نقشه راه جامع گذار به امنیت مدرن و ورود بدون گذرواژه

بررسی سطوح بلوغ احراز هویت در سازمان‌ها

دستیابی به محیط کاملاً امن یک فرایند مرحله‌به‌مرحله است و یک‌شبه اتفاق نمی‌افتد. کارشناسان معماری امنیتی، حرکت از روش‌های ابتدایی به سمت معماری پیشرفته بدون گذرواژه را در چهار سطح اصلی تعریف می‌کنند.

سازمان باید در ابتدای کار، جایگاه فعلی سامانه‌های خود را در این ماتریس مشخص کند تا منابع خود را برای پرش به پله‌های بالاتر به‌درستی تخصیص دهد.

سطح اول: ورود سنتی فقط با نام کاربری و رمز عبور

این سطح ضعیف‌ترین ساختار موجود در معماری‌های فناوری اطلاعات است. سازمان در این فاز کاملاً متکی به حافظه کاربر و پایگاه‌های داده محلی هش‌شده است. کوچک‌ترین نشت اطلاعات در این مرحله می‌تواند دسترسی کاملی را به پنل‌های مدیریت، ایمیل‌ها و اسناد داخلی در اختیار هکر قرار دهد.

سازمان‌های پیشرو در کشور سال‌هاست که تلاش می‌کنند سامانه‌های حیاتی خود را از این فاز خارج کرده و لایه‌های مراقبتی قدرتمندتری روی سرویس‌ها اضافه کنند.

سطح دوم: احراز هویت دو عاملی با پیامک و رمز یکبار مصرف

بسیاری از شرکت‌ها برای کاهش ریسک‌های سطح اول، دریافت کد از طریق پیامک یا ایمیل را اضافه کرده‌اند. اگرچه این شیوه بهتر از تکیه صرف به رمز عبور است، اما آسیب‌پذیری‌های شدیدی مانند حمله تعویض سیم‌کارت (SIM Swapping) و نفوذ به پروتکل‌های مخابراتی این مکانیزم را تهدید می‌کنند.

علاوه بر این، در زمان اختلال شبکه‌های پیام‌رسان یا قطعی خطوط مخابراتی، پرسنل دسترسی خود را به اتوماسیون اداری از دست می‌دهند. وابستگی سامانه‌های حساس به پیامک، ریسک عدم دسترسی مستمر به سرویس‌ها را بالا می‌برد.

سطح سوم: استفاده از رمزیاب‌های سخت‌افزاری و نرم‌افزاری مستقل

برای رفع ضعف‌های وابسته به شبکه تلفن همراه، سازمان‌ها از پروتکل‌های رمزنگاری استاندارد مبتنی بر زمان و رویداد استفاده می‌کنند. استانداردهای TOTP و HOTP کدهای یکبار مصرف را بدون نیاز به ارسال پیامک و روی سخت‌افزار یا نرم‌افزار مستقل تولید می‌کنند. همچنین پروتکل‌های چالش و پاسخ نظیر OCRA امنیتی بالاتر برای تأیید تراکنش‌های مالی خلق می‌کنند.

برای نمونه، انواع رمزیاب‌های سازمانی نظیر C100 و درسا با الگوریتم‌های استاندارد، کدهای رمزیاب را آفلاین تولید می‌کنند. این تجهیزات دسترسی نفوذگران اینترنتی به کدهای تأیید دومرحله‌ای را مسدود می‌نمایند.

سطح چهارم: احراز هویت بدون گذرواژه بر بستر استاندارد FIDO

عالی‌ترین سطح امنیت هویتی، ورود کاملاً بدون پسورد و غیرقابل فیشینگ است. در این شیوه، رمز عبور به‌طور کامل از معماری حذف می‌شود و کلیدهای رمزنگاری نامتقارن جای آن را می‌گیرند. فناوری FIDO2 و پروتکل WebAuthn ارتباط میان مرورگر و سرویس را بر اساس امضای دیجیتال محلی امن می‌کنند.

کاربر در این مدل صرفاً با اثر انگشت یا لمس یک کلید سخت‌افزاری هویت خود را اثبات می‌کند. پیاده‌سازی سامانه احراز هویت نشانه FIDO2 به سازمان‌ها کمک می‌کند مستقیماً به این سطح از بلوغ امنیتی دست یابند.

