비밀번호가 손상됨 : 사용자를 인증하는 더 좋은 방법이 있습니다

매주 우리는회사 및 웹 사이트가 손상되고 소비자 데이터가 도용되고 있습니다. 우리 중 많은 사람들에게 최악의 침입은 암호를 도난 당했을 때입니다. LastPass Hack은 가장 최근의 공격 중 하나입니다. 어쩌면, 그것은 점점 커지고있는 일종의 디지털 테러입니다. 2 단계 인증 및 생체 인식은 문제에 대한 좋은 패치이지만 로그인 관리와 관련된 기본 문제는 무시합니다. 문제를 해결할 수있는 도구가 있지만 제대로 적용되지 않았습니다.

polomex의 사진 – http://flic.kr/p/cCzxju

우리는 왜 이스라엘에서는 신발을 벗지 않습니까?

미국에서 비행기를 타는 사람은TSA 보안에 대해 우리는 안전을 위해 외투를 벗고 액체를 피하고 신발을 벗습니다. 이름을 기준으로 비행 금지 목록이 있습니다. 이는 특정 위협에 대한 반응입니다. 이스라엘과 같은 나라가 안보를하는 방식은 아닙니다. El-Al (이스라엘의 국영 항공사)을 비행하지 않았지만 친구들이 보안 인터뷰에서 진행 한 인터뷰에 대해 알려줍니다. 보안 담당자는 개인적인 특성과 행동에 따라 위협을 코딩합니다.

벤 포켄의 사진

온라인 계정에 대한 TSA 접근 방식을 취하고 있습니다그렇기 때문에 모든 보안 문제가 발생합니다. 2 단계 인증이 시작됩니다. 그러나 계정에 2 단계 요소를 추가하면 보안에 대한 잘못된 인식에 빠지게됩니다. 이 두 번째 요소는 내 비밀번호 (특정 위협)를 도용하는 누군가를 방지합니다. 두 번째 요소가 손상 될 수 있습니까? 확실한. 휴대 전화를 도난 당했거나 멀웨어가 두 번째 요소를 손상시킬 수 있습니다.

인적 요소 : 사회 공학

Kevin Baird의 사진

2 단계 접근 방식으로도 인간은 여전히보안 설정을 무시할 수 있습니다. 몇 년 전, 부지런한 해커는 애플이 작가의 애플 ID를 재설정하도록 설득했다. GoDaddy는 트위터 계정 탈취를 가능하게하는 도메인 이름을 바꾸도록 속였습니다. MetLife의 실수로 인해 내 정체성이 실수로 다른 Dave Greenbaum과 통합되었습니다. 이 실수로 인해 다른 Dave Greenbaum의 주택 및 자동차 보험이 취소되었습니다.

인간이 이중 요인을 무시하지 않더라도두 번째 토큰은 공격자의 또 다른 장애물입니다. 해커를위한 게임입니다. Dropbox에 로그인 할 때 인증 코드가 필요하다는 것을 알고 있다면 그 코드를 가져 오기만하면됩니다. 문자 메시지가 표시되지 않으면 (SIM-hack 누군가?) 해당 코드를 나에게 공개하도록 설득해야합니다. 이것은 로켓 과학이 아닙니다. 그 코드를 다시 보내도록 설득 할 수 있습니까? 혹시. 우리는 컴퓨터보다 전화를 더 신뢰합니다. 그래서 사람들은 가짜 iCloud 로그인 메시지와 같은 것들에 빠지게됩니다.

나에게 두 번 일어난 또 다른 실화. 신용 카드 회사가 의심스러운 활동을보고 전화를했습니다. 큰! 이것이 나중에 이야기 할 행동 기반 접근 방식입니다. 그러나 그들은 내가하지 않은 전화로 전화를 통해 전체 신용 카드 번호를 제공하도록 요청했습니다. 그들은 그들에게 숫자를주지 않기 위해 충격을 받았다. 한 관리자가 고객으로부터 불만을 거의받지 않는다고 말했습니다. 대부분의 발신자는 신용 카드 번호를 넘겨줍니다. 아야. 그것은 다른 쪽 끝에서 내 개인 데이터를 얻으려는 악의적 인 사람 일 수 있습니다.

비밀번호는 우리를 보호하지 않습니다

ditatompel의 여행자 사진

우리는 인생에 너무 많은 암호를 가지고 있습니다.여러 곳. 매체가 이미 비밀번호를 제거했습니다. 우리 대부분은 모든 사이트에 대해 고유 한 비밀번호가 있어야한다는 것을 알고 있습니다. 그 접근법은 완전하고 풍부한 디지털 라이브를 살고있는 우리의 겁쟁이 지구인 뇌에 대해 너무 많은 질문입니다. 암호 관리자 (아날로그 또는 디지털)는 일반적인 해커를 방지하지만 정교한 공격은 아닙니다. 해커는 개인 계정에 액세스하기 위해 비밀번호가 필요조차 없습니다. 정보를 저장하는 데이터베이스 (Sony, Target, Federal Government)로 침입합니다.

