Zero Trust เริ่มต้นที่การยืนยันอุปกรณ์

สถาปัตยกรรม zero trust สร้างขึ้นบนหลักการง่าย ๆ คือ อย่าเชื่อ ให้ตรวจสอบเสมอ แต่การนำไปใช้ส่วนใหญ่มุ่งเน้นการยืนยันตัวผู้ใช้ ทั้งตัวตน สิทธิ์ และปัจจัยการยืนยันตัวตน โดยละเลยอุปกรณ์ที่พวกเขากำลังใช้ นี่ก็เหมือนกับการตรวจบัตรประชาชนที่หน้าประตูแต่ไม่สังเกตว่าคนนั้นมาด้วยรถที่ขโมยมา

จุดบอดเรื่องอุปกรณ์

ลองพิจารณาระบบ zero-trust ทั่วไป ผู้ใช้ยืนยันตัวตนด้วยข้อมูลรับรอง ทำ MFA จนเสร็จ และได้รับ session token ระบบยืนยันว่าเขาเป็นใคร แต่ไม่ยืนยันว่าเขากำลังใช้อะไร ถ้าผู้โจมตีขโมย session token แล้วนำมา replay จากอุปกรณ์อื่น ระบบส่วนใหญ่จะยอมรับมัน ถ้าอุปกรณ์ของผู้ใช้ที่ถูกต้องถูกบุกรุกและกำลังรันการโจมตีแบบ man-in-the-browser ระบบก็ไม่สามารถตรวจจับได้ เพราะไม่เคยยืนยันตัวอุปกรณ์เลย

การยืนยันอุปกรณ์เข้ามาเติมเต็มช่องว่างนี้ ด้วยการสร้าง device fingerprint ที่คงอยู่ต่อเนื่องสำหรับทุก session คุณสามารถตรวจจับได้เมื่อ session token ย้ายไปยังอุปกรณ์อื่น เมื่อผู้ใช้ที่รู้จักปรากฏบนอุปกรณ์แปลกหน้า หรือเมื่ออุปกรณ์แสดงลักษณะที่เชื่อมโยงกับการถูกบุกรุก (การใช้ VPN โหมด incognito การดัดแปลงเบราว์เซอร์)

การให้คะแนนความน่าเชื่อถือของอุปกรณ์

ไม่ใช่ทุกอุปกรณ์จะสมควรได้รับความไว้วางใจในระดับเดียวกัน อุปกรณ์ที่เคยเห็นมาก่อน มีลักษณะที่สอดคล้องกัน เข้าถึงจากตำแหน่งที่คุ้นเคย สมควรได้รับความไว้วางใจสูง ส่วนอุปกรณ์ที่เพิ่งเจอ รันผ่าน VPN มีเบราว์เซอร์แบบ incognito และมีสัญญาณของ automation สมควรได้รับความไว้วางใจต่ำมาก

การวิเคราะห์ Smart Signals ของเราสร้างคะแนนความน่าเชื่อถือของอุปกรณ์ที่ครอบคลุม โดยพิจารณาความเสถียรของฮาร์ดแวร์ (เคยเห็น device fingerprint นี้มาก่อนหรือไม่?) สัญญาณสภาพแวดล้อม (VPN, proxy, Tor, โหมด incognito) ตัวบ่งชี้การดัดแปลง (user agent ปลอม canvas ที่ถูกแก้ไข WebGL ที่ไม่สอดคล้องกัน) และรูปแบบพฤติกรรม (ความเร็วในการส่ง request รูปแบบการนำทาง จังหวะการโต้ตอบ)

Step-Up Authentication

คะแนนความน่าเชื่อถือของอุปกรณ์ช่วยให้ทำ step-up authentication แบบไดนามิกได้ แทนที่จะต้องใช้ปัจจัยการยืนยันตัวตนชุดเดียวกันสำหรับทุกการเข้าถึง คุณสามารถปรับข้อกำหนดตามโปรไฟล์ความเสี่ยงของอุปกรณ์ได้

ความเสี่ยงต่ำ (อุปกรณ์ที่รู้จัก ตำแหน่งที่คุ้นเคย ไม่มีความผิดปกติ): อนุญาตให้ล็อกอินด้วยรหัสผ่านอย่างเดียวพร้อม session ที่ยาวนาน ความเสี่ยงปานกลาง (อุปกรณ์ใหม่ ตำแหน่งที่คุ้นเคย): กำหนดให้ทำ MFA ความเสี่ยงสูง (อุปกรณ์ใหม่ VPN incognito ความเร็วสูง): กำหนดให้ทำ MFA บวกกับการยืนยันเพิ่มเติม (การยืนยันทางอีเมล คำถามด้านความปลอดภัย) ความเสี่ยงวิกฤต (ตัวบ่งชี้บอต ตรวจพบการดัดแปลง): บล็อก request นั้นทั้งหมด

แนวทางนี้ช่วยเพิ่มความปลอดภัยโดยไม่ทำให้ประสบการณ์ผู้ใช้แย่ลง ผู้ใช้ที่ถูกต้องบนอุปกรณ์ประจำของตนผ่านการยืนยันตัวตนได้อย่างลื่นไหล ในขณะที่ session ที่น่าสงสัยจะเจอกับความยุ่งยากในระดับที่เหมาะสม

การเฝ้าติดตามอุปกรณ์อย่างต่อเนื่อง

Zero trust ไม่ใช่การตรวจที่ด่านเพียงครั้งเดียว แต่เป็นการยืนยันอย่างต่อเนื่อง ระบบของเราเฝ้าติดตามลักษณะของอุปกรณ์ตลอดทั้ง session ไม่ใช่แค่ตอนล็อกอิน ถ้า session ที่เริ่มบนอุปกรณ์ที่ถูกต้องถูกโอนไปยังอุปกรณ์อื่นกลาง session ด้วยเหตุใดก็ตาม (บ่งชี้การขโมย token) เราจะตรวจจับการเปลี่ยนแปลงนั้นได้ทันที

เรายังเฝ้าติดตามการเปลี่ยนแปลงลักษณะของอุปกรณ์ที่อาจบ่งชี้การถูกบุกรุก เช่น การสลับไปใช้ VPN อย่างกะทันหัน การเปิด developer tools ของเบราว์เซอร์ หรือการปรากฏของร่องรอยจาก automation framework การเปลี่ยนแปลงกลาง session เหล่านี้จะกระตุ้นการแจ้งเตือนและสามารถยกระดับความเสี่ยงของ session ได้โดยอัตโนมัติ

การนำไปใช้งาน

การผสาน device verification เข้ากับสถาปัตยกรรม zero-trust ทำได้ตรงไปตรงมาด้วย tracio.ai เพิ่ม JavaScript agent ของเราลงในหน้าการยืนยันตัวตนและหน้าแอปพลิเคชันสำคัญของคุณ ในฝั่ง server ให้ตรวจ device fingerprint และคะแนนความน่าเชื่อถือเมื่อตรวจสอบ session token ใช้คะแนนความน่าเชื่อถือขับเคลื่อนการตัดสินใจเรื่อง step-up authentication

สำหรับทีมส่วนใหญ่ การผสานใช้เวลาน้อยกว่าหนึ่งวัน JavaScript agent เพิ่ม latency น้อยกว่า 50ms API ฝั่ง server ส่งคืน device intelligence ในเวลาไม่ถึง 10ms ผลลัพธ์คือการนำ zero-trust ไปใช้ที่ยืนยันทั้งตัวผู้ใช้และอุปกรณ์อย่างแท้จริง