Чтобы разобраться, что такое двухфакторная аутентификация и как она обычно реализуется, следует выяснить, что такое аутентификация вообще. Если не усложнять, то аутентификация - это процесс, когда пользователь доказывает, что он - это именно тот, кем он представился.
Например, при входе в систему вы вводите свое имя пользователя и свой пароль и тем самым доказываете, что вы знаете секретный ключ, а значит подтверждаете, что вы это именно вы, а не посторонний человек. В этом случае знание пароля - это так называемый “фактор аутентификации”.
Но пароль может быть очень простым, и его легко подберет злоумышленник, или же он может просто находится на бумажке под клавиатурой (что, конечно же, неправильно). Ввод пароля позволит злоумышленнику доказать системе, что он знает пароль, а значит имеет право на использование этой системы.
Поэтому для того чтобы обезопасить систему от таких ситуаций, принято использовать одновременно два фактора аутентификации: например пароль и смарт-карту. В таком случае вторым фактором аутентификации будет именно факт обладания смарт-картой. Система проверит пароль и смарт-карту, и если все правильно, пустит вас в систему.
Достаточно часто двухфакторная аутентификация применяется для электронной подписи. Цифровая подпись под документом обычно бывает аналогичной собственноручной подписи на бумажном документе, поэтому очень важно, чтобы вашу электронную подпись не могли поставить злоумышленники вместо вас.
Чаще всего, для того чтобы обезопасить свою электронную подпись, ее записывают (точнее, сертификат электронной подписи) на токен. Токен - это специальное устройство, которое часто используют для хранения сертификатов электронной подписи. Ваша электронная подпись на токене защищена паролем, поэтому даже в случае кражи злоумышленники не смогут ею воспользоваться. В этом случае первым фактором аутентификации будет являться факт обладания токеном, а вторым - знание пароля для доступа к электронной подписи на токене.
Для хранения сертификатов электронной подписи мы рекомендуем следующие модели токенов:
Часто в организациях на компьютерах хранятся очень важные данные, которые могут составлять коммерческую тайну, за которой, конечно же, могут охотиться конкуренты и другие злоумышленники. И использования обычных паролей недостаточно для того, чтобы гарантировать безопасность информации.
Для того чтобы защитить данные на компьютерах своих сотрудников, используется два подхода к аутентификации:
В рамках этого подхода, на компьютер устанавливают программный продукт, который начинает требовать при входе в систему токен, а также следит за тем, чтобы токен был вставлен все время работы. Если вытащить токен, то компьютер сразу же заблокируется.
Этот способ хорошо использовать там, где помещение защищено и никто не сможет физически украсть компьютер или его жесткий диск.
Существует также способ зашифровать все данные на компьютере и в момент загрузки компьютера требовать у пользователя ввести пароль и вставить токен. Если пароль неверный или токен неправильный, то данные просто не расшифруются, и даже в случае кражи злоумышленник не сможет воспользоваться информацией с компьютера.
Внимание. Приложения, разработанные в Яндексе, требуют именно одноразового пароля - даже правильно созданные пароли приложений не подойдут.
Вы можете ввести одноразовый пароль в любой форме авторизации на Яндексе или в разработанных Яндексом приложениях.
Примечание.
Одноразовый пароль нужно успеть ввести, пока он отображается в приложении. Если до обновления осталось слишком мало времени, просто дождитесь нового пароля.
Чтобы получить одноразовый пароль, запустите Яндекс.Ключ и введите пин-код, который вы задали при настройке двухфакторной аутентификации. Приложение начнет генерировать пароли раз в 30 секунд.
Яндекс.Ключ не проверяет введенный вами пин-код и генерирует одноразовые пароли, даже если вы ввели свой пин-код неправильно. В этом случае созданные пароли также оказываются некорректными и авторизоваться с ними не получится. Чтобы ввести правильный пин-код, достаточно выйти из приложения и запустить его снова.
