去年，网络攻击数量最多的一次 (30%) 是以同样的方式发起的：网络犯罪分子使用有效凭证获取访问权限。更令人担忧的是，X-Force 威胁情报指数 2024发现，这种攻击方式比 2022 年增加了 71%。研究人员还发现，窃取信息以用于攻击的人数增加了 266% 。特权用户的家庭成员有时也会成为受害者。
“这些转变表明威胁行为者已将凭证重新视为可靠且首选的初始访问媒介。随着威胁行为者投资信息窃取者来扩大其凭证存储库，企业被推入一个新的防御环境，身份不再能得到保证，”X-Force 报告写道。
组织必须注重访问控制
防止使用有效凭证的唯一方法是确保使用该帐户的人是颁发凭证的人。这要求组织专注于访问控制，以便每次用户访问敏感信息时验证其身份。
迈向移动认证
然而，传统的用户名和密码凭证很容易被用于网络犯罪。黑客经常使用人工智能（AI）破解密码来入侵账户。此外，凭证通常在暗网上出售，这使得网络犯罪分子很容易使用有效凭证发起入侵或攻击。
为了降低这种风险并增加只有有效用户才能获得访问权限的可能性，组织正在转向移动凭证。对于这种类型的身份验证，用户必须使用移动设备验证其身份。在确认身份后，将为用户分配一个其设备独有的数字密钥。有些技术使用二维码，而另一些技术使用链接。每次用户访问系统时，设备都会使用数字密钥来确保指定人员使用凭证。移动凭证可用于物理访问，例如位于建筑物内的安全数据中心，或虚拟访问，例如包含敏感客户数据的数据库。
移动认证的好处
使用移动凭证的组织通常会看到以下好处：
- 降低风险：由于用户随身携带移动设备，网络犯罪分子获取凭证和设备的可能性较低。由于用户需要物理访问设备，因此窃取凭证攻击比传统访问控制更具挑战性。
- 成本更低：移动访问所需的管理更少，这意味着其运行和维护成本更低。与传统访问管理相比，管理员可以更轻松地添加和删除用户。
- 更容易创建临时凭证：通过移动凭证，系统管理员现在可以更轻松、更快速地创建临时凭证，例如承包商或供应商。
移动认证的潜在缺陷
然而，移动凭证也带来了一些挑战。常见问题包括：
- 个人设备要求：有些员工不想将个人设备用于工作目的。组织必须通过发放钥匙卡或商务设备来克服这一挑战。
- 设备必须已充电并可运行：如果用户的设备没电或当前无法工作，则他们无法访问工作相关任务所需的应用程序和系统。组织应针对这些情况创建替代访问方法。
移动认证的未来
随着越来越多的组织开始使用这种类型的凭证，员工和用户将习惯于使用个人设备登录。采用这项技术的组织现在可以随着技术的进步而改进其实践和使用方式。组织可以通过降低总体风险和漏洞来降低涉及有效凭证的违规风险。
