بیشتر نفوذهایی که به آنها برمیخوریم، با شکستن رمزنگاری شروع نشدهاند. با یک رمز عبور شروع شدهاند که یا لو رفته، یا حدس زده شده، یا در سایتی دیگر افشا شده و کاربر همان را در سازمان هم به کار برده است.
خلاصه: احراز هویت دومرحلهای، لو رفتن رمز را از «نفوذ» به «یک اتفاق ناخوشایند» تبدیل میکند. کمهزینهترین اقدامی است که بیشترین ریسک را میبندد.
از کجا شروع کنیم
راهاندازی برای همهٔ کاربران در یک مرحله، معمولاً به مقاومت و بازگشت منجر میشود. ترتیبی که در عمل جواب میدهد:
- دسترسی از بیرون سازمان — VPN، وبمیل، هر پنلی که از اینترنت باز است. اینها در معرضترین نقطهاند.
- حسابهای مدیریتی — کمترین تعداد کاربر، بیشترین خسارت در صورت لو رفتن.
- سامانههای حساس — مالی، منابع انسانی، هر جایی که دادهٔ مشتری هست.
- بقیهٔ کاربران — بعد از اینکه سه مرحلهٔ قبل جا افتاد.
همهٔ روشها یکسان نیستند
پیامک رایجترین روش است و ضعیفترین. حملههای جابهجایی سیمکارت و رهگیری پیامک، عملی و مستندند. اگر تنها گزینهتان پیامک است، باز هم از نداشتنش بهتر است — ولی آن را راهحل نهایی ندانید.
برنامههای تولید کد یکبارمصرف روی گوشی، تعادل خوبی بین امنیت و سادگی دارند و برای اکثر سازمانها گزینهٔ درستاند. کلیدهای سختافزاری بالاترین امنیت را میدهند و منطقی است که دستکم برای حسابهای مدیریتی استفاده شوند.
مسئلهٔ بازیابی
این بخشی است که معمولاً از قلم میافتد و بعداً دردسر میسازد: وقتی کاربر گوشیاش را گم کند چه میشود؟
باید رویهٔ روشنی داشته باشید — و آن رویه نباید طوری باشد که خودش تبدیل به راه دور زدن شود. اگر پشتیبانی با یک تماس تلفنی و پرسیدن نام پدر، دومرحلهای را غیرفعال میکند، عملاً دومرحلهای ندارید. مهاجمان دقیقاً از همین مسیر وارد میشوند.
مقاومت کاربران
انتظار مقاومت داشته باشید و برایش برنامه بریزید. دو چیز کمک میکند: توضیح چرا (نه فقط ابلاغ)، و شروع از مدیران ارشد. وقتی مدیرعامل خودش از آن استفاده میکند، بحث تمام میشود.
گزینهٔ «به این دستگاه اعتماد کن» برای مدتی محدود هم اصطکاک روزمره را کم میکند، بدون اینکه امنیت را از بین ببرد.