رمز عبور سال‌هاست نقطهٔ ضعف امنیت سازمان‌هاست. احراز هویت چندعاملی کمک بزرگی بود، ولی پیامک و تأیید ساده در برابر فیشینگ پیشرفته کامل نیستند. حالا مسیر صنعت به سمت پسکی رفته است؛ روشی که اساساً رمزی برای دزدیدن ندارد.
چه خبر است؟
طبق تحلیل Forrester، از یکم سپتامبر ۲۰۲۶ پسکی تجربهٔ پیش‌فرض ورود در Entra ID مایکروسافت شده است. برای کاربرانی که پیامک یا تماس صوتی دارند، پسکی فعال و هنگام ورود ثبت آن پیشنهاد می‌شود. همچنین قرار است پیامک و تماس صوتی ارائه‌شده از سوی مایکروسافت برای احراز چندعاملی در فوریهٔ ۲۰۲۷ کنار گذاشته شوند. مدیران فناوری که از این سرویس استفاده می‌کنند باید تاریخ دقیق را از مستندات مایکروسافت بررسی کنند.
پسکی چطور کار می‌کند؟
پسکی بر پایهٔ استانداردهای FIDO2 و WebAuthn است. هنگام ثبت، دستگاه یک جفت کلید می‌سازد: کلید خصوصی روی دستگاه می‌ماند و کلید عمومی به سرویس داده می‌شود. هنگام ورود، کاربر با اثر انگشت، چهره یا پین قفل دستگاه را باز می‌کند و دستگاه به‌طور رمزنگاری‌شده ثابت می‌کند کلید را دارد. چون چیزی برای تایپ کردن وجود ندارد، چیزی هم برای لو رفتن در سایت جعلی نیست.
چرا در برابر فیشینگ مقاوم است؟
نکتهٔ کلیدی این است که پسکی به نشانی واقعی سرویس گره خورده است. اگر کاربر فریب بخورد و وارد سایت جعلی شود، پسکی برای آن نشانی کار نمی‌کند. در مقابل، کد پیامکی را می‌شود در سایت جعلی وارد کرد و مهاجم هم‌زمان از آن استفاده کند. فشار پی‌درپی برای تأیید اعلان هم روشی است که کاربران خسته را فریب می‌دهد.
مقایسهٔ روش‌ها
- پیامک: ساده است، ولی در برابر فیشینگ و تعویض سیم‌کارت ضعف دارد.
- کد برنامه: از پیامک بهتر است، ولی هنوز می‌شود آن را در سایت جعلی وارد کرد.
- اعلان تأیید: راحت است، اما با فشار و فریب کاربر قابل سوءاستفاده است.
- پسکی روی دستگاه: مقاوم در برابر فیشینگ و راحت برای کاربر.
- کلید سخت‌افزاری: مقاوم و مناسب حساب‌های پرقدرت، با هزینه و مدیریت بیشتر.
هم‌زمان‌شده یا وابسته به دستگاه؟
پسکی هم‌زمان‌شده بین دستگاه‌های کاربر از طریق حساب ابری منتقل می‌شود و بازیابی را ساده می‌کند. پسکی وابسته به دستگاه روی یک دستگاه یا کلید سخت‌افزاری می‌ماند و کنترل بیشتری می‌دهد. برای کاربران عادی اولی راحت‌تر است، ولی برای مدیران سیستم و حساب‌های حساس معمولاً دومی بهتر است.
مسیر پیشنهادی مهاجرت
- از حساب‌های مدیر شروع کنید: بیشترین ریسک را دارند و تعدادشان کم است.
- گروه آزمایشی: با یک واحد کوچک مشکلات دستگاه و برنامه را پیدا کنید.
- برنامه‌های قدیمی: آن‌هایی را که از احراز هویت مدرن پشتیبانی نمی‌کنند فهرست کنید.
- روند بازیابی: برای گم شدن گوشی راه امن تعریف کنید؛ مهاجم معمولاً از همین مسیر وارد می‌شود.
- معیار موفقیت: درصد کاربران با روش مقاوم در برابر فیشینگ را بسنجید، نه فقط درصد فعال بودن MFA.
- حذف روش ضعیف: پس از مهاجرت، پیامک را برای همان گروه خاموش کنید.
نکته‌هایی برای سازمان‌های ایرانی
همهٔ سازمان‌ها از سرویس‌های ابری مایکروسافت استفاده نمی‌کنند و برخی با محدودیت دسترسی روبه‌رو هستند. برای محیط داخلی می‌توان از راهکارهای مدیریت هویت درون‌سازمانی که FIDO2 را پشتیبانی می‌کنند یا کلید سخت‌افزاری استفاده کرد. حتی اگر مهاجرت کامل فعلاً ممکن نیست، جایگزینی پیامک با برنامهٔ تولید کد و محافظت قوی‌تر از حساب‌های مدیر قدم مؤثری است.
Sources
- Forrester: مایکروسافت پسکی را پیش‌فرض می‌کند
- Yubico: انتقال Entra ID به پسکی
برای بازبینی احراز هویت و مدیریت دسترسی سازمان خود می‌توانید با کارشناسان پارتاک مشورت کنید.
