احراز هویت تطبیقی چیست و چگونه کار می‌کند؟

احراز هویت تطبیقی چیست؟

احراز هویت تطبیقی (Adaptive Authentication) یک نوع احراز هویت است که رفتار کاربران را برای شناسایی فعالیت‌های مشکوک تجزیه‌و‌تحلیل می‌کند. این نوع احراز هویت می‌تواند برای جلوگیری از حملات فیشینگ، استفاده غیرقانونی از حساب‌ها و سایر فعالیت‌های مخرب استفاده شود.

فناوری فوق بر اساس این ایده پدید آمد که کاربران عادی الگوهای رفتاری مشخصی دارند. به‌عنوان مثال، یک کاربر ممکن است از یک دستگاه خاص برای ورود به سیستم استفاده کند، در یک زمان خاص از روز وارد سیستم شود و از یک موقعیت جغرافیایی مشخص استفاده کند. اگر کاربری از یک دستگاه یا موقعیت مکانی جدید برای ورود به سیستم استفاده کند یا در یک زمان غیرعادی از روز وارد سیستم شود، احراز هویت تطبیقی ممکن است آن را به‌عنوان یک فعالیت مشکوک شناسایی کند و از کاربر بخواهد برای تایید هویت خود اقدام کند. اگر تصور می‌کنید این سازوکار امنیتی تنها مناسب سازمان‌های بزرگ است در اشتباه هستید، یک نمونه بارز که ممکن است به دفعات با آن روبه‌رو شده باشید، زمانی است که قصد ورود به حساب جی‌میل خود را دارید، اما به روشی متفاوت این کار را انجام می‌دهید. در این حالت، جی‌میل درخواست می‌کند هویت خود را از طریق ایمیل‌های ثالث یا شماره تلفنی که از قبل وارد کرده‌اید به اثبات برسانید. 

مولفه‌های کلیدی احراز هویت تطبیقی 

دو عامل اصلی و کلیدی احراز هویت تطبیقی به‌شرح زیر هستند:

• عامل اول: اطلاعات اولیه‌ای هستند که فرد هنگام افتتاح حساب در یک وب‌سایت آن‌ها را وارد می‌کند. نام کاربری و رمز عبور از جمله این موارد هستند. این عامل در واقع اطلاعاتی هستند که توسط کاربر ارائه می‌شود.
• عامل دوم: یک عامل اضافی است که مستقل از عامل اول عمل می‌کند و معمولا ماهیت فیزیکی دارد که تلفن همراه، کلید امنیتی یا کارت امنیتی از جمله این موارد هستند. فارغ از دستگاه سخت‌افزاری، عامل فوق، کد یک‌بار مصرفی (OTP) تولید می‌کند که برای تایید هویت استفاده می‌شود.

با استفاده از احراز هویت تطبیقی و ترکیب دو عامل فوق، هرگاه کاربر می‌خواهد وارد یک سیستم یا سرویس شود، علاوه بر ورود اطلاعات هویتی (عامل اول)، باید اطلاعات مربوط به عامل دوم را نیز وارد کند. به عبارت دیگر، فرد باید دو عامل را همزمان ارائه دهد تا هویتش تایید شود. این روش، امنیت بیشتری را در مقابل حملات ناخواسته و دسترسی غیرمجاز ارائه می‌دهد، زیرا حمله‌کننده باید به دو عامل مستقل دسترسی داشته باشد تا بتواند هویت را تایید کند. احراز هویت تطبیقی به‌عنوان یک راه اصلی برای تقویت امنیت حساب‌های آنلاین، سیستم‌های بانکی، سرویس‌های ابری و سایر سیستم‌های حساس استفاده می‌شود.

