Двухфакторная аутентификация

Массовые утечки пользовательской информации и интернет-мошенничество заставляют веб-разработчиков внедрять в свои сервисы механизмы двухфакторной аутентификации (2FA). Самый простой пример такого способа защиты — подтверждение банковских транзакций с помощью высылаемого по SMS одноразового пароля. Несмотря на некоторое замедление процесса авторизации, 2FA снижает риск несанкционированного доступа к личной информации.

Что такое двухфакторная защита?

Двухфакторная аутентификация — способ авторизации в виртуальной системе, при котором для выполнения требуемой операции пользователю необходимо подтвердить два собственных атрибута. Иными словами, человеку, чтобы получить доступ к информации, потребуется пройти два независимых защитных этапа.

Главное достоинство современных методов 2FA заключается в уровне создаваемой протекции конфиденциальных данных, не позволяющей злоумышленникам взломать аккаунт лишь с помощью «классической» кражи пароля — идентификация физического лица происходит благодаря двойной комбинации:

• кода (пароля и секретного слова);
• токена (смартфона, пластиковой карты);
• биометрика (дактилоскопирование, сканирования лица).

Таким образом, для авторизации может использоваться, например, пароль и сканер отпечатка пальца или данные банковской карты и PIN. Конечно, двухфакторная зашита не исключает вероятность взлома полностью: биометрические данные могут скопированы, токен похищен, а секретное слово угадано.

Для широких масс перечисленные ситуации вряд ли опасны — хакеры не станут «заморачиваться» с созданием муляжей тысячи различных пальцев или крупномасштабным воровством мобильных телефонов. Жертвами могут стать отдельные лица, чьи личные сведения представляют особый интерес для мошенников: знаменитости, влиятельные люди.

Другой существенный недостаток 2FA — возможность обхода защиты благодаря инструменту восстановления аккаунта: злоумышленники под видом «забывчивого пользователя» могут обратиться в техподдержку сервиса и просто попросить об отключении двухфакторной аутентификации.

В каких случаях необходима двухфакторная защита?

Теоретически двухфакторная аутентификация необходима везде, где существует риск утечки конфиденциальной информации: обеспечение дополнительной защиты данных выглядит логичным и правильным, если учитывать общее развитие интернет-технологий и рост уровня киберпреступности.

Против повсеместного использования 2FA говорит лишь возможное раздражение пользователей, вызываемое в некоторых случаях замедлением процесса авторизации или невозможностью входа в систему после, например, утери физического токена. Джим Фентон, директор по безопасности системы OneID, считает, что «2FA необходима лишь при выполнении входа с неизвестного девайса».

Сегодня функция двухфакторной защиты используется практически всеми социальными сетями (Instagram, Facebook) и сервисами электронной почты (Google, Yandex), а также крупными разработчиками софта вроде Apple и Microsoft.

Виды двухфакторной аутентификации

Варианты двухфакторной аутентификации представлены ниже (в каждом случае 1 этап — ввод логина и пароля):

• SMS-сообщение — на номер мобильного телефона приходит одноразовый пароль, который необходимо ввести в специальном поле авторизации (самый ненадежный вариант — злоумышленник может извлечь SIM-карту из девайса);
• Утилиты-идентификаторы — подобные приложения самостоятельно генерируют проверочный код после сканирования пользователем QR-кода;
• Мобильное устройство — например, функция «Проверочного устройства» от Apple или дактилоскопический датчик;
• Аппаратный токен — подключаемое по USB устройство, самостоятельно создающее одноразовый пароль для авторизации на определённом сервисе.

Также для авторизации можно использовать резервные ключи, которые выдаются пользователю некоторыми сервисами при настройке 2FA. Подобный шифр не рекомендуется хранить в текстовом или графическом виде, так как получивший доступ к файловой системе девайса злоумышленник сможет отыскать код с помощью сканирования хранилища.

Когда двухфакторная защита будет лишней?

Применение двухфакторной идентификации будет лишней для сервисов, не хранящих личных переписок и информации о банковских счетах (вроде старого Instagram или Pinterest) — долгий процесс авторизации будет раздражать, а в случае взлома аккаунтов на подобных сайтах причинённый ущерб будет измеряться лишь потерянными подписчиками и «сохраненками». Разработчикам необходимо правильно понять приоритеты пользователей.

Заключение

Несмотря на создаваемое 2FA некоторое неудобство при авторизации, технология увеличивает защиту пользовался от утечки личных данных. Метод применяется многими компаниями из сферы высоких технологий, государственными структурами и крупными банками.