在智能手機、平板電腦、筆記本電腦和臺式電腦上實施有效的身份驗證。

　　身份驗證是在授權訪問設備或服務之前驗證用戶或設備身份的過程。

　　在每種情況下，可用的身份驗證方法將取決于正在訪問的服務和來自什么類型的設備。每種身份驗證方法都有自己的優點和缺點。

　　作為一個組織，重要的是實施身份驗證步驟，以平衡設備和服務的可用性和安全性。本文將介紹一系列不同的用例和可用的常見身份驗證方法，重點介紹安全優勢和安全風險。將幫助為組織的設備設計和部署有效的身份驗證策略。

　　為什么要認證？

　　在智能手機、平板電腦、筆記本電腦和臺式機上，用戶身份驗證是防止未經授權訪問設備及其上存儲的數據的主要方法。還在防止對設備設置進行未經授權的更改方面發揮著重要作用。

　　鑒于大多數企業服務將通過設備訪問，重要的是：

　　驗證設備用戶的身份。將確保只有那些有權訪問的人才能獲得授權。

　　如果服務包含敏感的數據，則還應驗證設備的身份和健康狀況。這允許阻止不符合企業策略的設備訪問服務。

　　攻擊者總是會瞄準身份驗證系統中的弱點。許多常見的攻擊尋找簡單的方法來猜測或竊取用戶或設備憑據。

　　使用這些憑據，攻擊者可以冒充有效用戶和設備，訪問存儲在設備上的數據，并連接遠程企業服務。他們還將利用這一立足點進一步滲透到企業網絡中。

　　考慮到這些潛在的后果，很明顯，實施有效的身份驗證對于希望防止賬戶、設備或網絡受損的組織至關重要。

　　為有效認證做準備

　　首先，需要考慮要保護的資產的風險、它們持有的數據以及面臨的身份驗證用例。在授予對系統和服務的訪問權限之前，此信息將允許用戶制定適當的策略來驗證用戶和設備。

　　對于每個身份驗證用例，應該考慮可用身份驗證方法的可用性和安全性。

　　身份驗證用例

　　要考慮的主要用例是：

　　用戶到設備

　　用戶只有在成功通過身份驗證后才被授予對設備的訪問權限。

　　用戶服務

　　用戶只有在成功通過他們的設備對服務進行身份驗證后才能訪問企業服務。

　　服務設備

　　只有可以向企業進行身份驗證的設備才被授予訪問權限。

　　對于上述每個用例，在決定適當的身份驗證機制時，重要的是要考慮哪些可用的身份驗證機制最適合使用，同時考慮安全性和可用性。

　　用戶到設備

　　在用戶到設備 身份驗證的情況下 ，常見的身份驗證方法包括：

　　身份驗證方法考慮

　　密碼或 PIN在智能手機、平板電腦、筆記本電腦和臺式機上，密碼或 PIN 通常是用戶到設備身份驗證的主要方法。但仍然面臨被猜測或被暴力逼迫的風險。但是，大多數設備都包含增強用戶對設備密碼或 PIN 以抵御離線暴力攻擊的技術，從而限制攻擊者重復猜測密碼或 PIN 的能力。除了這些保護措施之外，如果 PIN 或密碼僅用于對設備進行身份驗證，那么只有當攻擊者可以物理訪問設備時，它才有用。

　　生物識別

　　許多智能手機、平板電腦、筆記本電腦和臺式機現在也具有指紋和面部識別等生物識別身份驗證功能，可以提供方便和安全的密碼替代方法。生物識別技術在其產生的誤報率和否定率以及檢測欺騙性生物識別技術的能力方面可能會有所不同。

　　用戶到服務/設備到服務

　　在用戶到服務認證和設備到服務認證的情況下，常見的認證方法包括

　　身份驗證方法考慮

　　密碼由于密碼相對容易實現，這仍然是目前用于用戶身份驗證的最常用方法。不過，密碼確實存在一些主要弱點。要求用戶記住和管理大量密碼通常會導致密碼重復使用，以及使用常見密碼 ，會使服務容易受到密碼噴射攻擊或暴力破解。還容易受到網絡釣魚、魚叉式網絡釣魚和服務器端憑據盜竊的攻擊，最近的許多數據泄露事件都證明了這一點 。有關于密碼的廣泛建議，包括密碼拒絕列表、設置密碼策略對于組織，以及如何選擇適當安全的密碼，用戶應該會發現更容易實施。

　　證書

　　是包含私鑰和簽名公鑰的長期憑證。需要訪問私鑰才能對其他服務進行身份驗證，并可用于對設備或服務的用戶進行身份驗證。

　　應保護私鑰免受惡意軟件的訪問（通過沙盒或其他訪問控制機制，包括將其標記為不可導出）。私鑰也應該通過設備的靜態數據加密來防止硬件提取，或者如果不能以其他方式保護，則使用強加密密碼。

