Pengesahan ialah proses mengesahkan bahawa pengguna, peranti atau sistem adalah siapa atau apa yang didakwanya sebelum memberikan akses kepada aplikasi, rangkaian atau sumber digital. Ia berfungsi melalui kaedah seperti kata laluan, PIN, biometrik, kunci keselamatan, OTP atau pengesahan berbilang faktor untuk membantu mencegah akses tanpa kebenaran dan melindungi data perniagaan yang sensitif.
Pengambilan kunci
Pengesahan mengesahkan identiti sebelum memberikan akses, membentuk barisan pertahanan pertama untuk mengamankan pengguna, peranti dan sistem organisasi.
- Definisi: Pengesahan ialah proses mengesahkan bahawa pengguna, peranti atau sistem adalah seperti yang didakwa sebelum membenarkan akses kepada aplikasi, rangkaian atau data.
- Peranan Keselamatan: Pengesahan yang kukuh membantu mencegah akses tanpa kebenaran dan mengurangkan risiko pelanggaran, serta berfungsi sebagai asas untuk strategi pengurusan identiti dan akses merentasi persekitaran IT moden.
- Bagaimana Ia Berfungsi: Pengesahan mengesahkan kelayakan terhadap pangkalan data yang dipercayai, mengesahkan identiti dan membolehkan akses hanya dalam kebenaran dan dasar yang telah ditetapkan yang diberikan kepada identiti tersebut.
- Kaedah Pengesahan: Kaedah biasa termasuk kata laluan, pengesahan tanpa kata laluan, pengesahan berbilang faktor, daftar masuk tunggal dan pendekatan sifar kepercayaan, setiap satunya menawarkan tahap keselamatan dan kebolehgunaan yang berbeza.
- Pendekatan Moden: Organisasi semakin menerima pakai kaedah pengesahan berlapis dan tanpa kata laluan, menggabungkan biometrik, peranti dan isyarat risiko masa nyata untuk mengukuhkan keselamatan dan mengurangkan pergantungan pada kata laluan yang terdedah.
Pengesahan ialah semakan identiti pertama sebelum pengguna, peranti, aplikasi atau beban kerja boleh mengakses sistem yang dilindungi. Ia mengesahkan bahawa identiti di sebalik permintaan akses boleh dipercayai, sebelum apa-apa lagi berlaku.
Sama ada pengguna melog masuk ke e-mel, mengakses aplikasi web, menyambung ke VPN atau log masuk ke papan pemuka dalaman, pengesahan menentukan sama ada identiti di sebalik permintaan tersebut boleh dipercayai. Akses kepada perkhidmatan hanya diberikan kepada pengguna selepas pengesahan selesai.
Pengesahan yang lemah boleh menjadikan semua langkah keselamatan lain tidak relevan. Penyerang tidak memerlukan eksploitasi lanjutan jika mereka hanya boleh log masuk sebagai pengguna yang sah.
Tanpa berlengah lagi, mari kita mendalami apa itu pengesahan sebenarnya dan bagaimana kaedah pengesahan yang berbeza berfungsi.
Apakah pengesahan?
Pengesahan ialah proses pengesahan identiti yang membantu melindungi sumber digital dan fizikal. Ia merupakan bahagian asas dalam mengekalkan integriti dan kerahsiaan data sensitif.
Pengesahan membolehkan syarikat mengesahkan bahawa hanya orang, perkhidmatan dan aplikasi yang betul dengan kebenaran yang betul sahaja boleh mengakses sumber organisasi. Ini selanjutnya terpakai kepada identiti bukan manusia seperti pelayan, aplikasi web dan mesin serta beban kerja yang lain.
Pengesahan bergantung pada prinsip mudah membandingkan kelayakan yang diberikan dengan pangkalan data atau pelayan pengesahan yang dibenarkan. Jika kelayakan sepadan dengan yang direkodkan, maka akses akan diberikan, dan jika tidak, maka ia akan ditolak. Proses ini menghalang akses tanpa kebenaran dan melindungi maklumat sensitif.
