Биометрия и аутентификация по токенам

Биометрическая аутентификация подтверждает личность на основе уникальных физических или поведенческих характеристик — «того, чем вы являетесь». В отличие от паролей, биометрические данные нельзя забыть, ими сложно поделиться или их потерять. Однако их также нельзя изменить в случае компрометации: новый отпечаток пальца получить невозможно. Биометрические системы измеряют и сравнивают биологический или поведенческий признак с эталонным шаблоном, сохранённым при настройке. Качество биометрической системы оценивается по частоте ошибок и безопасности хранения шаблонов. Биометрия наиболее эффективна в сочетании с другим фактором (например, отпечаток пальца + PIN).

Физиологическая биометрия основана на физических характеристиках тела. К основным типам относятся: отпечаток пальца: наиболее распространённый метод благодаря низкой стоимости и широкому признанию; используется в телефонах, системах контроля доступа и пограничной безопасности. Сканирование сетчатки: анализирует рисунок кровеносных сосудов на задней поверхности глаза — метод очень точный и сложный для подделки, но требует близкого контакта со считывателем. Сканирование радужной оболочки: анализирует рисунок цветной части глаза; может выполняться с большего расстояния и используется в аэропортах. Распознавание лица: анализирует геометрию лица с помощью камеры; точность постоянно повышается, но на результат могут влиять освещение, возрастные изменения и маскировка. Геометрия кисти: измеряет форму кисти и длину пальцев.

Поведенческая биометрия анализирует особенности того, как человек выполняет определённые действия, а не физические характеристики. Примеры: динамика нажатий клавиш — измерение ритма и скорости набора, а также времени удержания клавиш (как долго удерживается каждая клавиша). Динамика работы мыши — скорость, ускорение и особенности движений при использовании мыши. Распознавание голоса — анализ речевых особенностей, высоты и ритма голоса (в отличие от голосовых команд). Динамика подписи — давление, скорость и ритм рукописной подписи, а не только её форма. Поведенческая биометрия особенно ценна для непрерывной аутентификации — проверки личности на протяжении сеанса, а не только при входе.

Производительность биометрической системы характеризуют две частоты ошибок. Коэффициент ложного принятия (FAR): вероятность того, что система ошибочно примет самозванца за законного пользователя, — это угроза безопасности. Коэффициент ложного отклонения (FRR): вероятность того, что система ошибочно отклонит законного пользователя, — это проблема доступности и удобства использования. Эти показатели связаны обратно пропорционально: повышение чувствительности уменьшает FAR (принимается меньше самозванцев), но увеличивает FRR (отклоняется больше законных пользователей). Коэффициент перекрёстной ошибки (CER), при котором FAR равен FRR, — единственное число, используемое для сравнения точности биометрических систем. Чем ниже CER, тем точнее система.

Биометрические системы не защищены от атак полностью. Атаки с подделкой используют фальшивые биометрические данные, чтобы обмануть датчик: при подделке отпечатка применяют желатиновые или силиконовые копии оставленного отпечатка; распознавание лица можно обмануть качественными 3D-масками или фотографиями в системах более низкого качества. Атаки на базы данных шаблонов: если сохранённые биометрические шаблоны украдены, их нельзя отозвать, как пароли. Современные системы снижают этот риск с помощью защиты шаблонов (хранения хешированных или преобразованных шаблонов вместо исходных биометрических данных) и обнаружения живого присутствия (подтверждения того, что биометрические данные принадлежат живому человеку, а не являются копией).

Аппаратные ключи безопасности, такие как YubiKey, Google Titan Key и SoloKey, реализуют стандарт FIDO2/WebAuthn для защиты от фишинга при аутентификации. Ключ содержит защищённый аппаратными средствами закрытый ключ, который выполняет криптографические операции, при этом сам ключ никогда не покидает устройство. При аутентификации запрос от веб-сайта подписывается закрытым ключом аппаратного ключа — а поскольку операция привязана к источнику конкретного веб-сайта, фишинговый сайт типа MITM не может перехватить или перенаправить процесс аутентификации. Аппаратные ключи также могут работать как смарт-карты PIV в корпоративных средах, где требуется аутентификация на основе сертификатов.

