Смартфоны и планшеты способны на многое: от обеспечения доступа к веб-приложениям и проверки электронной почты до работы с файлами. И пока одни ИТ-специалисты в массовом применении мобильных устройств в организациях видят первостепенный риск с точки зрения безопасности, другие используют их распространенность для того, чтобы внедрять средства аутентификации и управления личными данными на основе мобильных технологий.

“Принимая во внимание, что большинство сотрудников всегда имеют при себе мобильные телефоны, весьма логично использовать эти устройства для внедрения мер безопасности внутри предприятия”, — считает Дейв Мади, старший менеджер по маркетингу в компании Entrust, которая занимается разработкой средств аутентификации на основе мобильных технологий.

Именно такую работу проделали студенты Аризонского университета в ходе недавнего тестирования программы, в которой они использовали смартфоны как дубликат ключа от комнаты в общежитии.

“Это было первое испытание физического доступа на территории университетского кампуса”, — заявил Джереми Хайатт, директор по корпоративным коммуникациям в компании HID Global, которая руководила тестированием и является поставщиком технологии Sun Cards (карточных пропусков на территорию кампуса для студентов и сотрудников). Данная программа — “взаимовыгодная идея”, ставшая результатом совместной работы HID Global и Лоры Плау, директора университета по бизнес-приложениям и налоговому контролю в отделе бизнес-услуг.

В разговоре об этой перспективной технологии Плау хотела выяснить, можно ли её адаптировать для кампуса. “Увидев, как эту технологию используют в других приложениях, я сразу поняла, какие преимущества она может принести кампусу”, — отметила г-жа Плау.

Более месяца группа из 27 студентов и пяти сотрудников университета шт. Аризона пользовались смартфонами, на которые был установлен чип ближней бесконтактной связи (NFC) для входа в некоторые жилые помещения и комнаты обитателей общежития. Чтобы открыть дверные замки, нужно было приблизить смартфон к считывателю на двери, как это делается при использовании обычных карточек. Кроме того, для входа в комнату участники тестирования должны были ввести дополнительный PIN-код, подтверждающий личность.

“Мы пока не предвидим полного исчезновения физических пропусков, но предполагаем, что уже в течение нынешнего года доступ на основе мобильных телефонов станет очень популярным”, — говорит Хайатт.

По утверждению представителей HID Global, просмотревшей первые отзывы участников, 80% из них заявили, что открывать дверь при помощи смартфона было так же удобно, как и карточкой. Около 90% сказали, что хотели бы использовать смартфон для того, чтоб открывать все двери в кампусе. И почти все с удовольствием использовали бы смартфон для других подобных целей, например для доступа в студенческий рекреационный центр или для оплаты обеда в столовой.

“Этот совместный проект с HID Global доказал, что распространенные устройства могут объединять в себе возможности безопасной идентификации и обеспечения физического доступа”, — подчеркнула Плау. А ещё 86% респондентов сообщили о том, что другие студенты спрашивали, могут ли они получить такой же телефон, охарактеризовав технологию как “крутую”. Однако Хайатт признал, что в данный момент университет не планирует развивать проект за пределами тестирования.

HID Global наметила в течение 2012 г. осуществить аналогичные проекты в других университетах, государственных организациях и на предприятиях корпоративного сегмента.

Опознавание мобильных устройств

Технология ближней бесконтактной связи (NFC) уже применяется для мобильных платежей в таких инициативах, как Google Wallet, но есть и приложения для обеспечения безопасности, которые могут использовать возможности аутентификации на основе аппаратных средств, считает глава компании Wave Systems Стивен Спраг. Аналогично чипу Trusted Computing Module, определяющему ПК как “известное устройство”, чип даст корпоративным системам возможность опознавать мобильные устройства в сети, добавил он. Это будет существенный шаг по сравнению с нынешней ситуацией, когда ИТ-отделы даже не знают, что за устройства подключены в сеть.

Как считает Мади, по дороге на работу люди, даже вспомнив, что оставили дома пропуск или ключи от кабинета, все равно идут дальше. Но если они забыли телефон, то, как правило, возвращаются за ним. Многие участники испытаний в Аризонском университете согласны с ним, утверждая, что сами они часто выходят из комнаты, забыв ключи или карточные пропуска, но никогда не забывают телефоны.

