Hoe kun je de last van authenticatievereisten verminderen?

Sinds de Amerikaanse computerwetenschapper Fernando José Corbató in de jaren zestig de eerste wachtwoordgebaseerde authenticatie ontwikkelde, zijn wachtwoorden een belangrijk onderdeel van IT-security wereldwijd. Hoewel het principe van het gebruik van een reeks aan tekens die anderen niet kennen hetzelfde blijft, is de wereld van computers steeds complexer geworden. Een gemiddelde persoon heeft nu 168 wachtwoorden, waarvan 87 zakelijk gerelateerd zijn.

Dit veroorzaakt hoofdpijn niet alleen voor gemiddelde gebruikers, maar ook voor IT-beheerders die de veilige authenticatiebehoeften van soms wel honderden, of zelfs duizenden, werknemers binnen hun bedrijven beheren, die werken met meerdere toepassingen en apparaten.

Als wereldleider in cybersecurity weet ESET dat bedrijven niet alleen betrouwbare verdedigingen tegen malware nodig hebben, maar ook gebruiksvriendelijke platforms die hen helpen bij het dagelijks beheer, inclusief veilige authenticatie.

Om de last van authenticatie voor IT-beheerders te verlichten, heeft ESET ‘ESET Secure Authentication’ geïntroduceerd, een cloudgebaseerde oplossing die draait op één dashboard en multi-factor authenticatie biedt voor meerdere toepassingen.

Geliefde doelwitten

Inloggegevens zijn één van de meest geliefde aanvalsvectoren van cybercriminelen. Volgens het Verizon 2024 Data Breach Investigations Report betrof 77% van de basale webaanvallen gestolen inloggegevens, 21% daarvan was het resultaat van brute force (meestal gemakkelijk te raden wachtwoorden), en 13% van die aanvallen maakten gebruik van kwetsbaarheden.

De auteurs van dit rapport benadrukten ook dat gestolen inloggegevens in de afgelopen 10 jaar in bijna één derde (31%) van alle geanalyseerde inbreuken voorkwamen, waardoor inloggegevens een kerncomponent zijn van het compromitteren van organisaties.

Wereldwijd ondervond meer dan 80% van de respondenten een cyberinbraak als gevolg van authenticatiekwetsbaarheden in 2023, en de gevolgen kunnen desastreus zijn.

In 2023 ontving de FBI 7.333 klachten over datalekken waarbij persoonlijke gegevens werden gelekt of misbruikt. Het cumulatieve verlies van deze inbreuken bereikte meer dan $109.000.000.

Het is dan ook geen verrassing dat het belang van wachtwoordbeveiliging algemeen wordt erkend, zoals te zien is bij ondervraagde kleine en middelgrote bedrijven (MKB) in de VS, het VK en Frankrijk in JumpCloud's 2023 Flexibility and Ingenuity Survey. Uit de enquête blijkt dat 64% van de mkb’seen organisatie breed wachtwoordbeheertool of -software gebruikt, en 10% van plan is er dit jaar één te implementeren. Voor degenen die geen wachtwoordbeheer gebruiken, is de kosten de grootste factor.

Wanneer een beveiligingspraktijk een aanvalsvector wordt

Maar er is ook een ander aspect aan wachtwoordbeveiliging. Het hebben van een krachtige cybersecurityoplossing, inclusief multi-factor authenticatie (MFA), is geweldig, maar tegelijkertijd creëert het nieuwe uitdagingen voor zowel gebruikers als IT-beheerders.

Het probleem bij gebruikers is dat ze zo geïrriteerd kunnen raken door herhaalde MFA-authenticatieverzoeken dat ze hun waakzaamheid verliezen. Er zijn al gevallen van MFA-vermoeidheidsaanvallen die dat bewijzen.

Aan het begin van een MFA-vermoeidheidsaanval of een MFA-bombardement moeten aanvallers de inloggegevens van hun doelwitten verkrijgen via phishing, brute force, wachtwoordsproeien, enz. Zodra de inloggegevens van de doelwitten zijn gestolen, beginnen aanvallers hen te bombarderen met 2FA-pushmeldingen in de hoop dat ze op "accepteren" klikken en zo de inlogpogingen van de aanvallers autoriseren, al is het maar één keer.

Aan de andere kant hebben IT-beheerders, die al worstelen met portaal- en waarschuwingsvermoeidheid, nieuwe verantwoordelijkheden gekregen met betrekking tot MFA-systeembeheer, zoals update- of waarschuwingsbeheer.

Daarom adviseert het Canadian Centre for Cyber Security bijvoorbeeld om de algehele gebruikerservaring en beveiligingsbescherming in balans te brengen om de beveiliging te maximaliseren en de verstoringen te minimaliseren.

Hier zijn enkele andere adviezen om de gebruikerservaring te verbeteren en de last op IT-middelen te verminderen:

• Voer zowel een bewustmakingscampagne als training uit om gebruikers op te leiden.
• Sta gebruikers de flexibiliteit toe om verschillende soorten factoren te gebruiken, waar mogelijk, zoals beveiligingssleutels, biometrie of PIN.
• Geef gebruikers de mogelijkheid om feedback te geven over hun MFA-ervaring.
• Implementeer MFA met een single sign-on (SSO) toepassing om geautoriseerde gebruikers automatisch in te loggen op hun verbonden accounts.
• Voorzie gebruikers van een back-up MFA-factor en stel een eenvoudige manier in om deze zelf opnieuw in te stellen als hun primaire factor verloren, niet beschikbaar of gecompromitteerd is.
• Monitor MFA-evenementen en controleer authenticatierapporten om anomalieën in inlogactiviteiten op te sporen.
• Sta gebruikers toe om een verloren of gestolen apparaat/beveiligingssleutel van hun account te dissociëren.

Een einde aan moeilijke tijden

Omdat gebruikers vaak worstelen met gedistribueerde authenticatie, verspreid over diensten en endpoints, hebben IT-beheerders moeite om dergelijke infrastructuur te onderhouden en te upgraden. ESET Secure Authentication streeft ernaar deze verantwoordelijkheden over te nemen voor gebruikers:

• Met ESET Secure Authentication onderhoudt en upgrade ESET de oplossing, houdt deze schaalbaar en speurt naar kwetsbaarheden.
• Het nieuwe dashboard toont beheerders hoeveel gebruikers beschermd en onbeschermd zijn, mislukte inlogpogingen, enz., zodat ze verbeterpunten kunnen zien.
• Beheerders hoeven geen zakelijke uitnodigingskaarten te maken. Ze maken gewoon een installer, nemen deze, installeren deze op de apparaten van gebruikers en schrijven hen in.
• Authenticatieoplossingen van andere leveranciers worden ondersteund.

Minder onderhoud, meer bescherming

Veilige authenticatie is een vitaal aspect van cybersecurity, maar kan ook gemakkelijk op de zenuwen werken. Herhaalde authenticatie, wachtwoorden wijzigen en dit doen op verschillende toepassingen kan leiden tot MFA-vermoeidheid bij gebruikers en tegelijkertijd de IT-staf die het beheert uitputten.

En het gaat niet alleen om het tevreden houden van gebruikers en IT-beheerders, maar ook om het beveiligen van bedrijven die gevaar kunnen lopen door MFA-vermoeidheid.

Met ESET Secure Authentication kunnen bedrijven de automatisering verhogen en onderhoudstaken voor IT-beheerders verminderen, waardoor hun veerkracht tegen aanvallen op inloggegevens toeneemt.