Аутентификация — что это такое и почему сейчас повсеместно используется двухфакторная аутентификация

Коды в SMS небезопасны — рекомендуем пользоваться другими вариантами двухфакторной аутентификации

За последние пару лет идея двухфакторной аутентификации, о которой так долго говорили гики, сильно продвинулась в массы. Однако до сих пор в большинстве случаев речь идет о двухфакторной аутентификации при помощи одноразовых паролей, приходящих в SMS. А это, к сожалению, не очень-то надежный вариант. Вот что может пойти не так:

• Пароль в SMS можно подсмотреть, если у вас включен показ уведомлений на экране блокировки.
• Даже если показ уведомлений отключен, можно извлечь SIM-карту из смартфона, установить в другой смартфон и принять SMS с паролем.
• SMS с паролем может перехватить пробравшийся в смартфон троян.
• Также с помощью различных махинаций (убеждение, подкуп, сговор и так далее) можно заполучить новую SIM-карту с номером жертвы в салоне сотовой связи. Тогда SMS будут приходить на эту карту, а телефон жертвы просто не будет связываться с сетью.
• Наконец, SMS с паролем может быть перехвачена через фундаментальную уязвимость в протоколе SS7, по которому эти SMS передаются.

Надо заметить, что даже самый трудоемкий и высокотехнологичный из перечисленных методов перехвата пароля в SMS — с помощью взлома протокола SS7 — уже был использован на практике. Так что речь не о теоретической возможности возникновения неприятностей, а о вполне практической угрозе.

В общем, пароли в SMS — это не очень-то безопасно, а иногда даже и очень небезопасно. Поэтому есть смысл озаботиться поиском альтернативных вариантов двухэтапной аутентификации, о чем мы сегодня и поговорим.

Одноразовые коды в файле или на бумажке

Наиболее простая замена одноразовым паролям, присылаемым в SMS, — это те же самые одноразовые пароли, но заготовленные заранее. Это не самый плохой вариант, особенно для тех сервисов, в которых вам надо авторизовываться сравнительно редко. Собственно, даже для того же «Фейсбука» этот метод вполне может подойти, особенно в качестве резервного способа входа.

Работает это очень просто: по запросу сервис генерирует и показывает на экране десяток одноразовых кодов, которые в дальнейшем могут быть использованы для подтверждения входа в него. Дальше вы просто распечатываете или переписываете эти коды на бумагу и кладете в сейф. Или, что еще проще, сохраняете в зашифрованных записях в менеджере паролей.

В общем, не так важно, будете ли вы хранить эти коды на теплой ламповой бумаге или в бездушном цифровом виде — важно сохранить их так, чтобы они а) не потерялись и б) не могли быть украдены.

Приложения для двухфакторной аутентификации

У единожды сгенерированного набора одноразовых кодов есть один недостаток: рано или поздно он закончится, и вполне может так получиться, что вы останетесь без кода в самый неподходящий момент. Поэтому есть способ лучше: можно генерировать одноразовые коды на лету с помощью небольшого и, как правило, очень простого приложения — аутентификатора.

Как работают приложения-аутентификаторы

Работают приложения для двухфакторной аутентификации очень просто. Вот что придется сделать:

• устанавливаете на смартфон приложение для двухфакторной аутентификации;
• заходите в настройки безопасности сервиса, который среди опций для двухфакторной аутентификации предлагает использовать такие приложения;
• выбираете двухфакторную аутентификацию с помощью приложения;
• сервис покажет вам QR-код, который можно отсканировать прямо в 2FA-приложении;
• сканируете код приложением — и оно начинает каждые 30 секунд создавать новый одноразовый код.

Источник: https://www.kaspersky.ru/blog/2fa-practical-guide/21495/?es_p=7871008

Что такое аутентификация на компьютере и других устройствах, виды аутентификации

Каждый раз, когда пользователь вводит определенные данные для входа на какой-то ресурс или сервис – он проходит процедуру аутентификации. Чаще всего такая процедура в интернете происходит путем ввода логина и пароля, однако существуют и другие варианты.

Процесс входа и ввода личных данных можно условно поделить на 2 уровня:

• Идентификация – это ввод личных данных пользователя, которые зарегистрированы на сервере и являются уникальными
• Аутентификация – собственно проверка и принятие введенной информации на сервере.

Иногда, вместо вышеупомянутых терминов используют более простые – проверка подлинности и авторизация.

Сам процесс достаточно прост, можно разобрать его на примере любой социальной сети:

• Регистрация – пользователь задает электронную почту, номер телефона и пароль. Это уникальные данные, которые не могут дублироваться в системе, поэтому и нельзя регистрировать более одного аккаунта на человека.
• Идентификация – ввод указанной при регистрации информации, в данном случае это электронная почта и пароль.
• Аутентификация – после нажатия кнопки «вход», страница связывается с сервером и проверяет, действительно ли существует данная комбинация логина и пароля. Если все верно, то открывается личная страница социальной сети.

