กำหนดเทคโนโลยี Multifactor Authentication (MFA) - การจัดการแพลตฟอร์ม Microsoft - บล็อก - ชุมชน Quest

การรับรองความถูกต้องแบบหลายปัจจัย (MFA) คืออะไรกันแน่? มีเทคโนโลยีใดบ้างที่สามารถนำมาใช้ได้ และข้อดีและข้อเสียมีอะไรบ้าง บล็อกนี้ตอบคำถามเหล่านี้ทั้งหมด

การรับรองความถูกต้องคืออะไรกันแน่?

เริ่มต้นด้วยพื้นฐาน การตรวจสอบสิทธิ์คืออะไร โดยพื้นฐานแล้ว เป็นการยืนยันว่าบุคคลคือบุคคลที่ตนอ้างว่าเป็น เป็นหนึ่งในสองฟังก์ชันหลักของ Active Directory และ Azure Active Directory (อีกประการหนึ่งคือการอนุญาต ซึ่งเกี่ยวข้องกับการตัดสินใจว่าผู้ใช้จะได้รับอนุญาตให้ทำอะไรได้บ้างเมื่อได้รับการตรวจสอบแล้ว ฉันจะไม่พูดถึงการอนุญาตเลยในโพสต์นี้)

ในยุคแรกๆ ของการประมวลผล การรับรองความถูกต้องนั้นง่ายดาย: หากคุณต้องการเข้าสู่ระบบไอที คุณต้องป้อนชื่อผู้ใช้และรหัสผ่านของคุณ หากสิ่งที่คุณป้อนตรงกับสิ่งที่ระบบจัดเก็บไว้ในไดเร็กทอรี ระบบจะตัดสินว่าคุณคือคนที่คุณอ้างว่าเป็นและอนุญาตให้คุณเข้าถึงได้ มิฉะนั้นคุณจะถูกปฏิเสธการเข้าถึง

แนวทางนี้มีความซับซ้อนมากขึ้นเมื่อเวลาผ่านไป ตัวอย่างเช่น ระบบตรวจสอบความถูกต้องด้วยรหัสผ่านสมัยใหม่ เช่น Kerberos จะไม่ส่งรหัสผ่านอีกต่อไป พวกเขาสร้างโทเค็นการรับรองความถูกต้องที่ส่งมาแทน

แต่ถึงแม้จะมีการปรับปรุงเหล่านี้ วิธีการตรวจสอบสิทธิ์โดยใช้ชื่อผู้ใช้และรหัสผ่านก็ยังมีจุดอ่อนที่สำคัญ นั่นคือ หากมีใครเรียนรู้รหัสผ่านของผู้ใช้รายอื่น พวกเขาก็จะแยกไม่ออกจากผู้ใช้จริง นี่เป็นปัญหาด้านความปลอดภัยที่เกิดขึ้นจริงและเร่งด่วน เนื่องจากมีหลายวิธีในการรับรหัสผ่าน ตั้งแต่การคาดเดาอย่างมีหลักการ การโจมตีทางเทคนิค ไปจนถึงการโจมตีทางสังคมแบบกำหนดเป้าหมาย เช่น ฟิชชิ่ง ในความเป็นจริง เป็นเรื่องยากสำหรับระบบที่จะป้องกันไม่ให้ผู้ใช้ใช้รหัสผ่านซ้ำในหลายระบบ หรือใช้รหัสผ่านที่เดาได้ง่าย

ยิ่งไปกว่านั้น แม้ว่าผู้โจมตีจะไม่ทราบรหัสผ่านของผู้ใช้ แต่ระบบการตรวจสอบสิทธิ์ชื่อผู้ใช้และรหัสผ่านส่วนใหญ่ก็มีความเสี่ยงต่อกลวิธี เช่น การโจมตีแบบเล่นซ้ำ (ซึ่งผู้โจมตีเพียงแค่รับฟังการรับส่งข้อมูลการตรวจสอบสิทธิ์แล้วเล่นซ้ำ) และการโจมตี Golden Ticket (ใน ซึ่งผู้โจมตีทิ้งโทเค็นการรับรองความถูกต้องที่ถูกต้องจากหน่วยความจำของระบบที่มีช่องโหว่)

การรับรองความถูกต้องแบบหลายปัจจัยคืออะไร?