احراز هویت تطبیقی چگونه کار می‌کند؟

احراز هویت تطبیقی با این هدف انجام می‌شود که اطمینان حاصل شود فردی که در حال استفاده از یک برنامه یا سرویس است، همان فردی است که ادعا می‌کند. توضیح اجمالی احراز هویت تطبیقی به‌شرح زیر است: 

• ثبت‌نام: کاربر باید ابتدا در سرویس یا برنامه‌ای که نیاز به احراز هویت دارد، ثبت‌نام کند. این مرحله شامل ارائه اطلاعات شخصی مانند نام، آدرس ایمیل، شماره تلفن و رمز عبور است.
• ارائه اطلاعات شناسایی: در این مرحله، کاربر ممکن است بخشی از اطلاعات شناسایی خود را مانند شماره تلفن همراه، آدرس ایمیل یا شماره شناسنامه وارد کند.
• تایید اطلاعات: برای احراز هویت، سرویس یا برنامه ممکن است از روش‌های مختلفی برای تایید اطلاعات استفاده کند. به‌عنوان مثال، ارسال یک پیامک یا ایمیل شامل کد تایید به شماره تلفن همراه یا آدرس ایمیل کاربر، از طریق ارتباط با سیستم بانکی برای بررسی شماره حساب و نام صاحب حساب یا استفاده از راهکارهای تشخیص چهره و اثر انگشت برای تایید هویت کاربر از جمله این موارد هستند. 
• تایید دسترسی: پس از تایید هویت کاربر، سرویس یا برنامه به کاربر اجازه دسترسی به منابع و قابلیت‌های خاصی می‌دهد. به‌عنوان مثال، ورود به حساب کاربری، اجازه استفاده از ویژگی‌های اختصاصی یا انجام عملیات مالی.
• مدیریت حریم خصوصی و امنیت: برنامه‌ها و سرویس‌های احراز هویت تطبیقی باید اطلاعات کاربران را با رعایت حریم خصوصی و امنیت مناسب مدیریت کنند. این موضوع شامل استفاده از روش‌های رمزنگاری، محافظت از اطلاعات شخصی و پیروی از استانداردها و قوانین حریم خصوصی است.

مهم است بدانید که سازوکار فناوری فوق ممکن است بین سرویس‌ها و برنامه‌ها متفاوت باشد. برخی سرویس‌ها ممکن است از روش‌های بیشتر و پیچیده‌تری برای احراز هویت استفاده کنند تا بتوانند هویت کاربر را به‌درستی تایید کنند. همچنین، ذکر این نکته ضروری است که احراز هویت تطبیقی یک ابزار قدرتمند است که می‌تواند برای محافظت از سازمان‌ها و کاربران در برابر حملات سایبری استفاده شود. با این حال، بهتر است محدودیت‌های احراز هویت تطبیقی را درک کنید. به‌عنوان مثال، احراز هویت تطبیقی ممکن است فعالیت‌های قانونی را به‌عنوان فعالیت‌های مشکوک شناسایی کند و ممکن است دسترسی کاربران قانونی را مسدود کند. اگر به استفاده از احراز هویت تطبیقی فکر می‌کنید باید این مسائل را به‌دقت بررسی کنید. 

احراز هویت مبتنی بر ریسک و یادگیری ماشین

احراز هویت مبتنی بر ریسک و یادگیری ماشین (Risk-based and Machine Learning-based Authentication) یک روش پیشرفته احراز هویت است که بر اساس تحلیل ریسک و استفاده از الگوریتم‌های یادگیری ماشین عمل می‌کند. در این روش، به‌جای استفاده از روش‌های سنتی و ثابت برای احراز هویت، از مدل‌های هوشمند برای تحلیل الگوهای رفتاری کاربران و بررسی ریسک‌های مرتبط با ورود آن‌ها به سیستم استفاده می‌شود. روش احراز هویت مبتنی بر ریسک و یادگیری ماشین شامل مراحل زیر است:

• جمع‌آوری داده: در این مرحله، اطلاعات مربوط به کاربران و فعالیت‌های‌شان در سیستم جمع‌آوری می‌شود. این اطلاعات می‌تواند شامل الگوهای ورود، زمان‌های ورود، مکان‌های ورود، نوع دستگاه‌ها و سایر ویژگی‌های مرتبط با فعالیت کاربر باشد.
• آموزش مدل: با استفاده از داده‌های جمع‌آوری‌شده، یک مدل یادگیری ماشین آموزش داده می‌شود. این مدل با استفاده از الگوریتم‌های یادگیری ماشین به تحلیل الگوهای رفتاری و شناسایی الگوهای ناهنجار پرداخته و قابلیت تشخیص ریسک ورود کاربران را پیدا می‌کند.
• احراز هویت در زمان واقعی: هنگامی که کاربری سعی در ورود به سیستم دارد، مدل یادگیری ماشین از الگوهای آموزش‌دیده خود برای تحلیل ورود استفاده می‌کند. با توجه به این تحلیل، مدل، ریسک ورود را تعیین می‌کند و تصمیم می‌گیرد که آیا احراز هویت بیشتری نیاز است یا خیر.
• مرحله احراز هویت اضافی: در صورتی که مدل، ریسک ورود به سیستم را زیاد تشخیص دهد و شک بر تایید هویت کاربر کند، مراحل سخت‌گیرانه‌تری را اعمال می‌کند. 

به طور مثال، از کاربر درخواست می‌کند از ایمیل دومی که تعیین کرده یا پاسخ‌گویی به پرسشی که قبلا پاسخ آن‌را برای سیستم ثبت کرده استفاده کند. در این صورت، کاربر باید اطلاعات هویتی خود را (عامل اول) به‌همراه اطلاعات مرتبط با عامل دوم (مانند کد یک‌بار مصرف) ارائه دهد.

نکاتی که هنگام استفاده از احراز هویت تطبیقی باید به آن دقت کنید

هنگامی که قصد دارید از احراز هویت تطبیقی در سازمانی را دارید مهم است به نکات زیر دقت کنید:

• سطح امنیت مورد نیاز: سازمان‌ها باید تهدیدها و ریسک‌های امنیتی خود را ارزیابی کنند و سطح امنیت مورد نیاز را تعیین کنند. اگر سازمان با داده‌ها و اطلاعات حساس کار می‌کند یا در تجارتی فعالیت می‌کند که احتیاج به حفاظت از حریم خصوصی دارند، احراز هویت تطبیقی ضروری است. 
• سهولت در استفاده: سازمان‌ها باید نیازها و تجربه کاربری کارمندان را در نظر بگیرند. استفاده از احراز هویت تطبیقی ممکن است مراحل بیشتری را برای ورود به سیستم اضافه کند و برخی کاربران ممکن است این روش را سخت یا زمان‌بر ببینند. بنابراین، سازمان‌ها باید توازنی بین امنیت و راحتی کاربران خود بیابند.
• فناوری موجود: سازمان‌ها باید راهکارهای پیاده‌سازی و مدیریت احراز هویت تطبیقی را به‌خوبی بشناسند. این موضوع شامل فناوری‌هایی می‌شود که برای تایید هویت دوم استفاده می‌شود، مانند کدهای یک‌بار مصرف ارسال‌شده از طریق پیامک یا اپلیکیشن‌های موبایل، تجهیزات تایید هویت و غیره. 

چرا سازمان‌ها باید از احراز هویت تطبیقی استفاده کنند؟

همان‌گونه که اشاره شد، احراز هویت تطبیقی، یک روش احراز هویت پیشرفته است که برای افزایش امنیت و جلوگیری از دسترسی غیرمجاز به حساب‌ها و سیستم‌ها استفاده می‌شود. در این روش، به‌جای استفاده تنها از یک عامل احراز هویت مانند نام کاربری و رمز عبور، دو عامل مستقل و متمایز برای احراز هویت استفاده می‌شود. دلایل استفاده از احراز هویت تطبیقی توسط سازمان‌ها به‌شرح زیر است:

• افزایش امنیت: با استفاده از دو عامل برای احراز هویت، امنیت حساب کاربری به‌شکل قابل توجهی افزایش می‌یابد. حملاتی که تنها با داشتن نام کاربری و رمز عبور ممکن بود، با وجود عامل دوم بسیار دشوارتر می‌شوند. در صورتی که رمز عبور کاربر در دسترس هکر قرار گرفته باشد، برای ورود به حساب کاربری به عامل دوم نیاز است که احتمال دسترسی غیرمجاز را کم می‌کند. 
• پیشگیری از حمله به محیط‌های تولیدی و اجرایی: برخی از حملات معمولا بر روی محیط‌های تولیدی متمرکز هستند و سعی در بهره‌برداری از آسیب‌پذیری‌های احتمالی در این محیط‌ها دارند. با استفاده از احراز هویت تطبیقی، اگر حمله‌کننده موفق به سرقت رمز عبور یک کاربر شود، برای دسترسی به حساب کاربری نیاز به دسترسی به عامل دوم دارد که این امر می‌تواند ضریب موفقیت حمله را کاهش دهد.
• محافظت در برابر حملات فیشینگ: حملات فیشینگ یک روش متداول برای گمراه کردن کاربران و سرقت اطلاعات حساب کاربری هستند. با استفاده از احراز هویت تطبیقی، اگر کاربر به اشتباه اطلاعات حساب خود را به یک سایت فیشینگی ارائه دهد، حمله‌کننده نمی‌تواند به‌راحتی و با استفاده از این اطلاعات به حساب کاربری دسترسی پیدا کند، زیرا علاوه بر نام کاربری و رمز عبور، عامل دوم (مانند کد یک‌بار مصرف) نیز لازم است که حمله‌کننده در اختیار ندارد. 
• رفع نقاط ضعف رمز عبور: استفاده از رمزهای عبور قوی بسیار مهم است، اما بسیاری از کاربران به دلایل مختلف ممکن است از رمزهای ضعیف یا قابل حدس زدن استفاده کنند. با احراز هویت تطبیقی، اگر رمز عبور ضعیفی استفاده شود، با اضافه کردن عامل دوم، امنیت حساب کاربری بهبود می‌یابد.
• الزامات قانونی و تنظیمات صنعتی: برخی از صنایع و حوزه‌ها از سازمان‌ها و شرکت‌ها می‌خواهند برای حفظ امنیت و رفع خطرات احتمالی از روش‌های پیشرفته احراز هویت مانند احراز هویت تطبیقی استفاده کنند. این موضوع ممکن است به‌دلیل محرمانگی اطلاعات حساس، محافظت از اطلاعات مشتریان یا الزامات قانونی مربوط به حفظ حریم خصوصی باشد.

روش Single Sign-On  چیست؟

برخی سازمان‌های ترجیح می‌دهند به‌جای روش احراز هویت تطبیقی از روش دیگری که SSO نام دارد استفاده کنند. روش SSO سرنام Single Sign-On یک روش احراز هویت است که به کاربران اجازه می‌دهد با یک بار ورود به سیستم، به چند سیستم و برنامه مختلف بدون نیاز به وارد کردن مجدد اطلاعات احراز هویت دسترسی پیدا کنند. در این روش، با یک‌ بار ورود موفق به تمام سیستم‌هایی که همگی به یک مکانیزم احراز هویتی متصل هستند، دسترسی به سایر سرویس‌ها و برنامه‌ها فراهم می‌شود. 

به عبارت دیگر، با یک بار ورود موفق، کاربر مجوزها و اطلاعات احراز هویت خود را برای تمامی سیستم‌ها به‌اشتراک می‌گذارد. این موضوع باعث سهولت استفاده، افزایش بهره‌وری، کاهش زمان و تلاش مورد نیاز برای مدیریت احراز هویت می‌شود. همچنین، SSO می‌تواند امنیت را بهبود بخشد، زیرا کاربران نیازی به وارد کردن و مدیریت چند نام کاربری و رمز عبور ندارند که ممکن است ضعیف یا تکراری باشد.

