Всем привет! Сегодня мы простыми словами поговорим про аутентификацию, авторизацию, и про то – как происходит проверка личности в сети. Аутентификация – процедура проверки подлинности, повсеместно встречающаяся в сфере информационных технологий.
Более подробно
Подлинность проверяется и на сайтах, путем сравнения добавленных в текстовое поле «Password» символов и букв с паролями, сохраненными в базе данных, и в сети – для проверки целостности файлов, документов и даже электронных писем. В масштабах современного мира без аутентификации невозможно представить и пары серьезных приложений. А потому важно разобраться, откуда взялась проверка подлинности и до каких вершин добралась в процессе развития.
Но перед стартом важно разобраться в «словах» и в том, что скрывается за «аутентификацией». И начать лучше с примеров, часто вызывающих путаницу:
- Идентификация – процедура распознавания субъекта.
- Аутентификация – процесс подтверждения того, что субъект соответствует характеристикам (идентификатору) и обладает доказательствами, подтверждающими личность.
- А вот авторизация уже помогает определить, какие права доступа выданы субъекту, закончившему аутентификацию, и какие функции разблокируются после.
- Давайте же разберемся – что же такое аутентификация? Эволюция – от простого к сложному:
HTTP Basic Authentication
Базовый и уже редко применяемый протокол аутентификации, основанный на передаче логина и пароля на конкретный сервер, привязанный к клиенту (приложениям, браузеру и сайтам) для проверки пользователей.
Защищается передаваемая информация по стандарту Base64 (двоичная кодировка с помощью 64 символов ASCII), из-за чего и возникает риск столкнуться с утечками и опасностями (вроде атаки «Посредника»).
При использовании незащищенных соединений передаваемые логины и пароли с легкостью перехватываются злоумышленниками на этапе передаче к серверу или уже к клиенту.
HTTP Digest Authentication
Альтернативный этап развития технологии аутентификации, связанный с добавлением к логинам и паролям дополнительного 128-битного алгоритма хэширования (генерируется специальный «отпечаток» произвольной длинны, а после – сверяется с данными, хранящимися на сервере). Из преимуществ – мошенникам сложнее подобрать конфиденциальную информацию, и все же уязвимостей достаточно для перехвата.
Forms Authentication
Промежуточная точка развития, исключающая вывод ошибок до аутентификации.
У Digest и Basic при запросах на страницах защищенных ресурсов выводится стандартная ошибка о недостатке прав и возможностей, помечаемая – как 401 Unauthorized.
При попытке заглянуть на недоступные страницы сайта пользователя перебросит на соседнюю страницу – где и начнется процесс проверки подлинности методом ввода логина и пароля.
В результате формируется специальный HTTP POST-запрос вместе с данными из заполненной веб-формы, и передается на серверное хранилище. Сгенерированные данные изучаются, а после – возвращаются обратно, но уже в форме идентификатора, который хранится в браузере пользователя вместе с «Cookies», и автоматически применяется на всех этапах взаимодействия с защищенным ресурсом.
Token Authentication
Отдельный этап проверки подлинности в сети, основанный на SSO – Single Sign-On, технологии, предусматривающей возможность переключения между ресурсами и приложениями без дополнительного запроса аутентифицироваться.
Что такое Аутентификация: Методы и Элементы
Аутентификация (англ. authentication) — это основа безопасности любой системы, которая заключается в проверке подлинности данных о пользователе сервером.
Она не тождественна идентификации и авторизации. Эти три термина являются элементами защиты информации. Первая стадия — идентификация.
На ней происходит распознавание информации о пользователе, например, логин и пароль. Вторая стадия — аутентификация. Это процесс проверки информации о пользователе. Третья стадия — авторизация.
Здесь происходит проверка прав пользователя и определяется возможность доступа.
Зачем нужна аутентификация
Аутентификация нужна для доступа к:
- Соцсетям
- Электронной почте
- Интернет-магазинам
- Форумам
- Интернет-банкингу
- Платежным системам
Элементы аутентификации
- Субъект — пользователь
- Характеристика субъекта — информация, предоставляемая пользователем для проверки подлинности.
- Владелец системы аутентификации — владелец ресурса.
- Механизм аутентификации — принцип проверки
- Механизм авторизации — управление доступом
Методы аутентификации
- Парольные
- Комбинированные
- Биометрические
- Информация о пользователе
- Пользовательские данные
Самый распространенный метод. Аутентификация может проходить по одноразовым и многоразовым паролям.