استاندارد FIDO2 و WebAuthn؛ زیربنای ورود بدون گذرواژه

کنسرسیوم جهانی فایدو (FIDO Alliance) با هدف حل ریشه‌ای مشکلات ناشی از کلمات عبور، استانداردهای احراز هویت مبتنی بر رمزنگاری کلید عمومی را پایه‌گذاری کرد. این ساختار تضمین می‌کند که هیچ کلید خصوصی و هیچ داده محرمانه‌ای روی سرور مرکزی ذخیره نمی‌شود.

فناوری WebAuthn که اکنون به‌طور پیش‌فرض در تمام مرورگرهای نوین گنجانده شده است، امکان برقراری ارتباط امن میان نرم‌افزارهای تحت وب و ابزارهای احراز هویت فیزیکی یا نرم‌افزاری را بدون نصب افزونه‌های جانبی فراهم می‌آورد.

عملکرد رمزنگاری کلید عمومی در احراز هویت بدون رمز

اساس کار این پروتکل بر مبنای جفت‌کلید رمزنگاری اختصاصی برای هر دامنه اینترنتی طراحی شده است. زمانی که کاربر در یک سامانه ثبت‌نام می‌کند، مرورگر از ابزار احراز هویت می‌خواهد یک جفت‌کلید ریاضی منحصربه‌فرد تولید کند. کلید عمومی در پایگاه داده سرور ذخیره می‌شود، درحالی‌که کلید خصوصی هرگز از داخل تراشه امن خارج نخواهد شد.

در دفعات بعدی ورود، سرور یک چالش تصادفی ارسال می‌کند. تراشه سخت‌افزاری پس از تأیید حضور فیزیکی کاربر، این چالش را با کلید خصوصی امضا کرده و پاسخ را برای سرور می‌فرستد. سرور با اعتبارسنجی این امضا هویت کاربر را بدون ردوبدل کردن گذرواژه تأیید می‌نماید.

مصونیت کامل در برابر حملات فیشینگ و مرد میانی (MitM)

ویژگی خیره‌کننده استاندارد FIDO در قفل‌شدن کلید رمزنگاری روی دامنه اصلی (Origin-Bound) نهفته است. اگر هکر یک وب‌سایت کاملاً مشابه پورتال سازمانی ایجاد کند و کاربر را فریب دهد، مرورگر هویت دامنه جعلی را تشخیص می‌دهد. ابزار امنیتی چالش فرستاده‌شده از دامنه جعلی را با کلید مربوط به دامنه اصلی امضا نمی‌کند.

این عملکرد خودکار مانع از آن می‌شود که کاربر حتی در صورت فریب‌خوردن، بتواند اطلاعات ورود خود را در اختیار سایت تقلبی بگذارد. امنیت هویت سازمانی در این حالت از خطای انسانی مصون باقی می‌ماند.

نقش کلیدهای امنیتی و سامانه‌های هویت سازمانی در اکوسیستم ایران

سازمان‌های داخلی برای تحقق ورود بدون پسورد نیازمند تجهیزات سخت‌افزاری استاندارد و پلتفرم‌های نرم‌افزاری متمرکز هستند. پیاده‌سازی این راهکارها ساختار سنتی احراز هویت را متحول ساخته و امنیت داده‌های دولتی و مالی را ارتقا می‌دهد.

تلفیق سامانه‌های یکپارچه‌ساز هویت با کلیدهای سخت‌افزاری، مسیر مدیریت کاربران را برای ادمین‌های شبکه ساده‌تر می‌کند و استانداردهای پدافند غیرعامل را پاسخ می‌دهد.

تجهیز کارمندان به کلیدهای فیزیکی امن

برای کاربرانی که به سامانه‌های فوق‌حساس مانند پایگاه‌های داده مالی، زیرساخت‌های هسته‌ای و سرورهای مدیریت شبکه دسترسی دارند، استفاده از توکن فیزیکی الزامی است. استفاده از انواع توکن فایدو سخت افزاری از دستکاری‌های بدافزاری روی سیستم‌های کاربری جلوگیری می‌کند.

