Ar jums sunku apsaugoti privilegijuotas paskyras, nesukuriant nepatogumų administratoriams? Statiniai slaptažodžiai ir senesni MFA metodai palieka PAM aplinkas pažeidžiamas sukčiavimui (phishing), kredencialų vagystėms ir sesijos užgrobimui. Šiame puslapyje paaiškinama, kaip QR kodo pagrindu veikiantis autentifikavimas pašalina šiuos trūkumus – apžvelgiama grėsmių aplinka, kaip veikia registracija, TOTP mechanika ir saugumo praktikos, kurias jūsų komanda turi įdiegti teisingai.
Kodėl tradicinis PAM autentifikavimas yra nepakankamas
Privilegijuotos prieigos valdymo sistemos apsaugo jautriausias jūsų organizacijos paskyras. Kai šios paskyros remiasi statiniais slaptažodžiais, bendrais kredencialais arba SMS pagrindu veikiančiu MFA, atakuojantys asmenys turi gerai dokumentuotus būdus joms išnaudoti.
Sukčiavimas (phishing) ir kredencialų vagystė išlieka dažniausiu įėjimo tašku. Privilegijuoti vartotojai yra taikinys būtent todėl, kad jų paskyros atrakina kritines sistemas. Net patyrę administratoriai gali būti apgauti įtikinamų netikrų prisijungimo puslapių, ypač kai atakuojantys asmenys naudoja socialinę inžineriją, kad apsimestų tiekėjais ar IT palaikymo specialistais. Pavogus kredencialus, atakuojantys asmenys juda šonu, didina privilegijas ir išlaiko nuolatinę prieigą.
Bendros paskyros dar labiau apsunkina problemą. Kai keli administratoriai naudoja tuos pačius kredencialus, individuali atskaitomybė dingsta. Pažeidimų tyrimai stringa, atitikties stebėjimas sutrinka, o vienas pažeistas slaptažodis atrakina prieigą prie kelių sistemų.
Sesijos užgrobimas kelia trečią didelę riziką. Po teisėto autentifikavimo įvykio atakuojantys asmenys gali perimti sesijos žetonus, išnaudoti slapukus arba naudoti „man-in-the-middle“ technikas, kad apsimestų autentifikuotais vartotojais – visa tai niekada nežinodami originalaus slaptažodžio. Nuolatiniai sesijos žetonai daro šias atakas ypač sunkiai aptinkamas, nes atakuojantis asmuo susilieja su įprastu administraciniu srautu.
Šie pažeidžiamumai turi bendrą pagrindinę priežastį: autentifikavimą, kuris priklauso nuo statinių, pakartotinai naudojamų paslapčių. QR kodo pagrindu veikiantis autentifikavimas tiesiogiai sprendžia šią problemą.
Kaip QR kodo autentifikavimas veikia PAM sistemose
QR kodo autentifikavimas pakeičia statinius kredencialus dinaminiais, įrenginiui specifiniais kodais. Užuot įvedęs slaptažodį, administratorius nuskaito QR kodą registruotu mobiliuoju įrenginiu. Įrenginys nuskaito kodą, pritaiko aparatinėje įrangoje saugomus saugius raktus ir užbaigia autentifikavimą per kelias sekundes.
Dažniausiai įmonių PAM aplinkose QR kodai derinami su TOTP (laiku pagrįstas vienkartinis slaptažodis) kaip apibrėžta RFC 6238. Štai kaip veikia šis srautas:
- Registracijos metu sistema sugeneruoja bendrą slaptą raktą ir užkoduoja jį į QR kodą kaip URI, suformatuotą taip: `otpauth://totp/LABEL?secret=SECRET&issuer=ISSUER`
- Vartotojas nuskaito šį QR kodą naudodamas autentifikavimo programėlę (pvz., „Google Authenticator“, „Microsoft Authenticator“ arba „Okta Verify“), kuri saugo paslaptį lokaliai įrenginyje
- Prisijungiant, programėlė taiko HOTP algoritmą laiku pagrįstam skaitikliui, gautam iš dabartinio Unix laiko, generuodama vienkartinį kodą, kuris pagal numatytuosius nustatymus galioja 30 sekundžių
- Serveris atlieka tą patį skaičiavimą nepriklausomai ir priima kodus iš dabartinio bei iškart ankstesnio laiko žingsnio, siekiant atsižvelgti į laikrodžio poslinkį
Kadangi kodas yra gaunamas iš laiko ir įrenginiui priskirtos paslapties – neperduodamas per tinklą – jo perėmimas tranzitu nesuteikia jokios ilgalaikės vertės. Kiekvienas kodas tampa nenaudingas per 30 sekundžių.