Разновидности авторизации

Существует несколько видов проверки подлинности, которые различаются уровнем защиты и использованием:

• Парольная защита. Пользователь знает некий ключ или пароль, который не известен более никому. Сюда же можно отнести идентификацию путем получения смс
• Использование предметов. Используется в фирмах или предприятиях. Такой метод подразумевает использование карточек, брелков, флешек и т.п.
• Биометрическая проверка. Проверяется сетчатка глаза, голос, отпечатки пальцев. Это одна из самых мощных защитных систем.
• Использование скрытой информации. Используется в основном для защиты программного обеспечения. Происходит проверка кэша браузера, местоположения, установленного на ПК оборудования и др.

  Самые эффективные способы поиска своего двойника по фото

Парольная защита

Это самый популярный и распространенный способ авторизации. При вводе имени и некого секретного кода, сервер сверяет то, что ввел пользователь и то, что хранится в сети. При полной идентичности вводимых данных доступ разрешается.

Пароли бывают двух видов: динамические и постоянные. Отличаются они тем, что постоянные выдаются единожды и изменяются только по требованию пользователя.

Динамические изменяются по определенным параметрам. Например, при восстановлении забытого пароля сервер выдает для входа именно динамический пароль.

Использование специальных предметов

Как упоминалось выше, чаще всего используется для доступа к помещениям с ограниченным доступам, банковским системам и.п.

Обычно в карточку (или любой другой предмет) вшивается чип с уникальным идентификатором. Когда он соприкасается со считывателем, происходит проверка и сервер разрешает, либо запрещает доступ.

Биометрические системы

В этом случае сверяются отпечатки пальцев, сетчатка глаза, голос и т.п. Это самая надежная, но и самая дорогая система из всех.

Современное оборудование позволяет не только сравнивать различные точки или участки при каждом доступе, но и проверяет мимику и черты лица.

Источник: http://composs.ru/autentifikaciya-chto-eto/

Что значит Аутентификация её виды, отличие от Идентификации и Авторизации

Привет читатели seoslim.ru! Каждый пользователь, хоть немного разбирающийся в компьютере понимает, что разработка различных веб-сайтов и приложений, требует особых знаний и навыков.

В данной статье мы изучим такие понятия, как аутентификация (в том числе и двухфакторная аутентификация), идентификация и авторизация.<\p>

Также назовем, чем эти три термина связаны и чем отличаются.

Что такое Аутентификация

Аутентификация представляет собой процедуру подтверждения подлинности.

Проверка осуществляется с помощью электронной подписи либо другого электронного ключа, может быть использован пароль и иные способы.

• Пароль – это введенное при регистрации слово, выданный графический ключ либо PIN-код.
• Механизм – в качестве такого устройства может быть использована карточка либо USB-ключ.
• Биометрика – это сетчатка глаза, отпечаток пальца, голос либо фото.

Данное понятие, чаще всего, применяется к любым информационным носителям. Процедура может быть взаимной и односторонней, наиболее популярным является криптографический метод проверки.

Одним из самых актуальных и востребованных способов проверки подлинности для входа в любую компьютерную систему является ввод пары логина и пароля, которые сохраняются в базе данных при регистрации или создании документа (страницы, аккаунта, кабинета).

Аутентификация состоит из следующих операций:

Если вы впервые входите на сайт и не знаете, что делать то следующий список поможет вам разобраться.

1. Пользователем вводится логин и пароль.
2. Веденная информация сравнивается с информацией в базе данных: при правильном вводе, пользователь попадает в нужный ему раздел (кабинет, страницу).

Пароль проходит проверку:

В некоторых случаях вводимый вами пароль закрыт звездочками (или точками), будьте внимательны при вводе данных.

1. С применение шифров SSL или TLS.
2. В открытом виде.

Двухфакторная Аутентификация 2FA

Двухфакторная аутентификация является одним из вариантов идентификации пользователя.

Используется в различных сервисах, чаще всего, это интернет-ресурсы, связанные с важной информацией либо с приложениями (сайтами), где можно проводить денежные операции.

Двухфакторная Аутентификация подразумевает высший уровень защиты и состоит из таких этапов:

• Ввод логина и пароля.
• Ввод одноразового кода, который приходит на личный телефон пользователя и на указанную им электронную почту.
• В некоторых случаях может понадобиться специальный USB-ключ либо биометрические данные.

На первый взгляд, кажется, что Двухфакторная Аутентификация будет лишней, ведь уже и так создан индивидуальный логин и никому не известный пароль.

Однако стоит отметить, что на сегодня придумано огромное количество различных программ, подбирающих пароли, чем очень часто и пользуются злоумышленники, чтобы добраться к чужим данным.

А имея двойную защиту, никто не сможет получить доступ к вашей странице (аккаунту, кабинету) потому, как дополнительно необходимо иметь доступ к вашему телефону и электронной почте.

Огромным преимуществом является то, что о любых попытках взлома вы будете уведомлены сразу же, ведь если кто-то и сможет угадать ваш пароль, то вам придет подтверждающее СМС, и вы сразу сможете сменить его. На сегодня такой вид аутентификации является самым популярным и безопасным.