Многоразовый пароль задает пользователь, а система хранит его в базе данных. Он является одинаковым для каждой сессии. К ним относятся PIN-коды, слова, цифры, графические ключи. Одноразовые пароли — разные для каждой сессии. Это может быть SMS с кодом.
Комбинированные
Этот метод говорит сам за себя. Аутентификация происходит с использованием нескольких методов, например, парольных и криптографических сертификатов. Он требует специальное устройство для считывания информации.
Биометрические
Это самый дорогостоящий метод аутентификации. Он предотвращает утечку или кражу персональной информации. Проверка проходит по физиологическим характеристикам пользователя, например, по отпечатку пальца, сетчатке глаза, тембру голоса и даже ДНК.
Информация о пользователе
Она используется для восстановления логина или пароля и для двухэтапной аутентификации, чтобы обеспечить безопасность. К этому методу относится номер телефона, девичья фамилия матери, год рождения, дата регистрации, кличка питомца, место проживания.
Пользовательские данные
Этот метод основывается на геоданных о местоположении пользователя с использованием GPS, а также использует информацию о точках доступа беспроводной связи. Недостаток заключается в том, что с помощью прокси-серверов можно подменить данные.
Классификация видов аутентификации
В зависимости от количества используемых методов
- Однофакторная. Используется только один метод.
- Многофакторная. Используется несколько методов.
В зависимости от политики безопасности систем и уровня доверия
- Односторонняя. Пользователь доказывает право доступа к ресурсу его владельцу.
- Взаимная. Проверяется подлинность прав доступа и пользователя и владельца сайта. Для этого используют криптографические способы.
Чтобы защитить владельца сайта от злоумышленников, используют криптографические протоколы аутентификации.
Типы протоколов обусловлены тем, где происходит аутентификация — на PC или в сети.
Аутентификация на PC
- Login
- PAP (Password Authentication Protocol) — логин и пароль
- Карта доступа — USB и сертификаты
- Биометрические данные
Аутентификация в сети
- Cookies. Используются для отслеживания сеанса, сохранения предпочтений и сбора статистики. Степень защиты невысокая, однако привязка к IP-адресу решает эту проблему.
- Kerberos. Протокол взаимной аутентификации с помощью криптографического ключа.
- SAML (Security Assertion Markup Language) Язык разметки, который позволяет сторонам обмениваться данными аутентификации.
- SNMP (Simple Network Management Protocol) Протокол, который контролирует подключенные к сети устройства.
- Сертификаты X.509 Сертификаты с открытым ключом.
- OpenID Connect. Используется для создания единой учетной записи для аутентификации на разных ресурсах.
Ресурсы
- В этой статье детально рассмотрены элементы, факторы и способы аутентификации.
- В этой статье объясняют, для доступа на какие сервисы нужна аутентификация и рассматривают классификацию её методов.
Что такое аутентификация: какие ее виды бывают и чем отличаются
Аутентификация в node.js. учебные руководства и возможные ошибки
Литературная подделка может включать в себя имитацию стиля известного автора. Если доступна оригинальная рукопись , машинописный текст или запись, то сам носитель (или его упаковка — от коробки до заголовков электронного письма ) может помочь доказать или опровергнуть подлинность документа.
Однако текст, аудио и видео можно скопировать на новый носитель, возможно, оставив только сам информационный контент для использования при аутентификации. Были изобретены различные системы, позволяющие авторам предоставлять читателям средства для надежной аутентификации того, что данное сообщение исходит от них или было передано ими.
Сюда входят такие факторы аутентификации, как:
- Сложный для воспроизведения физический артефакт, например печать , подпись , водяной знак , специальные канцелярские товары или отпечаток пальца .
- Общий секрет , например, ключевой фразы, в содержании сообщения.
- Электронная подпись ; Инфраструктура открытого ключа часто используется для криптографической гарантии того, что сообщение было подписано держателем определенного закрытого ключа.
Противоположная проблема — это обнаружение плагиата , когда информация от другого автора выдается за собственную работу. Распространенным методом доказательства плагиата является обнаружение другой копии того же или очень похожего текста, имеющей другую атрибуцию. В некоторых случаях чрезмерно высокое качество или несоответствие стиля могут вызвать подозрение в плагиате.
Подтверждение грамотности и литературы
В области грамотности аутентификация — это процесс проверки читателем правдивости того или иного аспекта литературы, а затем проверка этих вопросов посредством исследования.
Фундаментальный вопрос для аутентификации литературы: верит ли кто-то в это? В связи с этим проект аутентификации — это деятельность по чтению и письму, при которой студенты документируют соответствующий исследовательский процесс (). Это повышает критическую грамотность учащихся.