ดังนั้นการรับรองความถูกต้องแบบหลายปัจจัยคืออะไร? การตรวจสอบสิทธิ์ชื่อผู้ใช้และรหัสผ่านเป็นปัจจัยเดียว: คุณยืนยันว่าคุณเป็นใครที่คุณอ้างว่าใช้เพียงวิธีเดียว หรือ ปัจจัย โดยระบุชื่อผู้ใช้/รหัสผ่านของคุณ

การตรวจสอบสิทธิ์แบบสองปัจจัย ดังที่ชื่อบอกเป็นนัย เกี่ยวข้องกับการกำหนดสองปัจจัยที่แตกต่างกัน เป็นการตรวจสอบสิทธิ์แบบหลายปัจจัยประเภทพื้นฐานที่สุด ซึ่งต้องใช้ปัจจัยที่แตกต่างกันตั้งแต่ 2 ปัจจัยขึ้นไป สิ่งนี้มักอธิบาย (แม้ว่าจะไม่ถูกต้อง) ว่าเป็นการรวม "สิ่งที่คุณรู้" (รหัสผ่านของคุณ) เข้ากับ "สิ่งที่คุณมี" (เช่น รหัสจากแอปในโทรศัพท์ของคุณ) ฉันจะใช้คำว่า "การรับรองความถูกต้องแบบหลายปัจจัย" เนื่องจากคำนี้ประกอบด้วยสองปัจจัย

ประโยชน์ของการรับรองความถูกต้องแบบหลายปัจจัย

การรับรองความถูกต้องแบบหลายปัจจัยมีประโยชน์ต่อทั้งองค์กรและผู้ใช้โดยแก้ไขจุดอ่อนหลักของการตรวจสอบสิทธิ์ชื่อผู้ใช้และรหัสผ่าน ตัวอย่างเช่น สมมติว่าฉันใช้รหัสผ่านลับสุดยอดของฉัน “CovidSux2021! ” ในหลายเว็บไซต์ รวมถึงเครือข่ายองค์กรของฉัน และฟอรัมสำหรับรูปภาพแมวน่ารักที่ฉันพบบ่อยๆ น่าเสียดายที่ฟอรัมรูปภาพแมวเก็บรหัสผ่านของฉันในรูปแบบที่แฮ็กได้ง่ายและพวกเขาประสบปัญหาการละเมิด — ตอนนี้ชื่อผู้ใช้และรหัสผ่านของฉันสำหรับฟอรัมนั้นสามารถมีได้บนเว็บแบบเปิดในราคาไม่กี่เพนนี

หากไม่มีการตรวจสอบสิทธิ์แบบหลายปัจจัย ผู้โจมตีสามารถซื้อชื่อผู้ใช้และรหัสผ่านนั้น ค้นคว้าข้อมูลเล็กน้อยเกี่ยวกับสถานที่ที่ฉันทำงาน และคาดเดาว่าฉันอาจใช้รหัสผ่านเดียวกันที่นั่น หากการเดานั้นถูกต้อง เกมก็จะจบลง พวกเขาสามารถเข้าถึงทุกสิ่งที่ฉันสามารถทำได้ในที่ทำงาน ในทำนองเดียวกัน พวกเขาอาจลองใช้ชื่อผู้ใช้/รหัสผ่านเดียวกันบนเว็บไซต์ธนาคารหลายแห่ง หากพวกเขาสามารถเข้าสู่ระบบได้ บัญชีของฉันอาจถูกล้างออกไปได้

แต่ด้วยการรับรองความถูกต้องแบบหลายปัจจัย การรู้รหัสผ่านของฉันไม่ได้ช่วยอะไร พวกเขาขาดปัจจัยอื่นๆ (หรือปัจจัย) ที่ระบบต้องการเพื่อพิสูจน์ว่าพวกเขาคือฉัน ขัดขวาง!