Tokios platformos kaip „CyberArk“ tiesiogiai įgyvendina šį modelį. Administratoriai įgalina vartotojų registraciją QR kodu pagrindu skiltyje Nustatymai → Autentifikavimas → Platforma → Saugumo nustatymai → Autentifikavimo parinktys, tada apibrėžia MFA politiką, kuri suaktyvina registracijos vedlį pirmojo prisijungimo metu. “CyberArk Identity” mobilioji programėlė taip pat palaiko parinktį „Registruotis su QR“ (angl. „Enroll with QR“), kurioje vartotojai nuskaito „Identity“ portale pateiktą kodą, kad aktyvuotų savo įrenginį kaip MFA faktorių.
QR kodo MFA registracijos nustatymas
„DevOps“ inžinieriams, konfigūruojantiems QR pagrindu veikiančią MFA PAM aplinkoje, bendras registracijos procesas apima šiuos veiksmus nepriklausomai nuo konkrečios platformos:
- Įgalinkite QR registraciją platformos autentifikavimo nustatymuose. Dauguma įmonių PAM sistemų tai pateikia kaip perjungiklį autentifikavimo arba saugumo konfigūracijos parinktyse.
- Apibrėžkite MFA politiką , kuri nustato, kuriems vartotojams ar vaidmenims reikalinga MFA, kada ji įgyvendinama, ir kas nutinka pirmojo prisijungimo metu.
- Pateikite registracijos QR kodą vartotojui per pirmąją autentifikuotą sesiją. Kodas užkoduoja bendrą TOTP paslaptį `otpauth://` URI formatu.
- Nurodykite vartotojui nuskaityti kodą naudojant jų registruotą autentifikavimo programėlę. Pateikite rankinio įvedimo atsarginį variantą (neapdorotą slaptąjį raktą) tais atvejais, kai kamera negali nuskaityti kodo.
- Patvirtinkite registraciją paprašydami vartotojo pateikti TOTP kodą prieš baigiant nustatymą, patvirtinant, kad slaptasis raktas buvo perkeltas teisingai.
- Sugeneruokite ir saugokite atsarginius atkūrimo kodus kad vartotojai nebūtų užblokuoti, jei prarastų savo įrenginį.
Komandoms, valdančioms didelio masto diegimus, sujungus šį registracijos srautą su Dinaminis QR kodo generatorius leidžia centralizuotai atnaujinti, sekti ir atšaukti registracijos kodus – svarbu, kai reikia keisti kredencialus arba kai pranešama apie prarastą įrenginį.
Stebėkite ir valdykite autentifikavimo QR kodus dideliu mastu Reikia išduoti, atnaujinti ar atšaukti QR kodus paskirstytai komandai? Naudokite Dinaminis QR kodo generatorius kad sukurtumėte redaguojamus kodus su realaus laiko analitika ir centralizuotu valdymu.
Dinaminiai ir statiniai QR kodai PAM aplinkose
Statinio ir dinaminio QR kodų pasirinkimas turi tiesioginių saugumo pasekmių PAM darbo eigoms.
| FUNKCIJA | Statiniai QR kodai | Dinaminiai QR kodai |
|---|---|---|
| Turinys po sukūrimo | Fiksuotas, negali būti keičiamas | Redaguojamas bet kuriuo metu |
| Atšaukimas | Reikalauja pakartotinio išdavimo ir perskirstymo | Akimirksniu, iš centrinės valdymo pulto |
| ANALITIKA | Jokių | Nuskaitymo laiko žymos, įrenginių tipai, vietos |
| Pakartotinės atakos rizika | Didesnė (kodas yra nuolatinis) | Mažesnė (galiojimo ir vienkartinio naudojimo parinktys) |
| Geriausias naudojimo atvejis | Mažos rizikos, vienkartinis turinys | Privilegijuota prieiga, jautrūs darbo procesai |
PAM autentifikavimui ir MFA registracijai labai rekomenduojami dinaminiai QR kodai. Jei pranešama apie pamestą įrenginį, administratorius gali nedelsiant deaktyvuoti susijusį registracijos kodą. Riboto laiko kodai apsaugo nuo pakartotinių atakų, nes bet koks perimtas kodas tampa nenaudingas per kelias akimirkas. O nuskaitymo analizė suteikia audito seką, kuri palaiko atitikties reikalavimus.