Документация по литературе выходит за рамки повествовательных текстов и, вероятно, включает информационные тексты, первоисточники и мультимедиа. Этот процесс обычно включает как Интернет, так и практическое библиотечное исследование
В частности, при проверке подлинности исторической беллетристики читатели принимают во внимание степень правдоподобия основных исторических событий, а также изображаемой культуры (например, язык, одежда, еда, гендерные роли) для данного периода.
Включить или отключить дополнительную аутентификацию?
Авторизация и аутентификация
Обычно, когда речь заходит о сетевой безопасности, сервисы предлагают нам сделать самостоятельный выбор. Мы можем либо усложнять получение доступа и выполнение платежей, либо отказываться от этого. Ошибка многих пользователей, по моему мнению, — это как раз нежелание обеспечивать свою безопасность.
Поэтому я сторонник того, чтобы потратить лишние пару секунд, но всегда знать, что взломать меня невозможно, ну или это будет очень-очень сложно!
Я думаю, дорогие друзья, теперь вы понимаете, что такое аутентификация и какова её роль. Я не буду вдаваться в чисто технические моменты, например, почему не работает аутентификация Wifi на телефоне и ее как исправить.
1 Определение понятия
Идентификация — многозначный термин, применяющийся в различных науках. Определение этого понятия в психологии: идентификация человека представляет отождествление себя с другим индивидом или группой лиц.
Это нормальный психофизический процесс, с помощью которого человек приобретает новый опыт и качества, пока не наметится самостоятельный путь развития личности.
Благодаря идентификации у ребенка с первых недель жизни начинают формироваться многие черты личности, половая идентичность, приобретаются поведенческие стереотипы, определяются ценностные ориентации. Неосознанно следуя идеалам, человек преодолевает слабости и чувство неполноценности.
Идентификация в социологии — это механизм социализации личности, при помощи которого человек усваивает ценности и нормы, принятые в том обществе, с которым он себя идентифицирует.
Идентификация — это бессознательная реакция человеческой психики. Если говорить простыми словами, то она возникает, например, при чтении художественной литературы или просмотре фильма в форме сопереживания героям. Сопереживание бывает настолько сильным, что возникает мысленное перевоплощение в персонажа.
В дальнейшем у индивида может закрепиться поведение и черты характера любимых героев как собственные. Благородство, честность, бесстрашие взрослого человека может частично стать результатом чтения книг и увлечения соответствующими фильмами в детском и подростковом возрасте.
Женственность, нравственность, поведение истинной леди прививается девочкам-подросткам при чтении романтических историй.
Уподобление себя персонажу может произойти лишь в том случае, когда художественное произведение по-настоящему нравится читателю или зрителю. Родителям не следует ожидать, что ребенку постепенно передадутся те или иные качества литературных героев, если они заставляют подростка читать произведение, а оно не вызывает у ребенка подлинного интереса, сильных эмоций, ярких переживаний.
В повседневном общении идентификация выражается в бессознательном стремлении быть похожим на партнера, знакомого, с которым связывают совместные дела и переживания, или «товарища по несчастью».
Влившись в трудовой коллектив, молодой специалист на бессознательном уровне выбирает для себя образец для подражания, на личностные качества и стиль поведения которого он будет ориентироваться в овладении профессиональными умениями.
Идентификация возникает в связи с обществом, к которому человек себя относит (субкультуры хиппи, панков, хипстеров, сообщества молодых мам, члены одной секты, фанаты музыкантов и спортсменов и др.).
Доступ к ресурсным API
Допустим, мы хотим использовать токен доступа для вызова API из одностраничного приложения. Как это выглядит?
Мы рассмотрели аутентификацию выше, поэтому давайте предположим, что пользователь вошел в наше приложение JS в браузере. Приложение отправляет запрос авторизации на сервер авторизации, запрашивая токен доступа для вызова API.
Затем, когда наше приложение хочет взаимодействовать с API, мы присоединяем токен доступа к заголовку запроса, например, так:
# HTTP заголовок запроса
Authorization: 'Bearer eyj'
Затем авторизованный запрос отправляется в API, который проверяет токен с помощью промежуточного программного обеспечения middleware. Если все проверено, то API возвращает данные (например, JSON) в приложение, запущенное в браузере.
Это замечательно, но есть кое-что, что может произойти с вами прямо сейчас. Ранее мы заявляли, что OAuth решает проблемы с излишним доступом. Как это решается здесь?