Смарт-карты — это устройства размером с банковскую карту со встроенным микрочипом, на котором хранятся криптографические ключи и сертификаты. Карты PIV (Personal Identity Verification) — это стандарт смарт-карт, обязательный для сотрудников федерального правительства US (FIPS 201). Карты PIV содержат сертификат X.509 владельца, его закрытый ключ (который никогда не покидает карту), цифровую фотографию и биометрические данные. Для аутентификации требуются и физическая карта («то, чем Вы владеете»), и PIN-код («то, что Вы знаете»), что обеспечивает двухфакторную аутентификацию. Смарт-карты считываются контактными или бесконтактными считывателями (NFC).

Одноразовые пароли (OTP) — это коды аутентификации, действительные только при одном использовании. Существуют два стандарта. HOTP (RFC 4226): OTP на основе HMAC, при каждом использовании увеличивающий значение счётчика. Средство аутентификации и сервер должны оставаться синхронизированными; если коды сгенерированы, но не использованы, они могут рассинхронизироваться, после чего потребуется повторная синхронизация. TOTP (RFC 6238): OTP на основе времени, в котором в качестве счётчика используется текущее время, поэтому код меняется каждые 30 секунд. TOTP популярнее, поскольку синхронизируется по времени автоматически: средству аутентификации и серверу нужно лишь согласовать текущее время (в этом помогает NTP). Неиспользованные коды TOTP просто становятся недействительными.

Аутентификация с помощью push-уведомлений (используется Duo Security, Microsoft Authenticator и Okta Verify) отправляет push-уведомление на смартфон пользователя при обнаружении попытки входа. Пользователь подтверждает или отклоняет запрос одним нажатием — это значительно проще, чем вводить 6-значный код. Некоторые реализации показывают контекст входа (IP-адрес, местоположение, приложение), чтобы пользователь мог принять обоснованное решение. Уязвимость этого метода — атаки, вызывающие усталость от MFA: злоумышленники заваливают пользователя частыми push-запросами в надежде, что он случайно одобрит один из них или одобрит его просто для прекращения уведомлений. Меры противодействия включают сопоставление номеров (пользователь должен ввести код, показанный на странице входа) и добавление контекстной информации в push-уведомление.

Адаптивная аутентификация изменяет требуемый уровень надёжности аутентификации на основе контекстных сигналов. Если пользователь входит со своего обычного устройства, из корпоративной сети и в рабочее время — риск низкий, поэтому одного пароля может быть достаточно. Если тот же пользователь входит с нового устройства из неизвестной страны в 3 часа ночи — риск высокий, поэтому запускается усиленная аутентификация (требуется MFA или подтверждение руководителя). К контекстным сигналам относятся: отпечаток устройства (известное или неизвестное), геолокация IP-адреса, время суток, невозможное перемещение (входы из двух мест, между которыми невозможно переместиться за прошедшее время) и поведенческие шаблоны. Это уменьшает неудобства, связанные с MFA, при входах с низким риском и добавляет дополнительные проверки там, где они важнее всего.

Аутентификация без пароля полностью исключает пароль и использует вместо него устойчивые к фишингу факторы. Распространённые подходы: FIDO2/WebAuthn с биометрией (Windows Hello, Touch ID) или аппаратными ключами; волшебные ссылки (одноразовый URL, отправленный на электронную почту или телефон пользователя; этот способ эффективен, если доступ к электронной почте является доверенным); и ключи доступа (стандарт альянса FIDO, принятый Apple, Google и Microsoft, при котором закрытый ключ хранится в защищённой области устройства и синхронизируется с облаком через учётную запись поставщика). Ключи доступа сочетают удобство с защитой от фишинга и быстро распространяются как преемник паролей.

Проверьте, насколько хорошо Вы понимаете концепции CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что биометрическая аутентификация использует физиологические (отпечаток пальца, радужная оболочка глаза) или поведенческие (характер нажатий клавиш, голос) признаки; FAR и FRR измеряют точность биометрической системы, а CER является точкой баланса; аппаратные ключи безопасности (FIDO2/WebAuthn) обеспечивают устойчивую к фишингу аутентификацию на основе токенов; а адаптивная аутентификация изменяет дополнительные проверки в зависимости от контекстного риска. Далее мы рассмотрим модели авторизации: RBAC, MAC и DAC.