Τι κάνει ανεπαρκή έλεγχο ταυτότητας δύο παραγόντων;
Ο έλεγχος ταυτότητας δύο παραγόντων έχει γίνει πιο συνηθισμένος σε ευαίσθητα περιβάλλοντα όπως στον τραπεζικό τομέα, στην επεξεργασία πληρωμών, στα κοινωνικά μέσα και σε άλλες πλατφόρμες όπου μοιράζεστε πολλές προσωπικές πληροφορίες που σίγουρα δεν θέλετε να πάρει κανείς άλλος. Ήταν ένας πολύ ισχυρός τρόπος να σιγουρευτείτε ότι είστε το μόνο άτομο που έχει πρόσβαση στα δεδομένα σας, αλλά υπάρχουν και κάποια κακά νέα: είναι λανθασμένα. Δεν είναι όμως όλα καλά μηνύματα. Φαίνεται ότι ορισμένες εταιρείες εργάζονται για να κάνουν μια νέα μορφή ελέγχου ταυτότητας που αντιπροσωπεύει μερικές από αυτές τις ατέλειες.
Ένα βασικό εργαλείο για τον έλεγχο ταυτότητας δύο παραγόντων
Το βασικό στοιχείο είναι το εξής: Εάν πρέπει να χρησιμοποιήσετε κάτι εκτός από ένα όνομα χρήστη και έναν κωδικό πρόσβασης για να μπείτε σε ένα λογαριασμό, πιθανότατα να χρησιμοποιήσετε έλεγχο ταυτότητας δύο παραγόντων για να μπείτε σε αυτό.
Τις περισσότερες φορές θα δείτε αυτό να συμβαίνει όταν συνδεθείτε σε μια τραπεζική εφαρμογή ή χρησιμοποιήσετε μια εφαρμογή όπως η Uber για πρώτη φορά. Συνήθως έρχεται με τη μορφή επιβεβαίωσης μέσω SMS για να βεβαιωθείτε ότι είστε ο κάτοχος του αριθμού τηλεφώνου που καταχωρίστηκε με το λογαριασμό.
Ορισμένες τράπεζες θα σας δώσουν μια ψηφιακή γεννήτρια token (όπως η εφαρμογή Authenticator της Google) που παράγει μια σειρά αριθμών κάθε λεπτό ή έτσι ώστε να πρέπει να χρησιμοποιήσετε για να συνδεθείτε στο λογαριασμό σας.
Άλλες εφαρμογές χρησιμοποιούν έξυπνο αυτόματο σύστημα ανίχνευσης που καλεί τον αριθμό του τηλεφώνου σας και παίρνει όταν η κλήση εισέρχεται για να σας πει ότι είστε κύριος του τηλεφώνου σας.
Σε ορισμένες περιπτώσεις, ο έλεγχος ταυτότητας δύο παραγόντων θα μπορούσε να περιλαμβάνει ακόμη και βιομετρικά στοιχεία, όπως ένα δακτυλικό αποτύπωμα ή το πρόσωπό σας. Ορισμένες από αυτές τις μεθόδους χρησιμοποιούνται αντί κωδικού πρόσβασης για να κάνετε ορισμένα πράγματα όπως το ξεκλείδωμα του τηλεφώνου σας.
Όλες αυτές οι μέθοδοι εφευρέθηκαν για να αποδείξουν με ακρίβεια ότι είστε εσείς.
Η μύγα στην αλοιφή
Το μεγαλύτερο ελάττωμα των σύγχρονων μεθόδων πιστοποίησης είναι ότι δεν λαμβάνουν υπόψη το γεγονός ότι τα ανθρώπινα όντα τα χρησιμοποιούν. Βρίσκουμε πάντα νέους και δημιουργικούς τρόπους κατάχρησης των δεδομένων μας και κανένα μέτρο ασφαλείας που υπάρχει σήμερα δεν μπορεί πραγματικά να αντισταθμίσει αυτό.
Σε πολλές περιπτώσεις, πέφτουμε για προγράμματα κοινωνικής μηχανικής που μας οδηγούν να αποκαλύψουμε κρίσιμες πληροφορίες σε άτομα που προσπαθούν να έχουν πρόσβαση στους λογαριασμούς μας.
Υπάρχει επίσης ο κίνδυνος κλοπής. Εάν κάποιος κλέψει το τηλέφωνό σας, έχει τώρα έναν τρόπο λήψης μηνυμάτων SMS επιβεβαίωσης. Εάν κάποιος κλέψει το κουπόνι σας, μπορεί να πιστοποιήσει τον τραπεζικό σας λογαριασμό.
Δακτυλικά αποτυπώματα? Είναι επίσης ευάλωτοι. Έτσι είναι και η αναγνώριση προσώπου.
Ένα νέο σύνορο με τις δικές του επιφυλάξεις
Το φθινόπωρο του 2017 μια ομάδα φορέων κινητής τηλεφωνίας στις Ηνωμένες Πολιτείες ανακοίνωσε ότι θα κυκλοφορήσει μια νέα μορφή ελέγχου ταυτότητας που θα πρέπει να καλύπτει όλες τις ατέλειες που αναφέρονται παραπάνω. Παρόλο που όλα αυτά μπορεί να ακούγονται ενοχλητικά, δεν υπάρχουν πολλές λεπτομέρειες σχετικά με το πώς θα λειτουργήσει αυτή η νέα μέθοδος ελέγχου ταυτότητας.
Η ομάδα, γνωστή ως Taskforce Mobile Authentication Taskforce, δήλωσε ότι η νέα μέθοδος θα "μειώσει τους κινδύνους κινητής ταυτότητας αναλύοντας τα δεδομένα και τα πρότυπα δραστηριότητας σε ένα κινητό δίκτυο για να προβλέψει με μεγάλη βεβαιότητα αν ο χρήστης είναι ποιος λένε ότι είναι . "
Αυτό ακούγεται λίγο σαν να παρακολουθούν τις κινήσεις και τα πρότυπα δεδομένων από χρήστες κινητών και να το χρησιμοποιούν για να δημιουργήσουν ένα "δακτυλικό αποτύπωμα" της ταυτότητάς τους. Εάν υπάρχει υπερβολική απόκλιση από αυτό το μοτίβο (π.χ. το τηλέφωνό σας ξαφνικά στο Λονδίνο και δεν συνδέεται με τους ιστοτόπους στους οποίους συνήθως συνδέεστε), τότε θα ήταν ασφαλές να υποθέσουμε ότι η ταυτότητα του χρήστη έχει παραβιαστεί.
Αν και αυτό μπορεί να ακούγεται συναρπαστικό για μερικούς, προκαλεί σίγουρα ανησυχίες σε άλλους που ανησυχούν για την ιδιωτικότητα και την ικανότητά τους να ελέγχουν τα δεδομένα τους. Πολλοί λαοί μπορεί να μην είναι άνετοι με τους φορείς κινητής τηλεφωνίας που παρακολουθούν κάθε κίνηση τους και όλα τα δεδομένα που στέλνουν μέσω του Ιστού. Και τι γίνεται αν μια κυβέρνηση θέλει να παραπέμψει τα αρχεία αυτών των δεδομένων;
Σε ποια πλευρά είσαι; Πιστεύετε ότι η νέα μέθοδος ελέγχου ταυτότητας του MAT είναι ένα βήμα μπροστά στην παύση των χάκερ, ή μήπως οι ανησυχίες για την προστασία της ιδιωτικής ζωής είναι αρκετές για να σας αποτρέψουμε από την ιδέα; Πείτε μας τι σκέφτεστε σε ένα σχόλιο!