Pengesahan moden telah berkembang jauh melangkaui kata laluan yang mudah. Hari ini, organisasi menggunakan kaedah pengesahan berbilang lapisan yang menggabungkan sesuatu yang diketahui pengguna, sesuatu yang mereka miliki, dan sesuatu yang mereka ada.
Faktor pengesahan yang paling biasa
| Kategori Faktor | Pengertian | Contoh |
|---|---|---|
| Sesuatu yang anda tahu | Faktor pengetahuan | Kata Laluan, PIN |
| Sesuatu yang anda ada | Faktor pemilikan | Aplikasi pengesah, kunci perkakasan, peranti OTP |
| Sesuatu anda | Faktor keturunan | Cap jari, pengecaman wajah |
| Di suatu tempat / konteks anda | Isyarat adaptif | Lokasi, postur peranti, risiko IP |
Cara pengesahan berfungsi
Pada asasnya, pengesahan menyemak sama ada sistem mempercayai siapa yang membuat permintaan. Ini kemudiannya boleh dipecahkan kepada langkah-langkah utama berikut:
- Pembentangan identiti: Pengguna atau sistem mengemukakan kelayakan atau tuntutan identiti.
- Pengesahan kelayakan: Sistem menyemak satu atau lebih faktor pengesahan terhadap pangkalan data atau pelayan pengesahan yang dipercayai.
- Pengesahan identiti: Pelayan pengesahan mengesahkan atau menolak identiti dan, jika berjaya, mencipta sesi atau token.
- Kebenaran (peringkat seterusnya): Dasar kebenaran kemudian menentukan apa yang dibenarkan untuk diakses oleh identiti yang disahkan.
Amaun kebenaran yang diberikan adalah berdasarkan dasar yang dikeluarkan kepada ID pengguna yang meminta akses dan hanya perkhidmatan serta aplikasi yang dibenarkan dalam sempadan tersebut tersedia untuk pengguna.
Peranan pengesahan dalam keselamatan
Pengesahan adalah asas untuk semua penyelesaian pengurusan identiti dan akses, yang bertanggungjawab untuk mengurus identiti pengguna, kitaran hayat yang ditakrifkan dan kebenaran akses mereka dalam sistem organisasi.
Melaksanakan pemeriksaan pengesahan dapat mengurangkan risiko akses tanpa kebenaran dan pelanggaran data dengan ketara, sekali gus membantu melindungi data organisasi dan privasi pengguna. Kawalan yang terancang dan sistematik sedemikian adalah kunci untuk menguatkuasakan kawalan akses dan mengurus keselamatan rangkaian dan sistem organisasi.
Pengesahan vs kebenaran
Sebelum kita meneruskan, adalah penting untuk memahami perbezaan antara mengesahkan ID dan membenarkannya. Walaupun pengesahan bermula sebaik sahaja kelayakan dimasukkan ke dalam sistem, kebenaran hanya bermula selepas kelayakan berjaya disahkan.
Sebaik sahaja identiti yang berkaitan dengan kelayakan telah disahkan, sistem kebenaran akan menilai permintaan tersebut terhadap kawalan akses yang ditakrifkan. Penilaian ini merangkumi beberapa atribut, seperti peranan pengguna, kes penggunaan yang diberikan kepada mereka untuk aplikasi dan kebenaran yang diberikan kepada pengguna untuk mengakses pangkalan data syarikat.
