Багатофакторна аутентифікація — must have або марна трата часу?

Що таке аутентифікація

Аутентифікацію часто плутають з ідентифікацією (розпізнавання об’єкта за унікальним ідентифікатором) і авторизацією (надання певних прав суб’єкту).

Сюди належить співставлення введеного пароля з тим, який зберігається в базі даних, або перевірка цифрового підпису листа.

Історія аутентифікації бере початок із давніх часів. Тоді придумували мовні паролі, виготовляли складні печатки. Навіть замок і ключ є прикладом аутентифікації.

Сьогодні можна говорити про тенденції застосування багаторівневої аутентифікації в багатьох сферах. Це пов’язано з ненадійністю системи паролів. Занадто простий пароль небезпечний, а занадто складний — важко запам'ятати, тому люди записують його кудись (втрачається весь сенс). З метою підвищення рівня захисту, крім пароля, все частіше використовують додаткові інструменти.

Про процедуру та її застосування

Багатофакторна аутентифікація — це розширений метод контролю доступу до ресурсів. У рамках даного методу користувач повинен пред'явити кілька «доказів», щоб отримати доступ.

Виділяють кілька груп таких підтверджень:

• знання певної інформації (пароль, код);
• наявність ключа (карта, мобільний пристрій, флешка);
• відмінна особливість (відбитки пальців, риси обличчя, райдужна оболонка ока, швидкість і характер набору текста на клавіатурі).

Всі три групи інструментів аутентифікації одночасно використовуються швидше в кіно, найбільш розповсюджена процедура впізнання користувача включає тільки два етапи. Застосування кількох типів перевірки різко підвищує захищеність даних користувача і дозволяє уникнути шахрайства, крадіжок і втрати даних.

Частіше за все ми стикаємося з процедурою, користуючись інтернет-банкінгом або заходячи в акаунт Google або Facebook з нового пристрою. Тоді система шле на прив’язаний до акаунту номер мобільного текстове повідомлення з одноразовим кодом, здійснює голосовий виклик або просить прикласти палець до сканеру.

Деякі власники дорогих гаджетів встановлюють на телефон подвійну аутентифікацію у вигляді відбитка пальця і коду (можливо, щоб ревнивий чоловік або дружина не змогли розблокувати девайс пальцем сплячої половинки).

Зворотна сторона медалі

На перший погляд, підвищення надійності не може бути поганим вибором, однак є низка нюансів:

1. Якщо другий етап аутентифікації передбачає використання мобільного телефону, обов'язково потрібно, щоб він знаходився в зоні дії мережі. Це може викликати незручності у поїздці до іншої країни. Коли потрібно отримати доступ до даних швидко, перевірка в декілька етапів (особливо якщо йдеться про смс-повідомлення, доставка якого може зайняти час) виявляється дуже незручною.
2. Текст повідомлення, яке відправляється користувачу на другому етапі стандартної подвійної верифікації, не шифрується і може бути перехваченим навіть новачком-хакером, що знає потрібний номер телефону.

Через подібні недоліки все більше систем застосовують біометричну ідентифікацію, зокрема, сканер відбитка пальця, вбудований у більшість сучасних смартфонів. Палець отримати дещо складніше, ніж пароль (сенсор не спрацює на відрізану кінцівку).

Як вибрати відповідний захист

Зазвичай користувачам рекомендується застосовувати багатофакторну аутентифікацію тільки якщо йдеться про доступ до даних, втрата або компрометація яких призведе до серйозних наслідків. В інших випадках краще користуватися багаторазовими і, якщо потрібно підвищити рівень безпеки, одноразовими паролями.

Змінюйте паролі періодично (1-2 рази на рік мінімум). Чим важливішою є інформація, яка захищається, тим частіше потрібно генерувати новий пароль. Ніколи не використовуйте в якості пароля імена, значущі дати та іншу інформацію, яку легко підібрати. Замість багаторазового пароля краще використовувати пасфрази. Це набір слів, видозмінений на розсуд власника.

Наприклад, Ви — великий шанувальник італійської кухні. Можна зробити зі слова «спагетті» пасфразу.
Спагетті — Spaghetti — sp48hett1.
Це все ще Ваші улюблені макарони, але слово вже слабо вгадується і підібрати такий пароль, особливо, якщо зробити його довшим, буде вкрай складно.

Також існують спеціальні застосунки, які забезпечують додатковий рівень захисту облікових записів завдяки другому етапу перевірки під час входу — введенню коду. Одним з таких застосунків є Google Authenticator. У ньому можна згенерувати код на телефоні навіть при відсутності інтернет-з'єднання.

При організації системи безпеки на підприємстві рекомендується передбачити кілька етапів перевірки. Скільки підтверджень потрібно буде надати, залежить від того, наскільки серйозну операцію потрібно виконати. Для щоденних дій буде достатньо складного багаторазового пароля, для чогось більш серйозного слід підключити другий етап перевірки. Ну, а якщо йдеться про доступ до сховища бриліантів/швейцарського банку/секретної військової бази — краще перевіряти в три етапи.

Досягти 100% захисту — нереальне завдання, адже щоденно з’являються і вдосконалюються всілякі фішингові атаки (шахрайство для отримання особистих даних користувача) і шкідливі програми. Однак потрібно йти в ногу з часом і не нехтувати захистом даних. Використовуйте двофакторну аутентифікацію, якщо йдеться про захист ділової пошти, акаунта в інтернет-банку і сторінки в соціальній мережі з компрометуючою перепискою. На сайтах і в акаунтах, де не зберігається нічого важливого, для авторизації буде достатньо пасфрази, багаторівнева система підтвердження просто відбере час.