Единая точка входа (Single Sign On, SSO)
Что такое аутентификация и какая она бывает
Аутентификация (англ. authentication – подтверждение подлинности) – это процедура, во время которой определяется достоверность предоставленной информации (логин, пароль). То есть выясняется, действительно ли пользователь тот, кем представляется согласно введенным данным.
Выделяют два типа – слабую (или однофакторную) и сильную (или двухфакторную, двойную) аутентификацию.
Однофакторная аутентификация
Классический вариант – аутентификация с помощью пароля. Некоторые пользователи грешат тем, что придумывают себе единый пароль для всех сайтов, которые требуют ввода данных для регистрации.
Логично, что один легче запомнить, чем десять разных. Впрочем, его легко и подобрать. По этой причине некоторые информационные системы используют временные пароли, смс-коды и т.д.
Такой вариант интересен тем, что не нужно запоминать комбинации из «не менее 8 букв и цифр».
Но от пользователя требуется иметь при себе устройство (например, мобильный телефон), на которое придет вышеуказанный идентификатор.
Двухфакторная аутентификация
По названию понятно, что двухфакторная аутентификация – это подтверждение личности пользователя с помощью двух или более факторов. Просто одного пароля недостаточно. Причина в том, что существует возможность подобрать комбинацию символов, даже самую мега-сложную.
Популярный вариант 2-факторной аутентификации – два пароля, один постоянный, другой одноразовый. Последний доставляется, допустим, в СМС сообщении. Настоящим будет пользователь, которому известна комбинация символов постоянного пароля и имеет с собой телефон для получения временного пароля. Мобильное устройство выступает вторым обязательным для аутентификации фактором.
Двусторонний тип аутентификации обеспечивают многие сервисы, предлагая пользователю самостоятельно выбрать цепочку взаимосвязи факторов.
Гарантировать максимальную безопасность может только двухэтапная аутентификация, когда одним из факторов выступает биометрия.
Способы аутентификации
С применением пароля
Парольная аутентификация ─ это когда пользователь идентифицируется по определенной комбинации символов, известной только ему. В качестве идентификатора используют и многоразовый пароль, что повторяется каждый раз для входа в систему (PIN код карточки или пароль для разблокировки телефона), и временный одноразовый, что присылают на email или телефон клиента.
Установка паролей ─ самый часто встречающийся вид однофакторной аутентификации, хоть он и не гарантирует подлинность пользователя. Одним паролем могут пользоваться несколько сотрудников-коллег. В таком случае, одному из них ничего не стоит изменить его или подменить владельца пароля. Тайна, известная двум людям, перестает быть тайной.
Взлом, кража, перехват паролей… Технологии развиваются и не каждый использует их для благого дела. Приходится искать альтернативные варианты защиты персональных данных и надежной парольной защиты:
- Технические ограничения. Другими словами, это требования к паролям – не менее 6 символов, только латиница, обязательно с упоминанием цифр и т.д.
- Срок действия. Периодическая смена комбинации символов повышает надежность защиты.
- Ограничение доступа к файлу, где хранятся пароли.
- Ограничение на число попыток входа. Если неправильный пароль вводится свыше допустимого числа раз, система получает уведомление об ошибке аутентификации и блокирует дальнейшие попытки.
- Использование генератора паролей.
- Обучение сотрудников элементарным способам информационной безопасности.
Перечисленные методы применяют и в случае выбора других типов аутентификации.
С применением пользовательского предмета
Зависимо от данных, которые передают в систему, носителями информации могут выступать:
- Цифровой сертификат или электронная подпись
- Аппаратный токен
- Смарт-карта
- Электронная таблетка iButton (или Touch Memory)
- Карта с магнитной полоской
Человек, который держит в руках один из вышеуказанных носителей информации, будет являться подлинным пользователем. И здесь следует помнить о человеческом факторе и возможности кражи.
С применением биометрических данных
Биометрические системы аутентификации опираются на неповторимые человеческие физиологические и психологические характеристики.
- Физиологические (или статические) знают все благодаря голливудским фильмам: это и отпечаток пальца, и рисунок сетчатки глаза, и геометрия лица, руки и т.д.
- Психологические (или динамические) более редкие, но тоже эффективные: тембр голоса, сила нажатия кнопок, динамика личной подписи, координация движений рук и глаз и т.д.
Биометрическая аутентификация ─ это один из надежных и совершенных типов аутентификации, поскольку «информационные носители» невозможно украсть и сложно подделать. Есть гарантия, что пользователь именно тот, за которого себя выдает, реальный и подлинный.