برای پیاده‌سازی SSO، پروتکل‌های استانداردی مانند SAML سرنام Security Assertion Markup LanguageOAuth و OpenID Connect استفاده می‌شوند. این پروتکل‌ها به کاربران امکان می‌دهند اطلاعات احراز هویت خود را بین سیستم‌های مختلف به‌اشتراک بگذارند. در این روش، یک سرویس احراز هویت مرکزی (Identity Provider) مسئول تایید هویت کاربران است و سیستم‌ها و برنامه‌های مختلف از این سرویس استفاده می‌کنند تا احراز هویت را انجام دهند. 

کلام آخر 

احراز هویت تطبیقی، کار هکرها برای سرقت و دسترسی به حساب‌های کاربری را بیش‌ازاندازه سخت و در برخی موارد، غیرممکن می‌کند. در احراز هویت تطبیقی، مدیران شبکه و امنیت از روش‌های متنوعی برای شناسایی کاربران استفاده می‌کنند و تصمیم می‌گیرند چه سطحی از احراز هویت را بر اساس شرایط و ریسک مربوطه مورد استفاده قرار دهند. در آینده، احراز هویت تطبیقی دقیق‌تر و شخصی‌تر خواهد شد. برخی از تکنولوژی‌ها و رویکردهای کلیدی که می‌توانند بر آینده احراز هویت تطبیقی تاثیرگذار باشند به‌شرح زیر هستند: 

• تجمیع داده‌ها: استفاده از رویکرد تجمیع داده‌ها و تنوع بیشتر منابع اطلاعاتی برای تصمیم‌گیری در مورد احراز هویت شامل داده‌هایی مانند اطلاعات دستگاه، موقعیت جغرافیایی، الگوهای رفتاری و سابقه فعالیت کاربران خواهند بود. البته، این تکنیک تا حدودی در برخی از مکانیزم‌های احراز هویت تطبیقی امروزی مورد استفاده قرار می‌گیرد. 
• هوش مصنوعی و یادگیری ماشین: استفاده از الگوریتم‌های هوش مصنوعی و یادگیری ماشین برای تحلیل داده‌ها و شناسایی الگوهای ناهنجار در رفتار کاربران امکان تشخیص هویت کاربران را در زمان واقعی و با دقت بالا به‌وجود می‌آورد. 
• تجربه کاربری بهبودیافته: تمرکز بر ایجاد تجربه کاربری بهتر در فرآیند احراز هویت تطبیقی شامل استفاده از روش‌های تشخیص خودکار و شفافیت بیشتر در مورد دلایل احراز هویت و اقدامات امنیتی است.
• احراز هویت چند عاملی: استفاده از ترکیبی از روش‌های احراز هویت مانند رمز عبور، اثر انگشت، تشخیص چهره یا تشخیص اثر صوتی برای افزایش امنیت و قابلیت اطمینان که امروزه ترکیب فوق در برخی از فناوری‌ها و محصولات رده‌بالای فناوری مثل گوشی‌های هوشمند مورد استفاده قرار می‌گیرد. 
• احراز هویت مبتنی بر بلاک‌چین: استفاده از فناوری زنجیره بلوکی برای احراز هویت و ثبت تراکنش‌های احراز هویت می‌تواند امنیت را تقویت کرده و اطمینان بیشتری در قبال اصالت و صحت اطلاعات احراز هویت فراهم کند.

هرچند که احراز هویت تطبیقی باعث بهبود امنیت می‌شود، اما چالش‌هایی نیز دارد. به‌عنوان مثال، تعادل بین امنیت و تجربه کاربری لازم است. در حالی که احراز هویت دقیق‌تر و پیچیده‌تر می‌تواند امنیت را افزایش دهد، اما ممکن است منجر به افزایش مراحل و زمان مورد نیاز برای ورود کاربران شود و تجربه کاربری را کاهش دهد. با این‌حال، آینده احراز هویت تطبیقی به سمت بهبود امنیت، استفاده از فناوری‌های هوشمندتر و افزایش تجربه کاربری مناسب در فرآیند احراز هویت، حرکت خواهد کرد.