Особенности одноразовых паролей:
Некоторые сервисы (например, главная страница Яндекса, Паспорт и Почта) позволяют войти на Яндекс, просто наведя камеру на QR-код. При этом ваше мобильное устройство должно быть подключено к интернету, чтобы Яндекс.Ключ мог связаться с сервером авторизации.
Нажмите на иконку QR-кода в браузере.
Если такой иконки в форме входа нет, значит на данном сервисе можно авторизоваться только с помощью пароля. В этом случае вы можете авторизоваться с помощью QR-кода в Паспорте , а затем перейти к нужному сервису.
Введите пин-код в Яндекс.Ключе и нажмите Войти по QR-коду .
Наведите камеру вашего устройства на QR-код, отображенный в браузере.
Яндекс.Ключ распознает QR-код и передаст в Яндекс.Паспорт ваш логин и одноразовый пароль. Если они пройдут проверку, вы автоматически авторизуетесь в браузере. Если переданный пароль окажется неверным (например, из-за того, что вы неправильно ввели пин-код в Яндекс.Ключе), браузер покажет стандартное сообщение о неправильном пароле.
Приложения или сайты, которым нужен доступ к вашим данным на Яндексе, иногда требуют ввести пароль, чтобы войти в аккаунт. В таких случаях одноразовые пароли не сработают - для каждого такого приложения необходимо создать отдельный пароль приложения .
Внимание. В приложениях и сервисах Яндекса работают только одноразовые пароли. Даже если вы создадите пароль приложения, например, для Яндекс.Диска, авторизоваться с ним не получится.
Вы можете перенести генерацию одноразовых паролей на другое устройство, или настроить Яндекс.Ключ на нескольких устройствах одновременно. Для этого откройте страницу Управление доступом и нажмите кнопку Замена устройства .
Один и тот же Яндекс.Ключ можно использовать для нескольких аккаунтов с одноразовыми паролями. Чтобы добавить в приложение еще один аккаунт, при настройке одноразовых паролей на шаге 3 нажмите в приложении значок . Кроме того, вы можете добавить в Яндекс.Ключ генерацию паролей для других сервисов, поддерживающих такую двухфакторную аутентификацию. Инструкции для самых популярных сервисов приведены на странице о создании кодов проверки не для Яндекса .
Чтобы удалить привязку аккаунта к Яндекс.Ключу, нажмите и удерживайте соответствующий портрет в приложении, пока справа от него не появится крестик. Когда вы нажмете на крестик, привязка аккаунта к Яндекс.Ключу будет удалена.
Внимание. Если вы удалите аккаунт, для которого включены одноразовые пароли, вы не сможете получить одноразовый пароль для входа на Яндекс. В этом случае будет необходимо восстанавливать доступ .
Отпечаток пальца вместо пин-кода можно использовать на следующих устройствах:
смартфоны под управлением Android 6.0 и сканером отпечатков пальца;
iPhone, начиная с модели 5s;
iPad, начиная с модели Air 2.
Примечание.
На смартфонах и планшетах с iOS отпечаток пальца можно обойти, введя пароль устройства. Чтобы защититься от этого, включите мастер-пароль или измените пароль на более сложный: откройте приложение Настройки и выберите пункт Touch ID и пароль .
Чтобы воспользоваться включить проверку отпечатка:
Чтобы дополнительно защитить ваши одноразовые пароли, создайте мастер-пароль: → Мастер-пароль .
С помощью мастер-пароля вы можете:
сделать так, чтобы вместо отпечатка можно было ввести только мастер-пароль Яндекс.Ключа, а не код блокировки устройства;
Вы можете создать резервную копию данных Ключа на сервере Яндекса, чтобы иметь возможность восстановить их, если вы потеряли телефон или планшет с приложением. На сервер копируются данные всех аккаунтов, добавленных в Ключ на момент создания копии. Больше одной резервной копии создать нельзя, каждая следующая копия данных для определенного номера телефона замещает предыдущую.