С применением личной информации пользователя
Пользовательская личная информация редко используется в качестве единого фактора для аутентификации. Зачастую она выступает в связке с несколькими идентификаторами и используется для восстановления пароля (логина или других данных). Для аутентификации система запрашивает информацию, которая напрямую касается человека, что выполняет вход/регистрируется:
- номер телефона,
- дату рождения,
- название любимой футбольной команды,
- кличку питомца,
- девичью фамилию матери.
С помощью местонахождения пользователя
Аутентификация пользователя по его местоположению – новое направление в категории защитных механизмов. Смысл работы в том, что за основу аутентификации берутся данные GPS (Global Positioning System) ─ системы спутниковой навигации.
Пользователь применяет GPS аппаратуру для отправки своих координат. С помощью спутников месторасположение определяется вплоть до метра. Следовательно, пользователю разрешают или запрещают доступ. Этот тип аутентификации характеризуется высокой надежностью, потому что отследить и перехватить спутниковый сигнал достаточно сложно. При этом GPS аппаратура проста в использовании.
С помощью ключа
Это тип аутентификации в wi fi сетях характерный для гаджетов, телефонов. Для нее используются ключи разных типов: динамическая аутентификация WPA, WPA2, по MAC-адресу. Что это такое, вы можете почитать в статье Wikipedia о сетевых методах аутентификации wi fi.
С применением комбинаций методов удостоверения личности (многофакторная аутентификация)
Объединение методов идентификации юзера повышает уровень защиты. Выбирая элементы безопасности опирайтесь на законы и бизнес-стандарты, потребности и удобство пользователя. Не стоит объединять пароль и одноразовый код активации, отправленный по email, когда у человека нет возможности этот email получить и прочитать.
Протоколы аутентификации
Пользователь использует для аутентификации персональный идентификатор ─ неповторимый ключ (при идентификации через протокол) или пароль.
Характеристики протоколов аутентификации:
Говоря о безопасности протоколов и их возможности противостоять ряду атак, выделяют одностороннюю аутентификацию, двухстороннюю аутентификацию и криптографические протоколы аутентификации.
Какие бывают протоколы аутентификации
Выбор протокола зависит от того, где происходит аутентификация – на ПК или в сети.
Есть ряд стандартных протоколов для аутентификации по паролю на персональном компьютере (например, в веб-приложениях). Одним из них является HTTP аутентификация по протоколу HTTP 1.0/1.1.
Смысл его работы следующий:
- Когда не авторизованный клиент пытается зайти на защищенный ресурс, сервер определяет статус клиента как Unauthorized и запрашивает аутентификацию.
- Следующим шагом браузер выводит диалоговое окно для ввода логина и пароля.
- После авторизации при переходе клиента на другие страницы сайта, браузер автоматически добавляет статус Authorization в HTTP заголовках.
- На основе данных из HTTP заголовка принимается решение, допускать или нет пользователя к защищенным данным сайта.
Процесс HTTP аутентификации – стандартный и работает для всех видов браузеров. Да, существуют и нестандартные протоколы. Например, php аутентификация, которая применяется при разработке клиент-серверных приложений. Тогда статусы и остальные данные прописываются и сохраняются в других частях запроса.
Итого, при аутентификации пользователя на ПК используются такие методы, как: ввод логина и пароля, биометрические данные, USB-токены и сертификаты.
Для аутентификации в сети существуют протоколы и сертификаты, которые идентифицируют пользователя и собирают статистику о его действиях и предпочтениях. Часто мы, будучи пользователями, встречаем информацию о файлах Cookies. Своего рода открытую аутентификацию. Куки привязываются к IP-адресу и используются для отслеживания действий и предпочтений пользователя.
Как видите, аутентификация – это этап для подтверждения личности пользователя при входе в систему. Способы и методы аутентификации продолжают развиваться, совершенствоваться и улучшаться.
Что такое аутентификация
Аутентификация[1] — это процесс проверки подлинности чего-либо. Термин чаще всего используется в среде информационных технологий. Примером аутентификации может быть сравнение пароля, введенного пользователем, с паролем, который сохранен в базе данных сервера. Подобная проверка может быть как односторонней, так и взаимной — все зависит от способа защиты и политики безопасности сервиса.
Методы аутентификации
Методы аутентификации разделяются в зависимости от типа ресурса, структуры и тонкостей организации сети, удаленности объекта и технологии, которая используется в процессе распознавания. На основании степени конфиденциальности можно выделить несколько уровней аутентификации:
- доступ к информации, утечка которой не несет значимых последствий для пользователя и интернет-ресурса — в такой ситуации достаточно применения многоразового пароля;
- раскрытие или пропажа данных приведут к существенному ущербу — необходима более строгая аутентификация: одноразовые пароли, дополнительная проверка при попытке доступа к остальным разделам ресурса;
- доступ к системам конфиденциальных данных предусматривает использование взаимной аутентификации и многофакторных методов поверки.
