بازطراحی معماری هویت دیجیتال در عصر دیپ‌فیک؛ چگونه شکاف امنیتی پشتیبانی فنی را در برابر هوش مصنوعی ببندیم؟

سال‌هاست سازمان‌ها تمام تمرکز و توان خود را صرف استحکام‌بخشی و تقویت نقاط پایانی (Endpoints)، شبکه‌ها و فرایندهای احراز هویت در هنگام ورود به سیستم کرده‌اند. با این حال، یکی از حیاتی‌ترین نقاط کنترلی در چرخه حیات هویت، یعنی میز امداد یا پشتیبانی فنی (Help Desk)، به شکلی باورنکردنی در معرض خطر و نفوذ باقی مانده است؛ چراکه بیشتر سیستم‌های هویت اساساً طوری طراحی نشده بودند که پروتکل‌های اعتبارسنجی قدرتمند را به فرایندهای بازیابی حساب و پشتیبانی تعمیم دهند. همین مسئله شکافی عمیق پدید آورده است که مهاجمان روزبه‌روز بیشتر از آن بهره‌برداری می‌کنند.

بدون تغییر این رویکرد، سازمان‌ها همچنان در فرایندهای فوق‌العاده حساس و پرریسک به قضاوت انسانی تکیه خواهند کرد و شکافی آسیب‌پذیر را باز خواهند گذاشت که خلافکاران سایبری به شکلی فزاینده در حال سوءاستفاده از آن هستند.

این دیدگاهی است که تحلیلگران و معماران ارشد محصول در حوزه هویت دیجیتال در پینگ آیدنتیتی (Ping Identity) نیز بر آن تأکید می‌کنند.

با اوج‌گیری هوش مصنوعی مولد، ویدیوهای دیپ‌فیک، شبیه‌سازی صدای مصنوعی و ایجنت‌های هوش مصنوعی، بخش پشتیبانی فنی به نخستین هدف برای حملات مهندسی اجتماعی بدل شده است. مهاجمان امروزه قادرند با استفاده از فایل‌های صوتی عمومی، صدای مدیر ارشد مالی یک شرکت را شبیه‌سازی کنند، برای تماس‌های تصویری زنده ویدیوهای دیپ‌فیک بسازند، یا ایجنت‌های هوش مصنوعی را برای جعل هویت مداوم در چندین کانال ارتباطی به کار بگیرند.

این مجرمان سایبری می‌توانند شبکه‌های اجتماعی، داده‌های نشت‌یافته حاصل از رخنه‌های اطلاعاتی و وب‌سایت‌های سازمانی را برای استخراج جزئیات هویتی زیرورو کنند تا سناریوی جعلی خود را کاملاً باورپذیر جلوه دهند. افزون بر این، آن‌ها می‌توانند پاسخ‌های خود را به صورت بلادرنگ و بر اساس آنچه کارشناس پشتیبانی می‌گوید یا می‌پرسد، وفق دهند و هدایت کنند.

هدف این افراد معمولاً مشخص و سرراست است: متقاعد کردن کارشناس پشتیبانی برای بازنشانی رمز عبور، ثبت یک دستگاه جدید، یا دور زدن سیستم احراز هویت چندعاملی (MFA). در صورت موفقیت، این رخنه به سرعت می‌تواند به انتشار باج‌افزار، سرقت داده‌ها، تصاحب کامل حساب کاربری یا بحران‌های بزرگ‌تر امنیتی تبدیل شود.

برای بستن این شکاف بزرگ در اعتبارسنجی، بازتعریف و استقرار یک معماری مدرن هویت ضروری است؛ معماری نوینی که با فرایندهای بازیابی حساب و تعامل‌های بخش پشتیبانی، نه مانند استثناهایی خارج از سیستم، بلکه به عنوان جریان‌های کاری درجه‌یک و رسمی هویت برخورد کند.

امروزه بیشتر جریان‌های کاری در پشتیبانی فنی هنوز برای تأیید هویت کاربر یا مشتری، به سؤالات امنیتی مبتنی بر دانش، اطلاعات ثابت پرسنلی، یا تأییدیه‌های مقطعی مدیران تکیه دارند. در دنیایی که داده‌های شخصی به سادگی در دسترس همگان قرار دارد و هوش مصنوعی می‌تواند افراد را به شکلی حیرت‌آور جعل کند، این روش‌های کنترلی فوق‌العاده شکننده و آسیب‌پذیر هستند.

اعتبارسنجی مبتنی بر دانش بر این فرض استوار است که اطلاعات شخصی افراد محرمانه می‌ماند، در حالی که امروزه به ندرت چنین است. تماس مجدد با مدیران فرض را بر قابل اعتماد بودن تشخیص صدا می‌گذارد، در صورتی که این روش دیگر اعتبار ندارد. بررسی‌های دستی نیز فرض را بر توانایی انسان در تشخیص فریب‌های هوش مصنوعی قرار می‌دهند، اما واقعیت همواره این‌گونه نیست. بسیاری از کسب‌وکارها امروزه از پرسنل پشتیبانی خود می‌خواهند هویت مراجعان را با ابزارهایی احراز کنند که متعلق به عصری کاملاً متفاوت بوده است.

