Müşteri ihtiyaçlarını karşılamak ve giderek daha uzaktaki iş gücünü desteklemek için bulut hizmetlerini, mobil cihazları ve diğer dijital teknolojileri benimseyen kuruluşlarda kimlik, güvenliğin kapsamıdır. Kimlik, kuruluşların kullanıcıları, uygulamaları ve cihazları doğruladığı, yetkilendirdiği ve yönettiği yerdir. Bu, kuruluşların tek oturum açma, çok faktörlü kimlik doğrulama, sürekli izleme ve kimlik erişim yönetimi gibi kimlik teknolojilerine yatırım yapmasını gerektirir.
Şu anda, kuruluşları kimlik bilgisi doldurma, kaba kuvvet ve kimlik avı gibi kimlik tabanlı saldırılara karşı savunmasız bırakan pek çok boşluk var.
Push Security’nin araştırma ekibi, 300.000 hesabın ve ilgili oturum açma yöntemlerinin analizinde, ortalama bir kuruluştaki ortalama çalışanın 15 kimliğe sahip olduğunu hesapladı. Push Security verilerine göre kimliklerin üçte birinden biraz fazlası (%37) MFA etkinleştirilmeden şifre tabanlı oturum açma işlemleri kullanıyordu.
Analize göre hesapların %61’i yalnızca tek oturum açmaya güveniyordu, %29’unun yalnızca parolası vardı ve kimliklerin %10’u hem tek oturum açmaya hem de parolaya izin veriyordu. Tek oturum açmanın mevcut olup olmadığına bakılmaksızın hesapların neredeyse üçte ikisi (%63) bir tür MFA kullanıyordu. Neredeyse tamamı, Push Security’nin “kimlik avına açık MFA” olarak nitelendirdiği, MFA yorgunluğu veya gelişmiş ortadaki saldırgan kimlik avı araç setleri gibi baypas saldırılarına karşı savunmasız yöntemleri ifade eden şeye güveniyordu. Push Security’ye göre, tek oturum açma yöntemlerini kullanan hesapların %1’inden azı “kimlik avına karşı dayanıklı MFA” kullanıyor.
Yalnızca parolası olan hesapların %80’inde MFA etkin değildi; hem SSO oturum açma adı hem de parolası olan hesapların %40’ında MFA yoktu.
Hem TOA’ya hem de parolalara sahip hesaplarla ilgili sorun, hayalet oturum açmalara veya bir hesabın birden fazla oturum açma yöntemine sahip olduğu durumlara kapı açmasıdır. Bu durumda, tek oturum açma olmasına rağmen, saldırganın şifreyi kimlik bilgileri doldurma veya kaba kuvvet saldırıları yoluyla bulması durumunda bu hesapların güvenliği tehlikeye girebilir.
SSO’nun kullanıldığı durumlarda dahi akışın başında kimlik sağlayıcıya şifre ile giriş yapılmaktadır. Kimlik sağlayıcı hesabına bakıldığında %17’sinin MFA’nın etkin olmadığı ve %10’unun şifrelerinin yeniden kullanıldığı görülüyor. Bu parola bir şekilde ele geçirilirse (belki de kimlik bilgisi doldurma veya kimlik avı yoluyla) SSO oturum açma bilgilerine sahip hesapların da güvenliği ihlal edilir.
MFA ile ilgili başka bir şey: Push Security, kimlik sağlayıcı hesaplarının “bir kullanıcının sahip olabileceği en kritik hesaplar” arasında yer aldığını ancak %20’sinde MFA’nın eksik olduğunu belirtti.
Kimliklerin %9’unun şifresinin ihlal edilmiş, zayıf veya yeniden kullanılmış olması da endişe vericiydi Ve MFA’nın etkin olmaması bu kimlikleri saldırıya açık hale getiriyor. Push Security, “MFA’nın eksik olduğu hesaplar, çalınan, zayıf veya yeniden kullanılan şifreleri ve hatta en temel kimlik avı araç takımlarını hedef alan kimlik bilgisi doldurma saldırılarına karşı savunmasızdır” dedi.