Czynniki uwierzytelniania

Uwierzytelnianie polega na udowodnieniu, że są Państwo osobą, za którą się podają.

Silne uwierzytelnianie opiera się na łączeniu różnych czynników, z których każdy stanowi odrębny rodzaj dowodu.

Czynniki uwierzytelniania dzielą się na trzy kategorie:

• Coś, co Państwo znają (hasło lub PIN)
• Coś, co Państwo mają (telefon lub klucz bezpieczeństwa)
• Coś, czym Państwo są (odcisk palca lub twarz)

Czynniki wiedzy to sekrety, które Państwo pamiętają: hasła, kody PIN i pytania zabezpieczające.

Są tanie i dobrze znane, ale łatwo je wyłudzić, odgadnąć lub ponownie wykorzystać w różnych serwisach.

Czynniki posiadania to przedmioty, które mają Państwo fizycznie przy sobie:

• Telefon odbierający kod lub powiadomienie push
• Sprzętowy klucz bezpieczeństwa
• Karta inteligentna

Napastnik musi ukraść urządzenie, aby móc go użyć.

Czynniki cech fizycznych mają charakter biometryczny: odciski palców, twarz, tęczówka lub głos.

Są wygodne i trudne do zapomnienia, ale nie można ich zmienić w razie przejęcia, dlatego najlepiej używać ich jako jednego z kilku czynników.

Uwierzytelnianie wieloskładnikowe (MFA) wymaga czynników z różnych kategorii.

Hasło i PIN nie stanowią MFA, ponieważ oba są czynnikami wiedzy. Hasło i kod wysłany na telefon już tak.

Same hasła są najsłabszym ogniwem: są używane ponownie, wyłudzane i ujawniane podczas wycieków danych.

Dodanie drugiego czynnika oznacza, że skradzione hasło nie wystarczy już do zalogowania się.

Uwierzytelnianie dwuskładnikowe (2FA) to MFA wykorzystujące dokładnie dwa czynniki.

MFA jest szerszym pojęciem i może wymagać dwóch lub większej liczby czynników. W praktyce większość systemów konsumenckich korzysta z 2FA.

Typowe drugie czynniki, od najsłabszego do najsilniejszego:

• Kody SMS (podatne na przejęcie numeru dzięki SIM swapping)
• Kody z aplikacji uwierzytelniającej (TOTP)
• Akceptowanie powiadomień push
• Sprzętowe klucze bezpieczeństwa (najsilniejsze)

Współczesne systemy korzystają z uwierzytelniania adaptacyjnego (opartego na ryzyku): dodatkowe czynniki są wymagane tylko wtedy, gdy logowanie wygląda na ryzykowne.

Sygnały obejmują nowe urządzenie, nietypową lokalizację lub niemożliwe do przebycia połączenie lokalizacji w czasie.

Niektóre systemy traktują lokalizację (miejsce, w którym Państwo są) lub zachowanie (rytm pisania) jako dodatkowe sygnały.

Zwykle są to dane używane do oceny ryzyka, a nie samodzielne czynniki, ale wzmacniają ogólną decyzję.

Które z poniższych połączeń kwalifikuje się jako prawdziwe uwierzytelnianie wieloskładnikowe?

Dowiedzieli się Państwo o trzech kategoriach czynników uwierzytelniania: wiedza, posiadanie i cechy fizyczne.

• Prawdziwe MFA łączy czynniki z różnych kategorii.
• Drugie czynniki obejmują zarówno słabe wiadomości SMS, jak i silne klucze sprzętowe.
• Uwierzytelnianie adaptacyjne dodaje czynniki tylko wtedy, gdy ryzyko jest wysokie.

W dalszej części zagłębimy się w działanie algorytmów haseł jednorazowych.