در بسیاری از زیرساخت‌های سازمانی، جریان‌های کاری پشتیبانی فنی بیرون از سیستم‌های اصلی مدیریت هویت قرار دارند؛ در نتیجه، به جای آنکه تحت نظارت و کنترل همان سیاست‌های سخت‌گیرانه ورود به حساب باشند، به عنوان فرایندهایی مجزا و جزیره‌ای اداره می‌شوند.

هم‌زمان، انتظارات عمومی نسبت به حفاظت از هویت دیجیتال به شدت رو به افزایش است. هرچه نفوذ هوش مصنوعی در تعاملات دیجیتال عمیق‌تر می‌شود، کاربران و مصرف‌کنندگان نیز انتظار دارند سازمان‌ها زیرساخت‌هایی کارآمد برای حفاظت واقعی از هویت آن‌ها فراهم سازند. این موضوع نقشی حیاتی دارد؛ چراکه آمارهای منتشرشده نشان می‌دهد ۷۵ درصد از مصرف‌کنندگان، اکنون بیش از هر زمان دیگری در پنج سال گذشته نگران امنیت داده‌های شخصی خود هستند.

هنگامی که این تدابیر حفاظتی فروبپاشند، اعتماد عمومی و اعتبار برند به سرعت نابود می‌شود و بازسازی آن بسیار دشوار خواهد بود. کاملاً آشکار است که مقوله امنیت و اعتماد، دیگر نمی‌تواند بر حس ششم، شهود شخصی یا بررسی‌های دستی استوار باشد؛ بلکه این اطمینان باید در تاروپود سیستم‌های هویت تنیده شود و از طریق سازوکارهای «هویت قابل اثبات» به اجرا درآید.

مدرن‌سازی امنیت پشتیبانی فنی با هویت قابل اثبات در مقیاس وسیع

حل این چالش مستلزم بازنگری در شیوه طراحی سیستم‌های مدیریت هویت است؛ به ویژه در این حوزه که فرایندهای اعتبارسنجی، بازیابی حساب و اقدامات پرریسک، چگونه به عنوان بخش‌هایی از یک معماری یکپارچه مدیریت شوند، نه فرایندهایی پراکنده و متفرقه. معماری‌های مدرن هویت، با بهره‌گیری از هویت غیرمتمرکز و پروتکل‌های احراز هویت ضدسرقت مبتنی بر داده‌های زیست‌سنجی (Biometric)، مسیر مشخصی را پیش روی سازمان‌ها قرار می‌دهند.

این رویکرد نوین در عمل از مؤلفه‌های زیر تشکیل می‌شود:

۱. احراز هویت ضدسرقت اطلاعات و متکی به داده‌های زیست‌سنجی

احراز هویت بر پایه استاندارد FIDO که به اعتبارنامه‌های وابسته به سخت‌افزار دستگاه و ویژگی‌های زیست‌سنجی گره خورده است، وابستگی به رمزهای عبور و داده‌های به اشتراک گذاشته‌شده را به حداقل می‌رساند. از آنجا که این اعتبارنامه‌ها از نظر رمزنگاری کاملاً به یک دستگاه خاص مقید شده‌اند و با رمزنگاری پیشرفته ارزیابی می‌شوند، در برابر حملات فیشینگ و بازپخش نفوذناپذیر هستند.

در این الگو، اجرای سیاست‌های امنیتی از تصمیم‌گیری انسانی به سمت خط‌مشی‌های سیستم‌محور حرکت می‌کند و یکدستی کامل را در سراسر جریان‌های کاری ورود و بازیابی تضمین می‌نماید. گسترش این مدل به فرایندهای بازیابی حساب و احراز هویت مجدد، موجب می‌شود تا اقدامات پرریسک نظیر بازنشانی رمز عبور یا تعریف دستگاه جدید، دقیقاً با همان سازوکارهای کنترلی قدرتمندی محافظت شوند که در نخستین ورود کاربر به سیستم اعمال می‌شوند.

۲. اعتبارنامه‌های غیرمتمرکز و قابل اثبات

چارچوب‌های هویت غیرمتمرکز به سازمان‌ها اجازه می‌دهند اعتبارنامه‌هایی نفوذناپذیر، ضدجعل و قابل تأیید صادر کنند که کاربران آن‌ها را در کیف پول‌های دیجیتال امن ذخیره می‌نمایند. این اعتبارنامه‌ها می‌توانند بدون نیاز به متمرکزسازی داده‌های حساس، نشان‌دهنده وضعیت شغلی، نقش سازمانی یا سایر ویژگی‌های هویتی لازم برای اعتبارسنجی باشند.

از دیدگاه معماری امنیتی، هویت غیرمتمرکز وابستگی به پایگاه‌های داده متمرکز را کاهش می‌دهد و اعتبارسنجی هویت را به جای اتکا به سوابق ایستا، بر پایه اثبات ریاضی و رمزنگاری بنا می‌نهد.

