Что такое двухфакторная аутентификация?

Двухфакторная аутентификация (2FA) — это метод аутентификации, требующий от пользователя предоставить ровно два фактора проверки для получения доступа к веб-сайту, приложению или ресурсу. Двухфакторная аутентификация — это подмножество многофакторной аутентификации, которое требует по меньшей мере двух форм аутентификации. Организации используют двухфакторную аутентификацию для добавления дополнительного уровня защиты от распространенных схем атак, таких как фишинг, социальная инженерия и атаки методом подбора пароля.

Зачем нужна двухфакторная аутентификация?

В наши дни утечка данных является более распространенным явлением, и она оказывает тревожное воздействие на бизнес во всем мире, нанося ущерб на сумму более 2 триллионов долл. США в год. В ходе работы организаций над защитой цифровой инфраструктуры и активов становится очевидно, что однофакторной аутентификации (и особенно аутентификации на основе пароля) далеко не достаточно. Пароли легко взломать, особенно из-за плохой гигиены паролей, а также потому, что они редко меняются, используются в разных учетных записях, часто используются совместно и нередко хранятся в незащищенном месте.

Сегодня в работе почти каждого предприятия возникает необходимость добавить второй фактор для аутентификации пользователей.

От каких угроз защищает двухфакторная аутентификация?

Двухфакторная аутентификация обеспечивает дополнительный уровень защиты от многих наиболее распространенных типов киберугроз, в том числе перечисленных ниже.

• Украденные пароли. Как упоминалось выше, плохая гигиена паролей позволяет легко красть пароли. В системе двухфакторной аутентификации одного лишь украденного пароля еще недостаточно для взлома учетной записи.
• Атаки методом подбора (взлом пароля). Вычислительные мощности становятся все более доступными, и хакеры их используют для случайной генерации паролей до тех пор, пока они не взломают код. Однако взлом второго фактора таким же способом невозможен.
• Фишинг. Фишинг остается одним из наиболее распространенных и эффективных способов кражи учетных данных пользователей. Двухфакторная аутентификация защищает от несанкционированного доступа в случае кражи имени пользователя и пароля путем фишинговой атаки.
• Социальная инженерия. Умные хакеры все чаще используют социальные сети для совершения атак, обманом заставляя пользователей добровольно предоставить свои учетные данные. Но без второго фактора хакер не сможет получить доступ к учетной записи.

Как работает двухфакторная аутентификация

Базовый процесс входа с помощью двухфакторной аутентификации уже знаком почти всем. Конкретные шаги отличаются в зависимости от используемых факторов, однако суть процесса заключается в следующем:

1. Приложение или веб-сайт предлагает пользователю войти в систему.
2. Пользователь предъявляет первый фактор. Этот первый фактор почти всегда является тем, что пользователь «знает», например сочетанием его имени и пароля или одноразовым паролем, сгенерированным аппаратным токеном или приложением для смартфона.
3. Сайт или приложение проверяет первый фактор, а затем предлагает пользователю предъявить второй фактор. Этот второй фактор обычно является тем, что пользователь «имеет», например маркером безопасности, идентификационной картой, приложением для смартфона и т. д.
4. После того как сайт или приложение подтвердит второй фактор, пользователю будет предоставлен доступ.

Какие бывают примеры двухфакторной аутентификации?

Аутентификаторы и токены аутентификации делятся на четыре основные категории: то, что у вас есть; то, что вы знаете; то, кем вы являетесь; то, где вы находитесь.

• То, что у вас есть. Карта физического доступа, смартфон или другое устройство, цифровой сертификат.
• То, что вы знаете. PIN-код или пароль.
• То, кем вы являетесь. Биометрические данные, например отпечатки пальцев или снимки сетчатки.

Классическое сочетание имени пользователя и пароля формально является рудиментарной формой двухфакторной аутентификации. Но поскольку имя пользователя и пароль попадают в категорию «то, что вы знаете», это сочетание легче скомпрометировать.

История аутентификаторов и факторов

Аппаратные токены

Аппаратные токены — это небольшие физические устройства, которые пользователи предъявляют для получения доступа к ресурсу. Аппаратные токены могут быть подключенными (например, USB, смарт-карта, брелоки одноразовых паролей) или бесконтактными (например, токены Bluetooth). Эти токены пользователь носит с собой. В самой первой версии современной двухфакторной аутентификации, введенной в 1993 году RSA, использовалось портативное устройство с крошечным экраном, где отображались случайно сгенерированные числа, которые сопоставлялись с алгоритмом для подтверждения личности держателя устройства. Аппаратные токены также могут быть утеряны или украдены.

Токены на основе SMS

С распространением мобильных телефонов широкую популярность быстро получила двухфакторная аутентификация на основе SMS-сообщений. Пользователь вводит имя, а затем получает одноразовый пароль (OTP) в SMS (текстовом сообщении). В похожем варианте для предоставления одноразового пароля используется голосовой вызов на сотовый телефон. В обоих случаях передачу одноразового пароля относительно легко взломать, из-за чего такая форма двухфакторной аутентификации считается не самой надежной.

Токены на основе приложений

С появлением смартфонов и других умных мобильных устройств широкую популярность получила двухфакторная аутентификация на основе приложений. Пользователи устанавливают приложение на свое устройство (также его можно использовать на компьютере). При входе в систему приложение предоставляет «программный токен», например одноразовый пароль, который отображается на устройстве и должен быть введен на экране входа в систему. Поскольку программный токен генерируется приложением на устройстве, это исключает риск перехвата одноразового пароля или программного токена при передаче.