신용 카드 회사로부터 교훈을 얻으십시오

알고리즘이 약간 떨어져도신용 회사는 올바른 아이디어를 가지고 있습니다. 카드를 사용 중인지 확인하기 위해 구매 패턴과 위치를 확인합니다. 캔사스에서 가스를 구입 한 다음 런던에서 양복을 구입하면 문제가됩니다.

kozumel의 여행자 사진

온라인 계정에 이것을 적용 할 수없는 이유는 무엇입니까? 일부 회사는 외국 IP로부터 경고를 제공합니다 (사용자가 선호 국가를 액세스 할 수 있도록 LastPass에 권장). 내 전화, 컴퓨터, 태블릿 및 손목 장치가 모두 캔자스에있는 경우 다른 곳에서 내 계정에 액세스하면 알림을 받아야합니다. 적어도이 회사들은 내가 내가 누구인지를 말하기 전에 몇 가지 추가 질문을해야합니다. 이 게이트 키핑은 특히 OAuth로 다른 계정을 인증하는 Google, Apple 및 Facebook 계정에 필요합니다. Google과 Facebook은 비정상적인 활동에 대한 경고를 제공하지만 일반적으로 경고 일 뿐이며 경고는 보호되지 않습니다. 신용 카드 회사는 내가 누구인지 확인할 때까지 거래에 대해 거부합니다. 그들은 단지“이봐… 알아야 할 것”이라고 말하지 않습니다. 내 온라인 계정은 경고하지 않아야하며 비정상적인 활동을 차단해야합니다. 신용 카드 보안의 최신 기술은 얼굴 인식입니다. 물론 누군가 시간을내어 얼굴을 복제하려고 시도 할 수 있지만 신용 카드 회사는 우리를 보호하기 위해 더 열심히 노력하는 것 같습니다.

우리의 스마트 어시스턴트 (및 장치)는 더 나은 방어입니다

Foomandoonian의 사진-http://flic.kr/p/7vn1x9

Foomandoonian의 여행자 사진

Siri, Alexa, Cortana 및 Google은우리에 대한 것들. 그들은 우리가 어디로 가고, 어디로 가고, 무엇을 좋아하는지 지능적으로 예측합니다. 이 조수들은 휴가를 정리하고 친구가 누구인지, 심지어 우리가 좋아하는 음악까지 기억하기 위해 사진을 결합합니다. 한 수준에서는 소름 끼치지만 일상 생활에는 매우 유용합니다. Fitbit 데이터를 법정에서 사용할 수있는 경우 귀하를 식별하는 데에도 사용될 수 있습니다.

온라인 계정을 설정할 때회사는 당신에게 고등학교 연인의 이름이나 3 학년 교사와 같은 멍청한 질문을합니다. 우리의 추억은 컴퓨터만큼 단단하지 않습니다. 이러한 질문은 Google의 신원을 확인하는 데 의존 할 수 없습니다. 예를 들어 2011 년에 내가 가장 좋아하는 식당이 내가 가장 좋아하는 식당이 아니기 때문에 계정이 잠겼습니다.

구글은 이것의 첫 걸음을 내딛었습니다태블릿 및 크롬 북용 Smart Lock을 통한 행동 방식. 내가 말하는 사람이라면 근처에 휴대 전화가있을 것입니다. 애플은 아이 클라우드 핵 (iCloud hack)을 사용하여 동일한 IP 주소로 수천 번의 시도를 허용했다.

다음에 듣고 싶은 노래를 알아내는 대신 몇 가지 방법으로 이러한 장치가 내 정체성을 보호하기를 원합니다.

당신은 내가 어디에 있는지 알고 있습니다 : 휴대 전화의 GPS를 사용하면 내 위치를 알 수 있습니다. 다른 기기에“이봐 요, 멋져요.”라고 말할 수 있어야합니다. Timbuktu 로밍을하는 경우 내 비밀번호와 두 번째 요소를 믿지 않아야합니다.
내가 뭘 알아? 내가 언제 로그인하고 무엇을했는지 알기 때문에 몇 가지 질문을하겠습니다. 일반적으로 포드 베이 도어를 열도록 요청하지 않으면 "Dave, 죄송합니다. 그렇게 할 수 없습니다"가 답이되어야합니다.
당신은 나를 확인하는 방법을 알고 있습니다 : “제 목소리는 여권입니다. 확인하십시오.”아니요, 누구나 복사 할 수 있습니다. 대신 대답하고 기억하기는 쉽지만 인터넷에서 찾기 어려운 질문을하십시오. 어머니의 처녀 이름은 찾기 쉽지만 지난 주에 엄마와 함께 점심을 먹은 곳은 없습니다 (내 달력을보십시오). 고등학교 연인을 만난 곳은 추측하기 쉽지만 지난 주에 본 영화는 찾기가 쉽지 않습니다 (이메일 영수증 확인).
당신은 내가 어떻게 생겼는지 압니다 : Facebook은 내 머리 뒤에서 나를 인식하고 Mastercard는 내 얼굴을 감지 할 수 있습니다. 이것이 내가 누군지를 확인하는 더 좋은 방법입니다.

구현하는 회사가 거의 없다는 것을 알고 있습니다이와 같은 솔루션을 제공한다고해서 이것이 정욕을 가질 수 없다는 것을 의미하지는 않습니다. 당신이 불평하기 전에-이것들은 해킹 당할 수 있습니다. 해커들의 문제는 온라인 서비스가 어떤 2 차 측정을 사용하는지 알 것입니다. 언젠가 질문을해도 다음에 셀카를 찍습니다.

애플은 내 개인 정보를 보호하기 위해 큰 추진그리고 고맙습니다. 그러나 Apple ID가 로그인되면 Siri가 사전에 나를 보호해야합니다. 구글 나우와 코타 나도 그렇게 할 수있다. 누군가가 이미 이것을 개발하고 있으며 Google 이이 분야에서 진전을 이루고 있지만 지금이 필요합니다! 그때까지는 물건을 보호하는 데 조금 더주의를 기울여야합니다. 다음 주에 그 아이디어를 찾으십시오.