Разобрав все системы безопасности, становится ясно, что одной из самых надежных и удобных является двухфакторная аутентификация.

Ведь использовать систему, где необходимы биометрические данные человека не всегда удобно, по той причине, что человек может порезать палец, с которого уже невозможно будет снять отпечаток либо может опухнуть глаз и распознавание сетчатки не произойдет, голос может охрипнуть и многое другое.

Но если уж с вами и случилось что-то подобное не стоит отчаиваться, ведь для этого придуман доступ к системе с помощью резервных кодов – это пароль, который может быть использован один раз в экстренном случае.

Хранить его следует очень хорошо, чтобы никто посторонний не имел к нему выхода, ведь вы должны понимать, что если кто-то найдет его, то он автоматически будет иметь доступ к системе. Помимо этого при входе в программу с помощью резервных паролей, имеющийся пароль должен быть изменен и возможно вы навсегда потеряете доступ к системе.

Что такое Идентификация

Это еще одна из встроенных функций для входа на сервис либо в приложение.

Идентификация  представляет собой процедуру указания личности, когда программа должна распознать идентификатора по предоставленным данным.

В данном случае – логин, объект, желающий войти в систему, указывает свое имя и пароль к нему. Распознавание имени – это идентификация, распознавание пароля — аутентификация.

В целом процедура идентификации и процедура аутентификации напрямую зависят друга от друга. Успешное завершение этих операций подразумевает доступ к запрашиваемой системе — авторизация.

Регистрируясь на каком-либо сайте либо в приложении вы получаете номер либо имя – логин – который и является идентификатором.

Отметим, что в базе данных каждой системы идентификаторы индивидуальны, повторений быть не может.

• Серия и номер паспорта.
• Номер мобильного телефона.
• Адрес электронной почты.
• Номер аккаунта в социальной сети.
• Номер банковской карточки.
• Номер машины.
• IMEI телефона.
• Другое.

Что такое Авторизация

И последнее, что необходимо знать о входе на сайт – это авторизация.

Данная процедура подразумевает попадание на страницу в случае успешного прохождения аутентификации и идентификации.

Также авторизация может означать, что человек допускается до выполнения определенной задачи, доступ к которой имеет только он или определенная группа человек.

По итогу можем сказать, что все выше изучаемые процедуры взаимосвязаны между собой и напрямую зависят друг от друга и выполнение операций соблюдается в строгом порядке. Однако путать между собой их не следует.

1. Идентификация.
2. Аутентификация.
3. Авторизация.

Какие могут быть Ошибки

Одной из самых распространённых ошибок аутентификации является невозможность подключения к домашнему WiFi-роутеру.

• В первую очередь, проверьте, правильно ли вы написали ключевую фразу, далее посмотрите, не активирована ли на клавиатуре клавиша Caps Lock (печать большими буквами). Если причины не в этом, то, скорее всего, неверно введен пароль.
• Если вы не помните свой пароль, то его можно посмотреть в настройках к вайфай-роутеру.

Для этого подключаемся к нему через кабель, имея выход в интернет – открываем любой из используемых браузеров и вводим в поисковую строчку IP нашего маршрутизатора. Данная информация должна быть на корпусе самого устройства либо в инструкции к нему.

• Итак, вы проверили правильность указанных данных, учитывая язык и размер букв.

Будьте внимательны при вводе, очень часто, если ввод данных засекречен звездочками сложно понять, что вы делаете не так.

• А также вы изучили свой пароль и учли все буквы и их размер, а подключиться все равно не получается, тогда обратите внимание, что возможно вам необходимо пройти двухфакторную процедуру проверки достоверности информации, которая изначально установлена пользователем.

Для этого необходимо проверить не только правильность ввода пароля и логина, но и совпадение мак-адреса телефона (планшета, ноутбука) с помощью которого вы хотите подключиться к сети с адресами, имеющими разрешение.

Если адрес отсутствует в списке разрешенных, необходимо добавить его в настройки роутера с помощью браузера через подключенное устройство.

Многие пользователи сталкиваются с проблемой идентификации при входе в  учетную запись. Чаще всего, это случается по той причине, что необходимые данные, которые касаются учетной записи, не синхронизированы.

По итогу хотелось бы отметить, что разобрав каждый из терминов можно с уверенностью заявить, они отличаются друг от друга выполняемыми операциями и функциями.

Однако также мы можем сказать, что они не могут существовать друг без друга.

Источник: http://SEOslim.ru/voprosy-i-otvety/chto-takoe-autentifikaciya-identifikaciya-avtorizaciya-2fa.html

Аутентификация — что это такое и почему сейчас повсеместно используется двухфакторная аутентификация

1. Что это такое?
2. Двухфакторная аутентификация (2FA)
3. Ошибки проверки подлинности

Здравствуйте, уважаемые читатели блога KtoNaNovenkogo.ru. Хочу продолжить тему толкования простыми словами распространенных терминов, которые можно повсеместно встретить в наш компьютерный век. Чуть ранее мы уже поговорили про валидацию и верификацию, а так же про девайсы с гаджетами и про аутсорсинг.