این توکن‌ها با پورت‌های USB و درگاه‌های بی‌سیم NFC به رایانه یا موبایل متصل می‌شوند و کاربر فقط با لمس سنسور یا تأیید بیومتریک، جلسه کاری امن خود را آغاز می‌کند. با کشیدن توکن از سیستم، دسترسی بلافاصله قطع می‌شود تا از ورود افراد غیرمجاز به سامانه جلوگیری شود.

مدیریت متمرکز سیاست‌ها با پلتفرم‌های چند عاملی سازمانی

مدیریت صدها کاربر بدون یک سامانه یکپارچه امکان‌پذیر نیست. ابزارهایی مانند سامانه احراز هویت فوآس ره‌آورد سامانه‌های امن به مدیران IT اجازه می‌دهند سیاست‌های کنترل دسترسی چندعاملی، تولید رمزهای یکبار مصرف و روش‌های متنوع شناسایی را به‌صورت متمرکز اعمال کنند.

سامانه فوآس به شرکت‌ها کمک می‌کند سامانه‌های تحت وب قدیمی خود را بدون تغییرات بنیادی در کدهای نرم‌افزاری، به لایه‌های احراز هویت مستحکم متصل سازند و ریسک ورودهای مشکوک را با کنترل دقیق نشانی‌های IP و دسترسی‌های زمانی به حداقل برسانند.

مراحل پنج‌گانه نقشه راه حذف رمز عبور در سازمان های ایرانی

حرکت به سمت ساختار نوین نیازمند برنامه‌ریزی دقیق است تا جریان کارهای روزمره مختل نگردد. پیاده‌سازی موفق این معماری طی پنج مرحله اساسی به سرانجام می‌رسد.

مدیران فناوری اطلاعات باید برای هر مرحله شاخص‌های کلیدی عملکرد تعیین کنند تا انتقال کاربران با بیشترین رضایت و بالاترین امنیت اجرایی شود.

مرحله اول: ممیزی دارایی‌ها و دسته‌بندی ریسک کاربران

تیم‌های امنیتی در گام اول باید تمامی پورتال‌ها، سرورها و برنامه‌های کاربردی را فهرست نمایند. نرم‌افزارهای داخلی، پورتال‌های ابری و سرویس‌های بومی باید بر اساس میزان حساسیت داده‌ها امتیازدهی شوند.

سپس پرسنل بر مبنای سطح دسترسی به سه گروه اصلی تقسیم می‌شوند:

• کارمندان عادی و اپراتورهای عمومی اتوماسیون
• مدیران سیستم، تحلیل‌گران داده و دارندگان دسترسی‌های ریشه (Privileged Users)
• پیمانکاران خارجی، کارشناسان دورکار و مشتریان پرتال‌های اختصاصی

مرحله دوم: یکپارچه‌سازی سامانه‌ها با پروتکل‌های مدرن هویتی

سامانه‌های قدیمی سازمان که از شیوه‌های منسوخ ذخیره پسورد استفاده می‌کنند، باید به سرویس‌های مدیریت هویت و دسترسی متمرکز (IAM) متصل گردند. پروتکل‌های مدرن مانند SAML 2.0 و OpenID Connect این امکان را می‌دهند که بار احراز هویت از دوش تک‌تک نرم‌افزارها برداشته شده و به یک مرکز امن واگذار شود.

با فعال‌سازی فناوری ورود یکپارچه (SSO)، کارمند فقط یک بار در روز و با روش امن بدون رمز وارد سیستم اصلی می‌شود و به تمام برنامه‌های مجاز خود دسترسی پیدا می‌کند.

مرحله سوم: جایگزینی تدریجی رمز عبور با اعتبارسنجی FIDO

سازمان نباید رمزهای عبور را به صورت ناگهانی برای همه کاربران غیرفعال کند. بهترین رویکرد، اجرای پایلوت روی بخش فناوری اطلاعات و کاربران با ریسک بالا است. این افراد با دریافت کلیدهای فیزیکی یا فعال‌سازی روش‌های بیومتریک در مرورگرها، احراز هویت بدون گذرواژه را تجربه می‌کنند.

