Факторы аутентификации

Аутентификация — это доказательство того, что Вы являетесь тем, за кого себя выдаёте.

Надёжная аутентификация основывается на сочетании разных факторов, каждый из которых представляет собой отдельный вид доказательства.

Факторы аутентификации делятся на три категории:

• То, что Вы знаете (пароль или PIN)
• То, чем Вы владеете (телефон или ключ безопасности)
• То, чем Вы являетесь (отпечаток пальца или лицо)

Факторы знания — это секреты, которые Вы помните: пароли, PIN-коды и контрольные вопросы.

Они дёшевы и привычны, но их легко выманить с помощью фишинга, угадать или повторно использовать на разных сайтах.

Факторы владения — это предметы, которые Вы держите при себе:

• Телефон, принимающий код или push-уведомление
• Аппаратный ключ безопасности
• Смарт-карта

Чтобы воспользоваться таким фактором, злоумышленник должен украсть устройство.

Биометрические факторы — это отпечатки пальцев, лицо, радужная оболочка глаза или голос.

Они удобны, и их трудно забыть, но при компрометации их нельзя изменить, поэтому лучше использовать их как один из нескольких факторов.

Многофакторная аутентификация (MFA) требует факторов из разных категорий.

Пароль и PIN-код — это не MFA, поскольку оба относятся к факторам знания. Пароль и код, полученный на телефон, — это MFA.

Одни только пароли — самое слабое звено: их повторно используют, выманивают с помощью фишинга и раскрывают при утечках.

Добавление второго фактора означает, что украденного пароля уже недостаточно для входа.

Двухфакторная аутентификация (2FA) — это MFA ровно с двумя факторами.

MFA — более широкий термин: она может требовать два или более факторов. На практике большинство потребительских систем используют 2FA.

Типичные вторые факторы — от самых слабых к самым надёжным:

• Коды SMS (уязвимы для атак с подменой SIM-карты)
• Коды приложения-аутентификатора (TOTP)
• Подтверждения push-уведомлениями
• Аппаратные ключи безопасности (самый надёжный вариант)

Современные системы используют адаптивную аутентификацию (на основе риска): дополнительные факторы требуются только тогда, когда вход выглядит подозрительно.

К таким сигналам относятся новое устройство, необычное местоположение или физически невозможное перемещение.

Некоторые системы учитывают местоположение (где Вы находитесь) или поведение (ритм набора текста) как дополнительные сигналы.

Обычно это входные данные для оценки риска, а не самостоятельные факторы, но они повышают надёжность общего решения.

Какая из этих комбинаций соответствует настоящей многофакторной аутентификации?

Вы изучили три категории факторов аутентификации: знание, владение и биометрические признаки.

• Настоящая MFA сочетает факторы из разных категорий.
• Вторые факторы варьируются от слабых SMS до надёжных аппаратных ключей.
• Адаптивная аутентификация добавляет факторы только при высоком риске.

Далее мы разберём принцип работы алгоритмов одноразовых паролей.