解读:《企业安全五大核心领域》之身份认证与访问管理
最近知名资讯公司Gartner在安全与风险管理峰会（Security and Risk Management Summit）上发布了《2016企业安全十大趋势》，总结了今年企业面临安全问题的五大核心领域，分别是：威胁与漏洞管理、应用与数据安全、移动网络安全、身份与访问管理、IoT物联网安全。洋葱安全在此文中对报告提及的身份与访问管理部分内容进行解读。
趋势一
“2019年，40%的IDaaS（ID即服务）实现，将会替代本地部署的IAM实现，相比现如今提升10%。”
这里需要科普两个概念：IAM 和 IDaaS ,IAM 全称 Identity and access management，也就是“身份认证与访问管理”，简单来说， IAM 是一个企业身份权限的管理方案，帮助企业有效管理“什么人拥有访问什么系统和数据权限”。IDaaS 全称 IAM as a service .也就是将IAM作为一项专门的云服务，企业将其身份认证和管理委派给专业的服务供应商。
为什么越来越多的本地部署的IAM 会被 IDaaS替代？有三个原因，首先，云计算越来越成熟，由于云服务成本低、部署轻便等特点，不断得到企业的青睐。企业使用了云服务后，身份的信任边界就进一步外扩，身份管理变得困难。大量的云服务认证凭据无法得到统一、有效的管理。例如，员工离职后云服务账号需要逐个删除，一旦遗漏则留下安全隐患。
其次，移动办公的应用也让防御边界外扩。原本企业主要通过区分内外网来进行安全隔离，移动办公的出现让员工经常使用 VPN 等方式来连接办公网络，而这些VPN的账号认证都是在外部进行，本地化IAM方案都难以对其进行身份认证管理。
另外，身份关系的复杂化，也推动着 IDaaS 模式的发展，越来越多的企业发现不仅需要管理内部员工权限，还需要管理合作伙伴、分公司以及顾客的身份权限。举个例子，当合作伙伴需要公司内部的账号权限时，通常直接给对方开通一个账号，然后把密码给对方。这种方式让企业彻底失去了对这些身份的管理能力，因为对方员工离职时可以随意交接凭据，企业无从得知账号是谁在用，甚至连账号是否被盗都无从得知。
IDaaS的模式的出现彻底解决了这些问题，IDaaS 在云端为企业用户派发身份ID，用于登录本地服务和云服务。由于IDaaS本身就是一项云服务，因此可以直接适应企业内部和外部认证的需要，无论是本地系统应用，还是云服务、移动应用，都是可以进行统一认证和身份管理。同时，IDaaS 服务商会提供给企业一系列衍生服务，包括多因子认证、用户目录、行为分析、单点登录等。
简单来说，IDaaS模式的IAM服务，满足了身份信任边界不断外延的需求。
趋势二
“2019年，在中等风险的使用场景下，密码和令牌的使用率将会减少55%，这与识别技术的发展是分不开的。”
依靠密码作为认证凭据的弊端如今已经十分凸显，地下黑市拥有大量的泄露数据，拖库撞库事件频发，而企业又难以根除弱口令等不安全的密码使用习惯，因此使用其他方式来替代密码进行验证，越来越受青睐。
生物识别技术的发展，不断对传统密码体系造成冲击，先是马云在汉诺威会议上演示刷脸支付，掀起国内生物识别热潮，此后生物识别的应用迅速增多，从支付宝接入人脸识别，到招商银行采用刷脸ATM去取款，如今人脸、声音、指纹等生物识别技术均已从概念阶段转向全面普及阶段，在企业身份认证安全上，同样将得到广泛应用。
手机作为认证工具成为了一种趋势，和硬件相比，将手机作为认证令牌无论是从价格还是功能上都有着无可比拟的优势。对于企业来说，使用员工自带的手机作为认证工具，不需要额外购置任何认证硬件，省去了大量前期投入，而且几乎无需进行后期的硬件升级和维护，用户自己会更换新的手机。
在功能上，如今的智能手机已经可以实现各种各样身份，以身份认证服务商 洋葱安全（www.yangcong.com） 提供的认证服务为例，其所有认证服务都能基于手机实现，比如基于摄像头的人脸识别、扫码认证，基于麦克风的声纹识别，基于指纹模块的指纹识别，以及WiFi、GPS的网络环境、位置识别。更不用说最基础的推送认证、动态令牌、手机设备指纹等，可以说，手机能提供的认证服务已经胜过绝大部分单一的认证硬件。同时对于使用者来说，还不需要额外携带任何硬件。
从密码学的角度上看，对认证因子的三种：你知道的因素（密码口令）、你拥有的要素（物品）、你的生物特征，目前手机都能够实现，因此从任何角度看来，手机作为认证工具，都将很快成为主流。
总结
云计算的发展趋势不可逆转，未来基于云的IAM将成为主流，并且随着IoT物联网的普及，身份认证将无处不在，IDaaS将扮演越来越重要的角色。目前国内以洋葱安全、九州云腾为代表的IDaaS云身份认证服务商均处于初创阶段，但随着企业对于云认证需求的不断增加，2~5年内IDaaS很可能成为国内企业服务领域一片新的蓝海，甚至催生像Okta一样的独角兽企业。
关键字：云计算, 安全, idaas, 认证
版权声明
本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处。如若内容有涉嫌抄袭侵权/违法违规/事实不符，请点击 举报 进行投诉反馈！
