文章來源 / Okta Official Blog
「資安」，這永遠是一項困難的業務。我指的不僅僅是無休止的修補、監控和培訓。還有不斷追趕最新技術以補救新的 CVE（通用漏洞和危機曝露）通知下降，或者擔心你會在休息時間被叫回辦公室應對危機。
之所以艱難，並不僅僅因為它是一個純粹的技術工作。資訊安全的成功取決於好的建議、溝通和指導能力。從安全性角度來看，最有效的組織是那些每個人都參與其中，而不是那些空有一堆SANS證書的人。因此，你的人力資本是企業的第一線防線、更是最重要的防線。
但事實是：即使是意圖良好的人也會犯錯。只需一個錯誤的點擊或重複使用的密碼就足以破壞你的安全措施。安全意識的培訓有助於減少這種情況發生的風險，但也只是「有限」的效果。安全團隊有責任保護人們。
這種責任不僅僅落在安全團隊身上，集體責任延伸到員工和客戶。
根據我的經驗，最有效的安全措施是能夠保護組織或個人，但不需要付出過多努力即可使用的保護措施。安全措施的便利性，可以增強法遵能力、也增加了安全性。這就是密碼金鑰的作用所在。
密碼金鑰是什麼，它們為何重要？
在過去50年來，我們一直使用密碼來保護電腦系統和應用程式，以防止未經授權的使用。它們完成了它們的目的，但隨著時間的推移，密碼的不足變得越來越明顯。
密碼可能會被竊取、猜測或外洩。對個人用戶來說，使用密碼是一種負擔，有47%的消費者將需要滿足密碼複雜性要求看為一種挫折的來源。普通消費者必須管理超過100個應用程式的密碼，這使得憑證重複使用成為一個常見問題。如果一個網站洩露了您的憑證，攻擊者可以存取您使用的每個網站或服務。
在理想的情況下，每個人都應該遵守良好的密碼衛生習慣，為他們在擁有帳戶的每個服務和網站使用強大且複雜的密碼。但我們並不生活在一個理想的世界。這就是為什麼我們需要更好的解決方案。
密碼金鑰應運而生。這是實現無密碼驗證的一種方式，它具有天生的抗網釣特性，用戶友好且高效。密碼金鑰將傳統密碼替換為存儲在個人設備上的加密憑證。
密碼金鑰無法被竊取或外洩。密碼金鑰儲存在個人的設備或他們控制的雲端帳戶上，通常與個人的其他身份要素相關聯（例如生物識別資訊，如指紋或面部識別掃描），或者只有他們知道，例如他們手機的主要PIN代碼。
密碼金鑰不需要人們記住一個長度適當的、包含特殊字符和數字的密碼，因為它們是數學生成的，所以也無法被「猜測」。
但最重要的是，它們非常方便。當然，無需記住任何東西，但也無需學習。如果你曾經在智慧手機上輸入PIN碼，或者使用FaceID登入銀行應用程式，那麼你知道如何使用密碼金鑰。
密碼金鑰是可以在特定生態系統中的其他設備之間同步的可發現的FIDO憑證。因此，在這種情況下，安全性不要求您對每個應用程式和服務使用的單個設備進行約束。你可以在不同設備上安全且方便地使用相同的密碼金鑰，無需受到單一設備的束縛。
為何便利對安全專業人員（和使用者）至關重要？
身分識別通常是安全漏洞的根本原因。在2022年，與憑證相關的釣魚攻擊數量激增61%。根據最新的Verizon DBIR（數據洩露調查報告）研究，被竊取的憑證占所有成功攻擊的50%。這是因為傳統密碼在當今高度網路化的世界中簡直無法勝任。
密碼金鑰是一個安全的替代方案。它們也非常容易使用。正是這種便利性使它們成為一個極具吸引力的替代方案。安全專業人員長期以來一直明白，如果政策或程序過於複雜或繁瑣，使用者將尋求繞過它們的方法。