Мобильный телефон, как гласит всеобщее мнение, — самое личное и незаменимое устройство, которое носят практически все демографические группы, пишет в последнем исследовании Дерек Бринк, вице-президент и аналитик в сфере ИТ-безопасности и управления технологиями, управления рисками и соответствия требованиям в Aberdeen Group.

Грань стирается

Недавнее исследование Ассоциации аудита и контроля информационных систем показало, что грань между корпоративными и персональными устройствами стирается. Из опрошенных сотрудников в возрасте от 18 до 34 лет Две трети признали, что используют персональное мобильное устройство для работы.

“Предприятия активно пересматривают свои стратегии для аутентификации конечных пользователей более надежными методами, чем ввод логина и пароля”, — утверждает Бринк, подчеркнув также, что к подходам на основе мобильного телефона сейчас наблюдается высокий интерес.

Типичный сотрудник использует множество удостоверений в течение всего дня, включая пропуск в здание, логин для доступа в компьютер и сеть, коды и пароли для доступа к сервисам типа salesforce.com и электронной почты, продолжает Мади из Entrust. Использование мобильного телефона для доступа может положить конец всяческим логинам и паролям. ИТ-отделы могут предоставлять доступ к любому приложению на основе того, что система распознает владельца мобильного телефона.

Принадлежащий Symantec сервис Verisign предоставляет услугу аутентификации, когда система посылает на мобильный телефон одноразовый пароль, который можно использовать для доступа к корпоративным приложениям. Сервис опознания и защиты удостоверений личности (Validation and ID Protection — VIP) позволяет предприятиям распознать устройство и удостовериться, что вы — это вы, поясняет Брендон Вильсон, старший менеджер по маркетингу продукции для аутентификации пользователей в Symantec.

Аутентификация VIP совмещает в себе то, что пользователь знает (например, логин и пароль), и то, что он имеет при себе (карточку, токен или мобильный телефон), утверждает Вильсон. Кроме того, сервис анализирует историю действий пользователя — время, когда он обычно регистрируется в системе, или конфигурацию устройства, чтобы подтвердить легитимность запроса.

Некоторые веб-сервисы предоставляют пользователям возможность напрямую зарегистрировать устройство, чтобы через них входить в онлайн-аккаунты. Решение VIP Access для мобильного телефона уже доступно для ряда компаний, включая PayPal, GEICO и eBay, утверждают в Symantec.

Производитель решений для аутентификации PhoneFactor вместо единоразовых паролей использует мобильное устройство для подтверждения транзакции, осуществляемой на ПК. Такое требование может быть в форме телефонного звонка, SMS-сообщения или приложения для устройств на основе iOS, заявляет Сара Фендер, вице-президент по маркетингу и развитию продукции. Сейчас компания работает над приложением для Android, выход которого скоро состоится.

Когда пользователь начинает процесс входа в приложение или в систему онлайн-банкинга на ПК, на мобильное устройство через приложение поступает запрос с описанием транзакции. Чтобы продолжить действия на ПК, нужно нажать на кнопку авторизации в приложении.

Администраторы могут добавить еще один слой безопасности, требуя PIN-код, чтобы разблокировать приложения, прежде чем авторизировать транзакцию, подчеркивает Фендер.

Она говорит о том, что единоразовые пароли могут стать проблемой, поскольку их легко могут использовать хакеры для взлома. Благодаря PhoneFactor как запрос на авторизацию, так и сама авторизация происходят вне потенциально подверженного атаке компьютера.

По мнению Мади из Entrust, вместо того, чтобы вкладывать средства и силы в производство карточных пропусков или токенов, предприятия могут сэкономить, воспользовавшись устройствами, которые уже есть у всех сотрудников. Организации могут подняться на волне консьюмеризации и внедрить системы безопасности на основе конечных устройств, считает Мади, добавляя: “Это действительно поможет решить некоторые существующие в наше время проблемы безопасности”.

Статистика тестирования в университете шт. Аризона

Участники: 27 учащихся и 5 сотрудников

Признают, что с помощью смартфона открывать дверь было так же легко, как и карточкой: 80%

Хотят использовать смартфон в кампусе для других целей: 90%

Сообщают, что другие люди считают эту технологию “крутой”: 86%