Perbezaan utama antara pengesahan dan kebenaran boleh dilihat seperti berikut:
| Aspek | Pengesahan | kebenaran |
|---|---|---|
| definisi | Untuk mengesahkan bahawa pengguna, peranti atau sistem adalah seperti yang didakwa sebelum akses dibenarkan. | Untuk menentukan apa yang dibenarkan untuk diakses oleh pengguna yang disahkan dan tindakan yang boleh mereka lakukan. |
| Pesanan Proses | Berlaku pada permulaan proses akses, sebelum sebarang akses sistem atau data dipertimbangkan. | Hanya berlaku selepas pengesahan berjaya mengesahkan identiti pengguna. |
| Soalan Teras | Jawapan “Siapa awak?” dengan mengesahkan identiti. | Jawapan “Apakah yang boleh anda akses atau lakukan?” dengan menguatkuasakan kebenaran. |
| Asas Pengesahan | Bergantung pada kelayakan dan faktor pengesahan yang sah seperti kata laluan, MFA, token atau biometrik. | Bergantung pada peranan, atribut, dasar akses dan peraturan kontekstual yang telah ditetapkan oleh organisasi. |
| Perlindungan Utama | Mencegah penyamaran, pengambilalihan akaun dan log masuk tanpa kebenaran. | Menghalang pengguna daripada mengakses data atau tindakan melebihi apa yang dibenarkan untuk mereka gunakan. |
| Fokus Operasi | Memberi tumpuan kepada pengesahan identiti dan mewujudkan kepercayaan. | Memberi tumpuan kepada penguatkuasaan sempadan akses dan kebenaran dalam sistem. |
Jenis pengesahan yang berbeza
Terdapat pelbagai kaedah pengesahan, setiap satunya dengan set parameter dan tahap keselamatannya sendiri yang ditawarkan. Mari kita lihat bagaimana kaedah pengesahan yang berbeza dijalankan:
1. Kaedah tradisional: Kata laluan dan nama pengguna
Kata laluan dan nama pengguna telah menjadi bentuk pengesahan yang paling biasa selama bertahun-tahun. Pengguna diminta untuk mencipta nama pengguna dan kata laluan yang unik, kebanyakannya sebagai kelayakan log masuk mereka, yang disimpan dalam direktori syarikat.
Kata laluan dan nama pengguna ini kemudiannya disulitkan dan disimpan dalam pangkalan data yang akan menyemak silang setiap kali pengguna memasukkan kata laluan dan nama pengguna tersebut. Setelah padanan berjaya, pengguna kemudiannya diberikan akses kepada perkhidmatan yang ditetapkan.
Walaupun masih digunakan secara meluas sebagai bentuk pengesahan de facto, kata laluan dan nama pengguna juga mewujudkan cabaran keselamatan dan kebolehgunaan disebabkan oleh kerentanannya terhadap serangan pancingan data.
2. Tanpa Kata Laluan
Secara ringkasnya, pengesahan tanpa kata laluan bermaksud log masuk tanpa menaip kata laluan tradisional. Sebaliknya, ia bergantung pada parameter lain untuk mengesahkan identiti pengguna. Parameter ini termasuk:
- Biometrik: Cap jari, pengecaman wajah, dan cap jari, pengecaman wajah, dan biometrik lain kini tersedia pada kebanyakan peranti moden dan boleh dikaitkan terus kepada individu. Ia sukar dipalsukan dan mudah untuk pengguna yang tidak lagi perlu mengingati apa-apa.
- Faktor pemilikan: Ini termasuk token keselamatan perkakasan, aplikasi pengesah atau kod laluan sekali guna (OTP) yang dihantar melalui SMS atau e-mel. Ini memastikan hanya mereka yang memiliki peranti berdaftar secara fizikal boleh log masuk.
- Pautan berjadual: Pautan sekali guna dihantar ke alamat e-mel berdaftar pengguna yang melaluinya akses diberikan. Ini amat popular dalam aplikasi yang menghadap pengguna kerana ia menghapuskan keperluan untuk kata laluan.
Dengan menghapuskan keperluan kata laluan dan nama pengguna, satu kelemahan biasa dalam keselamatan, organisasi boleh mengurangkan permukaan serangan mereka secara bermakna.
3. Tiada kepercayaan
Pengesahan sifar kepercayaan berfungsi berdasarkan prinsip jangan sesekali percaya, sentiasa sahkan. Pendekatan ini menggunakan pemeriksaan ketat yang sama untuk pengesahan merentasi identiti pengguna dan identiti peranti, bagi memastikan hanya akses yang dipercayai.
Dengan kaedah pengesahan sifar kepercayaan, sistem sentiasa menilai identiti, kesihatan peranti dan tingkah laku pengguna untuk memberikan akses kepada sumber berdasarkan penilaian masa nyata ini. Tiada kepercayaan tersirat yang diberikan, walaupun pengguna atau peranti berada di dalam rangkaian korporat.