這一點在2008年RSA的一項調查就被發現了：儘管大多數公司員工理解其組織安全政策背後的原因，但許多人仍然願意扭曲規則以完成工作。這到了在2022年也仍是事實，哈佛商業評論發現，企業中67%的員工明知違反安全政策卻仍持續這麼做，而在其中又有85%的人，說明這樣的行為是為了增加個人生產力。
如果人們在工作中不遵循資安的最佳作法，那麼他們在私人生活中遵循這些作法的可能性有多大呢？在那裡，風險似乎相對低，也沒有人強制執行資安規則。
最終，這突顯了為什麼便利性和易用性對資訊安全專業人員如此重要。如果有人在趕著壓倒性的截止日期工作，「違反公司內部的安全規則」可能會被視為可接受的風險。從心理角度來看，他們當前的需求優於您保護公司的需求。
而且，在我們在私人生活中使用的面向消費者的應用程式和服務的情況下，人們可能不認為他們有足夠的風險來實行完美的密碼衛生標準。有人很容易使自己陷入虛假的安全感，認為自己「目標太小而不值得成為目標」，但作為一名經驗豐富的安全專家，你當然知道保持不懈警惕的重要性。
僅僅擁有嚴格的規則、高質量和定期培訓，以及「安全文化」是不夠的。您需要阻止人們採取最終可能損害組織的捷徑，從而減少他們這樣做的動力。
密碼金鑰解決了問題的一部分。而身分識別是組織織中重要的一環，特別是考慮到後疫情時代遠程和混合工作的崛起，以及在個人和職業生活中對資訊技術（因此攻擊面更廣）的日益依賴。因此，將焦點放在這一點是有道理的。
替消費者把密碼換成密碼金鑰是一個簡單的勝利。它消除了使用者「改善不良的密碼習慣」之需要。消費者不再需要應對他們在日常工作中使用的無數應用程式、網站和服務的憑證所帶來的複雜性（以及認知負荷）。它還消除了人為錯誤的可能性，畢竟，根據Tessian和史丹佛大學的研究數據顯示：人為錯誤占所有安全漏洞的85%。
我相信，人們不是資安鏈中的薄弱環節，而可以成為組織對抗危險線上世界最堅強的防線。問題在於，直到現在，人們還沒有足夠的工具來充分保護自己，因此也無法保護他們所代表的企業。
通向無密碼未來的道路
我希望，最終，密碼會成為遙遠的記憶。有段時間，它們對我們有所幫助。但就像所有過時的技術一樣，它們將被更好的東西所取代。而我相信密碼金鑰就是那個「更好的東西」。
然而，要保持現實。過渡到密碼金鑰不會一夜之間完成。雖然將這項技術描述為「最前沿」可能不準確，但考慮到行業採用的快速速度，它們尚未達到臨界質量。
密碼金鑰的採用將是一個漸進的過程，將在未來的十年以及可能更長的時間內發生。然而，對於組織來說，現在是時候開始調查和採用密碼金鑰，因為基本工作已經完成。
Google、Microsoft 和 Apple 在它們的最新桌面和移動操作系統中都支持密碼金鑰。越來越多的消費者和企業應用程序已經實施了密碼金鑰支持，包括 PayPal、eBay、CloudFlare、Dashlane、GoDaddy 等等。每個月都帶來更廣泛的採用，因此，我們距離被主流接受越來越近。
開始使用通行密鑰
在您自己的應用程式中實施密碼金鑰也是一個完全可行的前景。由 Okta Customer Identity Cloud（由 Auth0 提供支援）支援，允許您在幾天內實施密碼金鑰，並可以與其他身分驗證方法和您的客戶或用戶一起過渡。
密碼金鑰最終將帶來一個更安全、更易使用的資訊世界。這是一個令人興奮的景象。儘管過渡需要時間，但值得記住，隨著每個應用程式或供應商為這項技術提供支援，您的組織的安全性也相應提高。而且您已經以一種容易讓您的客戶和同事接受的方式實現了這一點。
Comments