Чтобы получить данные из резервной копии, нужно:
иметь доступ к номеру телефона, который вы указали при ее создании;
помнить пароль, который вы задали для шифрования резервной копии.
Внимание. Резервная копия содержит только логины и секреты, необходимые для генерации одноразовых паролей. Пин-код, который вы задали, когда включали одноразовые пароли на Яндексе, необходимо помнить.
Удалить резервную копию с сервера Яндекса пока невозможно. Она будет удалена автоматически, если вы ей не воспользуетесь в течение года после создания.
Выберите пункт Создать резервную копию в настройках приложения.
Введите номер телефона, к которому будет привязана резервная копия (например, «380123456789» ), и нажмите кнопку Далее .
Яндекс отправит код подтверждения на введенный номер телефона. Как только вы получите код, введите его в приложении.
Придумайте пароль, которым будет зашифрована резервная копия ваших данных. Этот пароль нельзя восстановить, поэтому убедитесь в том, что вы не забудете или не потеряете его.
Введите придуманный пароль два раза и нажмите кнопку Готово . Яндекс.Ключ зашифрует резервную копию, отправит ее на сервер Яндекса и сообщит об этом.
Выберите пункт Восстановить из резервной копии в настройках приложения.
Введите номер телефона, который вы использовали при создании резервной копии (например, «380123456789» ), и нажмите кнопку Далее .
Если для указанного номера найдена резервная копия данных Ключа, Яндекс отправит код подтверждения на этот номер телефона. Как только вы получите код, введите его в приложении.
Убедитесь, что дата и время создания резервной копии, а также имя устройства, соответствует той резервной копии, которую вы хотите использовать. Затем нажмите кнопку Восстановить .
Введите пароль, который вы задали при создании резервной копии. Если вы не помните его, к сожалению, расшифровать резервную копию будет невозможно.
Яндекс.Ключ расшифрует данные резервной копии и сообщит о том, что данные восстановлены.
При генерации одноразовых паролей Яндекс.Ключ учитывает текущее время и часовой пояс, установленные на устройстве. Когда доступно интернет-соединение, Ключ также запрашивает точное время с сервера: если на устройстве время выставлено неверно, приложение сделает поправку на это. Но в некоторых ситуациях даже после поправки и при корректном пин-коде одноразовый пароль будет неправильным.
Если вы уверены, что вводите пин-код и пароль верно, но авторизоваться не получается:
Убедитесь, что на вашем устройстве установлено корректное время и часовой пояс. После этого попробуйте войти с новым одноразовым паролем.
Подключите устройство к интернету, чтобы Яндекс.Ключ мог получить точное время самостоятельно. Затем перезапустите приложение и попробуйте ввести новый одноразовый пароль.
Если проблема не разрешилась, обратитесь в службу поддержки через форму ниже.
Оставить отзыв о двухфакторной аутентификации
Многие пользователи, деятельность которых связана с заработком в интернете или с хранением в сети важной информации, стараются обезопасить свои аккаунты от взлома и кражи конфиденциальных данных.
Конечно, сложный пароль, включающий в себя цифры и буквы, а также специальные символы, достаточно надежная защита, но максимальный эффект обеспечивает двухфакторная аутентификация.
Однако не каждый человек знает об этом варианте защиты своих учетных записей, и это несмотря на то, что сегодня все больше сервисов (почтовиков, социальных сетей и т.д.) предлагают воспользоваться такой возможностью.
Итак, о каком же способе защиты идет речь? На самом деле, вы уже встречались с двухэтапной аутентификацией. Например, когда вы собираетесь выполнить какую-либо операцию с деньгами на сайте WebMoney, то, кроме логина и пароля, вам понадобится указать код подтверждения, который придет на мобильный телефон.