Statiniai QR kodai vis dar gali būti naudojami mažesnės rizikos vidiniuose naudojimo atvejais – pavyzdžiui, nuorodoms į dokumentaciją ar tik skaitymo išteklius – tačiau jie neturėtų būti naudojami autentifikavimo srautams, susijusiems su privilegijuota prieiga.
Pagrindiniai saugumo aspektai, susiję su QR pagrindu veikiančiu PAM autentifikavimu
QR kodo autentifikavimo diegimas PAM aplinkoje sukuria savo atakos paviršių. Šių rizikų supratimas ir jų sumažinimas yra būtinas prieš pradedant gamybą.
Registracijos QR kodo pažeidžiamumas. Bendras paslaptis, užkoduota TOTP registracijos QR kode, savaime nepasibaigia. Jei tas kodas yra užfiksuotas ekrano nuotraukoje, persiųstas el. paštu arba saugomas atsarginėje kopijoje, užpuolikas vėliau gali jį panaudoti pakartotinai užregistruoti įrenginį ir neribotą laiką generuoti galiojančius TOTP kodus. Rizikos mažinimas yra paprastas: sukonfigūruokite registracijos kodus, kad jie pasibaigtų po vieno sėkmingo nuskaitymo. Patikrinkite ir išvalykite visus istorinius registracijos QR kodus, saugomus el. pašto sistemose ar atsarginėse kopijose, ir iš naujo užregistruokite paveiktus vartotojus naujais vienkartiniais kodais.
QR kodo sukčiavimas (quishing). Užpuolikai dokumentavo kampanijas, kuriose jie apsimeta MFA registracijos procesais, siųsdami el. laiškus, nurodančius vartotojams nuskaityti kenkėjišką QR kodą, vedantį į kredencialų rinkimo puslapį. Mokykite savo vartotojus į nepageidaujamus QR nuskaitymo prašymus žiūrėti įtariai, prieš nuskaitydami savarankiškai patikrinti siuntėją ir naudoti autentifikavimo programas, kurios tvarko `otpauth://` duomenis izoliuotoje aplinkoje, o ne atidaro savavališkus URL. Išsamesnių nurodymų ieškokite QR kodo tapatybės patvirtinimas kibernetiniame saugume.
SMS atsisakymas. NIST skaitmeninės tapatybės gairės aiškiai nerekomenduoja naudoti SMS ir balso skambučių išorinio autentifikavimo tikslais dėl tokių rizikų kaip SIM kortelės keitimas, įrenginio keitimas ir numerio perkėlimas. TOTP pagrindu veikianti QR registracija su autentifikavimo programomis yra stipresnė alternatyva, kurią NIST pripažįsta kaip galiojantį išorinį mechanizmą, kai ji pateikiama saugiu antriniu kanalu.
Įrenginio susiejimas ir biometrija. QR kodo autentifikavimo susiejimas su iš anksto užregistruotais įrenginiais prideda aparatinės įrangos sluoksnį, kurio SMS negali suteikti. Pridėjus biometrinį patvirtinimą – pirštų atspaudų ar veido atpažinimą – sukuriama trijų faktorių modelis: kažkas, ką turite (užregistruotas įrenginys), kažkas, kas esate (biometrija), ir laiko ribotas kodas (priklausantis nuo konteksto). Didelės rizikos operacijoms sukonfigūruokite trumpesnius TOTP langus arba reikalaukite papildomų patvirtinimo veiksmų.