Сегодня у нас на очереди аутентификация. Что означает это слово? Отличается ли сие понятие от авторизации или идентификации? Какие методы аутентификации существуют, насколько сильно они защищены, почему могут возникать ошибки и почему двухфакторная аутентификация лучше однофакторной?

Интересно? Тогда продолжим, а я постараюсь вас не разочаровать.

Что такое аутентификация?

На самом деле, это та процедура, которая хорошо знакома не только нам (современным жителям), но и нашим далеким предкам (практически испокон веков).

Если говорить кратко, то аутентификация — это процесс проверки подлинности. Причем не важно каким способом (их существует как минимум несколько типов). Простейший пример. Вы заходите в свою квартиру открывая замок ключом. И если дверь таки открылась, то значит вы успешно прошли аутентификацию.

Разложим в этом примере все по полочкам:

1. Ключ от замка — это ваш идентификатор (вставили и повернули — прошли идентификацию). В компьютерном мире это аналог того, что вы сообщили системе свое имя (ник, никнейм).
2. Процесс открывания (совпадения ключа и замка) — это аутентификация. В компьютерном мире — это аналог прохождения этапа проверки подлинности (сверке введенного пароля).
3. Открывание двери и вход в квартиру — это уже авторизация (получение доступа). В сети — это вход на сайт, сервис, программу или приложение.

Как вы уже, наверное, поняли — двухфакторной аутентификации в данном примере будет отвечать наличие на двери второго замка (либо наличие собаки в доме, которая уже проведет свою собственную аутентификацию опираясь на биометрические признаки — запах, внешний вид, наличие вкусняшек у вас в кармане).

Еще один пример. Печать на документе (в паспорте, сургучная печать на старинных письмах).

Как видите — все предельно просто. Но сегодня под этим термином чаще всего понимают именно электронную аутентификацию, т.е. процесс входа на сайты, сервисы, в системы, электронные кошельки, программы и даже подключение к домашней WiFi сети. Но по сути, тут мало отличий от приведенного примера.

В электронном варианте у вас так же будет идентификатор (в простейшем случае это логин) и пароль (аналог замка), необходимый для аутентификации (входа в систему, получение доступа к интернету, входа в онлайн-сервис и т.п.).

Как я уже говорил выше, существует несколько типов аутентифаторов:

1. Пароль. Знаешь пароль — проходи. Это самый простой и дешевый способ проверки подлинности. Фишка в том, что пароль знают только те, кому надо. Но есть несколько «но». Пароль можно подобрать, либо украсть, либо получить путем социального инжиниринга (развода), поэтому его надежность всегда находится под сомнением.
2. Устройство (токены). Простейший пример — это карта или ключ доступа (на манер того, что используется в домофонах). Ну, или банковская карта, дающая доступ к вашим деньгам. Защита тут выше, чем у пароля, но устройство можно украсть и несанкционировано использовать. К тому же, такая проверка подлинности подразумевает под собой расходы.
3. Биометрия. Отпечаток пальца, сетчатка глаза, голос, лицо и т.п. Этот способ аутентификации считается наиболее надежным и тут не нужно с собой носить устройство, которое можно потерять или украсть (просто достаточно быть собой).

   Правда, точность идентификации тут не стопроцентная, да и системы эти не из дешевых.

Как видите, нет идеала. Поэтому зачастую для усиления безопасности используют так называемую двухфакторную (двухэтапную) аутентификацию. Давайте рассмотрим на примере.

Двухфакторная (2FA — двухэтапная) аутентификация

Например, во многих кошельках для хранения криптовалюты, и прочих сервисах связанных с доступом к деньгам, двухфакторная аутентификация сводится к следующему:

1. Первым этапом проверки подлинности служит обычный вход с помощью логина и пароля (многоразового, т.е. постоянного, не меняющегося на протяжении какого-то времени).
2. А вот второй этап обычно сводится к вводу еще и одноразового пароля (при следующем входе он будет уже другой). Эти пароли сообщаются непосредственно в процессе входа в систему и передают пользователю обычно так:
   1. В СМС-сообщении на ваш мобильный телефон, но иногда эти одноразоваые пароли могут присылать на электронную почту или в ваш телеграм.
   2. С помощью специально предназначенного для этого приложения, которое устанавливается на мобильный телефон

   Источник: https://KtoNaNovenkogo.ru/voprosy-i-otvety/autentifikaciya-chto-eto-takoe-dvuxfaktornaya.html

   Что такое двухфакторная аутентификация и протокол FIDO U2F

   

   Миллионы логинов и паролей к почтовым и различным социальным сервисам появляются в открытом доступе чуть ли не каждый месяц. Это лучше любого эксперта по информационной безопасности свидетельствует нам о том, что пароль, даже сложный, уже не является актуальным средством защиты.