Другими словами, двухфакторная аутентификация - это второй ключ к вашей учетной записи. Если вы активируете данную опцию, например, в Evernote (такая возможность есть), то злоумышленник, сумевший подобрать пароль к этому сервису заметок, столкнется с другой проблемой - требованием указать одноразовый код, который приходит на ваш номер телефона. Стоит отметить, что в случае попытки взлома аккаунта вам придет СМС, и вы моментально сможете сменить пароль.
Согласитесь, что это очень удобная опция, воспользовавшись которой вы будете меньше переживать по поводу потери личной информации.
Безусловно, некоторые пользователи могут возразить, утверждая, что двухэтапная аутентификация - это слишком много «лишних движений», и вообще, она предназначена для параноиков, которым все время кажется, что за ними кто-то следит.
Возможно, они в чем-то и правы. Например, для социальных сетей совсем необязательно использовать данный способ защиты. Хотя и здесь можно поспорить. Как правило, злоумышленники пытаются взломать аккаунты администраторов популярных «пабликов». Да и вам, скорее всего, тоже не хотелось бы однажды заметить, что ваша учетная запись в одной из «социалок» взломана и на «Стене» размещены совсем неприличные фото.
Что же касается других сервисов, то, например, двухфакторная аутентификация "Яндекс" позволит в безопасности хранить ваши регистрационные данные от "Вэбмани" и другие) или письма, содержащие секретную информацию.
Одним из наиболее популярных сервисов сегодня является "Гугл". Именно здесь вы можете зарегистрировать себе электронный почтовый ящик, хранить документы на Google-диске, бесплатно создать блог или канал на "Ютубе", которые впоследствии смогут принести вам прибыль.
Для того чтобы пользователи были уверены в сохранности документов, хранящихся на почте или диске, им предлагается двухфакторная аутентификация Google. Для ее активации необходимо войти в ваш аккаунт.
Теперь, открыв, например, почтовый ящик, обратите внимание на аватарку в правом верхнем углу. Кликните по ней и перейдите в «Мой аккаунт». Здесь вам нужен раздел «Безопасность и вход», а именно ссылка «Вход в аккаунт Google».
Справа вы увидите опцию «Двухэтапная аутентификация», где нужно кликнуть стрелочку, чтобы ее активировать. Откроется окно, в котором вас интересует кнопка «Приступить к настройке». Введите ваш пароль и следуйте дальнейшим инструкциям.
"Яндекс" также предлагает своим пользователям достаточно много полезных сервисов. Кроме облачного хранения информации на "Яндекс.Диске", вы можете завести себе электронный кошелек, куда будете выводить заработанные в интернете деньги.
Ну и, конечно, "Яндекс" не остался в стороне и также предлагает своим пользователям использовать двухфакторную аутентификацию для защиты документов, хранящихся в почтовом ящике.
Чтобы ее включить, от вас потребуется выполнить несколько простых действий. Войдите в ваш аккаунт и нажмите ЛКМ на фото профиля (справа в верхнем углу). В выпадающем меню выберите «Паспорт». Откроется окно, в котором вам нужно перейти по ссылке «Управление доступом». Установите «бегунок» в положение «ВКЛ». Вас перекинет на страницу, где необходимо кликнуть по кнопке «Начать настройку». Теперь пройдите 4 этапа активации двухфакторной защиты.
Как было сказано выше, злоумышленники обычно пытаются получить доступ к аккаунтам «админов» популярных групп. Но это не всегда так, ведь заинтересовать может и просто личная переписка какого-нибудь известного на просторах интернета человека.
Стоит отметить, что у некоторых пользователей этот способ защиты аккаунта со временем начинает вызывать раздражение, так как требует постоянного ввода секретного кода, кроме логина и пароля. В таких случаях необходимо знать, как отключить двухфакторную аутентификацию. Однако сначала разберемся с активацией данной опции.
На самом деле, включается двухэтапная аутентификация очень просто. Выберите «Мои настройки», а затем перейдите на вкладку «Безопасность». В разделе «Подтверждение входа» кликните по кнопке «Подключить». Теперь последовательно выполняйте все требования.
