多重因素驗證的趨勢
April 14, 2021
根據調查資料顯示，資訊外洩有 81％ 是因為密碼強度不足或被盜而發生的。本篇文章將帶您一起思考有關密碼的相關議題還有解決辦法。
有關密碼的議題
使用 ICT 系統時，無法避免的就是「認證」。ICT 系統「認證」是確認想要使用系統的人是「哪一個部門的哪一個人」。透過認證，確認是誰之後，能夠限制可以存取的資訊、可以使用的業務系統，藉此強化資安。
現在，大多數系統採用的認證方法是「帳號和密碼」登入電腦或是登入網頁服務等，很多的場合都可以使用。「帳號和密碼」很容易套用在不同的系統上，幾乎不須額外的支出。但另一方面，只要「帳號和密碼」正確，即使不是本人也可存取系統上的資料，存在著一定的風險。例如：「1234」或「0000」、生日等簡單的密碼，或是多項服務重複使用同一組帳號和密碼，就容易被不正當存取，或是提高伺服器接遭受攻擊的風險。
企業的 MIS 部門有時會以「請定期更換密碼」或是「請設定複雜的密碼」來對應這樣的風險，但是也不是這樣就沒有問題了。因為頻繁的更換或是設定難記的密碼，記不住密碼的使用者會把密碼手抄起來，隨手貼在了電腦旁邊，這樣安全保護程度還是降低了。
以上案例，廣泛使用的認證方式 --「帳號和密碼」實際在運用上有很大的問題。
解決密碼問題的對策
那麼，要怎麼樣才可以不降低安全層級來使用認證呢？其中一個方法就是將認證的要素加以組合。
認證的要素有三種：只有本人才知道的「知識資訊」、指紋或聲紋等每個人特有的「生物識別資訊」、必須持有特定器材特定的「持有資訊」。
帳號和密碼或是提示問題等，就是一種「知識資訊」的認證方式，使用廣泛性高、導入成本低，但是「記不住」、「容易外洩」是另一種隱憂。
「生物識別資訊」是指利用指紋、虹膜、臉部、靜脈辨識等使用者本身的特點。由於這些資訊本身就在使用者身上，因此不需要特別去記，也不會忘記或遺失。正常情況很難複製或偽造是很大的優點。因此，近期越來越多智慧型手機或是電腦開始採用此種認證方式。
但是，「生物識別資訊」也存在一些問題。隨著時間的經過，生物識別資訊也有可能產生變化，使用者又應該如何適時的對應呢？另外，萬一生物識別資訊洩漏的話，安全性的恢復相對比較困難，這也是很大的隱憂。
「所持情報」是指晶片卡、實體金鑰、一次性密碼等使用者所持有的「東西」。藉由持有這些東西來認證使用者本人，因此使用者不需要特別去記密碼或答案。但是這些硬體也有破損、遺失、遭竊的風險。
多因素認證 (MFA) 的思考方式
如同上述介紹，各種認證要素各有各的優缺點，但是透過組合各種要素，便可以活用各項優勢，降低缺點的風險。這樣的思考方式就是「多因素認證(MFA)」。事實上使用多因素認證的例子非常常見。例如：在 ATM 領錢的時後，需要插入提款卡並輸入密碼，這就是組合了「持有資訊」和「知識資訊」的一種多重因素認證。我們推測這樣的多因素認證在未來各種服務的利用上將會成為業界的標準。
現在，企業系統優先使用雲端服務已越來越常見，如此一來，不論時間和地點，系統和服務隨時都在可以使用的狀態。近來，隨著推廣遠距辦公的企業逐漸增加，也加速了這股潮流。
在這樣的背景之下，單靠帳號和密碼進行認證或許無法達成足夠安全的資安對策，所以許多企業也陸續開始實施多因素認證。透過使用多因素認證，企業也不需再使用高風險的「帳號密碼」認證，也更有機會達成無密碼環境。實際上，也有無密碼認證的解決方案，不論是使用現場或是 MIS 管理部門的，都不會影響營運和生產性，又可以確保資安。
在系統安全及帳號和密碼的管理及運用上有困擾和疑慮的企業，不妨試試看多要素認證。
原文：https://hennge.com/jp/info/henka/blog/0916_passwordless.html
閱讀更多
HENNGE 秉持著「解放科技」的理念，致力於提供企業有效的 SaaS 解決方案以及優質的客戶服務，使企業能夠創造更多價值。若想進一步了解我們和我們的服務 HENNGE One，或是有任何問題，都歡迎在下方留言或是透過我們的官網與我們聯繫。
喜歡這篇文章嗎？歡迎分享出去！