Testavimas prieš diegimą. Visada išbandykite QR kodo autentifikavimo srautus įvairiuose įrenginiuose, operacinėse sistemose ir autentifikavimo programose prieš diegiant į gamybą. Patikrinkite, ar registracijos kodai pasibaigia po naudojimo, ar atšaukimas veikia taip, kaip tikimasi, ir ar atsarginiai įvesties keliai veikia tinkamai.
Norėdami išsamiai susipažinti su QR kodo diegimo stiprinimu, žr. geriausia praktika, susijusia su QR kodo saugumu kibernetinėje gynyboje ir saugios QR kodo generavimo geriausia praktika.
QR autentifikavimo integravimas su esamais MFA ir SSO
QR kodai puikiai veikia kartu su esama autentifikavimo infrastruktūra, o ne ją visiškai pakeičia. MFA nustatymuose QR pagrindu veikiantis TOTP veikia kaip “kažkas, ką turite” faktorius, papildantis slaptažodį ar biometriją. SSO aplinkose QR kodas gali būti iššūkio ir atsako žingsnis, patvirtinantis įrenginio turėjimą prieš išduodant sesijos žetoną. Išsamų šių metodų palyginimą rasite QR kodai prieš slaptažodžius SSO.
Registracijos modelis taip pat apima ne tik PAM. Komandos, jau naudojančios slaptažodžių tvarkykles, tokias kaip LastPass, gali atlikti beveik identišką QR nuskaitymo nustatymo procesą – nuskaityti, kad susietumėte, patvirtinti TOTP kodu, išsaugoti atkūrimo kodus – taip darbo eiga tampa pažįstama vartotojams, kurie jau yra nustatę MFA kitur. Žr. LastPass QR kodo nustatymo vadovas žingsnis po žingsnio nuorodą.
Kiekvienas autentifikavimo bandymas gerai sukonfigūruotoje sistemoje turėtų sugeneruoti žurnalo įrašą, kuriame būtų užfiksuotas QR kodo identifikatorius, įrenginio informacija, biometrinis rezultatas (jei taikoma), laiko žyma ir geografinė vieta. Šie žurnalai yra labai svarbūs atitikties auditams, anomalijų aptikimui ir incidentų valdymui.
Išplėstinės funkcijos: analizė, pritaikymas ir valdymas realiuoju laiku
Įmonių QR kodų platformos suteikia galimybių, viršijančių pagrindinį kodų generavimą, kurios yra tiesiogiai susijusios su PAM operacijomis.
Analitika realiu laiku leidžia saugumo komandoms stebėti autentifikavimo modelius jiems vykstant. Stebėtini rodikliai apima nuskaitymo laiko žymas, įrenginių tipus, geografines vietas ir vartotojų elgesio bazinius rodiklius. Algoritmai, kurie žymi nukrypimus – neįprastas įrenginio tipas, nuskaitymas iš netikėtos šalies, padidėjęs nesėkmingų bandymų skaičius – gali suaktyvinti sustiprintą autentifikavimą arba automatinius įspėjimus. Daugiau apie tai, kaip šie rodikliai atrodo praktikoje, žr. kaip QR kodai supaprastina daugiafaktorinį autentifikavimą.
Firminiai autentifikavimo kodai atlieka praktinę saugumo funkciją, ne tik estetinę. Kai jūsų organizacija naudoja nuoseklius, firminius QR kodus su įmonės logotipais ir spalvų schemomis, vartotojai sukuria vizualinį pagrindą teisėtiems autentifikavimo prašymams. Kodas, kuris nukrypsta nuo šio pagrindo, tampa įspėjamuoju ženklu. Pakankamo spalvų kontrasto užtikrinimas – santykis ne mažesnis kaip 4,5:1 – taip pat užtikrina patikimą kodų nuskaitymą įvairiuose įrenginiuose ir apšvietimo sąlygomis.
Dinaminis valdymas yra funkcija, kuri tiesiogiai labiausiai sumažina veiklos riziką. Kai darbuotojas išeina, galite akimirksniu deaktyvuoti jo kodus iš centrinės prietaisų skydelio, nelaukdami kredencialų rotacijos ciklų. Kai aptinkamas saugumo incidentas, galite atšaukti ir iš naujo išduoti kodus be pakartotinio spausdinimo. Dinaminis QR kodo generatorius „Pageloot“ palaiko visus šiuos darbo procesus, su integruotu nuskaitymo stebėjimu realiuoju laiku ir redaguojamomis paskirties vietomis.