Классификация способов аутентификации
Все методы аутентификации можно разделить на одностороннюю (проверка осуществляется только одной стороной) и взаимную (в проверке данных принимают участие обе стороны).
Также выделяют однофакторный и криптографический способ. Самым популярным примером применения однофакторных систем являются пароли.
В зависимости от уровня организации и степени конфиденциальности данных, они могут быть многоразовыми (менее защищенный вариант) и одноразовыми.
Все способы аутентификации можно расположить по возрастанию их сложности.
Базовая аутентификация
При применении этого вида аутентификации логин пользователя и его пароль входят в состав веб-запроса. Любой перехватчик пакета информации без труда узнает засекреченные данные.
Данный способ не рекомендуется использовать даже в ситуациях, когда засекреченные данные не несут существенной информации ни для пользователя, ни для интернет-ресурса.
Данное обстоятельство связано с тем, что большинство людей используют в сети один и тот же пароль для всех сервисов, которыми они пользуются.
По данным Sophos (компания-производитель средств информационной безопасности), 41% интернет-пользователей применяют одни и те же данные для регистрации для различных платформах, будь то банковская страница или форум, посвященный их любимому хобби.
Дайджест-аутентификация
Вид аутентификации, который подразумевает передачу пользовательских паролей в хешированном состоянии. На первый взгляд может показаться, что уровень защиты в данном случае немногим отличается от базовой проверки.
На деле это не так: к каждому паролю добавляется произвольная строка, состоящая из символов (хэш), которая генерируется отдельно на каждый новый веб-запрос.
Постоянное обновление хеша не дает злоумышленнику возможности расшифровать пакет данных — каждое новое подключение образует другое значение пароля.
Системы и методы аутентификации пользователей
Сегодняшние методы аутентификации дают возможность подобрать подходящую конфигурацию под разные ситуации.
Для компьютерной игры без микротранзакций подойдет обычный пароль, интернет-банкинг потребует двухфакторной аутентификации, а для некоторых государственных услуг понадобятся не только постоянный и временный пароли, но и документ, подтвержденный электронной цифровой подписью. Статья поможет разобраться, какая защита целесообразна в различных случаях.
Введение
Как отличить специалиста по безопасности от обычного человека? Специалист по безопасности знает разницу между идентификацией, аутентификацией и авторизацией.
Неудивительно, впрочем, что эти слова пытаются использовать как синонимы, поскольку все три понятия являются частями одного общего процесса.
Первое постепенно перетекает во второе, а второе служит отправной точкой для третьего, так что на первый взгляд не всегда ясно, где заканчивается один этап и начинается следующий. Однако суть каждого из них выделяется четко и ясно.
Аутентификация заслуживает особого внимания, когда речь идет о защите, поскольку ее задача – удостовериться, что пользователь действительно является тем, за кого себя выдает.
На третьем шаге процесса авторизация выдаст ему полномочия для действий в информационной системе, и если эти права достанутся постороннему человеку, то последствия могут быть весьма печальны.
Соответственно, идет постоянный поиск таких решений, которые с безупречной надежностью отличали бы нужного пользователя от всех остальных.
Российское общество и государство довольно давно информатизируются, догоняя восточные страны и оставляя позади западные. Чем больше сторон жизни людей уходит в информационные системы, тем больше становится нагрузка на средства аутентификации.
Важные данные граждан, взаимодействующих с «электронным правительством» или с банками, естественным образом становятся интересны злоумышленникам; органы власти, в свою очередь, закономерно реагируют и выдвигают строгие требования к безопасности таких систем, чтобы не терять контроль над ситуацией и гарантировать людям защищенность их сведений.
Именно поэтому выбор и методов аутентификации в целом, и конкретных решений для их реализации уже не ограничивается только эргономикой и расчетом рисков: влиятельным фактором становится законодательная регуляция, причем со стороны не только государственных нормативных актов, но и отраслевых стандартов. Еще два года назад появился первый прототип ГОСТа по идентификации и аутентификации, что свидетельствует о внимании государства к таким вопросам и о намерении их решать.
Обратимся к существующим методам аутентификации и освежим в памяти то, насколько они соответствуют требованиям времени – в том числе применительно к отечественной специфике.