　　FIDO 2 驗證器

　　FIDO2 是一套標準，使用公鑰憑據和協議提供加密身份驗證，以提供更安全的密碼替代方法來訪問在線服務。它還降低了許多與密碼相關的安全風險，包括網絡釣魚、憑據盜竊和重放攻擊。

　　FIDO2 身份驗證器可以是智能手機、硬件安全密鑰或 PC 或筆記本電腦上的可信平臺模塊 （TPM）。身份驗證器可以使用本地 PIN 或生物識別技術支持用戶到設備的驗證。這意味著只有在用戶驗證首先成功的情況下才能訪問存儲的密鑰以對在線服務進行身份驗證。一些身份驗證器使用硬件保護的加密存儲和反錘子進一步保護存儲的密鑰，以防止對本地用戶驗證的暴力攻擊。

　　Windows Hello 和運行Android 7+ 的設備  是 FIDO2 認證平臺身份驗證器的示例。還有越來越多的支持 FIDO2 的硬件安全密鑰生態系統，例如 Yubikeys 或 Google Titan 密鑰。

　　例如，在企業場景中，  Windows Hello 企業版 已經使用了 FIDO2。需要使用 PIN 或生物識別（您知道/是的東西）進行用戶到設備的身份驗證，這允許訪問基于公鑰的憑據，綁定到設備的TPM（您擁有的東西）。允許用戶對 Windows Active Directory 或 Azure Active Directory 進行身份驗證，并獲得對企業服務的訪問權限。 Google 賬戶現在還支持外部安全密鑰和 Android 設備上的內置身份驗證器，作為對 Google 賬戶進行身份驗證時的第二個因素。

　　服務的單因素與多因素身份驗證

　　任何身份驗證機制的安全性都取決于所選的具體實施和因素組合。

　　在某些情況下，使用單個因素可能是合適的。例如，在用戶到設備身份驗證的情況下，在考慮到諸如暴力保護或硬件保護存儲等緩解措施時，使用單一因素對設備進行身份驗證可能就足夠了，這些措施可在當今許多設備上使用。

　　但是，對于服務級別身份驗證，在單個身份驗證因素無法提供適當安全級別的情況下， 多因素身份驗證 （MFA） 可以顯著增強安全性。

　　內置設備身份驗證機制可以擴展為直接與選擇的身份提供商集成，以使用綁定到設備的基于公鑰的憑據提供無密碼和多因素身份驗證，通常可以提供可用性和安全性的最佳平衡。Windows Hello 企業版就是一個很好的例子 。在用戶擁有不止一臺設備的情況下，使用 FIDO2 安全密鑰可能會提供類似的好處。但是，需要在設備上并與身份提供者一起調查對此的支持。

　　某些企業身份驗證服務還可以與移動設備管理 （MDM）集成 ，以在授予對企業服務的訪問權限之前考慮環境因素，例如網絡位置、設備合規性和設備健康證明。這種類型的條件訪問在零信任網絡架構或自帶設備 （BYOD） 場景中非常有用 。

　　單點登錄服務

　　企業單點登錄可用于使用通過選擇的身份提供商管理的單一身份源登錄在線服務。這可以通過減少需要進行身份驗證的次數和減少對密碼的依賴來顯著改善用戶體驗。它還使管理加入者、移動者和離開者變得更加簡單且不易出錯。

　　記錄和監控

　　除了身份驗證機制外， 還應設置適當的日志記錄，以監控身份驗證以及對設備和服務的訪問。對身份驗證系統的攻擊是用戶將面臨的最普遍的攻擊之一，因此將這些事件捕獲到審計日志中是一種檢測潛在問題的高效方法。

　　如何有效地進行身份驗證

　　在設計和實施企業身份驗證時，應該：

　　選擇支持對用戶和組織使用的設備進行多重身份驗證的企業身份提供商。使用身份提供者配置在線服務以使用單點登錄身份驗證。

　　根據上述注意事項選擇可最大限度提高可用性并提供適當安全性的身份驗證因素，并確保在選擇在組織中使用的設備時所使用的設備支持這些因素。

　　為用戶提供明確的認證政策和指導。

　　實施實用的用戶到設備身份驗證策略，包括使用生物識別和可用密碼策略。

　　在可能的情況下，減少對密碼的依賴并實施無密碼身份驗證，例如Windows Hello。

　　在訪問服務需要密碼的情況下，鼓勵使用密碼管理器。

　　對于機器身份驗證，部署使用基于硬件保護的公鑰的唯一綁定到設備的憑據的機制。在可能的情況下，考慮將其與其他上下文相結合（例如，在 Windows 上，可以使用網絡位置、設備合規性和設備健康證明）。

　　部署企業單點登錄以訪問服務。將此與強大的用戶和設備身份驗證相結合，使用多因素身份驗證或條件訪問。

　　對身份驗證成功和失敗實施適當的日志記錄和監控。