Для того чтобы деактивировать двухэтапную защиту в "Яндексе", понадобится снова перейти в ваш «Паспорт», кликнув по аватарке. После этого откройте раздел «Управление доступом» и установите бегунок в положение «Выкл».
Теперь вы знаете, что такое двухконтурная аутентификация и для чего она нужна. Пользуясь тем или иным сервисом, вы можете активировать эту дополнительную защиту или отказаться от такой возможности.
Конечно, в некоторых случаях настоятельно рекомендуется включать двухэтапную аутентификацию. Например, при регистрации на "Вэбмани" вы указали почту от "Яндекса". Работая в интернете, вы можете стать жертвой хакеров, которые взломают ваш почтовый ящик и получат доступ к электронному кошельку. Чтобы этого не произошло, лучше установить и привязать e-mail к телефону. Таким образом вы сможете оперативно среагировать, если вас попытаются взломать.
Это утверждение имеет смысл и относится, прежде всего, к компаниям финансового сектора, как, впрочем, и ряду компаний, выполняющих научно-исследовательские, опытно-конструкторские и технологические работы (НИОКР) в высокотехнологичных секторах рынка.
Применяя данный тип 2FA пользователь вводит на первом уровне аутентификации персональный пароль. На следующем этапе он должен ввести маркер ОТР, обычно отправляемый с помощью SMS на его мобильное устройство. Идея способа понятна. ОТР будет доступен только тому, кто, как предполагается в теории, ввел недоступный постороннему пароль.
Однако, увы, отправлять OTP в SMS, вообще говоря, небезопасно, так как часто сообщения отправляются открытым текстом. Даже начинающие хакеры могут прочесть подобные текстовые сообщения, ведь фактически все, что им нужно - целевой номер телефона.
Кроме того, многофакторная аутентификация не в состоянии предотвратить атаки класса MitM, которые часто используются в ходе фишинговых компаний с помощью электронной почты. В случае успеха атаки пользователь перейдет по мошеннической ссылке и попадет на сайт, похожий на онлайн-портал банка. Там пользователь введет информацию о входе в систему и другие конфиденциальные данные, которые будут использоваться злоумышленником чтобы получить доступ к реальному сайту.
И хотя данная атака будет возможна для осуществления только ограниченный период времени, она все же возможна.
В начале 2014 года Федеральная служба по техническому и экспортному контролю (ФСТЭК) утвердила методический документ о мерах защиты информации в государственных информационных системах. Документ прояснил многие аспекты, касающихся организационных и технических мер защиты информации, принимаемых в государственных информационных системах, в соответствии с утверждённым приказом ФСТЭК России от 11 февраля 2013 г. No17.
ФСТЭК настоятельно рекомендует полностью отказаться от привычной аутентификации на основе статических паролей для всех пользователей без исключения и перейти к более надежной многофакторной аутентификации. Обязательными требованиями для многофакторной аутентификации является использование аппаратных аутентификаторов и механизма одноразовых паролей при удаленном и локальном доступе.
Методика аутентификации при помощи SMS основана на использовании одноразового пароля: преимущество такого подхода, по сравнению с постоянным паролем в том, что этот пароль нельзя использовать повторно. Даже если предположить, что злоумышленнику удалось перехватить данные в процессе информационного обмена, он не сможет результативно использовать украденный пароль для получения доступа к системе.
А вот пример, реализуемый с применением биометрических устройств и методов аутентификации: использование сканера отпечатка пальца, который имеется в ряде моделей ноутбуков. При входе в систему пользователь должен пройти процедуру сканирования пальца, а затем подтвердить свои полномочия паролем. Успешно завершенная аутентификация даст ему право на использование локальных данных конкретного ПК. Тем не менее, регламентом работы в ИС может быть предусмотрена отдельная процедура аутентификации для доступа к сетевым ресурсам компании, которая помимо ввода другого пароля может включать в себя целый ряд требований к представлению аутентификаторов субъекта. Но даже при такой реализации, защищенность системы, несомненно, усиливается.
