Tổ chức đang "điên cuồng" tìm phương pháp ngăn chặn mối đe dọa mạng, chấp nhận bất kỳ phương pháp xác thực mạnh nào làm 교 điều. Dần dần, phương pháp xác thực bảo vệ danh tính số đang chuyển từ kỹ thuật đơn/yếu tố đa yếu tố (single/multi-factor authentication) sang xác thực dựa trên rủi ro (risk-based authentication).
Danh tính (Identity) là nguồn rõ ràng để xác minh và ủy quyền người dùng. Do đó, cần bảo vệ nó. Dù hệ thống OTP (mật khẩu một lần) chứng minh hiệu quả, nhưng không còn đảm bảo an ninh trước tấn công mạng nâng cao.
Cuối cùng, kỹ thuật thích nghi (adaptive techniques) được thiết kế nhằm tăng cường và đảm bảo an ninh cho các lĩnh vực ứng dụng danh tính số khác nhau. Kỹ thuật này có thể cấu hình (configurable) và khả năng truy cập dữ liệu phụ thuộc vào nhiều yếu tố: từ giá trị thông tin được yêu cầu đến cấp độ người dùng được phép truy cập.
Đọc thêm: Các công ty có sẵn sàng cho tấn công mạng?
Giới Thiệu Xác Thực Thích Nghi (Adaptive Authentication)
Xác thực thích nghi có thể hình dung như một sự biến đổi thông minh của Xác thực đa yếu tố (MFA - Multi-factor Authentication). Hoạt động của xác thực thích nghi có thể liên hệ và so sánh với MFA.
Xác thực thích nghi tin vào việc áp dụng cổng kiểm soát (gateways) tùy theo mức độ quan trọng của yêu cầu đăng nhập thay vì áp dụng cổng kiểm soát cho mọi yêu cầu. Quan trọng nhất: kỹ thuật này xuất sắc trong việc đo lường rủi ro khi người dùng đăng nhập vào trang web của bạn.
Nó Đo Lường Rủi Ro Như Thế Nào?
Các thước đo có thể gọi là "yếu tố vô hạn" (infinite factors). Chúng có thể mở rộng! Bao gồm: địa chỉ IP, vị trí địa lý (geolocation), hành vi hồ sơ (profile behaviors), sinh trắc học (biometrics: quét võng mạc, nhận diện khuôn mặt/giọng nói, cử chỉ, vân tay) và thông tin chia sẻ (shared intelligence: mẫu tấn công lừa đảo trước đó, threat intelligence, thông tin lỗ hổng).
Tùy theo mức độ nghiêm trọng của rủi ro, quy trình xác thực được nâng cấp (stepped up). Xác thực SMS và email được thêm vào (theo mô hình dựa trên rủi ro định sẵn). Phạm vi áp dụng: trình duyệt, ứng dụng, cổng thông tin, website, dữ liệu tổ chức.
Xác thực thích nghi có lợi thế vượt trội. Dưới đây là những điểm nổi bật:
- Tối ưu hóa tính năng an ninh
Không ai muốn dữ liệu bị lộ. Nhưng thêm quá nhiều "nút thắt" vào quy trình đăng nhập sẽ làm hỏng trải nghiệm an ninh. Xác thực thích nghi cung cấp cách cấu hình an ninh cho từng yêu cầu đăng nhập. Bạn thực sự đặt tính năng an ninh trên yêu cầu theo chuyên môn. Nó triển khai mức độ ma sát (friction) vừa phải trong quy trình đăng nhập. - Tự tạo chính sách an ninh riêng
Đội ngũ IT có thể định hình chính sách an ninh theo sở thích. Dữ liệu không nhạy cảm: truy cập không giới hạn (username/password). Dữ liệu nhạy cảm cao: khóa chặt bằng cổng mạnh (MFA). Kết quả: chỉ user được ủy quyền mới vào khu vực hạn chế. - Bảo vệ dữ liệu trước vấn đề BYOD
Mọi người muốn truy cập dữ liệu (dù bảo mật đến đâu) theo sự tiện lợi. Tuy nhiên, BYOD (Bring Your Own Device - Mang thiết bị cá nhân) làm tăng lỗ hổng dữ liệu doanh nghiệp. Xác thực thích nghi khắc phục bằng cách nhận diện thiết bị di động và mạng dùng để truy cập dữ liệu. Ví dụ: user dùng mạng an toàn → thách thức xác thực tối thiểu. User dùng Wi-Fi công cộng/mạng không an toàn → trải qua quy trình xác thực "nâng cấp" (step-up). Phải hoàn thành mới truy cập được thông tin/dịch vụ. Qua xác thực thích nghi, biện pháp an ninh dễ dàng thực thi. - Mở rộng kinh doanh mà không hy sinh an ninh
Mở rộng kinh doanh đôi khi không xử lý được quy định do an ninh. Với xác thực thích nghi: có thể truy cập tài nguyên từ xa, dùng thiết bị di động. Muốn tăng nhân sự ngoại hải? Không vấn đề. Cần chính sách làm việc từ xa mới? Được! Rủi ro mạng tại nơi làm việc từ xa tối thiểu với xác thực thích nghi. Phản ứng khẩn cấp bằng cách điều chỉnh chính sách yêu cầu truy cập. Doanh nghiệp vận hành không gián đoạn.
Lĩnh Vực Ứng Dụng Của Xác Thực Thích Nghi
Dù bảo vệ danh tính mọi ngành, nhưng lớn nhất là ngân hàng và chính phủ – nơi bảo mật dữ liệu là yếu tố then chốt.
Trong thế giới người dùng cuối là mục tiêu dễ dàng (theo nghiên cứu ISCA và RSA, 2015), xác thực thích nghi sẽ chứng minh là công nghệ hiệu quả cho kiểm soát truy cập (access control) và xác thực người dùng (user authentication).
Xác thực thích nghi đang nổi tiếng. Bổ sung cơ sở dữ liệu thông tin như: phân tích thiết bị (device profiling), phân tích hành vi (behavior profiling), vị trí địa lý (geo-locations) sẽ cải thiện nó. Sự đa dạng phạm vi dữ liệu sẽ khiến Xác thực Thích Nghi ngày càng thông minh và trực quan (smarter and intuitive).