W rzeczywistości istnieje tak wiele błędów, które mogą narazić Twoje konto na cyberataki. Hakerzy mogą czytać Twoją pocztę e-mail, kraść pieniądze z Twojego konta bankowego lub sprzedawać Twoje dane w ciemnej sieci. Dlatego musisz wyeliminować jak najwięcej luk, aby Twoje logowanie było bezpieczne. Temat jest szczególnie istotny gdy mowa o logowaniu do bankowości elektronicznej, pisaliśmy o tym w artykule: Getin logowanie – jak bezpiecznie zalogować się do Getin banku. W dzisiejszym artykule rozwiniemy temat i zajmiemy się nim od innej strony. Tym bardziej, że dla wielu firm bezpieczeństwo logowania jest wciąż niezbadanym zakątkiem, na który nie zwraca się zbytniej uwagi.
W rzeczywistości istnieje tak wiele błędów, które mogą narazić Twoje konto na zagrożenia cybernetyczne. Hakerzy mogą przeczytać Twoją pocztę e-mail, przelać pieniądze z Twojego konta bankowego, sprzedać Twoje dane w ciemnej sieci, narazić Twoją sesję na atak CSRF, porwane sesje itp.
Nic dziwnego, że dyrektorzy ds. bezpieczeństwa i osoby noszące flagi podkreślają zalety bezpiecznego i zoptymalizowanego procesu logowania — nie tylko z perspektywy konsumenta, ale także z zapewnienia wiarygodności biznesowej.
5 najczęstszych luk w zabezpieczeniach logowania
Trudno jest zabezpieczyć logowanie. Jeśli haker przejmie twoje konto, może z nim zrobić wszystko (może to być tak gorsze, jak pozostawienie właściciela konta w stanie upadłości).
Więc kiedy pytasz, jak źle może się stać, w rzeczywistości pytasz o typowe luki w zabezpieczeniach logowania. A to oznacza, że musisz zwracać uwagę na następujące wady:
- Poświadczenia generowane przez użytkowników : gdy konsumenci tworzą własne hasła, zawsze istnieje możliwość, że wymyślą poświadczenia, które są słabe i łatwo podatne na cyberataki. Ponieważ konsumenci są bardziej skłonni do posiadania czegoś, co jest łatwe do zapamiętania, mogą podświadomie pomijać sprawdzone metody zabezpieczania haseł . W rezultacie hakerzy mogą błyskawicznie dostosować swoje systemy siłowe i złamać hasła.
- Ataki brute-force : gdy hakerzy używają metody prób i błędów do odgadnięcia prawidłowych haseł, jest to atak brute-force . Zazwyczaj ataki te są zautomatyzowane przy użyciu listy często używanych nazw użytkowników i haseł. Hakerzy używają dedykowanych narzędzi do wykonywania ogromnej liczby prób logowania z dużą prędkością.
- Brak złożoności haseł : edukowanie klientów w zakresie złożoności haseł to jedno; na przykład powinny używać wielkich liter, cyfr i znaków specjalnych. Ale to zupełnie inna historia, gdy podejmiesz inicjatywę jej wdrożenia. Upewnij się, że dla każdego konta hasło klienta jest niepowtarzalne. To oznacza brak powtórek!
- Niezałatane luki w zabezpieczeniach : mimo że codziennie wykrywane są tysiące zagrożeń, jednym z największych zagrożeń, jakie może podjąć organizacja, jest nienaprawienie lub „załatanie” pewnych luk w zabezpieczeniach po ich znalezieniu. Konsumenci dość często odrzucają alerty o dostępności aktualizacji, które pojawiają się w niektórych programach, ponieważ nie chcą tracić kilku minut swojego czasu. Nie zdają sobie sprawy z tego, że aktualizowanie łatek może uchronić ich przed bezwzględnymi cyberatakami.
- Ataki socjotechniczne : dzieje się tak, gdy hakerzy psychologicznie manipulują konsumentami, aby podali swoje dane logowania. Niektóre typowe znaki ostrzegawcze ataków socjotechnicznych obejmują proszenie o natychmiastową pomoc, kuszenie ofertami zbyt dobrymi, aby były prawdziwe, oraz grożenie naganami, jeśli ich prośby zostaną zignorowane.
7 najlepszych praktyk bezpieczeństwa logowania, których powinny przestrzegać przedsiębiorstwa
Każde ryzyko ma indywidualne konsekwencje. Dlatego, aby zachować bezpieczeństwo logowania klienta, musisz zapobiegać jak największej liczbie luk w zabezpieczeniach. Oto kilka najlepszych praktyk bezpieczeństwa logowania, których powinna przestrzegać każda organizacja.
Haszowanie hasła jest koniecznością.
Ostrożnie obchodź się z danymi logowania konsumentów. Nigdy nie przechowuj ich jako haseł w postaci zwykłego tekstu. Zamiast tego wybierz kryptograficznie silne skróty haseł, których nie można cofnąć. Możesz je utworzyć za pomocą PBKDF2, Argon2, Scrypt lub Bcrypt.
Ważne jest, aby powiązać skrót z wartością specjalną dla tego konkretnego poświadczenia logowania. Nie używaj przestarzałych technologii mieszających, takich jak MD5, SHA1, i nie powinieneś używać szyfrowania odwracalnego w żadnych warunkach ani próbować opracowywać własnego algorytmu mieszającego.
