암호: 의지할 수 없고 암호 없이는 살 수 없습니다…

작성자: Dana Tamir, 시장 전략 부사장, Silverfort
2년 2019월 XNUMX일은 국가 암호의 날 – 암호에 대한 우리의 '애증' 관계를 논의할 수 있는 좋은 기회입니다. 암호 전용 인증 메커니즘에 의존할 수 없는 데는 여러 가지 이유가 있습니다. 그러나 우리는 그것들을 제거할 수도 없습니다. 설명하겠습니다.

암호 문제

새 계정을 열든 기존 계정의 비밀번호를 변경하든 관계없이 사용자에게 비밀번호 생성을 요청하면 기억할 수 있는 비밀번호를 선택할 가능성이 높습니다.. 문제는 많은 사용자가 선택한다는 것입니다. 약한 비밀번호, 그것은 쉽게 추측할 수 있습니다. 최근에 출판된 2018년 가장 많이 사용된 비밀번호 목록 잔인한 그림을 보여줍니다. 가장 일반적으로 사용되는 암호는 다음과 같습니다. '123456', 그리고 2번 자리는 당연한 선택이고, '비밀번호'.

사실, 어떤 사람들은 더 강력한 암호를 사용합니다. 그러나 많은 여러 s에서 동일한 암호 재사용시스템 및 웹사이트. 연구에 따르면 52%가 동일한 비밀번호 재사용 전부는 아니지만 여러 계정에 대해, 또 다른 13%는 모든 계정에 대해 동일한 암호를 재사용합니다. 일부는 심지어 업무 관련 시스템과 개인 애플리케이션 모두에서 동일한 암호를 사용합니다. 이로 인해 도난당하거나 손상된 사용자 암호의 가치가 그 어느 때보다 높아집니다.

그리고 사용자에게 정기적으로 암호를 변경하도록 요구하는 것이 도움이 될 수 있다고 생각하신다면 유감스럽게도 도움이 되지 않습니다. 비밀번호를 정기적으로 변경하는 사람들은 너무 자주 기존 비밀번호를 작고 예측 가능한 변경만 하기 때문입니다. 이러한 약점의 한 가지 이유는 비밀번호 선택 루틴에 대한 감정적 연결 때문일 수 있습니다.

이것이 마이크로소프트가 최근 발표한 이유입니다. d암호 만료 정책 삭제"주기적인 암호 만료는 가치가 매우 낮은 오래되고 구식인 완화 방법이며 기준선에서 특정 값을 적용할 가치가 없다고 생각합니다. 특정 값이나 만료 없음을 권장하는 대신 기준선에서 제거함으로써 조직은 지침에 위배되지 않고 인지된 요구 사항에 가장 적합한 것을 선택할 수 있습니다."라고 Aaron Margosis는 설명합니다.

시행착오 방식을 사용하여 사용자의 비밀번호를 알아내는 무차별 대입 공격과 신뢰할 수 있는 사람이나 조직의 통신으로 위장하여 사용자의 비밀번호를 알아내려는 피싱 사기가 증가하고 있습니다.

손상된 자격 증명과 관련된 데이터 유출 증가

지금까지 논의한 모든 내용을 고려할 때 손상된 자격 증명이 점점 더 많은 위반에 활용되는 것은 놀라운 일이 아닙니다. 실제로 오늘날 4건의 침해 중 5건은 손상된 자격 증명 사용과 관련이 있습니다. 문제는 암호나 해당 해시가 도난당했을 때 무단 사용을 감지하거나 제한하기 어렵다는 것입니다. 아니면?

왜 우리는 그들 없이는 살 수 없습니까?