Аналогичным образом могут быть использованы и другие биометрические аутентификаторы :
При этом конечно применяется соответствующее оборудование и программное обеспечение, а затраты на его приобретение и поддержку могут отличаться в разы.
Однако, стоит понимать – биометрические аутентификаторы не являются абсолютно точными данными. Отпечатки одного пальца могут иметь отличия под воздействием внешней среды, физиологического состояния организма человека и т.п. Для успешного подтверждения этого аутентификатора достаточно неполного соответствия отпечатка эталону. Методы биометрической аутентификации содержат определение степени вероятности соответствия действующего аутентификатора эталону. Что касается биометрической аутентификации и удаленного доступа к ИС, то пока у современных технологий нет возможности передать по незащищенным каналам достоверные данные - отпечаток пальца или результат сканирования сетчатки глаза.
Эти технологии в большей степени годятся для использования в корпоративных сетях.
Наиболее популярной технологией в этом направлении в недалеком будущем может стать голосовая аутентификация и признаки тому очевидны. Значительное количество разработок в этой сфере имеется уже сегодня, проекты внедрения подобных механизмов управления/контроля нашли место в ряде крупных банков РФ. В качестве примера практического применения систем голосовой биометрической аутентификации, можно указать аутентификацию по ключевой фразе, применяемую в ряде колл-центров, аудио-пароли для доступа к системам интернет-банкинга и т.п., подтверждение действий персонала при осуществлении важных операций доступа к информации, контроль физического доступа и присутствия в помещении.
Помимо технологий, связанных с использованием биометрических аутентификаторов, имеются также программно-аппаратные решения, такие как автономные ключи для генерации одноразовых паролей, считыватели RFID -меток, криптокалькуляторы, программные и аппаратные жетоны (токены), электронные ключи различных типов – Touch Memory и ключ/смарт-карта, а также биометрические идентификационные карты. Все перечисленные в рамках статьи системы и методы многофакторной аутентификации, а помимо них еще и системы контроля и управления доступом (СКУД) могут интегрироваться, комбинироваться, отрабатываться поочерёдно и в комплексе. Отсюда можно сделать вывод: на рынке России существует достаточное количество предложений для усиления защиты информационных систем, как от внутренних, так и внешних вторжений. У компаний имеется возможность выбора, ограничиваемая лишь размером бюджета.
Методам защиты, основанным на методиках многофакторной аутентификации, сегодня доверяет большое число зарубежных компаний, среди которых организации хай-тека, финансового и страхового секторов рынка, крупные банковские учреждения и предприятия госсектора, независимые экспертные организации, исследовательские фирмы.
При этом, частные компании и организации в мире, в целом, не очень охотно распространяются о внедрении у себя технологических новинок в сфере безопасности и защиты информации , по вполне понятным причинам. Гораздо больше известно о проектах в государственном секторе – с 2006 года публично известны успешно реализованные технологические решения в государственных учреждениях Канады, Саудовской Аравии, Испании , Дании и ряда других стран.
11 февраля 2019 года стало известно, что житель Калифорнии Джей Бродски (Jay Brodsky) подал в суд на компанию Apple за «незаконное» включение двухфакторной аутентификации . Бродски жалуется на то, что двухфакторная аутентификация существенно усложняет жизнь пользователям, поскольку от них требуется не только помнить пароль, но еще и иметь доступ к доверенному телефону или телефонному номеру. Подробнее .
В документе содержится прямое указание на то, что использование SMS -сообщений для двухфакторной аутентификации может являться «недопустимым» и «небезопасным» (секция документа 5.1.3.2).
