Сучасний український бізнес стикається з безпрецедентною кількістю кіберзагроз в умовах війни. Згідно з даними Державної служби спеціального зв'язку та захисту інформації, лише у 2023 році кількість зареєстрованих кіберінцидентів зросла на 62,5% порівняно з 2022 роком, що дорівнює понад 100 000 інцидентів у сфері інформаційної безпеки кожного місяця.

Основною проблемою, яка робить бізнес вразливим до таких атак, є використання працівниками слабких паролів та відсутність належного контролю над виконанням вимог безпеки. Чимало компаній намагаються розв'язати цю проблему за допомогою двофакторної автентифікації (2FA), але і вона не гарантує надійного захисту від витоків даних. Крім того, що другий фактор уповільнює процес аутентифікації в декілька разів, зловмисники все частіше обходять цей метод захисту за допомогою фішингу та інших соціальних інженерних атак.

Що ж таке безпарольна автентифікація?

Безпарольна автентифікація — це сучасний підхід до гарантування безпеки доступу, що спирається на технологію FIDO. Ця методика була розроблена однойменним глобальним альянсом у 2013 році, і в її основі лежить процес обміну криптографічних ключів — публічного і приватного. Коли користувач входить у систему, замість логіна та пароля він використовує один з таких методів підтвердження особи:

• Біометричні дані (Passkeys): використання відбитків пальців або розпізнавання обличчя;
• Апаратні токени: фізичні ключі безпеки, що підключаються до основного пристрою через USB, NFC або Bluetooth;
• Мобільні додатки: додатки, що підтверджують особу користувача через push-нотифікації або QR-коди.

Переваги безпарольних методів входу

Відмова від паролів усуває проблеми безпеки, пов'язані з їх використанням, та має низку переваг для користувачів і компаній. Серед них:

• Стійкість до фішингу 

Оскільки немає паролів, які можна викрасти через фішинг, безпарольна автентифікація знижує ризики подібних атак паралельно захищаючи від інших типів зловмисних дій на основі ідентифікаційних даних: MITM, brute force, кейлогінг тощо. 

• Простота у використанні

Користувачам не потрібно запам'ятовувати та регулярно змінювати паролі зі складними комбінаціями символів, що спрощує процес входу та підвищує зручність.

• Швидкість автентифікації

Безпарольні методи пришвидшують процес ідентифікації принаймні втричі порівняно з використанням звичайного  пароля та другого фактора. 

• Доступність

З розвитком технологій безпарольна автентифікація стає дешевшою та доступнішою для впровадження в організаціях будь-якого масштабу. Якщо раніше розгортання безпарольної системи вимагало залучення кваліфікованих IT-спеціалістів, то тепер достатньо підписатися на хмарне рішення і пройти процедуру налаштування.  

Як бізнесу перейти на безпарольні методи входу?

Завдяки постійному розвитку технологій, переходити на безпарольні методи автентифікації стало набагато простіше, ніж раніше. Ось кілька базових кроків, що допоможуть здійснити цей перехід з мінімальними зусиллями та максимальною ефективністю:

1. Окресліть найбільш критичні системи та дані вашого бізнесу. Сьогодні ринок технологій пропонує компаніям широкий спектр рішень, здатний задовольнити будь-які потреби. Якщо малим компаніям достатньо налаштувати безпарольний вхід до Google Suite, то у випадках, коли компанія використовує гібридну інфраструктуру, поєднуючи хмарні сервіси із застарілими системами, повністю відмовитися від паролів буде складніше. Для таких випадків існують додаткові інструменти, такі як ключі безпеки. Такі апаратні токени допоможуть гармонійно поєднати безпарольну автентифікацію та вхід на основі паролів, не нехтуючи вимогами безпеки.

2. Визначтесь зі способом розгортання безпарольного рішення. Хмарні сервіси пропонують гнучкість та легкість в обслуговуванні, однак великі підприємства частіше обирають локальне розгортання з міркувань безпеки та бажання зберігати особистий контроль над усіма процесами.

3. Оберіть бажані методи автентифікації. Найпростішим методом безпарольного доступу є Passkeys або біометрична автентифікація. Вона ґрунтується на механізмах безпеки, що за замовчуванням вбудовані в більшість пристроїв, якими ми користуємося щоденно. Тому протестувати цей метод можна, зареєструвавшись на спеціальних демо-сайтах або налаштувавши безпарольний вхід в особистий акаунт Gmail. Перевірити інструмент мобільної автентифікації та апаратних токенів можна завдяки вендорам, які пропонують безоплатне тестування своїх продуктів або мають гарні відгуки на оглядових платформах.

4. Почніть із пробного періоду. Обравши сервіси, які виконують функцію Identity Provider та мають підтримку стандарту FIDO, розпочніть свою роботу з безоплатної версії. За таких умов можна перевести декілька застосунків або вебсервісів компанії на безпарольну автентифікацію для малої групи користувачів. Це стане кроком для поступового вибудовування системи автентифікації, що дозволить захистити не лише вебсервіси та застосунки, але і робочі пристрої, адже нерідко саме вони стають причиною несанкціонованого доступу. 

Звісно, для впровадження нових технологій потрібен час, але чим раніше підприємства усвідомлять важливість цих кроків, тим більше кіберзагроз вдасться попередити в довгостроковій перспективі. 

Пам’ятаєте, як раніше користувачі для виходу в Інтернет використовували комутоване з’єднання? Зараз це здається далеким минулим, адже у сучасному світі ми маємо доступні значно кращі та прогресивніші варіанти. З паролями розгортається схожа ситуація: процес їх поступового зникнення розпочато, і питання лише в тому, коли ця трансформація завершиться.