Komandoms, dirbančioms su užšifruotais kredencialais ar žetonų duomenimis QR kodų turinyje, žr. šifruotus QR kodus autentifikavimo platformoms gaires dėl AES ir RSA šifravimo metodų.
Pramonės pritaikymai
Tas pats QR pagrindu veikiantis PAM modelis taikomas įvairiose pramonės šakose su skirtingais privilegijuotos prieigos profiliais.
In bankininkystės ir finansinių paslaugų srityje, administratoriai naudoja laiko jautrius QR kodus, kad pasiektų pagrindines bankininkystės sistemas, prekybos platformas ir klientų duomenų bazes. Kiekviena privilegijuota sesija yra registruojama pagal konkretų naudojamą kodą, suteikiant aiškų audito taką reguliavimo atitikčiai.
In programinės įrangos kūrimas, paskirstytos komandos naudoja QR kodus, kad pasiektų gamybos sistemas, kodo saugyklas ir diegimo konvejerius be statinių kredencialų. Dinaminiai kodai pagreitina prisijungimą ir padaro atjungimą nedelsiant – nereikia laukti, kol slaptažodžių keitimai pasklis.
In sveikatos priežiūra, klinikinis personalas, kuris juda tarp darbo vietų, gali greitai autentifikuotis nuskaitydamas, o ne įvesdamas, sumažindamas prisijungimo trintį, išlaikydamas HIPAA reikalaujamus audito žurnalus.
Šablonas yra nuoseklus: QR kodai, derinami su dinaminiu valdymu ir analitika, suteikia saugumo komandoms reikiamą kontrolę, nesulėtindami vartotojų, kurie priklauso nuo greitos ir patikimos prieigos. QR kodo autentifikavimas nėra brandžios PAM strategijos pakaitalas – tai mechanizmas, stiprinantis vieną pažeidžiamiausių PAM komponentų. Pakeisdami statinius kredencialus laiko ir įrenginio apribotais kodais, įgyvendindami vienkartinį registraciją ir stebėdami kiekvieną autentifikavimo įvykį, uždarote sukčiavimo ir kredencialų vagystės spragas, kurias palieka senesni metodai. Pradėkite įjungdami QR registraciją savo PAM platformos autentifikavimo nustatymuose, apibrėžkite savo MFA politiką ir naudokite dinaminius kodus su centralizuota valdymo platforma, kad išlaikytumėte realaus laiko prieigos kontrolę.
Kurkite ir valdykite QR kodus savo autentifikavimo darbo eigoms Naudoti QR kodo generatorius norėdami pradėti, arba išnagrinėkite Dinaminis QR kodo generatorius registracijos kodams, kuriuos galite atnaujinti, sekti ir atšaukti iš vienos valdymo pulto.
Dažniausiai užduodami klausimai
Registracijos metu PAM sistema sugeneruoja bendrą slaptą raktą ir užkoduoja jį kaip QR kodą, naudodama `otpauth://totp/` URI formatą.
Registracijos QR kodo pažeidžiamumas yra dažniausiai nepastebima rizika. TOTP paslaptis, įdėta į registracijos QR kodą, pati savaime nepasibaigia, todėl bet kokia ekrano nuotrauka, persiųstas el. laiškas ar atsarginė to kodo kopija lieka tinkama naudoti neribotą laiką. Sumažinkite tai, sukonfigūruodami registracijos kodus, kad jie pasibaigtų po vieno sėkmingo nuskaitymo, ir audituokite savo el. pašto bei atsarginių kopijų sistemas, kad išvalytumėte visus saugomus istorinius registracijos kodus.
Visada teikite pirmenybę dinaminiams QR kodams autentifikavimui ir MFA registracijos srautams. Dinaminiai kodai gali būti nedelsiant atšaukti, jei įrenginys pamestas, atnaujinti neperplatinant fizinių medžiagų ir stebimi realaus laiko analitika. Statiniai kodai tinka tik mažos rizikos, tik skaitymo turiniui, kur nereikalaujama nedelsiamo atšaukimo ir audito registravimo.