   Меняются предпочтения пользователей в выборе того или иного сервиса. Если раньше выбор падал на наиболее удобный вариант, то теперь — на максимально защищённый.

   Для обеспечения безопасности изобрели мультифакторную аутентификацию (MFA) и ее упрощенный вариант – двухфакторную (2FA): первый рубеж защиты – логин и пароль, т.е.

   то, что знает и помнит пользователь, а второй – это то, что есть только у этого пользователя: SMS, Email, one-time password (OTP/TOTP/HOTP) приложения, криптографические токены, биометрические данные. Наиболее дешёвые и удобные способы — приложение и SMS.

   Вводим логин и пароль на сайте, после чего получаем на мобильный телефон SMS с кодом. Вводим код, и у нас есть доступ к данным.

   Мир 2FA сегодня

   С момента появления 2FA прошло уже достаточно много времени, большинство крупных интернет-сервисов широко ее используют. 2FA «шагнула» в финтех: невозможно уже себе представить онлайн платежи без подтверждений и авторизации, например, через SMS.

   И, как ни странно, при таком широком распространении 2FA у пользователей до сих пор крадут и компрометируют учетные записи. Попробуем разобраться в недостатках методов 2FA и их уязвимостях.

   • Фишинг. Практически все 2FA решения уязвимы к MITM (men in the middle) атакам, и соответственно фишингу.
   • Безопасность. Для примера рассмотрим SMS, на данный момент самое популярное решение 2FA на рынке. Интернет пестрит историями о перевыпусках сим-карт в России, США, ЮАР, Великобритании и других странах. К тому же специальные технические средства, доступные уже и не только спецслужбам, а также методы социальной инженерии еще никто не отменял.
   • Стоимость. Криптографические токены, отлично себя зарекомендовавшие с точки зрения безопасности — достаточно недешевое удовольствие. Их покупка ложится на плечи конечных пользователей, редкий сервис берет их оплату и доставку пользователю на себя. Даже отправка SMS стоит денег. Таким образом, внедрение и использование 2FA могут позволить себе далеко не все.
   • Совместимость. Далеко не все операционные системы имеют в своем составе драйвера для работы криптографических токенов. Далеко не все пользователи хотят возиться с поиском и их установкой.
   • Удобство использования. Пользователям лень вводить одноразовые пароли. Разблокируй экран телефона, открой сообщение или OTP программу, прочитай код, введи его, ошибись, повтори все сначала — это стандартный алгоритм взаимодействия пользователя и двухфакторной аутентификации.

   Сегодняшние 2FA-решения не в состоянии надежно защитить пользователя, зачастую сложны в применении, дороги и не универсальны.

   FIDO U2F

   В 2007 году PayPal попыталась внедрить 2FA с отправкой OTP через SMS. Несмотря на то, что на тот момент этот способ был прогрессивным и достаточно безопасным, темпы его внедрения были катастрофично низки. Большинство пользователей просто проигнорировало возможность увеличить безопасность своих данных.

   Источник: https://tproger.ru/articles/fido-u2f/

   6 мифов о двухфакторной аутентификации / Заметки Сис.Админа

   

   Чрезмерная беспечность зачастую играет с нами злые шутки. Так, ряд недавно прогремевших крупных взломов паролей на популярных сайтах, таких как LinkedIn, Twitter и Evernote, показал, насколько уязвимы наши данные в сети Интернет.

   Обычная одноэтапная аутентификация не надежна, так как большинство паролей пользователей просты и примитивны и их очень легко угадать или подобрать. Идеальным решением данной проблемы является двухфакторная аутентификация, которую массово используют компании, трезво оценивающие все риски, связанные с компрометацией аккаунтов и утечкой информации их клиентов.

   Но не все онлайн-ресурсы «рискуют» применить двухфакторную авторизацию в качестве защиты данных, и причиной тому служат некоторые препятствия для внедрения такой технологии аутентификации, а также ошибочные предположения и заблуждения по поводу ее функциональности и надежности. Ниже рассмотрим 6 самых популярных мифов о 2FA:

   • Миф №1. Если ваш ресурс пострадал от хакерской атаки, то отличным оперативным реагированием станет внедрение двухфакторной аутентификации в качестве системы защиты данных.

   Реальность: Большинство сайтов не могут изменить настройки аутентификации в один день. Использование 2FA подразумевает наличие у пользователя токена или установления специальных программ на другие устройства, с помощью которых юзер будет получать временные пароли для авторизации на сайте.

   Если внедрить 2FA поспешно, то вероятно, что многие пользователи не смогут войти в свои аккаунты, так как у них попросту не будет необходимых приспособлений.

   Чтобы такого не случилось, оптимальным решением станет использование SMS-аутентификации, так как ее можно применить быстро, но обязательным условием такого нововведения должно быть наличие информации о мобильных номерах клиентов.

   • Миф №2. Двухфакторная аутентификация не подвержена общим угрозам.

