NCSC: iniciar sessió amb contrasenya és la forma d'autenticació més insegura

Iniciar sessió amb un nom d'usuari i una contrasenya és la forma d'autenticació més insegura. Per tant, es recomana a les organitzacions que vulguin protegir millor els seus comptes que triïn mètodes d'autenticació més forts, com ara l'autenticació de dos factors (2FA) i l'estàndard FIDO2 de l'aliança FIDO. Així ho afirma el National Cyber ​​​​Security Center (NCSC) en una nova fitxa anomenada "Autenticació d'adults".

Segons l'NCSC, els comptes amb privilegis elevats dins d'un sistema, com els comptes d'administrador, són cada cop més l'objectiu d'atacs. "Tenint en compte aquest desenvolupament, és molt important protegir els comptes d'una manera adequada. L'avaluació de la ciberseguretat dels Països Baixos 2021 avala la importància d'una bona autenticació i mostra que el nivell d'amenaça per a una autenticació feble és alt", adverteix el servei governamental. Per tant, recomana mètodes d'autenticació més forts com ara 2FA.

No totes les formes de 2FA es creen iguals. Per exemple, el full informatiu indica que l'autenticació de dos factors mitjançant un SMS o un correu electrònic és la forma menys segura de 2FA. Un atacant podria interceptar els codis d'inici de sessió enviats per correu electrònic o SMS. L'ús de la biometria com a segona capa de seguretat és menys susceptible a aquest atac, però està subjecte a les lleis i regulacions de privadesa com el Reglament general de protecció de dades (GDPR), va dir l'NCSC.

El govern també aconsella distingir entre diferents comptes en funció del risc associat. Els comptes d'alt impacte, com els dels administradors, requereixen una seguretat diferent de, per exemple, els comptes de convidat. Les organitzacions poden dividir els seus comptes en comptes d'impacte baix, mitjà i alt basant-se en una avaluació de riscos. Els comptes es poden assegurar de manera adequada mitjançant el model de venciment per a l'autenticació.

Finalment, el full informatiu recomana establir un nombre màxim d'intents d'inici de sessió permesos per unitat de temps per a tots els clients. A més, els empleats haurien de poder veure el seu historial d'inici de sessió, de manera que puguin detectar i informar d'activitats sospitoses més ràpidament.