این دگرگونی، الگوی احراز هویت را از مدلی «مبتنی بر دانش و اطلاعات» به مدلی «مبتنی بر اثبات قطعی» تغییر می‌دهد. هنگامی که یک کاربر به کمک کارشناس پشتیبانی نیاز پیدا می‌کند، می‌تواند یک اعتبارنامه قابل تأیید ارائه دهد که سازمان قادر است آن را از نظر رمزنگاری ارزیابی کند؛ بدون آنکه نیازی به طرح سؤالات امنیتی متداول باشد. بدین ترتیب، پرسنل پشتیبانی دیگر در جایگاه «قضاوت و تصمیم‌گیری» درباره درستی ادعای افراد قرار نمی‌گیرند؛ بلکه این سیستم است که هویت شخص را به طور خودکار تأیید می‌کند.

۳. بازیابی خودکار حساب‌ها با ضریب اطمینان بالا

سیستم‌های بازیابی خودخدمت (Self-service) حساب کاربری که از احراز هویت قدرتمند و اعتبارنامه‌های دیجیتال امن بهره می‌برند، به کاربران اجازه می‌دهند بدون نیاز به تماس با پشتیبانی، دسترسی خود را مجدداً بازیابی کنند. این سازوکار علاوه بر کاهش چشمگیر حجم کاری تیم پشتیبانی، هدف اصلی حملات مهندسی اجتماعی را نیز از دسترس مهاجمان خارج می‌کند. فرایند بازیابی خودکار، نیاز به مداخله دستی را از بین می‌برد و امکان مقیاس‌پذیری زیرساخت‌های هویت را بدون افزایش ریسک‌های عملیاتی فراهم می‌آورد.

در این چارچوب نوین، مسئولیت قضاوت درباره صحت هویت افراد از دوش کارشناسان میز امداد برداشته می‌شود که نتیجه نهایی آن، کاهش محسوس و چشمگیر ریسک‌های امنیتی سازمان است.

بازتعریف صفحه کنترل هویت سازمانی

مرزهای امنیتی سازمان‌ها به شکلی که پیش‌تر می‌شناختیم، اکنون تا تمامی جریان‌های کاری که در آن‌ها هویت احراز، واگذار یا بازیابی می‌شود، گسترش یافته است. بخش پشتیبانی فنی دقیقاً در قلب همین جریان قرار دارد. در یک مدل تاب‌آورتر، ساختار هویت به دو لایه متمایز تقسیم می‌شود: «لایه کنترل» که خط‌مشی‌ها و سیاست‌ها را تعریف می‌کند، و «لایه اجرا» (Runtime) که تصمیمات را به صورت یکپارچه و یکنواخت در تمام تعاملات اعمال می‌نماید.

مدرن‌سازی سیستم‌های احراز هویت با بهره‌گیری از اعتبارنامه‌های غیرمتمرکز، احراز هویت مبتنی بر داده‌های زیست‌سنجی و سیاست‌های اطمینان‌بخش پایدار، یکی از پرآسیب‌ترین شکاف‌ها را در زنجیره امنیتی مسدود می‌سازد. این رویکرد نیاز به اتکای کارشناسان پشتیبانی به قضاوت‌های فردی را با اثبات قطعی و رمزنگاری‌شده هویت جایگزین می‌کند و اطمینان می‌دهد که اقدامات پرخطر، تحت کنترل سازوکارهایی قرار دارند که دقیقاً متناسب با چشم‌انداز تهدیدات امروز طراحی شده‌اند.

روش‌های فریب مبتنی بر هوش مصنوعی از نظر سرعت، واقع‌گرایی و خودکارسازی به تکامل و پیچیدگی روزافزون خود ادامه خواهند داد. مقابله با این چالش نیازمند معماری هویت پایداری است که اعتبارسنجی را به طور مداوم و یکدست در میان تمام کاربران، دستگاه‌ها و جریان‌های کاری به اجرا بگذارد.

زمانی که سیستم‌های مدیریت هویت طوری پایه‌ریزی شوند که امنیت و اعتماد را به صورت خودکار و یکنواخت پیاده‌سازی کنند، سازمان‌ها به تاب‌آوری پایداری دست می‌یابند که همگام با نوآوری رشد می‌کند؛ همچنین پایه‌ای محکم برای حفظ اعتماد در دنیای دیجیتالی که توسط هوش مصنوعی دگرگون می‌شود، برای سال‌های متمادی آینده ایجاد خواهد شد. در این مدل، احراز هویت به جای آنکه یک بررسی مقطعی و لحظه‌ای باشد، به قابلیتی توزیع‌شده در سیستم بدل می‌شود که در تاروپود تمامی جریان‌های کاری، سیستم‌ها و تعاملات کاربران نهادینه شده است.

این تحول بنیادین، مقوله هویت را از یک کنترل مقطعی به لایه‌ای فراگیر و سرتاسری برای اعمال خط‌مشی‌های امنیتی در کل سازمان تبدیل می‌کند و یکی از آسیب‌پذیرترین و پرخطرترین شکاف‌ها را در امنیت سازمانی برای همیشه مسدود می‌سازد.