   Реальность: 2FA существенно улучшает безопасность, но в то же время привлекает внимание профессиональных хакеров, так как применяется для защиты важных приложений.

   Например: надежность SMS-аутентификации во многом зависит от мер безопасности, принятых оператором мобильной связи, которого выбрал пользователь; существуют вредоносные программы, которые внедряются в смартфон юзера, перехватывают сообщения с одноразовыми паролями и отправляют их злоумышленнику и т.д.

   • Миф №3. Двухфакторная аутентификация подразумевает под собой использование «дополнительного устройства» и невозможна при наличии лишь одного гаджета.

   Реальность: Современные технологии позволяют нам пользоваться смартфонами для решения многих задач, ведь очень удобно держать всю необходимую информацию под рукой.

   Провайдеры двухфакторной аутентификации заметили эту тенденцию и предлагают использовать смартфоны в качестве OTP токенов, устанавливая на них специальные приложения, например как Protectimus SMART, которые в то же время исключают необходимость использования второго устройства для получения временного пароля.

   • Миф №4. Основные методы двухфакторной аутентификации похожи и отличаются лишь незначительными нюансами.

   Реальность: Первые известные методы 2FA базировались на использовании кодовых карт или аппаратных токенов, которые генерировали одноразовые пароли аутентификации, но среди современных решений большой популярностью пользуется SMS и E-MAIL аутентификация, 2FA с помощью приложений для смартфонов с применением интеллектуальной аутентификации. Ее суть заключается в том, что система определяет с какого браузера обычно заходит пользователь, какой операционной системой пользуется, какое разрешение и глубина цветов его дисплея и т.д., и одноразовый пароль запрашивается для входа в систему только в том случае, когда пользователь заходит с другого устройства или другой локации.

   • Миф №5. Двухфакторная аутентификация – это не более чем назойливое и раздражающее техническое требование, не приносящее бизнесу никакой материальной выгоды.

   Реальность: Некоторые компании относятся к 2FA, как к раздражающему фактору и используют технологии, которые едва ли можно назвать эффективной двухэтапной авторизацией, как, например, аутентификация по отпечатку пальца.

   Как показывает практика, биометрика не эффективна, ведь если злоумышленник однажды украл отпечаток пальца, то пользователь больше никогда не сможет использовать такой способ аутентификации повторно.

   Но если подойти к вопросу защиты данных с умом, то 2FA будет удобна для пользователей, не очень затратна для компании и при этом надежна. Интеллектуальная аутентификация – яркий тому пример.

   Компаниям, которые сомневаются в необходимости применения двухфакторной аутентификации для защиты информации, стоит учесть тот факт, что если их пользователей обворуют, будь то кража денег или личных данных, это станет мощным ударом по репутации и бюджету компании и обойдется им гораздо дороже.

   • Миф №6. Двухфакторная аутентификация – это дорого.

   Реальность: Некоторые методы 2FA действительно дорогостоящие, но далеко не все.

   Например, использование SMS-аутентификации станет в копеечку, но тем, кто хочет сэкономить средства и в то же время получить надежную защиту, предоставляется возможность заменить ее на более дешевую с применением Push-сообщений или предложить своим пользователям установить бесплатное приложение для смартфонов Protectimus SMART.  

   Несмотря на все распространенные заблуждения, двухфакторная аутентификация – это недорогое действенное средство, которое существенно улучшает безопасность.

   Но внедряя такую систему аутентификации на своем ресурсе, стоит принять во внимание возможности ваших клиентов, чтобы ваша система защиты не ложилась тяжелым бременем на плечи пользователей.

   Применения эффективного метода 2FA послужит надежной преградой от компрометации, не усложняя жизнь вашим клиентам.

   Источник: https://sonikelf.ru/6-mifov-o-dvuxfaktornoj-autentifikacii/

   Что такое двухфакторная аутентификация? – Блог веб-программиста

   

   Что такое двухфакторная аутентификация?

   Подробности июня 04, 2018 Просмотров: 606

   С кибер-атаками, которые становятся все более изощренными с каждым годом, защита персональных данных становится более важной, чем когда-либо. Наши учетные записи в социальных сетях, банках, бизнесе и электронной почте все уязвимы для хакеров, которые могут легко распространять вредоносное ПО на наши контакты и украсть наши данные.

   Секретные вопросы, которые используются для сброса паролей учетных записей электронной почты и т.д., обычно требуют простой для поиска информации. Такие данные, как дата рождения, детское домашнее животное или псевдоним, легко взломать и использовать для сброса паролей, отрезая вам доступ к вашим данным.

   Итак, какие у вас варианты, когда речь заходит о защите ваших учетных записей и данных? Это внедрить двухфакторную аутентификацию, двухэтапный процесс входа в учетные записи. Хотя это может показаться излишним дополнительным шагом, сиюминутное усилие – лучшая альтернатива предоставлению преступникам ключей к вашему цифровому пространству.

   Что такое двухфакторная аутентификация?