Однофакторная аутентификация
Фактор аутентификации – это, обобщенно говоря, атрибут, по которому удостоверяется подлинность пользователя. В роли фактора могут выступать материальные объекты (аппаратные устройства, части тела) или нематериальные сущности (кодовые слова, файлы). Простейший случай аутентификации – использование одного фактора.
Пароли
Классика удостоверения личности в информационных системах – пароль. Он так прочно ассоциируется с аутентификацией, что иногда считается ее сущностью.
Например, в ГОСТе по судебно-технической экспертизе (Р 57429-2017) значится, что аутентификация пользователя – это «процедура проверки подлинности пользователя путём сравнения введенного им пароля с паролем, сохраненным в базе данных пользователей».
Кажется очевидным, что здесь подразумевается постоянный, или многоразовый, пароль, который пользователь запоминает и воспроизводит каждый раз, когда ему нужно подтвердить свою подлинность.
Вряд ли мы очень преувеличим, если скажем, что в качестве фактора аутентификации постоянный пароль давно всем надоел. Если он прост, то его легко запомнить, но тогда он без большого труда подбирается, в том числе и банальным брутфорсом.
Если он сложен, его трудно подобрать, но в то же время тяжело и запомнить – и тогда надежные бессмысленные комбинации символов просто записываются на листочках и наклеиваются на монитор.
Помимо этого, средний пользователь современного Интернета зарегистрирован на десятках (если не на сотне-другой) разных ресурсов и сервисов, и каждый из них требует от него пароль. Один пароль на все сайты удобен, но небезопасен.
Отдельный пароль для каждого сайта безопасен, но неудобен, поскольку пользователь нуждается либо в великолепной памяти, либо в хранилище для кодовых слов (которое опять же можно взломать). Одним словом, постоянный пароль давно уже годится только для некритичных активов или учетных записей, ограниченных в правах.
Что такое аутентификация и Двухфакторная аутентификация простыми словами (виды и примеры)
Безопасность аккаунтов в социальных сетях, мессенджерах и на страницах развлекательных и информационных сайтов часто находится под угрозой. Но не по вине программистов, веб-мастеров или уязвимых баз данных.
А из-за нежелания пользователей заранее разобраться в параметрах безопасности. Кроме надежного пароля, состоящего из 8-10 знаков нижнего и верхнего регистра, цифр и символов, не помешает активировать еще и двухфакторную аутентификацию.
Как и зачем – пора разбираться.
Коротко о главном
Если проверка пройдена, то доступ ко всем возможностям сразу открывается. Раньше для защиты аккаунтов хватало лишь сложного и запутанного пароля, но с недавних пор злоумышленники научились обходить проверку и добираться до конфиденциальной информации. А потому появилась альтернатива классическому способу.
Двухфакторная аутентификация (или еще двухэтапная, сокращенно – 2FA) кроме логина и пароля задействует дополнительную систему подтверждения входа.
Какую – зависит от инструментов под рукой: многие настраивают SMS-коды, прикрепляют к профилю адрес электронной почты или рассчитывают на помощь специальных сервисов.
Важен даже не способ реализации, а в принципе наличие дополнительной проверки, усложняющей жизнь злоумышленникам.
Преимущества и недостатки каждого из способов защиты:
- Аутентификация. Потребуется лишь логин и пароль от зарегистрированного на сайте (в социальных сетях, мессенджерах или игровых клиентах) аккаунта. После ввода конфиденциальная информация сверяется с базой данных и, если текстовые поля заполнены корректно, то результатом проверки становится доступ к личному кабинету (корзине, платежным системам и иным разделам, скрытым от неавторизированных пользователей). Преимущество очевидное: экономия времени – никаких дополнительных действий, настроек и проверок. Ключевой недостаток – низкий уровень безопасности: если кому-то еще известны логин и пароль, то с прохождением авторизации, как и с доступом к конфиденциальной информации, не возникнет проблем.
- Двухфакторная аутентификация. Запрашивает кроме логина и пароля (базовой конфиденциальной информации) дополнительные данные. Например, одноразовый код, отправленный в SMS на прикрепленный к личному аккаунту номер мобильного телефона, или цифровую комбинацию, переданную в письме на e-mail. Ключевое преимущество 2FA – почти максимальный уровень безопасности. Кроме пароля злоумышленникам предстоит перехватить еще и SMS с код-паролем или дополнительную информацию из e-mail. Двухфакторная аутентификация еще и предупреждает о попытках взлома: те же социальные сети сразу рассказывают о том, с какого IP-адреса и техники совершалась попытка входа.Недостатков у 2FA несколько: требуется больше времени на прохождение авторизации, а дополнительные средства проверки должны быть под рукой (ту же SMS принять в роуминге пожелают далеко не все).
