MFA在迷茫中前行
根據(jù)Yubico和451 Research的最新調(diào)查，雖然市場規(guī)模在穩(wěn)步成長，但是企業(yè)對MFA(多因素認(rèn)證)的優(yōu)秀實(shí)踐和方法依然感到迷茫。
1. 企業(yè)為什么采用MFA
調(diào)查結(jié)果表明，MFA在企業(yè)內(nèi)部的采用和支出有所增加，其原因主要如下：越來越多的人意識到，賬戶被盜和網(wǎng)絡(luò)釣魚攻擊是大多數(shù)安全漏洞的根源;新冠病毒大流行，遠(yuǎn)程辦公的興起;采用現(xiàn)代身份驗證標(biāo)準(zhǔn)(例如快速身份在線U2F、FIDO2和WebAuthn)來支持雙因素(2FA)和無密碼身份驗證的新進(jìn)展。
2. MFA普及的障礙
但是，研究還凸顯了MFA廣泛普及的各種障礙，如便利性、復(fù)雜性和成本。此外，許多企業(yè)仍未意識到在更常見的移動MFA格式因素(例如基于SMS的身份驗證)中發(fā)現(xiàn)的安全缺陷，這種安全缺陷已被廣泛曝光多年。
“新冠病毒大流行，基于云的遠(yuǎn)程辦公常態(tài)化成為刺激企業(yè)實(shí)施和更新多因素認(rèn)證的一個轉(zhuǎn)折點(diǎn)。”
“這項研究表明，盡管人們在渴望獲得更強(qiáng)的安全性的同時能擁有更好的用戶體驗，但許多公司仍堅持無效的舊習(xí)慣和技術(shù)。”Yubico首席執(zhí)行官斯蒂娜說道。
針對MFA的調(diào)查結(jié)果具體如下：
(1) 對MFA的投資在增加
MFA支出趨勢令人鼓舞，大部分的受訪者計劃增加MFA支出。由于COVID-19以及后來向遠(yuǎn)程辦公的遷移(49%)，MFA是企業(yè)優(yōu)先采用的安全技術(shù)之一。
(2) 采用MFA作為安全事件的應(yīng)對措施
在過去的一年中，所有受訪者中有53%經(jīng)歷過安全事件或安全漏洞，MFA是針對安全漏洞采取的三大安全技術(shù)之一。
(3) 采用MFA的障礙
57%的受訪者表示提高安全性是企業(yè)采用MFA的第一原因，其中， 用戶體驗(43%)、復(fù)雜性(41%)和成本(36%)仍然是采用MFA的主要障礙，這些障礙在預(yù)料之中，不足為奇。
長期以來，盡管已證明諸如生物識別和安全密鑰之類的現(xiàn)代身份驗證技術(shù)比傳統(tǒng)的MFA技術(shù)可提供更好的安全性和可用性，但上述挑戰(zhàn)依然是MFA難以逾越的障礙。
3. 最受歡迎的MFA方案
盡管基于SMS短信的MFA的安全漏洞有所增加，但移動OTP身份驗證器(58%)、基于移動網(wǎng)絡(luò)推送的MFA(48%)和基于SMS的MFA(41%)仍是最受歡迎的MFA。這表明，與其他MFA選項相比，企業(yè)可能仍認(rèn)為移動MFA對用戶更加友好和可訪問性更強(qiáng)，并且盡管有很多報告發(fā)出警告，但企業(yè)仍將用戶體驗置于安全優(yōu)勢之上。
4. 許多組織仍依賴基于SMS的身份驗證
許多組織仍然嚴(yán)重依賴基于SMS的身份驗證，但是盡管有越來越多的證據(jù)表明利用移動或基于SMS的身份驗證方法破壞和攻擊，但是只有22%的組織將這種形式的安全性視為問題。
5. 最有可能使用MFA的特權(quán)用戶
當(dāng)使用MFA時，企業(yè)會停止使用特權(quán)用戶，但屢次遭遇攻擊表明，低級員工成為攻擊者對企業(yè)發(fā)動攻擊的突破口。研究表明，特權(quán)用戶和第三方(承包商、顧問、合作伙伴)最可能使用MFA，而最終客戶則最不可能使用。
6. FIDO2和無密碼的勢頭強(qiáng)勁
作為解決傳統(tǒng)MFA痛點(diǎn)的方法，F(xiàn)IDO2(線上快速身份驗證)和無密碼身份驗證正在蓬勃發(fā)展，因為接受調(diào)查的組織中有61%已在試點(diǎn)中部署或采用了無密碼身份驗證，其中34%的受訪者已經(jīng)部署了無密碼技術(shù)，這在試點(diǎn)中所占比例為27%。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