   Также известная как многофакторная аутентификация или двухэтапная аутентификация, двухфакторная аутентификация – довольно простой процесс подтверждения вашей личности дважды, прежде чем предоставляется доступ к учетной записи или службе.

   Вообще говоря, аутентификация подразделяется на три категории: факторы знания, факторы владения и присущие им факторы. Знание обычно означает что-то, что человек должен помнить, например, ПИН-код или пароль, а владение означает вторичное устройство, такое как брелок, кард-ридер или смартфон.

   С другой стороны, с помощью уникальных атрибутов человека, которые обычно являются биометрическими данными, такими как отпечаток пальца, сканирование диафрагмы или сетчатки, или распознавание голоса. Это менее распространено в общей жизни и бизнесе, но может быть замечено в ситуациях с более высокой степенью безопасности, как второй или последующий уровень аутентификации.

   Двухфакторная аутентификация использует два из этих методов (или более в случае многофакторной аутентификации), чтобы проверить личность человека, пытающегося получить доступ к учетной записи, более тщательно, чем один фактор, со знанием и факторами владения.

   Как работает двухфакторная аутентификация?

   Двухфакторная аутентификация неизменно использует второе устройство, которое действует как буфер между службой и попыткой входа в систему. Это может быть что угодно: от флэш-памяти, генерирующей число, до смартфона, при этом идея состоит в том, что только владелец связанного устройства может предоставить дополнительную информацию, необходимую для входа.

   Источник: http://juice-health.ru/internet/832-what-is-two-factor-authentication

   По какому принципу работает двухфакторная аутентификация

   

   С 2FA сталкивался любой более-менее опытный пользователь интернета. Но в том, по какому принципу работает двухфакторная аутентификация, разбираются немногие. Для того, чтобы наиболее эффективно использовать этот мощный инструмент защиты данных, стоит узнать о нем побольше.

   Первый фактор — постоянный пароль

   Двухфакторная аутентификация начинается с обычного, знакомого по регистрации на любом сайте пароля. Он, как правило, выбирается самим пользователем при создании своей учетной записи.

   Сам по себе многоразовый пароль обладает не очень большой надежностью и может обеспечить только элементарный базовый уровень защиты аккаунта.

   В двухфакторной аутентификации он служит первым фактором, первым “ключом”, отпирающим аккаунт.

   Тем не менее многоразовый пароль, особенно если выбран с умом, является важной составляющей процесса двухфакторной аутентификации, ведь является фактором знания. К категории факторов знания можно отнести также PIN-коды.

   Что же следует за введением пароля? Тут могут быть разные варианты.

   Три фактора аутентификации: то, что мы знаем; то, что мы имеем; то, что нам присуще.

   Фактор номер два — возможные разновидности

   В качестве второго фактора двухфакторной аутентификации могут использоваться способы аутентификации двух типов:

   Аппаратные идентификаторы в виде смарт-карт, сертификаты с цифровой подписью, токены, генерирующие одноразовые пароли. Эти средства аутентификации пользователей требуют физического подключения и, обычно, знания PIN-кода.

   А на компьютер, с которого осуществляется вход в систему, нужно установить специальное ПО для взаимодействия с таким идентификатором. Подобный способ кажется некоторым пользователям не совсем удобным, ведь аутентификаторы такого типа нужно постоянно носить с собой и следить за их сохранностью.

   Если смарт-карта или OTP токен будут украдены или потеряны, то  аутентификация клиента станет невозможной.

   В эту группу входят неотъемлемые биометрические характеристики человека. Это могут быть отпечатки пальцев, рисунок сетчатки глаза, очертания лица, звучание голоса.

   Идентификаторы этого типа не используют криптографических методов и средств.

   Чаще всего аутентификация на основе биометрии применяется для контроля доступа в помещения или к оборудованию — например, на проходных предприятий и организаций.

   Для использования в условиях отдаленности проверяемого и проверяющего (как это и происходит в интернете) наиболее удобны и надежны одноразовые пароли дополнительно защищенные PIN-кодом. Временный пароль хорош именно тем, что он актуален только на один сеанс. Даже в случае перехвата злоумышленниками OTP пароля, он будет бесполезен при попытке повторного использования.

   Способы генерации одноразовых паролей

   Для того, чтобы понять, по какому принципу работает двухфакторная аутентификация, важно представлять, откуда “берутся” временные пароли и как они становятся известны легитимному пользователю, входящему в систему.

   Есть несколько способов доставить пароль адресату:

   • послать по электронной почте;
   • отправить SMS на телефон;
   • заранее выдать список паролей для однократного использования каждого из них;
   • сгенерировать “на месте”, применив программные или аппаратные токены.

   Устойчивость одноразового пароля прежде всего достигается использованием сложных алгоритмов его генерации, которые постоянно совершенствуются. В решениях, предлагаемых компанией Протектимус основными являются три из них.

