Sa larangan ng cybersecurity, ang tradisyunal na paraan ng pagpapatunay ng user sa pamamagitan ng mga password ay napatunayang mahina sa iba't ibang pag-atake, tulad ng mga brute force na pag-atake, pag-atake sa diksyunaryo, at muling paggamit ng password. Upang mapahusay ang seguridad, ang mga alternatibong pamamaraan ng pagpapatunay ay binuo na nag-aalok ng mas mataas na proteksyon laban sa mga banta na ito. Ang sagot na ito ay tuklasin ang ilan sa mga alternatibong pamamaraan na ito at tatalakayin kung paano nila pinapahusay ang seguridad.
Ang isang alternatibong paraan ng pagpapatotoo ay ang biometric na pagpapatotoo, na gumagamit ng mga natatanging pisikal o asal na katangian ng isang indibidwal upang i-verify ang kanilang pagkakakilanlan. Kasama sa mga pamamaraan ng biometric na pagpapatotoo ang pagkilala sa fingerprint, pag-scan ng iris, pagkilala sa mukha, pagkilala sa boses, at maging ang mga biometric sa pag-uugali tulad ng mga pattern ng pagta-type o pagsusuri sa lakad. Ang mga pamamaraang ito ay nagpapahusay ng seguridad sa pamamagitan ng pagbibigay ng isang napaka-indibidwal at mahirap-kopyahin na paraan ng pagpapatunay. Hindi tulad ng mga password, na madaling makalimutan, manakaw, o mahulaan, ang mga biometric na katangian ay likas na nauugnay sa isang partikular na indibidwal at mahirap huwad. Ito ay makabuluhang binabawasan ang panganib ng hindi awtorisadong pag-access sa mga computer system at sensitibong impormasyon.
Ang isa pang alternatibong paraan ng pagpapatunay ay ang multifactor authentication (MFA), na kilala rin bilang two-factor authentication (2FA) o three-factor authentication (3FA). Pinagsasama ng MFA ang dalawa o higit pang independiyenteng mga salik sa pagpapatotoo upang i-verify ang pagkakakilanlan ng isang user. Ang mga salik na ito ay karaniwang nahahati sa tatlong kategorya: isang bagay na alam ng user (hal., isang password o PIN), isang bagay na mayroon ang user (hal., isang pisikal na token o isang mobile device), at isang bagay na ang user ay (hal, mga biometric na katangian). Sa pamamagitan ng pag-aatas ng maraming salik, nagbibigay ang MFA ng karagdagang layer ng seguridad. Kahit na ang isang kadahilanan ay nakompromiso, ang isang umaatake ay kailangan pa ring pagtagumpayan ang iba pang (mga) kadahilanan upang makakuha ng hindi awtorisadong pag-access. Halimbawa, ang karaniwang pagpapatupad ng MFA ay ang kumbinasyon ng isang password (isang bagay na alam ng user) at isang minsanang passcode na nabuo ng isang mobile app (isang bagay na mayroon ang user).
Higit pa rito, ang mga pamamaraan ng pagpapatunay na nakabatay sa hardware ay nag-aalok ng pinahusay na seguridad sa pamamagitan ng pag-asa sa mga nakalaang pisikal na device para sa pagpapatotoo. Ang isang ganoong paraan ay ang paggamit ng mga smart card o mga security token. Ang mga device na ito ay nag-iimbak ng mga cryptographic key at nangangailangan ng pisikal na pagmamay-ari para sa pagpapatunay. Kapag gustong mag-authenticate ng user, ipinapasok nila ang smart card sa isang card reader o ikinonekta ang security token sa kanilang computer. Ang device ay bubuo ng isang natatanging digital signature, na ginagamit upang patotohanan ang user. Ang mga pamamaraan ng pagpapatunay na nakabatay sa hardware ay nagbibigay ng karagdagang layer ng seguridad sa pamamagitan ng pagtiyak na ang mga kredensyal sa pagpapatotoo ay hindi lamang naka-imbak sa computer o ipinadala sa network, na binabawasan ang panganib ng kompromiso.
Ang isa pang umuusbong na paraan ng pagpapatotoo ay ang walang password na pagpapatotoo, na naglalayong ganap na alisin ang paggamit ng mga password. Ang mga paraan ng pagpapatunay na walang password ay umaasa sa mga pamamaraan ng cryptographic, gaya ng public-key cryptography, upang patotohanan ang mga user. Ang isang ganoong paraan ay ang paggamit ng public-private key pairs. Sa pamamaraang ito, ang user ay nagtataglay ng pribadong key na ligtas na nakaimbak sa kanilang device, habang ang pampublikong key ay nakarehistro sa server ng pagpapatunay. Kapag gustong mag-authenticate ng user, nilalagdaan nila ang isang hamon na ibinigay ng server gamit ang kanilang pribadong key, at ibe-verify ng server ang lagda gamit ang nakarehistrong pampublikong key. Ang pamamaraang ito ay nag-aalis ng pangangailangan para sa mga password at ang kanilang nauugnay na mga kahinaan, tulad ng muling paggamit ng password at pag-atake ng pag-crack ng password.
Ang mga alternatibong paraan ng pagpapatotoo sa mga password, tulad ng biometric na pagpapatotoo, pagpapatotoo ng multifactor, pagpapatunay na nakabatay sa hardware, at pagpapatunay na walang password, ay nagpapahusay ng seguridad sa pamamagitan ng paggamit ng mga natatanging katangiang pisikal o asal, pagsasama-sama ng maraming independiyenteng mga salik, paggamit ng mga nakalaang pisikal na device, at pag-aalis ng pag-asa sa mga password. Sa pamamagitan ng paggamit ng mga pamamaraang ito, maaaring makabuluhang bawasan ng mga organisasyon ang panganib ng hindi awtorisadong pag-access sa mga computer system at protektahan ang sensitibong impormasyon.
Iba pang kamakailang mga tanong at sagot tungkol sa Pagpapatunay:
- Ano ang mga potensyal na panganib na nauugnay sa mga nakompromisong device ng user sa pag-authenticate ng user?
- Paano nakakatulong ang mekanismo ng UTF na maiwasan ang mga man-in-the-middle na pag-atake sa pagpapatunay ng user?
- Ano ang layunin ng protocol ng pagtugon sa hamon sa pagpapatunay ng user?
- Ano ang mga limitasyon ng SMS-based na two-factor authentication?
- Paano pinapahusay ng public key cryptography ang pagpapatunay ng user?
- Paano makompromiso ang mga password, at anong mga hakbang ang maaaring gawin upang palakasin ang pagpapatunay na batay sa password?
- Ano ang trade-off sa pagitan ng seguridad at kaginhawahan sa pagpapatunay ng user?
- Ano ang ilang teknikal na hamon na kasangkot sa pagpapatunay ng user?
- Paano bini-verify ng authentication protocol gamit ang isang Yubikey at public key cryptography ang pagiging tunay ng mga mensahe?
- Ano ang mga pakinabang ng paggamit ng Universal 2nd Factor (U2F) na mga device para sa pagpapatunay ng user?
Tingnan ang higit pang mga tanong at sagot sa Authentication