慶祝世界密碼日，探索 PKI 等現代替代方案

世界密碼日快樂！

世界密碼日最初由 Intel Security 於2013年發起，世界密碼日於每年5月6日舉辦，旨在鄭重提醒全球各類機構，密碼安全必須始終是IT與網絡安全團隊的高優先事項。今年也不例外——即使全球正逐步從新冠疫情中復原，遙距辦公仍是許多機構的常態，網絡犯罪分子也趁機利用這個局面。憑證竊取、魚叉式網釣、商業電郵詐騙（BEC）及其他針對憑證的攻擊手段呈上升趨勢，充分凸顯了部署強防護措施、落實有效網絡安全實務的必要性。世界密碼日是企業重新檢視自身密碼實務、探索潛在替代方案的絕佳契機。

密碼的脆弱性

對許多機構而言，使用者名稱與密碼組合仍是身份認證的重要組成部分。但遺憾的是，員工在密碼安全方面時常疏忽大意：他們在多個帳戶重複使用同一密碼，向同事分享自己的登入憑證，還容易落入社會工程騙局。老練的攻擊者很清楚這種安全意識鬆懈的傾向，隨時準備加以利用。威瑞森（Verizon）《2020年資料外泄調查報告》顯示，超過80%與黑客相關的資料外泄事件，要麼涉及暴力破解密碼（說明使用了弱密碼或常見密碼），要麼涉及憑證丟失或被盜（說明密碼安全措施不到位）。就連SolarWinds的行政總裁也近期將原因歸結於將公司遭遇的重大資料外泄事件歸咎於一名實習生使用了極易被猜到的密碼「solarwinds123」。

在密碼相關問題上，很多因素是企業無法控制的。IT團隊可以強制要求使用複雜度更高的密碼，要求員工定期更換密碼，但即便是這些措施也存在弊端。畢竟，如果密碼過於複雜、有效期過短導致難以記住，員工很可能會把密碼寫下來，或是存放在容易找到的位置。此外，企業根本無法得知員工設定的密碼是否同時用於十幾個其他網站。如果該員工的某個密碼在無關的資料外泄事件中被攻破，且這個密碼恰好是企業登入密碼，企業就會面臨嚴重風險——甚至對此毫無察覺。

當今的密碼替代方案

儘管密碼的脆弱性日益凸顯，但對IT安全團隊而言，身份識別與認證的重要性達到了前所未有的高度。許多企業已採用多重要素認證（MFA），通過基於手機或權杖的額外步驟保護登入流程。但遺憾的是，MFA仍然需要使用密碼——這意味著用戶仍然依賴MFA本應替代的密碼技術。更糟糕的是，美國國家標準與技術研究院（NIST）和美國聯邦調查局（FBI）均已就MFA的脆弱性向公眾發出警告，指出安全專業人員已發現針對短訊認證方式的漏洞利用手段，攻擊者可輕鬆、大規模地繞過這類認證。過去一年微軟和Google發生的服務中斷事件，也暴露出依賴可用性無法保障的認證應用存在的風險。

那麼，解決方案是什麼？歸根結底，公開金鑰基礎建設（PKI）是目前各類機構實現密碼替代最安全、最全面的方案。數碼身份需要具備足夠強度以防範竊取，同時還要具備前瞻性，幫助企業領先於攻擊者。基於PKI的證書不僅可提供最強級別的身份認證，還能最大程度簡化員工的連接流程。由於員工的身份證書密鑰直接存儲在其電腦或流動裝置中，員工可享受「無接觸」認證——零摩擦存取應用並開展工作。

這不僅對用戶友好，對IT團隊也大有裨益。IT團隊無需再擔心員工因丟失MFA所需設備而被鎖定在網絡外。同時，由於密鑰直接存儲在裝置上，PKI可有效抵禦網釣、密鑰竊取和中間人（MITM）攻擊。該方案不存在可從伺服器竊取的私密種子值，不會產生與密碼相關的支援工單，且IT團隊可輕鬆完成技術的部署與維護。無接觸 PKI是企業擺脫傳統使用者名稱密碼憑證模式、提升網絡安全性並降低總體擁有成本的理想解決方案。

準備好遷移至公開金鑰基礎設施（PKI）了嗎？了解您如何借助以下方案為聯網裝置及流動裝置提供安全保障：Sectigo 的私有 PKI 解決方案。