   1. HOTP — по событию. За основу для создания ОТР берется количество процедур аутентификации, пройденных конкретным пользователем, и заранее известный обеим сторонам секретный ключ. Эти же значения учитываются при проверке подлинности на сервере.
   2. TOTP — по времени. Этот алгоритм аутентификации генерирует пароль, учитывая параметр времени. Обычно используется не конкретное число, а текущий интервал с заранее определенными границами.
   3. OCRA — система “запрос-ответ”. Данный алгоритм формирует одноразовые пароли, используя в качестве входных данных случайное значение, пришедшее от сервера. Также он может дополняться функцией подписи данных, которая помогает усилить защищенность процедуры аутентификации. Эта функция позволяет при создании и проверке пароля включать в вычисления конкретные параметры текущей транзакции, среди которых не только время, но и адресат, валюта, сумма перевода. Ввиду своей высокой надежности алгоритм OCRA лучше всего подходит для использования на наиболее важных участках системы передачи и хранения данных.

   Как генерируются одноразовые пароли

   Алгоритмы HOTP и TOTP служат для односторонней аутентификации — то есть, сервер проверяет подлинность клиента. При использовании OCRA может осуществляться взаимная двухсторонняя аутентификация пользователя и сайта, к которому он обращается. Этот момент очень важен для устранения угрозы подмены данных и автозалива, которые особенно опасны при банковских операциях.

   Преимущества двухфакторной аутентификации

   Главное достоинство двухфакторной аутентификации состоит во взаимной поддержке одного ее фактора другим. В случае, если злоумышленникам удается завладеть логином и постоянным паролем, невозможность ввести временный пароль сможет предотвратить несанкционированный доступ к аккаунту.

   Если же ОТР токен окажется в руках мошенников, то аутентификация не произойдет без знания основного пароля. Подобный тип аутентификации силен именно тем, что недостатки одного фактора могут перекрываться преимуществами другого.

   И именно это делает двухфакторную аутентификацию такой работоспособной и надежной.

   Источник: https://www.protectimus.com/blog/ru-two-factor-authentication-how-it-works/

   Зачем нужна двухфакторная аутентификация в интернете?

   

   Интернет вошел в нашу жизнь настолько прочно, что, кажется, он существовал всегда. Но это не так. Эта сеть появилась относительно недавно, всего несколько десятилетий назад. И она предназначалась для несколько иных целей, нежели те, которые возлагаются на интернет сейчас.

   На заре появления глобальной паутины пары логин-пароль хватало с избытком для надежной аутентификации относительно небольшого количества пользователей. Да и воровать в сети было особенно нечего. Да и не скрывали в нем особенно ничего.

   Полумерами кражи аккаунтов уже не остановить

   Сфера использования сети со временем резко расширилась. Сейчас посредством интернета проводятся банковские операции, осуществляются покупки в онлайн-магазинах, пересылаются важные документы. Да, конечно, стали использовать защищенные технологии передачи информации. Но вот защита аккаунтов как была на примитивном уровне, так в большинстве случаев и осталась.

   К чему приводит утрата логина и пароля? Многие считают свою скромную персону неинтересной для хакеров. Однако это очень опасное заблуждение.

   «И не стоит думать, что эти проблемы грозят только обеспеченным людям, которые находятся в сфере интересов криминального сообщества.

   К несчастью, люди идут на преступление порой только ради того, чтобы завладеть телефоном или просто из хулиганских побуждений», – комментирует Дмитрий Скрипкин, заместитель директора департамента информационной безопасности компании «РТС-Тендер».

   Постепенно число краж и взломов аккаунтов в сети приобрело настолько угрожающие масштабы, что стало понятно: полумерами здесь уже не обойтись. Требуется объединение усилий множества участников рынка, выработка новых стандартов и регламентов.

   Алексей Сабанов, доцент МГТУ им. Н.Э. Баумана и заместитель генерального директора «Аладдин Р.Д.», соглашается: «Информация в интернете уже привычно стала товаром, а зачастую движущей силой развития технологий и проектов.

   Число инцидентов безопасности, связанных с кражей и неправомерным использованием информации пользователей интернет-ресурсов неуклонно растет.

   Уровни рисков и число решений с более-менее проработанной схемой их снижения до приемлемого уровня могут быть посчитаны с помощью пальцев не только одной руки».

   В таблице ниже приведена малая часть того, что стало известно аналитикам и общественности о крупнейших инцидентах с аккаунтами за последние год-полтора.

   Крупнейшие утечки пользовательских данных, 2014–2015 гг.

   ПериодОписание инцидента

   2014 г., сентябрь	Злоумышленникам удалось получить информацию о приблизительно 5 млн учетных записях американского почтового сервиса Gmail.
   2014 г., сентябрь	Было похищено более 1 млн паролей пользователей «Яндекса». В компании заявили, что хакеры могли получить данные с помощью фишинга и заражения вычислительных устройств вирусами.
   2014 г., сентябрь	В интернете обнаружена база данных с примерно 4,6 млн паролей от почты Mail.ru.
   2014 г., октябрь

   Источник: http://safe.cnews.ru/articles/2015-12-08_bezopasnost_v_internete_nachinaetsya_s_autentifikatsii