4. Dua faktor dan berbilang faktor
Kaedah pengesahan dua faktor dibina berdasarkan pengesahan kata laluan atau tanpa kata laluan dengan menambah lapisan keselamatan tambahan. Bagi memastikan hanya pengguna yang dibenarkan sahaja yang boleh mengakses akaun atau sistem, ia memerlukan pengguna untuk menyediakan dua atau lebih bentuk pengenalan diri sebelum akses diberikan.
Borang-borang ini dibahagikan antara pelbagai faktor, seperti kata laluan, biometrik dan kod yang dihantar ke telefon pengguna atau pautan pengesahan.
Langkah tambahan ini menjadikan dua faktor dan pengesahan pelbagai faktor jauh lebih sukar untuk pelanggaran dan akses tanpa kebenaran. Ia mengurangkan kesan kata laluan yang dicuri atau lemah, melindungi daripada pancingan data dan serangan pemadat kelayakan serta mengehadkan akses walaupun butiran log masuk dikompromikan.
5. Daftar masuk tunggal (SSO)
SSO ialah kaedah pengesahan yang membolehkan pengguna log masuk sekali dan mendapat akses selamat kepada berbilang aplikasi, platform dan perkhidmatan. Ini menghilangkan keletihan kata laluan dan membolehkan pertukaran lancar antara alat seperti e-mel, sistem pengurusan perhubungan pelanggan, aplikasi pengurusan atau perkhidmatan lain.
SSO sangat bergantung pada penyedia identiti yang bertanggungjawab untuk mengesahkan pengguna dan mengeluarkan token selamat yang mengesahkan identiti mereka. Ia bertindak sebagai pihak berkuasa yang dipercayai yang menjadi tumpuan aplikasi, memastikan hanya pengguna yang disahkan sahaja yang mendapat akses.
Jenis protokol pengesahan
Pengesahan bergantung pada beberapa kategori protokol dan piawaian, setiap satunya menyelesaikan bahagian teka-teki identiti yang berbeza: mengesahkan siapa seseorang, memutuskan apa yang boleh mereka akses dan memastikan data akaun mereka disegerakkan merentasi sistem. Beginilah cara protokol dan piawaian yang paling banyak digunakan dipecahkan.
Berikut ialah senarai protokol pengesahan yang paling banyak digunakan merentasi industri:
- SAML 2.0Ia membolehkan pengguna mengakses berbilang aplikasi dengan satu log masuk. Ia menggunakan pertukaran data pengesahan yang selamat antara penyedia identiti dan penyedia perkhidmatan. SAML mendayakan SSO bersekutu supaya pengguna tidak memerlukan log masuk berasingan untuk setiap perkhidmatan.
- KerberosIa digunakan untuk mengesahkan klien/pelayan semasa proses rangkaian yang menggunakan kunci kriptografi. Ia direka bentuk untuk melaksanakan pengesahan yang kukuh semasa melaporkan kepada aplikasi.
- RADIUSIa direka untuk pengguna perkhidmatan rangkaian. Pelayan RADIUS menyulitkan kelayakan yang dimasukkan oleh pengguna, yang dipetakan melalui pangkalan data tempatan dan menyediakan akses.
- CHAP dan PAPMereka menggunakan nama pengguna dan kata laluan untuk mengesahkan pengguna. Walaupun PAP menghantar kata laluan dalam teks biasa, CHAP menambah baiknya dengan mengesahkan pengguna secara berterusan melalui pertukaran cabaran-respons tanpa mendedahkan kata laluan.
- LDAP: LDAP digunakan untuk mengakses dan mengurus perkhidmatan direktori yang menyimpan identiti dan kelayakan pengguna. Ia menentukan mana-mana individu, organisasi dan peranti lain pada rangkaian, tanpa mengira perimeter.
- FIDO2: Ia terdiri daripada satu set spesifikasi agnostik teknologi untuk menyatukan akses dan pengesahan pengguna yang selamat. FIDO membolehkan pengguna mengakses dan mengesahkan akaun mereka dengan kunci laluan, biometrik atau PIN dan bukannya kata laluan.
- OAuth 2.0Ia membenarkan aplikasi meminta akses terhad kepada data pengguna yang dihoskan oleh perkhidmatan lain (Google, Microsoft, GitHub) tanpa perlu melihat kata laluan pengguna. Ia merupakan rangka kerja kebenaran, bukan protokol pengesahan sendiri — OIDClah yang menambah pengesahan di atasnya.
