Przejdź do głównej zawartości

8.5 Bezpieczne uwierzytelnianie

W skrócie: sposób logowania jest dopasowany do wrażliwości informacji i chroni przed przejęciem konta — od samego hasła po uwierzytelnianie wieloskładnikowe.

Cel: zapewnienie, że użytkownik lub podmiot jest bezpiecznie uwierzytelniony, zanim uzyska dostęp do systemów, aplikacji i usług.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Identity_and_access_management (zarządzanie tożsamością i dostępem)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Technikę uwierzytelniania dobiera się do klasyfikacji informacji. Gdy potrzebne jest silne uwierzytelnianie i weryfikacja tożsamości, stosuje się metody inne niż hasło — certyfikaty, karty inteligentne, tokeny, biometrię.
  • Uwierzytelnianie wieloskładnikowe łączy coś, co użytkownik wie, ma i czym jest. Norma wskazuje je szczególnie dla krytycznych systemów i dostępu z zewnątrz.
  • Procedura logowania powinna m.in.: nie wyświetlać wrażliwych informacji przed udanym logowaniem, wyświetlać ostrzeżenie o dostępie tylko dla uprawnionych, nie podpowiadać, która część danych logowania jest błędna, walidować dane dopiero po ich wprowadzeniu w całości.
  • Chroni się przed atakami siłowymi na hasła: limity prób, opóźnienia, CAPTCHA, blokady.
  • Rejestruje się udane i nieudane próby logowania. Przy wykryciu możliwego naruszenia generuje się zdarzenie bezpieczeństwa.
  • Po udanym logowaniu można wyświetlić informację o poprzednim logowaniu, by użytkownik zauważył nadużycie.
  • Hasła nie są wyświetlane ani przesyłane otwartym tekstem. Nieaktywne sesje kończy się po określonym czasie; dla aplikacji wysokiego ryzyka ogranicza się czas połączenia.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • MFA odporne na phishing (FIDO2, klucze sprzętowe, passkeys) przynajmniej dla administratorów i dostępu zdalnego; SMS jako najsłabsza forma MFA.
  • Ochrona przed zmęczeniem powiadomieniami push (MFA fatigue): dopasowanie liczby, kontekst logowania.
  • SSO z centralnym dostawcą tożsamości — mniej haseł, jedno miejsce wymuszania polityk.

Powiązania​