Експерт закликав бізнес переходити від паролів до ключів доступу
Експерт Ping Identity пояснив, чому компаніям варто переходити від паролів до ключів доступу та інших безпарольних методів входу.
Традиційні паролі дедалі гірше захищають облікові записи від автоматизованих атак, тому компаніям варто впроваджувати ключі доступу та інші безпарольні методи перевірки особи. Таку позицію у колонці для TechRadar висловив GTM CTO компанії Ping Identity Алекс Лорі.
Ризики статичних паролів
За словами Лорі, зловмисники застосовують інструменти штучного інтелекту для масштабних атак із підбором облікових даних і фішингових кампаній. Він вважає, що статичні паролі не відповідають рівню сучасних автоматизованих загроз.
Експерт зазначив, що вимога створювати складні унікальні паролі спричиняє втому користувачів від паролів. Водночас повторне використання тих самих даних для входу або прості комбінації роблять облікові записи вразливішими. Лорі також послався на дані, за якими лише 17% жителів Великої Британії повністю довіряють організаціям, що керують їхніми даними ідентифікації.
Ключі доступу та корпоративні системи
Ключі доступу використовують криптографічну автентифікацію: приватний ключ залишається на локальному пристрої користувача і не передається центральному серверу чи застосунку. За оцінкою автора, це зменшує ризики фішингу, оскільки такі ключі криптографічно прив’язані до конкретного перевіреного доменного імені.
Темпи переходу залежать від зрілості систем управління ідентифікацією та доступом (IAM). Лорі стверджує, що серед компаній із менш зрілою або відсутньою IAM-стратегією альтернативи паролям використовують лише 30%.
Окремі ідентичності для ШІ-агентів
Окрему проблему, на думку Лорі, становлять автономні ШІ-агенти. Він зазначає, що збереження паролів такими системами може створювати вразливості через жорстко закодовані облікові дані або спільні токени сесій. Автор пропонує надавати ШІ-агентам окремі ідентичності та дозволи, обмежені конкретним завданням і часом дії.
Перехід від паролів ускладнюють застарілі ІТ-системи, де вони залишаються частиною робочих процесів. У колонці зазначено, що платформи керування ідентичністю з low-code або no-code інструментами можуть допомогти поступово запроваджувати ключі доступу чи біометричну автентифікацію без повної заміни наявної інфраструктури.