암호를 제거할 수 없는 이유는 무엇입니까? 확실히 누군가 사용자 인증을 위한 더 나은 솔루션을 제시할 수 있습니까? 예, 맞습니다. 사용자를 인증하고 신원을 확인하는 더 좋은 방법이 있습니다. 그러나 암호는 곧 사라지지 않습니다. 아시다시피 우리 회사 네트워크는 암호 기반 인증 프로토콜을 기반으로 구축되었으며 이러한 프로토콜은 수년 동안 우리와 함께 할 것입니다. 자체 개발 및 레거시 시스템 중 다수는 암호 전용 인증용으로 설계되었습니다. 암호를 피하기 위해 네트워크 프로토콜을 수정하고 기존 시스템 및 서버의 인증 방법을 변경하는 것은 실용적이지 않습니다. 따라서 암호는 곧 사라지지 않습니다.

암호를 제거할 수 없는 경우 – 암호에 다른 레이어 추가

현실은 암호 전용 인증 메커니즘이 충분히 안전하지 않다는 것입니다. 그렇다면 인증 프로세스를 보다 안전하게 만들기 위해 무엇을 할 수 있습니까? 대답은 한동안 알려져 왔습니다. 추가 인증 메커니즘으로 계층화하십시오.

다중 요소 인증 2FA라고도 하는 (MFA) 솔루션은 수십 년 동안 사용되어 왔습니다. 중요한 시스템에 대한 액세스 권한을 부여받기 전에 사용자에게 추가 요소로 인증하도록 요구하여 추가 인증 계층을 제공합니다. 수년에 걸쳐 그들은 도난/손상된 자격 증명의 악용을 방지하기 위한 효과적이고 중요한 보안 조치로 입증되었습니다.

그렇다면 왜 모든 민감한 시스템을 보호하기 위해 사용하지 않습니까?

많은 조직에서 MFA를 사용하여 많은 독점, 자체 개발 및 레거시 시스템을 보호하려고 하지만 그렇게 하기가 매우 어렵습니다. 주류이기 때문에 MFA 솔루션 각 보호 시스템에서 소프트웨어 에이전트 구현, 프록시 구현 또는 로컬 구성 및 통합이 필요합니다. 이러한 요구 사항으로 인해 이러한 유형의 시스템에 배포하는 것이 어렵고 때로는 불가능합니다.

어떻게 Silverfort 도움?

Silverfort 오늘날까지 보호할 수 없었던 시스템을 포함하여 모든 민감한 시스템에 대해 MFA를 원활하게 지원하는 최초의 에이전트 없는 프록시 없는 인증 플랫폼을 제공합니다. 여기에는 독점, 자체 개발 및 레거시 시스템, 중요한 IT 인프라, 파일 공유 및 데이터베이스, IoT 장치, SCADA 서버, PACS 및 EHR과 같은 의료 시스템 등이 포함됩니다.

더 배우고 싶으시면, 부탁드립니다. 여기를 클릭해주세요..

최종 참고 사항 :

이 블로그를 작성하면서 몇 년 전에 시작된 멋진 캠페인이 생각났습니다(출처는 모름).

비밀번호를 속옷처럼 취급하십시오.

1. 누구와도 공유하지 마십시오.
2. 정기적으로 변경
3. 책상에서 치워라

네 번째 권장 사항을 제안하고 싶습니다.

4. 그들 위에 뭔가를 넣어 ...

Dana Tamir, VP 시장 전략, Silverfort

Dana는 선도적인 보안 회사에서 15년 이상의 실제 전문 지식과 리더십 역할을 수행한 사이버 보안 업계의 베테랑입니다. 앞서서 Silverfort, Dana는 Indegy에서 VP 마케팅을 역임했습니다. 그 전에는 Trusteer(2012년 IBM에 인수됨)에서 엔터프라이즈 보안 이사로 재직했습니다. 그녀는 또한 Imperva, Symantec, Bindview 및 Amdocs에서 다양한 역할을 담당했습니다. Dana는 Technion – Israel Institute of Technology에서 엔지니어링 학위를 받았으며 여러 산업 및 벤더 인증을 받았습니다.

에 대한 자세한 내용을 보려면 Silverfort 데모를 보고 여기를 클릭해주세요. .

모두에게 행복한 국가 암호의 날을 기원합니다!