Полностью данный параграф выглядит так: «Если верификация по внешнему каналу осуществляется посредством SMS-сообщения в публичной сети мобильной телефонной связи, верификатор должен убедиться, что используемый предварительно зарегистрированный телефонный номер действительно ассоциируется с мобильной сетью, а не с VoIP или иным программным сервисом. После возможна отправка SMS-сообщения на предварительно зарегистрированный телефонный номер. Изменение предварительно зарегистрированного телефонного номера не должно быть возможно без двухфакторной аутентификации в ходе изменения. Использование SMS-сообщений в аутентификации по внешнему каналу недопустимо, и не будет дозволяться в будущих версиях данного руководства».
Основные опасения экспертов Национального института стандартов и технологий сводятся к тому, что номер телефона может быть привязан к VoIP -сервису, кроме того, злоумышленники могут попробовать убедить поставщика услуг в том, что номер телефона изменился, и подобные уловки нужно сделать невозможными.
Хотя документ рекомендует производителям использовать в своих приложениях токены и криптографические идентификаторы, авторы поправок также отмечают, что смартфон или другое мобильное устройство всегда могут быть украдены, или могут временно находиться в руках другого человека" - говорится в документе NIST.
Механизмов компрометации SMS паролей существует достаточно много, и они уже были неоднократно использованы в основном для похищения денежных средств клиентов российских банков. Достаточно перечислить лишь несколько методов взлома SMS паролей:
То обстоятельство, что механизм SMS-паролей используется всеми банками, открывает для хакеров широкие перспективы. Очевидно, что написав один раз троян для смартфона , его можно использовать для атаки на все российские банки, при его (трояна) минимальной кастомизации.
При этом можно предсказать, что первыми "под раздачу" будут попадать крупные банки – большая клиентская база последних позволяет мошенникам рассчитывать на весомый результат даже при небольших остатках на счетах клиентов.
Одноразовые пароли через SMS
Одноразовые пароли через PUSH
Ученые из Амстердамского свободного университета Радхеш Кришнан Конот (Radhesh Krishnan Konoth), Виктор ван дер Вен (Victor van der Veen) и Герберт Бос (Herbert Bos) продемонстрировали практическую атаку на двухфакторную аутентификацию с использованием мобильного устройства. Исследователи продемонстрировали атаку «Человек в браузере» (Man-in-the-Browser) против смартфонов на базе Android и iOS .
Проблема с двухфакторной аутентификацией возникла из-за увеличения популярности смартфонов и желания владельцев синхронизировать данные между различными девайсами. Двухфакторная аутентификация полагается на принцип физического разделения устройств для защиты от вредоносного ПО. Однако синхронизация данных делает подобную сегментацию абсолютно бесполезной.
Исследователи продемонстрировали атаку с использованием установки уязвимого приложения через Google Play . Им удалось успешно обойти проверку Google Bouncer и активировать приложение для перехвата одноразовых паролей.
Для атаки на iOS исследователи использовали новую возможность OS X под названием Continuity, позволяющую синхронизировать SMS -сообщения между iPhone и Mac. Если этот функционал активирован, злоумышленнику достаточно иметь доступ к компьютеру, чтобы прочитать все SMS сообщения.
Согласно исследователям, приложение для хищения одноразовых паролей было добавлено в Google Play 8 июля 2015 года и оставалось доступно для пользователей в течение двух месяцев, до выхода видео с демонстрацией атаки.
Два фактора авторизации в системе «Яндекса» следующие: информация о принадлежности устройства конкретному пользователю, которая хранится на серверах «Яндекса», и знание пользователем своего четырехзначного пина (или его отпечаток пальца), пояснили в компании.
Каждый раз при вводе пин-кода (или при срабатывании Touch ID) в приложении генерируется уникальный одноразовый код, который действует 30 секунд. При этом часть кода генерируется из пин-кода, который знают только пользователь и «Яндекс», и часть - из данных приложения. В одноразовом коде зашифрованы оба «секрета». «Таким образом, исключается вариант, когда один из факторов был скомпрометирован и злоумышленник подбирает данные второго фактора», - добавили в «Яндексе».