پس از رفع باگ‌ها و کسب اطمینان از عملکرد صحیح سامانه‌ها در شبکه داخلی، پروتکل حذف کامل رمز عبور برای تمامی بخش‌های سازمان به مرحله اجرا درمی‌آید.

مرحله چهارم: پیاده‌سازی سازوکارهای پشتیبان و بازیابی حساب

یکی از بزرگ‌ترین چالش‌ها در حذف رمز، گم‌شدن یا آسیب‌دیدن ابزار احراز هویت توسط کارمند است. سازمان باید روندهای مشخص، شفاف و ایمنی برای بازیابی حساب‌های کاربری تدوین نماید.

ثبت هم‌زمان دو ابزار احراز هویت برای هر کاربر، استفاده از کلیدهای بازیابی یکبار مصرف رمزنگاری‌شده و تأیید هویت حضوری توسط دپارتمان حراست از روش‌های رایج برای مهار این چالش به شمار می‌روند.

مرحله پنجم: پایش مستمر، هوش مصنوعی و احراز هویت انطباقی

پس از استقرار ورود بدون پسورد، تحلیل رفتار کاربران و پایش لاگ‌ها اهمیت دوچندان می‌یابد. احراز هویت انطباقی بر پایه مفهوم اعتماد صفر (Zero Trust)، در لحظه وضعیت امنیتی دستگاه، موقعیت مکانی و الگوهای ترافیکی را بررسی می‌کند.

اگر رفتار کاربری غیرعادی تشخیص داده شود، سامانه دسترسی را محدود کرده یا درخواست چالش تکمیلی صادر می‌نماید تا اطمینان حاصل شود که ابزار امنیتی در اختیار شخص اصلی قرار دارد.

چالش‌های بومی‌سازی امنیت بدون رمز عبور در زیرساخت‌های ایران

پیاده‌سازی فناوری‌های روز دنیا در کشور همواره با موانع فنی و ساختاری همراه بوده است. شناخت دقیق این موانع به مدیران کمک می‌کند پیش از شروع پروژه، راه‌حل‌های عملیاتی برای آن‌ها طراحی نمایند.

سازمان‌های پیشرو با شناخت دقیق محدودیت‌ها و استفاده از توانمندی‌های داخلی توانسته‌اند بر این چالش‌ها غلبه کنند.

سامانه‌های نرم‌افزاری موروثی و زبان‌های برنامه‌نویسی قدیمی

بسیاری از نرم‌افزارهای دولتی و بانکی در دهه‌های گذشته با زبان‌ها و فریم‌ورک‌های قدیمی توسعه یافته‌اند و به طور پیش‌فرض قابلیت اتصال به وب‌اتن (WebAuthn) را ندارند. بازنویسی این سامانه‌ها زمان‌بر و پرهزینه است.

برای برطرف‌کردن این مانع، سازمان‌ها از پروکسی‌های معکوس احراز هویت و ماژول‌های واسط هویتی استفاده می‌کنند. این ابزارهای واسط هویت کاربر را تایید کرده و کاربر را به نرم‌افزار قدیمی متصل می‌نمایند بدون اینکه نیازی به تغییر کدهای پایه آن باشد.

مقاومت کاربران در برابر تغییر عادت‌های رفتاری

انسان‌ها ذاتاً در برابر ترک عادت‌های همیشگی خود مقاومت می‌کنند. کارمندانی که سال‌ها به نوشتن رمز روی کاغذ یا تایپ کلمات ساده عادت کرده‌اند، در ابتدا ممکن است در برابر لمس توکن یا اثر انگشت واکنش منفی نشان دهند.

آموزش گام‌به‌گام پرسنل و اطلاع‌رسانی درباره سادگی و سرعت ورود بدون پسورد، این مقاومت‌ها را از بین می‌برد. پس از چند روز استفاده، کاربران متوجه می‌شوند که دیگر دغدغه‌ای بابت فراموشی رمز یا تعویض اجباری پسوردهای ماهانه ندارند.

مقایسه روش‌های سنتی احراز هویت با استانداردهای نوین بدون رمز

جدول زیر تفاوت‌های کلیدی شیوه‌های رایج در سازمان‌های ایرانی را با معماری استاندارد FIDO نشان می‌دهد: