روش‌های نوین احراز هویت در فضای مجازی؛ بخش سوم: روش‌های احراز هویت بدون نیاز به رمز عبور

به گزارش گرداب، در بخش اول این پرونده، به بررسی دلایل ناایمن بودن رمز‌های عبور پرداختیم، اینکه طبق آمار حدود ۹۰ درصد رمز‌های عبور انتخابی توسط کاربران از ایمنی کافی برخوردار نیستند و متخصصین حوزه فناوری به توسعه روش‌های جایگزین برای رمز عبور در احراز هویت روی آورده‌اند.

در بخش دوم پرونده به معرفی این روش‌ها پرداختیم که با استفاده از عوامل فیزیکی یا زیست‌سنجی تلاش می‌کنند تا ایمنی فرایند احراز هویت را تقویت کنند. اما نوین‌ترین روش‌های احراز هویت دیگر نیازی به واردکردن رمز عبور از هیچ نوعی را ندارند. در این پرونده به معرفی دو نمونه از مرسوم‌ترین این روش‌ها می‌پردازیم.

روش احراز هویت یکپارچه (Single Sign-On)
SSO یک روش احراز هویت است که کاربران را قادر می‌سازد تا با استفاده از تنها یک اعتبارنامه، از چندین برنامه و وب‌سایت استفاده کنند. SSO بر اساس رابطه اعتمادی میان یک برنامه ارائه‌دهنده خدمات و یک برنامه ارائه‌دهنده هویت مانند OneLogin یا Facebook کار می‌کند؛ پلتفرمی همانند Facebook به دلیل اینکه در حوزه زندگی اجتماعی افراد فعالیت می‌کند و کاربران آن در پروفایل خود اطلاعاتی نظیر بیوگرافی و عکس‌های مختلف از خود را منتشر می‌کنند، به لحاظ داشتن آگاهی از پس‌زمینه کاربران (Context-aware) می‌تواند منبع مناسبی برای تأیید هویت افراد باشد. این رابطه اعتمادی در واقع یک گواهی است که صادر می‌شود.

به عبارت ساده SSO یک سرور است که سرویس‌های وابسته، به آن اعتماد کامل دارند و اگر این سرویس به دیگران بگوید که شخصی احراز هویت شده و قابل‌اعتماد است، سرویس‌های وابسته به کاربر موردنظر بدون نیاز به واردکردن نام کاربری و رمز عبور امکان استفاده از امکاناتشان را می‌دهند.

نمونه واقعی از SSO را می‌توانید در فیسبوک مشاهده کنید، وقتی شما وارد حساب Facebook خود می‌شوید، در بسیاری از وب‌سایت‌ها که به فیسبوک اعتماد دارند و آن را به‌عنوان SSO سرور می‌شناسند، می‌توانید بدون نیاز به نام کاربری و رمز عبور لاگین کنید. در مثالی دیگر، اگر ایمیل outlook یا live یا Hotmail داشته باشید، بعد از login در مرورگر به‌محض ورود به هر سرویس وابسته به مایکروسافت به‌صورت خودکار در آن سرویس login شده‌اید؛ برای مثال شما در وب‌سایت technet به‌صورت خودکار وارد خواهید شد.


پیاده‌سازی SSO به روش‌های مختلفی صورت می‌پذیرد که دو روش آن عبارتند از:
- اسکریپت: در این روش، اسکریپت اطلاعات اکانت کاربر را به‌صورت رمزگذاری شده به سیستم تشخیص هویت ارسال می‌کند و پس از تأیید هویت، کاربر وارد سیستم می‌شود.
- کوکی: در این روش کوکی‌های سیستم کاربر به سروری که کاربر می‌خواهد به آن وارد شود ارسال می‌شود. در واقع سیستم‌های نرم‌افزاری تحت وب که دامنه (Domain) مشابه دارند، اما بر روی چند سرور قرار گرفته‌اند، جهت تشخیص هویت کاربر از کوکی‌هایی استفاده می‌کنند که به‌صورت رمزنگاری‌شده هستند و بر روی سیستم کاربر قرار گرفته‌اند. به‌این‌ترتیب هویت کاربر در تمامی سرور‌ها تأیید می‌شود.

تحلیل رفتار کاربر (User Behavior Analyis یا UBA)
UBA در واقع یک روش برای احراز هویت نیست بلکه روشی است که امروزه برای تداوم احراز هویت از آن استفاده می‌شود. در واقع شاید بتوان گفت UBA یک سامانه احراز هویت آنی (Real-time) است و تا زمانی که کاربر در سامانه حضور دارد، رفتار وی را رصد و تأیید می‌کند. البته UBA کاربرد‌های بسیار دیگری نیز دارد از جمله مدیریت کسب‌وکار‌ها و فروش، تأمین امنیت هوشمند و ....

در روش UBA، سیستم با رصد فعالیت‌های کاربر مانند بازدید از صفحات یا دانلود کردن، عادی بودن یا نبودن رفتار کاربر را ارزیابی می‌کند و درصورتی‌که تشخیص دهد که رفتار‌های کاربر غیرمعمول است (بازدید صفحات زیاد یا دانلود حجم زیادی از محتوا در مدت‌زمان کم) یا حتی برای یک کاربر انسان غیرممکن است، اقدام به احراز هویت کرده یا کاربر را از سیستم خارج می‌کند.

روند شناسایی جریان‌ها و ترافیک داده کاربران مبتنی بر روش‌های یادگیری ماشین است که نیاز به هیچ امضا یا تحلیل انسانی نداشته و به‌صورت هوشمند عمل می‌ند. هوش مصنوعی با دسته‌بندی رفتاری و آنالیز فعالیت‌های کاربران، تهدیدات و ناهنجاری‌ها را به‌صورت خودکار و دقیق شناسایی کرده و دسترسی‌های غیرمجاز را مسدود می‌کند. در این روش، چرخه عمر عملیات‌های امنیتی (شامل پیشگیری، شناسایی، پاسخگویی و کاهش روند بازخوردها) باید از طریق مانیتورینگ مستمر و همچنین تجزیه‌وتحلیل پیشرفته، یکپارچه گردد تا هوشمندی مبتنی بر Context یا اطلاعات زمینه‌ای را ارائه نماید.

روش‌های یادگیری ماشین قابلیت‌های تجزیه‌وتحلیل پیشرفته را ترکیب می‌کند تا سازمان‌ها بتوانند صرف‌نظر از تعداد کارمندان یا مجموعه وظایفشان، به انجام فعالیت‌هایی مانند نظارت، اعلام هشدار، تجزیه‌وتحلیل، پاسخگویی، اشتراک و شناسایی تهدیدات شناخته شده و نشده بپردازند. این فناوری، میلیون‌ها رویداد خام را به چند هزار ناهنجاری و سپس به چند ده تهدید کاهش می‌دهد تا فرایند بازنگری و ارائه راه‌حل به‌سرعت انجام پذیرد و از الگوریتم‌های مبتنی بر امنیت و معناشناسی برای یادگیری ماشین، روش‌های آماری پویا و همچنین همبستگی‌ها جهت شناسایی تهدیدات پنهان بدون تجزیه‌وتحلیل انسانی بهره می‌گیرد.

همچنین با آگاهی از مفاهیم، موقعیت‌ها و محتوا می‌توان موارد مثبتِ کاذب یا False Positive را کاهش داد. این فناوری تهدید‌ها را دسته‌بندی کرده و فعالیت‌های غیرطبیعی و مشکوک را مشخص می‌نماید. همچنین با استفاده از الگوریتم‌های یادگیری فردی و انطباقی (یادگیری ماشینی و آماری)، تهدید‌های جدی را از طریق همبستگی‌های پیشرفته در مدل‌ها شناسایی می‌کند؛ بنابراین این فناوری قادر خواهد بود تهدید‌ها و شواهد مربوط به آن‌ها را به‌صورت فعال مورد بررسی قرار دهد.

به‌عنوان‌مثال یکی از سرویس‌هایی که google analytics ارائه می‌دهد، UBA کاربران حاضر در وبسایت موردنظر است که ضمن ارائه یک الگوی رفتاری کلی، آمار‌هایی همراه با تعداد بازدید از یک صفحه خاص، میانگین زمان حضور کاربر در صفحه موردنظر، تعداد ورود و خروج به آن، تاریخچه جستجو در وبسایت موردنظر و ... را نشان می‌دهد. یکی دیگر از سرویس‌هایی که گوگل در این زمینه ارائه می‌دهد سرویس Behavior Flow است که مشابه سایر گزارش‌های جریانی که Google Analytics ارائه می‌دهد، گزارش Behavior Flow به شما امکان می‌دهد مسیری را که بازدیدکنندگان از یک صفحه به صفحه دیگر می‌پیمایند، تجسم و مصورسازی کنید. این گزارش به شما امکان می‌دهد رفتار‌های پنهان و غیرمعمول بیشتری را کشف کنید. این گزارش نشان می‌دهد که اولین صفحه ورود کاربران به وب‌سایت کدام است و همچنین از کدام صفحه خارج می‌شوند. توجه داشته باشید که از گزارش Behavior Flow می‌توان برای تصویرسازی صفحات و رویداد‌ها (به‌عنوان‌مثال نمایش‌های ویدئویی) استفاده کرد.

البته گوگل با استفاده از UBA رفتار تمام کاربران خود را برای شناسایی ربات‌ها تحلیل می‌کند و در صورت مشاهده رفتار مشکوک با گرفتن تست کپچا (CAPCHA) از این مهم مطلع می‌شود. به‌جز گوگل شرکت IBM نیز رفتار کارکنان خودش را با استفاده از UBA رصد می‌کند و چنانچه رفتار غیرمعمولی مشاهده کند، اقدامات ثانویه را برای رفع تهدید انجام می‌دهد. نرم‌افزار مذکور، IBM QRadar نام دارد و موارد زیر را بررسی می‌کند:
• بررسی تمام ترافیک‌های مرتبط با دسترسی داده شده به کاربر
• بررسی رفتار کاربر در شبکه نظیر: پروکسی، دیوار آتش، VPN و ...
• بررسی نقاط پایانی، گزارش برنامه‌های کاربردی، ویندوز لینوکس و ...


جمع‌بندی
روش‌های نوین احراز هویت، یعنی مواردی که برای استفاده از چندین خدمت، تنها یک احراز هویت از کاربر انجام می‌شود، کاربرپسندترین نوع احراز هویت تلقی می‌شود. در واقع در این روش‌ها، مسئولیت احراز هویت به گردن کاربر نیست، بلکه ارائه‌دهنده خدمات این مسئولیت را به عهده می‌گیرد و با استفاده از سرور‌های قابل‌اعتماد (SSO) یا تحلیل رفتاری کاربر (UBA) اجازه یا عدم اجازه ورود را به وی می‌دهد. لزوم پیاده‌سازی چنین روش‌هایی نیاز به توسعه پایگاه‌های داده جامع و همچنین روش‌های نوین یادگیری ماشین است.

________________________________

- منابع: 

http://fava.nkums.ac.ir/Content/۵۱۹۸۶/sso-%DA%۸۶%DB%۸C%D۸%B۳%D۸%AA%D۸%۹F
https://www.intechnic.com/blog/google-analytics-behavior-analysis-behavior-flow-and-other-reports/
https://www.ibm.com/support/knowledgecenter/SS۴۲VS_SHR/com.ibm.UBAapp.doc/c_Qapps_UBA_intro.html