Microsoft y los proveedores de la nube se mueven para prohibir la autenticación básica

Microsoft y los principales proveedores de la nube están comenzando a tomar medidas para llevar a sus clientes comerciales hacia formas de autenticación más seguras y la eliminación de las debilidades básicas de seguridad, como el uso de nombres de usuario y contraseñas en canales no cifrados para acceder a los servicios de la nube.

Microsoft, por ejemplo, eliminará la capacidad de usar autenticación básica para su servicio Exchange Online a partir del 1 de octubre, lo que requerirá que sus clientes usen autenticación basada en token en su lugar. Mientras tanto, Google inscribió automáticamente a 150 millones de personas en su proceso de verificación de dos pasos, y el proveedor de la nube en línea Rackspace planea desactivar los protocolos de correo electrónico de texto claro para fin de año.

Los plazos son una advertencia para las empresas de que los esfuerzos para asegurar su acceso a los servicios en la nube ya no se pueden posponer, dice Pieter Arntz, investigador de inteligencia de malware en Malwarebytes, quien escribió una publicación de blog reciente destacando la próxima fecha límite para los usuarios de Microsoft Exchange Online.

“Creo que el equilibrio se está desplazando hasta el punto en que sienten que pueden convencer a los usuarios de que la seguridad adicional es lo mejor para ellos, mientras intentan ofrecer soluciones que aún son relativamente fáciles de usar”, dice. “Microsoft a menudo marca tendencias y anunció estos planes hace años, pero aún encontrará organizaciones rezagadas y luchando para tomar las medidas apropiadas”.

Infracciones relacionadas con la identidad en aumento

Si bien algunas empresas conscientes de la seguridad han tomado la iniciativa de asegurar el acceso a los servicios en la nube, otras deben ser presionadas, algo que los proveedores de la nube, como microsoft, están cada vez más dispuestos a hacerlo, especialmente a medida que las empresas se enfrentan a más infracciones relacionadas con la identidad. En 2022, el 84% de las empresas sufrieron una violación relacionada con la identidad, frente al 79% en los dos años anteriores, según el Alianza de seguridad definida por identidadInforme "Tendencias 2022 en la protección de identidades digitales" de 's.

Desactivar las formas básicas de autenticación es una forma sencilla de bloquear a los atacantes, que utilizan cada vez más el relleno de credenciales y otros intentos de acceso masivo como primer paso para comprometer a las víctimas. Las empresas con autenticación débil quedan expuestas a ataques de fuerza bruta, abuso de contraseñas reutilizadas, credenciales robadas a través de phishing y sesiones secuestradas.

Y una vez que los atacantes obtienen acceso a los servicios de correo electrónico corporativo, pueden filtrar información confidencial o realizar ataques dañinos, como el compromiso de correo electrónico comercial (BEC) y los ataques de ransomware, dice Igal Gofman, jefe de investigación de Ermetic, un proveedor de seguridad de identidad para la nube. servicios.

“El uso de protocolos de autenticación débiles, especialmente en la nube, puede ser muy peligroso y provocar grandes filtraciones de datos”, dice. “Los estados-nación y los ciberdelincuentes abusan constantemente de protocolos de autenticación débiles mediante la ejecución de una variedad de diferentes ataques de fuerza bruta contra los servicios en la nube”.

Los beneficios de reforzar la seguridad de la autenticación pueden tener beneficios inmediatos. Google descubrió que la inscripción automática de personas en su proceso de verificación de dos pasos resultó en una disminución del 50% en compromisos de cuenta. Una parte significativa de las empresas que sufrieron una brecha (43 %) cree que contar con autenticación multifactor podría haber detenido a los atacantes, según el informe "Tendencias 2022 en la protección de identidades digitales" de IDSA.

Hacia arquitecturas de confianza cero

Además, la nube y iniciativas de confianza cero han impulsado la búsqueda de identidades más seguras, con más de la mitad de las empresas invirtiendo en seguridad de identidad como parte de esas iniciativas, según el Grupo de Trabajo Técnico de IDSA, en un correo electrónico a Dark Reading.

Para muchas empresas, el alejamiento de los mecanismos de autenticación simples que se basan simplemente en las credenciales de un usuario ha sido impulsado por el ransomware y otras amenazas, lo que ha provocado que las empresas busquen minimizar su área de superficie de ataque y fortalecer las defensas donde pueden, el trabajo técnico de IDSA. Grupo escribió.

“A medida que la mayoría de las empresas aceleran sus iniciativas de confianza cero, también están implementando una autenticación más sólida donde sea factible, aunque es sorprendente que todavía haya algunas empresas que luchan con los conceptos básicos, o [que] aún no han adoptado la confianza cero, dejándolos expuestos”, escribieron los investigadores allí.

Persisten los obstáculos para asegurar las identidades

Todos los principales proveedores de la nube ofrecen autenticación multifactor a través de canales seguros y mediante tokens seguros, como OAuth 2.0. Si bien activar la función puede ser simple, administrar el acceso seguro puede generar un aumento en el trabajo del departamento de TI, algo para lo que las empresas deben estar preparadas, dice Arntz de Malwarebytes.

Las empresas “a veces fallan cuando se trata de administrar quién tiene acceso al servicio y qué permisos requieren”, dice. “Es la cantidad adicional de trabajo para el personal de TI que viene con un nivel de autenticación más alto, ese es el cuello de botella”.

Los investigadores del Grupo de trabajo técnico de IDSA explicaron que la infraestructura heredada también es un obstáculo.  

“Si bien Microsoft ha estado en el proceso de hacer avanzar sus protocolos de autenticación durante algún tiempo, el desafío de migrar y la compatibilidad con versiones anteriores de aplicaciones, protocolos y dispositivos heredados ha retrasado su adopción”, señalaron. "Es una buena noticia que se avecine el final de la autenticación básica".

Los servicios centrados en el consumidor también tardan en adoptar enfoques más seguros para la autenticación. Si bien el movimiento de Google ha mejorado la seguridad para muchos consumidores y Apple ha habilitado la autenticación de dos factores para más del 95 % de sus usuarios, la mayoría de los consumidores continúan usando la autenticación multifactor solo para algunos servicios.

Si bien casi dos tercios de las empresas (64 %) han identificado iniciativas para proteger las identidades digitales como una de sus tres principales prioridades en 2022, solo el 12 % de las organizaciones han implementado la autenticación multifactor para sus usuarios, según el informe de IDSA. Sin embargo, las empresas están buscando brindar la opción, ya que el 29 % de los proveedores de la nube centrados en el consumidor actualmente implementan una mejor autenticación y el 21 % la planean para el futuro.