เทคโนโลยี มฟล

ดังนั้น คุณจะได้รับประโยชน์จากการรับรองความถูกต้องด้วยหลายปัจจัยเหล่านี้ได้อย่างไร? ต่อไปนี้เป็นเทคโนโลยีการตรวจสอบสิทธิ์แบบหลายปัจจัยที่พบบ่อยที่สุด และวิธีการทำงานในโลกความเป็นจริง

รหัสผ่านแบบใช้ครั้งเดียว (OTP)

คุณอาจเคยประสบปัญหานี้: คุณไปที่เว็บไซต์ (เช่น ธนาคารของคุณ) และป้อนชื่อผู้ใช้และรหัสผ่านของคุณ จากนั้นระบบจะส่งรหัสที่คุณต้องระบุภายในระยะเวลาอันสั้นจึงจะได้รับอนุญาตให้เข้าถึงได้ แต่ละครั้งที่คุณตรวจสอบสิทธิ์ คุณจะต้องจัดเตรียมการตรวจสอบสิทธิ์ใหม่

การให้ OTP มีหลายวิธี ได้แก่:

• ข้อความ SMS — การส่งข้อความเป็นรูปแบบการตรวจสอบสิทธิ์แบบหลายปัจจัยที่ง่ายที่สุดและแพร่หลายที่สุด
• โทเค็นฮาร์ดแวร์ — ธุรกิจบางแห่งจะออกอุปกรณ์ที่สร้าง OTP ให้กับผู้ใช้เมื่อมีการร้องขอ สำหรับพวกเราในช่วงวัยหนึ่ง พวงกุญแจ RSA ที่มีหน้าจอ LCD เล็กๆ เป็นสิ่งที่พบเห็นได้ทั่วไป
• แอปสมาร์ทโฟน— แอปสมาร์ทโฟน เช่น Google Authenticator, Authy และ Microsoft Authenticator ได้เข้ามาแทนที่คีย์คีย์จริงส่วนใหญ่ในช่วงไม่กี่ปีที่ผ่านมา

สมาร์ทการ์ด

สมาร์ทการ์ดเป็นอุปกรณ์ทางกายภาพที่โดยทั่วไปจะจัดเก็บใบรับรองดิจิทัลที่ลงนามแบบเข้ารหัส ซึ่งระบบที่คุณกำลังตรวจสอบความถูกต้องจะอ่านเมื่อคุณเสียบใบรับรอง หรือในบางกรณี เพียงแค่ถือไว้ใกล้กับเครื่องอ่าน สมาร์ทการ์ดเวอร์ชันใหม่มีอุปกรณ์เช่น Yubikeys

ไบโอเมตริกซ์

ด้วยการรับรองความถูกต้องด้วยชีวมาตร ลักษณะทางกายภาพที่เป็นเอกลักษณ์ของคุณคือส่วนหนึ่งของ "สิ่งที่คุณมี" ของสมการ MFA (บางครั้งเรียกว่า "สิ่งที่คุณเป็น") ในปีที่ผ่านมา สิ่งนี้มักจะอยู่ในรูปแบบของลายนิ้วมือ โดยใช้เทคโนโลยี เช่น TouchID ของ Apple ล่าสุด การระบุคุณลักษณะใบหน้ามีอายุมากขึ้นด้วยตัวเลือกต่างๆ เช่น FaceID ของ Apple และ Windows Hello ของ Microsoft

สิ่งสำคัญคืออย่าสับสนระหว่างไบโอเมตริกว่าเป็นความสะดวกสบายกับไบโอเมตริกซ์เป็นปัจจัยในการตรวจสอบสิทธิ์ลำดับที่สอง ตัวอย่างเช่น Microsoft กล่าวถึงความแตกต่างระหว่าง Windows Hello โดยเฉพาะว่าเป็นวิธีที่สะดวกในการเข้าถึงอุปกรณ์ของคุณกับ Windows Hello ในฐานะองค์ประกอบของกลยุทธ์ MFA

การรับรองความถูกต้องแบบไม่มีรหัสผ่าน

การรับรองความถูกต้องแบบไม่ใช้รหัสผ่านถือเป็นขอบเขตของการรับรองความถูกต้อง และ Microsoft มุ่งมั่นที่จะกำหนดแผนงานในการขับเคลื่อนลูกค้าองค์กรไปในทิศทางนั้น