- SCIMIa merupakan standard terbuka yang mengautomasikan pertukaran maklumat identiti pengguna antara sistem, menyediakan peruntukan, kemas kini dan penyahperuntukan akaun pengguna yang konsisten merentasi platform. Ia mengurus kitaran hayat identiti, bukan pengesahan.
- LDAPIa digunakan untuk mengakses dan mengurus perkhidmatan direktori yang menyimpan identiti dan kelayakan pengguna. Mengenal pasti individu, organisasi dan peranti pada rangkaian, tanpa mengira perimeter.
| kategori | Contoh |
|---|---|
| Protokol pengesahan / persekutuan | SAML 2.0, OpenID Connect, Kerberos, RADIUS, FIDO2/WebAuthn |
| Rangka kerja kebenaran | OAuth 2.0 |
| Piawaian peruntukan identiti | SCIM |
| Protokol direktori | LDAP |
Amalan terbaik untuk membina lapisan pengesahan yang kukuh
Menggunakan pelbagai kaedah pengesahan memastikan sentiasa ada keselamatan dan mempelbagaikan kawasan permukaan ancaman. Berikut ialah beberapa amalan terbaik yang boleh anda lakukan untuk memastikan lapisan pengesahan anda kekal kedap udara.
- Utamakan pengesahan berbilang faktor: Pengesahan berbilang faktor adalah seperti menyemak semula jawapan anda dalam peperiksaan. Dengan menguatkuasakannya pada akaun pentadbir, pekerja jarak jauh dan aplikasi yang menyimpan data sensitif, syarikat boleh mengurangkan pelanggaran data dengan ketara.
- Gunakan pendekatan tanpa kata laluan untuk kelayakan: Dengan melaksanakan biometrik, OTP bermasa, pautan selamat atau pengesah yang terikat pada peranti, syarikat boleh mengurangkan pancingan data, pemadatan kelayakan dan serangan brute-force dengan ketara.
- Gunakan pengesahan adaptif: Isyarat risiko masa nyata seperti reputasi peranti, halaju geo, risiko IP dan corak tingkah laku merupakan faktor pengenalpastian yang hebat. Ia juga mengurangkan beban IT pemantauan berterusan, kerana sebarang perubahan dalam faktor tersebut akan secara automatik mengakibatkan penggunaan langkah keselamatan.
- SSO untuk menghapuskan keletihan kata laluan: Penggunaan SSO mengurangkan beban pekerja dan membolehkan pengesahan pengguna yang cepat melalui penyedia identiti yang dipercayai.
- Pantau aktiviti pengesahan: Dengan menjejaki corak seperti kegagalan log masuk berulang, penggunaan peranti baharu, lokasi luar biasa atau akses pada masa yang tidak normal, syarikat boleh mencegah sebarang ancaman sebelum ia berpeluang untuk diceroboh.
- Gunakan protokol identiti moden: Menggunakan OAuth 2.0, OpenID Connect, SAML dan protokol moden yang lain membantu mengurangkan ralat pelaksanaan yang boleh berlaku dalam sistem pengesahan yang dibina khas.
- Kuatkuasakan tadbir urus sesi yang ketat: Mengehadkan kitaran hayat token identiti, membatalkan sesi yang mencurigakan dan menyekat token yang tahan lama atau tidak diurus menghalang akses tanpa kebenaran daripada tergelincir antara sesi tulen.
- Gunakan MFA tahan pancingan data jika bolehGunakan kunci laluan FIDO2/WebAuthn, dan bukannya kod berasaskan SMS sahaja.
- Mengekalkan akaun pentadbir pecah kacaDengan pemantauan yang begitu ketat, akses kecemasan tidak akan memintas kawalan pengesahan standard anda tanpa disedari.
Asas yang kukuh menghasilkan struktur yang kukuh
Pengesahan merupakan asas di mana semua langkah keselamatan dibina. Dengan menyediakan asas yang kukuh, anda boleh mewujudkan struktur keselamatan yang lebih sukar untuk dikompromikan.
