脑,也不愿每天输入密码不止一次,多因素身份验证,似乎会让一些人觉得痛苦。因此,在最近的泰雷兹数据威胁报告中,受访者表示,MFA的使用仅为55%,远低于饱和水平,这也就不奇怪了。难道对MFA的抵制是误解、错误信息或不便利的感知吗?如何才能克服它呢?
密码
计算机系统曾经被密码充分保护过。虽然早期的一些黑客花时间猜测计算机管理员的密码,只是为了增加他们在系统上的访问时间或占用更多的磁盘空间,但这些都是友好的攻击。一旦计算机系统在我们生活的各个领域广泛应用,这些漏洞会成为炫耀权利的工具。简单的密码足以阻止猜测,因为猜测正确的密码组合似乎不太可能。
互联网诞生以后,犯罪分子找到了更新的、更有利可图的方式来从猜测用户的密码中获益。这个新开发的似是而非的解决方案是让密码更难猜测,但这只会保护那些不愿意花时间猜测和试图登录的人。随着时间的推移,使用更复杂的技术,如使用哈希冲突,使密码变得更容易出售。
口令解决方案
为了消除密码猜测游戏,有人开发了一种新的登录方法。一个人可以携带一个被称为令牌的物理设备,它需要结合一个密码来完成登录过程,多因素身份验证因此就诞生了!令牌有一个小型液晶显示器(LCD)屏幕,显示一组字符,每隔几分钟就会发生变化;它们与发行公司总部的时钟同步。对于大多数小公司来说,这种方式成本是昂贵的,因此,令牌的使用仅限于处理及其敏感信息的金融机构或其他组织。
令牌方法最大的两个缺点是占有和电池寿命,需要用户拥有可用的令牌。而令牌里有电池,会随着时间推移而耗尽电量。通常,发行者会在令牌的预期到期日之前发送一个替换文件,但是每个新的令牌都需要进行管理开销设置。这也面临着其他挑战;例如,如果该公司的业务遍布全球,事情就会变得更复杂。它也不能完全保证登录的安全性,因为令牌可以给他人使用或被盗窃后用来假冒托管人。当然,最大的挑战是如何知道是否丢失了令牌或它被偷了。即使是速度最快的快递员,也无法立即将受影响用户手中的令牌替换掉。
掌上MFA
需要说明的是,许多组织基于令牌的方法仍然在使用,在某种情况下,它是发布一次性密码(OTP)以增强安全性的首选方法,然而,有两项发展使得使用MFA过于容易,即使是最抗拒的人也无法忽视。
MFA和智能手机集成都在发展。现代MFA系统可以配置为调用电话号码、发送短信、通过身份验证应用程序显示代码或使用其中一种或多种方法的组合。这一点很重要,因为移动手机或设备无处不在。正如一位最高法院的法官所说,“现代手机.......现在是日常生活中如此普遍和持续存在的一部分,众所周知的来自火星的访客可能会觉得,它们是人体解剖学的一个重要特征。”
MFA:是好还是坏?
很难理解为什么这么多的组织和个人仍然不愿意使用MFA。大多网站,包括许多社交媒体网站,现在都提供MFA来保护登录、用户信息和隐私。为了增加提高MFA的使用力度,美国总统拜登最近发出行政命令要求所有政府机构使用MFA。
MFA肯定会继续沿用,如果您的组织还没有使用它作为保护个人和业务信息的标准流程,那么,是时候改变这种情况了。无论您是否需要强制使用它,还是引入进一步的安全教育来说服用户相信有必要,都是时候加入使用MFA的行列,并在尽可能多的地方启用MFA。
来源网站:https://securityboulevard.com 沃通WoTrus原创翻译整理,转载请注明来源
原文网址:https://securityboulevard.com/2021/08/why-so-much-resistance-to-mfa/