คุณอาจกำลังคิดว่า “แต่เดี๋ยวก่อน — การรับรองความถูกต้องแบบไม่ใช้รหัสผ่านจะเป็น MFA ได้อย่างไร ในเมื่อมันจะลบรหัสผ่าน ซึ่งเป็นหนึ่งในแกนหลักของ MFA ” แม้ว่าจะเป็นเรื่องจริงที่ MFA มักใช้รหัสผ่านเป็นปัจจัยหนึ่ง แต่ก็ไม่จำเป็น MFA ที่ไม่มีรหัสผ่านใช้ปัจจัยที่แตกต่างกันร่วมกัน ได้แก่ การลงทะเบียนอุปกรณ์บวกกับปัจจัยที่สอง เช่น PIN หรือข้อมูลไบโอเมตริก โดยเฉพาะอย่างยิ่ง อุปกรณ์ที่ใช้งานอยู่ ไม่ว่าจะเป็นอุปกรณ์เคลื่อนที่หรือเวิร์กสเตชัน จะเป็นที่รู้จักอย่างปลอดภัยต่อระบบที่ได้รับการตรวจสอบสิทธิ์ จากนั้น PIN หรือข้อมูลไบโอเมตริกซ์จะถูกนำมาใช้ภายในอุปกรณ์ จากนั้นอุปกรณ์จะรับรองผู้ใช้ปลายทางถึงระบบที่ได้รับการตรวจสอบสิทธิ์ การรับรองความถูกต้องจริงเกิดขึ้นภายในเครื่องบนอุปกรณ์ ไม่ใช่ระบบระยะไกลที่กำลังเข้าถึง!

มาดูการดำเนินการนี้กับ Azure AD กัน ฉันดาวน์โหลดแอป Microsoft Authenticator แล้วลงทะเบียนโทรศัพท์ของฉันโดยใช้แอปใน Azure AD โดยใช้ขั้นตอนการตรวจสอบสิทธิ์ปัจจุบันของฉัน (ซึ่งอาจเป็นชื่อผู้ใช้/รหัสผ่าน + SMS OTP) ในส่วนหนึ่งของการลงทะเบียนนี้ แอปจะตรวจสอบให้แน่ใจว่าฉันได้เปิดใช้งานรหัสผ่านหรือไบโอเมตริกซ์ในโทรศัพท์ของฉันแล้ว สิ่งนี้ทำให้ Azure AD รู้จักโทรศัพท์

จากนั้น ฉันสามารถแปลงบัญชี Azure AD ของฉันเป็นแบบไม่ใช้รหัสผ่านได้ เมื่อ Azure AD จำเป็นต้องตรวจสอบสิทธิ์ ระบบจะส่งการแจ้งเตือนไปยังโทรศัพท์ และฉันปลดล็อกโทรศัพท์โดยใช้ PIN หรือใบหน้าของฉันเพื่อยืนยันการรับรองความถูกต้อง มีการใช้ปัจจัยสองประการ: อุปกรณ์ที่ฉันมีและ PIN ที่ฉันรู้หรือใบหน้าที่ฉันมี

โปรดสังเกตว่าฉันไม่เคยส่งข้อมูลการรับรองความถูกต้องไปยัง Azure AD เลยหลังจากการลงทะเบียนครั้งแรก มันเป็นทั้งหมดภายในอุปกรณ์

สำหรับคอมพิวเตอร์เดสก์ท็อป Windows Hello for Business ทำงานในลักษณะเดียวกันมาก พีซีได้รับการลงทะเบียนใน Azure AD จากนั้น PIN หรือใบหน้าของฉันจะถูกใช้เพื่อปลดล็อคพีซี อีกครั้งมีการใช้ปัจจัยสองประการ

การเลือกเทคโนโลยี MFA

ดังที่คุณอาจเดาได้ว่า MFA ใดๆ มักจะเหนือกว่าแค่ชื่อผู้ใช้และรหัสผ่าน อย่างไรก็ตาม วิธีการพิสูจน์ตัวตนแบบหลายปัจจัยมีข้อดีข้อเสียที่แตกต่างกัน