Syarikat-syarikat harus sedar akan peningkatan berterusan dalam pengeluaran identiti baharu dan ancaman siber yang semakin meningkat. Syarikat-syarikat yang menjadikan pengesahan sebagai teras infrastruktur perniagaan mereka akan lebih bersedia untuk mendapatkan akses yang selamat kepada rangkaian data mereka.
Scalefusion OneIdP menyediakan anda dengan suit faktor pengesahan yang komprehensif supaya anda sentiasa pasti bahawa orang yang tepat mempunyai akses yang betul. Penyelesaian akses sifar kepercayaan yang dipacu UEM mengesahkan silang identiti dan postur keselamatan peranti, membantu memberikan akses hanya apabila identiti dan postur peranti memenuhi dasar keselamatan yang dikonfigurasikan.
Soalan Lazim
1. Apakah perbezaan antara pengesahan dan kebenaran?
Pengesahan berlaku dahulu untuk mengesahkan siapa pengguna (identiti), diikuti dengan kebenaran, yang menentukan apa yang mereka mempunyai kebenaran untuk lakukan (akses).
2. Mengapakah pengesahan tanpa kata laluan lebih selamat?
Pengesahan tanpa kata laluan menghapuskan kelayakan statik yang mudah dikompromi, menggantikannya dengan faktor kalis pancingan data, terikat pada peranti atau biometrik. Ini mengurangkan risiko yang berkaitan dengan penggunaan semula kata laluan, serangan brute-force dan pemadatan kelayakan dengan ketara.
3. Adakah pengesahan sama dengan pengesahan identiti?
Tidak. Walaupun kedua-duanya mengesahkan identiti, pengesahan identiti biasanya merupakan proses sekali sahaja, yang mengesahkan bahawa seseorang itu adalah siapa yang mereka dakwa. Sebaliknya, pengesahan boleh menjadi pemeriksaan sekali sahaja atau proses berterusan yang berterusan bergantung pada sistem — model adaptif dan Zero Trust mengesahkan semula identiti sepanjang sesi, manakala log masuk asas biasanya mengesahkan sekali sahaja.
4. Apakah kegunaan pengesahan?
Pengesahan merupakan bahagian penting dalam setiap struktur keselamatan siber. Ia merupakan proses yang digunakan oleh syarikat untuk mengesahkan bahawa hanya orang, perkhidmatan dan aplikasi yang betul dengan kebenaran yang betul sahaja boleh mengakses sumber organisasi.
5. Apakah beberapa contoh pengesahan?
Contoh pengesahan termasuk, tetapi tidak terhad kepada, log masuk dengan nama pengguna/kata laluan, menggunakan pengecaman wajah (Face ID) atau pengimbas cap jari pada telefon, menerima SMS OTP atau dengan SSO.
6. Apakah perbezaan antara pengesahan dan pengesahan identiti?
Pengesahan identiti biasanya merupakan proses sekali sahaja yang mengesahkan seseorang adalah siapa yang mereka dakwa, selalunya semasa onboarding. Pengesahan berlaku setiap kali seseorang cuba mengakses sistem, mengesahkan bahawa pengguna semasa adalah orang yang sama yang pada asalnya disahkan.
7. Adakah OAuth sama dengan pengesahan?
Tidak. OAuth 2.0 ialah rangka kerja kebenaran. Ia membolehkan aplikasi mengakses data bagi pihak pengguna tanpa melihat kata laluan mereka. Pengesahan dikendalikan secara berasingan, selalunya oleh OpenID Connect (OIDC), yang dibina di atas OAuth 2.0 khusus untuk mengesahkan identiti.
8. Apakah kaedah pengesahan yang paling selamat?
Tiada kaedah tunggal yang "paling selamat" secara universal, keselamatan bergantung pada pelaksanaan. Walau bagaimanapun, kaedah tahan pancingan data seperti kunci laluan FIDO2/WebAuthn dan kunci keselamatan perkakasan kini dianggap sebagai pilihan terkuat yang tersedia secara meluas, kerana ia mengalih keluar kata laluan yang boleh digunakan semula dan menahan serangan pancingan data jarak jauh.