Uwierzytelnianie biometryczne na ratunek.
Uwierzytelnianie biometryczne to silne rozwiązanie do uwierzytelniania i tożsamości, które opiera się na specyficznych cechach biologicznych danej osoby, takich jak odcisk palca, siatkówka, rozpoznawanie twarzy lub głos, w celu weryfikacji autentyczności osoby.
Największą zaletą biometrii jest to, że aby zebrać informacje potrzebne do obejścia logowania, haker musi znajdować się w fizycznym sąsiedztwie danej osoby. A to nie zawsze jest możliwe!
Uwierzytelnianie wieloskładnikowe nigdy nie zawodzi.
Uwierzytelnianie wieloskładnikowe lub MFA dodaje wiele warstw do procesu logowania. Jeśli haker naruszył jeden z czynników, szanse na to, że inny czynnik nadal jest zagrożony, są niskie, więc posiadanie wielu czynników uwierzytelniania zapewnia większą pewność co do bezpieczeństwa logowania konsumentów.
Pamiętaj jednak, że każda warstwa bezpieczeństwa powinna być chroniona przez inne tagi: coś, co Twoi konsumenci wiedzą, coś, co mają lub coś, czym są. Na przykład, jeśli klient powiązał swój numer telefonu jako drugą warstwę uwierzytelniania, na telefon zostanie wysłany jednorazowy kod dostępu (OTP). Tak więc, jeśli hakerzy nie mają telefonu, nie mogą uzyskać kodu, co oznacza, że nie mogą się zalogować.
Higiena haseł to konieczność.
Zmuś klientów do wybrania silnego hasła. Oto kilka wskazówek, które zapewnią, że ich bezpieczeństwo logowania będzie tak silne, jak to tylko możliwe.
- Nie zezwalaj swoim konsumentom na wykorzystywanie danych osobowych, takich jak imiona członków rodziny, zwierząt domowych, numery telefonów, daty urodzin lub jakiekolwiek publicznie dostępne dane.
- Nie zezwalaj na słowa ze słownika, rzeczowniki własne ani kombinacje liter i cyfr, takie jak abc123. Zamiast tego użyj znaków specjalnych, takich jak „&” lub „$”.
- Ustaw minimalny limit na 10 znaków.
- Zachęcaj do stosowania hasła jako ogólnego stwierdzenia, a następnie wybierz pierwszą literę z każdego słowa. Na przykład „uwielbiam oglądać teorię wielkiego wybuchu o 22:00” może zmienić się w „uotwwo22”.
- Zmuś konsumentów do zmiany haseł logowania do komputera przynajmniej raz na miesiąc lub dwa.
- Nie zezwalaj im na używanie tych samych haseł do różnych kont.
Ogranicz próby logowania i resetowania hasła.
Załóżmy, że pozwalasz konsumentom na wprowadzanie danych logowania lub resetowanie haseł tyle razy, ile chcą. W takim przypadku hakerzy mogą podejmować próby siłowe, wprowadzając różne kombinacje, dopóki konto nie zostanie złamane .
Dlatego dobrą praktyką jest ograniczenie liczby nieudanych prób logowania na użytkownika lub zablokowanie użytkownika na podstawie adresu IP. Możesz też dodać captcha, powiedzmy, po piątej próbie. Ale nie dodawaj captcha po pierwszej próbie, nie brzmi to dobrze z wrażenia konsumenta.
Ogranicz długość sesji.
Długość sesji jest często zaniedbywanym elementem bezpieczeństwa i uwierzytelniania. Możesz mieć dobre uzasadnienie, aby utrzymać sesję otwartą na czas nieokreślony. Ale z punktu widzenia bezpieczeństwa logowania, musisz ustawić progi dla aktywnych sesji, po których powinieneś poprosić o hasło, drugi czynnik uwierzytelniania lub inne metody weryfikacji, aby umożliwić ponowne wejście.
Zastanów się, jak długo użytkownik powinien pozostać nieaktywny, zanim poprosisz go o ponowne uwierzytelnienie. To zależy od Ciebie. Ponadto poproś użytkownika o ponowną weryfikację we wszystkich aktywnych sesjach po zmianie hasła.
Tworzenie bezpiecznego uwierzytelniania z CIAM
Jeśli korzystasz z usługi zarządzania tożsamością i dostępem klienta, takiej jak LoginRadius, wiele problemów związanych z bezpieczeństwem logowania jest rozwiązywanych automatycznie. Niektóre z typowych działań obejmują:
- Wdrożenie opcji resetowania hasła.
- Ograniczenie prób logowania.
- Szczegóły działań związanych z logowaniem.
- Blokowanie kont po zbyt wielu nieudanych próbach logowania.
- Uwierzytelnianie dwuskładnikowe lub MFA dla nierozpoznanych urządzeń, lokalizacji lub kont.
Są to możliwe usprawnienia, podstawowe dla każdego przedsiębiorstwa. Odpowiednie zaprojektowanie ich na kontach konsumenckich może w dużym stopniu zapobiec nadużyciom bezpieczeństwa logowania.