OTP ผ่าน SMS มีความปลอดภัยน้อยที่สุด แม้ว่าจะมีการใช้งานอย่างกว้างขวางที่สุดก็ตาม เพื่อเอาชนะการรับรองความถูกต้องแบบหลายปัจจัยที่ใช้ SMS ผู้โจมตีสามารถขโมยโทรศัพท์ของผู้ใช้หรือโน้มน้าวให้ผู้ให้บริการโทรศัพท์ย้ายหมายเลขโทรศัพท์ของผู้ใช้ไปยังหมายเลขที่ควบคุมโดยผู้โจมตี นอกจากนี้ SMS MFA ยังเสี่ยงต่อการถูกโจมตีทางสังคม โดยผู้โจมตีโน้มน้าวให้ผู้ใช้แจ้งรหัส SMS ทางโทรศัพท์โดยปลอมตัวเป็นเจ้าหน้าที่ฝ่ายสนับสนุน

โทเค็นฮาร์ดแวร์ ยังเสี่ยงต่อการโจรกรรมทางกายภาพและการโจมตีทางสังคม และไม่สะดวกสำหรับผู้ใช้ที่อาจไม่มีโทเค็นติดตัวเมื่อจำเป็นต้องตรวจสอบสิทธิ์

OTP ผ่านแอปโทรศัพท์ น่าจะเป็น "จุดที่น่าสนใจ" ในปัจจุบันในการตรวจสอบสิทธิ์แบบหลายปัจจัย ซึ่งแพร่หลาย ตั้งค่าได้ง่ายกว่าสมาร์ทการ์ด และค่อนข้างปลอดภัย แต่มันก็มีด้านลบเช่นกัน โดยปกติผู้ใช้สามารถลงทะเบียนอุปกรณ์หลายเครื่องด้วยตนเองเพื่อให้รหัสผ่าน ซึ่งสะดวกแต่จะเพิ่มพื้นที่การโจมตี ที่แย่กว่านั้นคือผู้จัดการรหัสผ่านสมัยใหม่จำนวนมาก (เช่น 1Password หรือ Keychain ของ Apple) รวมการสร้าง OTP เข้ากับตัวจัดการรหัสผ่านเพื่อความสะดวก ดังนั้นหากผู้โจมตีสามารถเข้าถึงตัวจัดการรหัสผ่านได้ มันก็จะจบลง

สมาร์ทการ์ด ถือเป็นรูปแบบการตรวจสอบสิทธิ์ที่เข้มงวดมาก เนื่องจากคีย์การเข้ารหัสที่จัดเก็บไว้ในการ์ดได้รับการปกป้องอย่างดี อันที่จริง หน่วยงานของรัฐมักจะใช้สมาร์ทการ์ดเนื่องจากช่วยให้แน่ใจว่ามีการปฏิบัติตามกฎระเบียบ เช่น Defense Federal Acquisition Regulation System (DFARS) แต่สมาร์ทการ์ดนั้นไม่สะดวกสำหรับผู้ใช้ที่ต้องพกพาติดตัวไปด้วย และมีความเสี่ยงที่จะถูกขโมย นอกจากนี้ การนำไปปฏิบัติยังมีแนวโน้มที่จะกำหนดค่าใช้จ่ายในการบริหารจัดการที่สำคัญอีกด้วย เพื่อช่วยบรรเทาข้อเสียเหล่านี้ คีย์การ์ดเวอร์ชันใหม่อย่าง Yubikeys จึงผสานรวมข้อมูลไบโอเมตริกซ์และเข้ากันได้กับอุปกรณ์หลากหลายประเภท