Виды двухфакторной аутентификации
Различают целую коллекцию методов идентификации пользователей, способных дополнить классический сценарий заполнения текстовых полей Login и Password:
- SMS с одноразовым код-паролем. Крайне распространенный вариант проверки доступа. Применяется банковскими сервисами и на этапе авторизации, и при подтверждении транзакций. Доступен для настройки и на сторонних сайтах, а еще в социальных сетях и мессенджерах.
- Письмо на адрес электронной почты. Альтернатива классическим SMS. Выдает код-пароль в письме, высылаемом на e-mail, или специальную ссылку для прохождения авторизации. Вариант не слишком совершенный – к почте злоумышленники способны подобрать пароль методом брута – через связки логинов и паролей, найденных в специальных базах данных.
- Подтверждение через специальные сервисы.
Аутентификация – проверка подлинности. Примеры использования и способы аутентификации
Последнее обновление: 18/09/2018
При использовании интернета, пользователи часто натыкаются на незнакомые термины, например — аутентификация. Давайте разберемся в значении, а так же выясним, где и зачем применяется аутентификация.
Чаще термин применим в сфере IT технологий, где под аутентификацией понимают процедуру проверки подлинности.
Обычно используется при доступе к интернет-сервисам: электронная почта, социальные сети, форумы, банковские и платежные системы.
При этом важно не путать аутентификацию с авторизацией, где субъекту предоставляются определенные права на выполнение определенных действий. Итак, авторизация — предоставление доступа, аутентификация — проверка прав доступа.
Примеры использования аутентификации:
- Подтверждение электронной почты при регистрации на сайте.
- Проверка правильности вводимого логина и пароля, при входе на форум или другой веб ресурс.
- Подтверждение банковских или финансовых операций.
- Разблокировка экрана смартфона, путем считывания биометрического кода, ввода цифрового или другого кода.
- Подключение телефона к Wi-Fi сети.
- Соединение компьютера с телефоном через Wi-Fi сеть.
Способы аутентификации
Условно используемые методы аутентификации разделяются на два типа: одно и двустороннюю, где проверка осуществляется на одной стороне или проверку выполняют обе стороны. Ещё используются однофакторный способ – ввод пароля, криптографический – с использованием ключа. Причем используются два вида пароля – постоянный, одноразовый – каждый раз новый.
Ниже рассмотрим несколько популярных протоколов аутентификации.
В основе данного метода используется известная комбинация — логина и пароля. Вы вводите данные, система сверяет информацию в базе, при совпадении, разрешает вход, например на страницу социальной сети, форума или сайта. При этом информация отправляется в незашифрованном виде, что позволяет злоумышленникам, легко перехватить данные.
Дайджест
Аналогичный базовому способу вид аутентификации, с передачей логина и пароля. При этом к паролю добавляется хэш – строка, состоящая из произвольного набора символов. При каждом посещении сайта, генерируется уникальный код, что не позволяет злоумышленникам перехватить и расшифровать пароль. На основе такого метода работает большинство современных браузеров.
HTTPS
При использовании данного метода, логин и пароль шифруется. Аналогичные действия выполняются и с другими данными – адреса, реквизиты кредитных и банковских карт. При этом такой способ существенно ухудшает скорость соединения.
Цифровой сертификат
Использование такого протокола, подразумевает отправку пользователю адреса, в виде набора символов. В качестве ответа используется запрос сервера, подписанный с использованием персонального ключа.
Посещая определенный ресурс, на стороне пользователя сохраняются данные, именуемые куки. При последующем подключении к сайту, браузер отправляет сохраненную часть данных, в виде одной из составных частей HTTPS запроса. Кроме того куки используются для сохранения настроек пользователем. Степень защищенности такого метода – низкая, поскольку похитить куки не составляет сложностей.
Многофакторная аутентификация
Данный вид аутентификации подразумевает использование двух или более способов доказательства подлинности. Например, первым используется классический вариант – логин-пароль, а вторым – уникальный цифровой код, отправленный на мобильный номер телефона, либо электронную почту.
Вывод
Теперь вы знаете, что аутентификация это процедура проверки подлинности, проверка права доступа через логин и пароль.
Если вы активный пользователь интернета или переживаете за конфиденциальность личных данных, тогда лучше использовать двухфакторную аутентификацию.
В качестве дополнительной проверки, используйте номер сотового телефона или электронной почты. Поскольку такой вариант усложнит злоумышленникам взломать вашу учетную запись.
А какой протокол используете вы? Поделитесь своим мнением в х.
Загрузка...