Push-уведомления

В методе двухфакторной аутентификации через push-уведомление — возможно, самом простом и удобном — пользователя не просят ввести программный токен. Вместо этого сайт или приложение напрямую отправляет push-уведомление на мобильное устройство пользователя. Уведомление оповещает пользователя о попытке аутентификации и просит пользователя подтвердить или отклонить доступ одним щелчком мыши или касанием. Этот метод двухфакторной аутентификации очень безопасен и чрезвычайно удобен, но он зависит от подключения к Интернету.

Беспарольные аутентификаторы

Сейчас появились новые типы доступных аутентификаторов, в том числе беспарольных, например с использованием токенов FIDO, биометрических систем и цифровых учетных данных на основе PKI для аутентификации.

2FA в сравнении с MFA: в чем разница?

При двухфакторной аутентификации (2FA) пользователь должен предъявить аутентификаторы двух типов, а при многофакторной аутентификации (MFA) — аутентификаторы не менее чем двух типов. Это означает, что все системы двухфакторной аутентификации являются системами многофакторной аутентификации, но не все системы многофакторной аутентификации являются системами двухфакторной аутентификации. Для многофакторной аутентификации может потребоваться любая комбинация аутентификаторов и токенов аутентификации, чтобы получить доступ к ресурсу, приложению или веб-сайту, тогда как в случае с двухфакторной аутентификацией для доступа к ресурсу требуется только два предопределенных аутентификатора. В зависимости от потребностей организации двухфакторная аутентификация может стать тем решением, которое позволит обеспечить повышенный уровень безопасности и одновременно беспрепятственный доступ для конечных пользователей.

Как выбрать правильные факторы для двухфакторной аутентификации

Различные типы факторов, которые могут использоваться для двухфакторной аутентификации, обсуждаются выше. Но каждый тип аутентификатора включает в себя целый ряд различных вариантов, и при этом постоянно выходят новые технологии. Как выбрать факторы, которые следует использовать для протокола двухфакторной аутентификации? Далее приводится несколько вопросов, которые помогут выбрать правильный вариант.

• Вы хотите, чтобы аутентификация была прозрачной для пользователя?
• Вы хотите, чтобы пользователь носил физическое устройство или проходил аутентификацию онлайн?
• Вы хотите, чтобы веб-сайт также проходил аутентификацию для пользователя?
• Насколько конфиденциальной является информация, которую вы защищаете, и каков связанный с этим риск?
• Является ли физический доступ к офисам, лабораториям или другим помещениям (связь с ними) одним из требований пользователей?

Entrust предоставляет экспертные рекомендации для повышения уровня безопасности с помощью высоконадежной многофакторной аутентификации. Мы поддерживаем самый широкий спектр аутентификаторов безопасности 2FA, давая возможность выбрать оптимальный вариант, соответствующий вашим требованиям и задачам с точки зрения безопасности. Что еще более важно, Entrust может предоставить экспертные консультации, чтобы помочь выбрать правильные варианты и упростить переход на высоконадежную двухфакторную аутентификацию.

Варианты использования двухфакторной аутентификации

Двухфакторная аутентификация является наиболее распространенной формой многофакторной аутентификации, что делает ее идеальным выбором для использования в тех случаях, когда доступ к данным необходим множеству людей. Например, в медицинских приложениях обычно используется двухфакторная аутентификация, поскольку она позволяет врачам и другому лечащему персоналу по требованию получать доступ к конфиденциальным данным пациентов, часто с личных устройств.

Аналогично банковские и финансовые приложения с двухфакторной аутентификацией могут помочь защитить данные счета от фишинговых атак и социальной инженерии, обеспечив потребителям возможность пользоваться услугами мобильного банкинга.

Отрасли, где находит применение двухфакторная аутентификация:

• Решения для здравоохранения.
• Банковское дело.
• Решения для розничной торговли.
• Высшее образование.
• Социальные сети.
• Государственные и федеральные учреждения.

Каковы угрозы и риски двухфакторной аутентификации?

Есть несколько способов, которыми хакеры могут попытаться взломать системы много- и двухфакторной аутентификации. Они перечислены ниже.

• Социальная инженерия. Хакеры, занимающиеся социальной инженерией, выдают себя за законное лицо, которое запрашивает информацию, позволяющую установить личность.
• Технические атаки. К числу технических атак относятся вредоносные и троянские программы.
• Физическая кража. Злоумышленник, который физически завладел смартфоном или другим мобильным устройством, может представлять угрозу для двухфакторной аутентификации.
• Взлом через восстановление учетной записи. Поскольку сброс пароля часто происходит в обход двухфакторной аутентификации, хакеры иногда могут взломать такую систему лишь с помощью имени пользователя.

Достаточно ли безопасна двухфакторная аутентификация?

Двухфакторная аутентификация обеспечивает намного более высокий уровень защиты по сравнению с однофакторной аутентификацией, особенно традиционной аутентификацией на основе пароля со всеми ее недостатками, обусловленными человеческим фактором. Она достаточно безопасна, но сегодня именно многофакторная аутентификация (MFA) считается фактическим стандартном аутентификации пользователей. Нормативно-правовые требования, например стандарт безопасности данных индустрии платежных карт (PCI DSS), также заменили двухфакторную аутентификацию на многофакторную, и правительственные органы делают многофакторную аутентификацию обязательной во всех федеральных учреждениях. Многофакторная аутентификация дает возможность добавлять больше форм-факторов (не паролей) для повышения безопасности. Использование биометрических данных для аутентификации пользователя в сочетании с верификацией устройства и добавлением контекстных элементов управления, основанных на рисках, позволяет оценить степень риска пользователя и устройства перед предоставлением доступа. Многофакторная аутентификация с использованием средств беспарольного доступа и адаптивной аутентификации на основе рисков — это верный шаг на пути к повышению безопасности.

Каковы наиболее распространенные аутентификаторы, или токены аутентификации?