ไบโอเมตริกกำลังได้รับความนิยมมากขึ้นเรื่อยๆ สะดวกมากสำหรับผู้ใช้ ฉันไม่เคยออกจากบ้านโดยไม่มีลายนิ้วมือหรือใบหน้า — แม้ว่าบาดแผลหรือการบาดเจ็บอื่นๆ อาจทำให้ระบบไม่สามารถตรวจสอบตัวตนของฉันได้ นอกจากนี้ ไบโอเมตริกซ์ยังถูกแฮ็กได้ยากเนื่องจากมีความซับซ้อนมาก แต่หากข้อมูลเหล่านี้ถูกบุกรุก คุณจะอยู่ในจุดที่ยากลำบาก เนื่องจากคุณไม่สามารถสลับลายนิ้วมือได้เหมือนกับวิธีรีเซ็ตรหัสผ่านหรือเปลี่ยนโทรศัพท์ของคุณ นอกจากนี้ บางคนอาจบังคับให้คุณระบุลายนิ้วมือหรือสแกนใบหน้าของคุณ ไม่ว่าหน่วยงานบังคับใช้กฎหมายในท้องถิ่นและรัฐบาลกลางจะใช้ข้อมูลไบโอเมตริกของคุณโดยไม่ได้รับความยินยอมจากคุณในการเข้าถึงอุปกรณ์ของคุณหรือไม่นั้น ได้รับการตัดสินแตกต่างออกไปในคดีในศาลต่างๆ แต่ยังไม่ถึงศาลฎีกา

สุดท้าย การตรวจสอบสิทธิ์แบบไม่ใช้รหัสผ่าน เป็นตัวเลือกที่น่าตื่นเต้นซึ่งมีความปลอดภัยและมอบประสบการณ์ผู้ใช้ที่ยอดเยี่ยมในปัจจุบัน อย่างไรก็ตาม ระบบระบุตัวตนหลายระบบไม่รองรับ นอกจากนี้ องค์ประกอบทางเทคนิคที่สำคัญในการทำงานการตรวจสอบสิทธิ์แบบไม่ใช้รหัสผ่านคือ “ระบบรักษาความปลอดภัย” บนอุปกรณ์ที่ลงทะเบียน ดังที่เราทราบ อุปกรณ์ปลายทางมีความเสี่ยงที่จะถูกโจมตีจากมัลแวร์ ดังนั้นการลงทะเบียนอุปกรณ์จะมีความหมายอย่างมาก เราจำเป็นต้องพึ่งพา "คอมพิวเตอร์ภายในคอมพิวเตอร์ ” บนอุปกรณ์ iOS นี่คือ Secure Enclave บน Mac มันคือชิป T2 และบนคอมพิวเตอร์ Windows จะเป็นชิป Trusted Platform Module (TPM) (แม้ว่าปัจจุบันผู้ดูแลระบบจะตั้งค่า Windows Hello for Business โดยไม่ต้องใช้ TPM!) หากพบข้อบกพร่องในวงกว้างในระบบใดระบบหนึ่งเหล่านี้ ก็อาจทำให้การลงทะเบียนอุปกรณ์ไม่มีความหมายสำหรับปลายทางทุกประเภท

บทสรุป

ไม่ต้องสงสัยเลยว่าการรับรองความถูกต้องแบบหลายปัจจัยจะเป็นประโยชน์ต่อองค์กรและผู้ใช้ด้วยการเสริมความปลอดภัยอย่างมาก แท้จริงแล้ว Microsoft รายงานว่าการวัดและส่งข้อมูลทางไกลแสดงให้เห็นว่า 99.9% ของการบุกรุกบัญชีองค์กรสามารถหยุดได้เพียงใช้ MFA แต่การกำหนดให้ทุกคนต้องมีการตรวจสอบสิทธิ์แบบหลายปัจจัยตลอดเวลาก็รับประกันได้ว่าจะทำให้ผู้ใช้หงุดหงิดและส่งผลเสียต่อประสิทธิภาพการทำงาน สิ่งสำคัญคือต้องใช้แนวทางที่สมดุล

แท้จริงแล้ว การรับรองความถูกต้องแบบหลายปัจจัยถือเป็นแง่มุมหนึ่งของกลยุทธ์การรักษาความปลอดภัยในวงกว้างขององค์กรของคุณ ขณะนี้ผู้เชี่ยวชาญหลายคนแนะนำให้พัฒนากลยุทธ์ด้านความปลอดภัยตามหลักการของ Zero Trust และใช้เครื่องมือ เช่น การเข้าถึงแบบมีเงื่อนไขของ Azure AD ซึ่งให้ความยืดหยุ่นอย่างมากแก่คุณในการใช้ MFA อย่างรอบคอบ