Если считать QR-код не получается, например, не работает камера смартфона или нет доступа к интернету приложение «Яндекс.Ключ» создаст одноразовый пароль из символов. Он также будет действовать в течение только 30 секунд.
После перехода на двухфакторную аутентификацию существующий пароль пользователя перестанет работать на всех установленных программах, использующих логин и пароль «Яндекса», включая «Яндекс.Диск», почтовые программы, настроенные на сбор почты из «Яндекс.Почты», синхронизацию в «Яндекс.Браузере», предупредили в компании. Для каждого приложения будет необходим свой новый пароль - он будет создан в «Яндекс.Паспорте», в настройке «Пароли приложений». Его необходимо будет ввести один раз в каждом приложении.
Цель аутентификации - максимально затруднить использование чужих (украденных, подобранных) учетных данных. Этот процесс должен быть простым для легального пользователя, а придумывание и запоминание стойких паролей длиной не менее nn символов и включением в них спецсимволов, цифр с высокой вероятностью раздражает пользователей .
В компании может быть несколько различных информационных систем, источников ресурсов, требующих аутентификации:
И поскольку перед пользователем стоит задача - соответствовать требованиям политики безопасности по сложности и уникальности паролей, ее решение представляет определенные трудности для исполнения пользователем, а в технологическом плане - это разрозненные системы аутентификации, не связанные между собой, не гибкие, требующие большого объема ресурсов для поддержки. Все вкупе ведет к дополнительным расходам и «неповоротливости» компании при внесении изменений в способах аутентификации.
Разрешить вопросы и помочь в решении стоящих задач может сервер аутентификации - единый центр администрирования всех процессов проверки подлинности сразу для всех приложений/сервисов/ресурсов. Промышленные серверы такого типа поддерживают целый набор методов аутентификации. Как правило, это OATH HOTP, TOTP, OCRA, PKI-сертификаты, RADIUS, LDAP , обычный пароль, SMS , CAP/DPA и другие. Каждый ресурс, использующий сервер аутентификации, может использовать метод, который требуется именно ему.
С использованием серверов аутентификации ИТ-администраторы получают единый интерфейс управления учетными данными пользователей, гибкие возможности по смене методов проверки подлинности. Бизнес получает надежную защиту доступа к сервисам и ресурсам в виде двухфакторной аутентификации, что повышает лояльность пользователей, как внутренних, так и внешних.
Добавление второго фактора для проверки подлинности, при действующем сервере аутентификации, не потребует от компании создания новых программно-технических средств и закупки новых токенов.
В качестве примера: банк А проверял подлинность владельцев дебетовых или кредитных карт в клиент-банке по сертификатам на USB -токенах. Его платежные карты были исключительно с магнитной полосой, но в какой-то момент банк наладил выпуск карт с EMV-чипом, который, по сути, является микрокомпьютером. Карту с EMV-чипом можно использовать для аутентификации по алгоритму Master Card Chip Authentication Program (CAP). То есть теперь банк А может отказаться от применения для каждого пользователя дорогостоящих PKI-токенов и сменить этот метод аутентификации на CAP, для которого требуется только недорогой криптокалькулятор. Через некоторое время банк А начинает выпуск платежных карт с дисплеем и реализованным алгоритмом OATH TOTP и для того, чтобы избавить пользователя от использования дополнительного криптокалькулятора, настраивает аутентификацию TOTP для клиент-банка. Следует понимать, что помимо дистанционного банковского обслуживания в банке А есть множество других сервисов, как внутренних, так и предназначенных для клиентов или партнеров, требующих аутентификации. Для каждого приложения служба информационной безопасности может выдвинуть свои требования по необходимым методам проверки подлинности пользователей. Вся аутентификация банка А может производиться на сервере аутентификации. Нет никакой необходимости заниматься разработками для каждого приложения отдельно.
Такая гибкость и легкость добавления новых методов проверки подлинности недостижима без сервера аутентификации. Сокращение времени на эти задачи столь значительно, что позволяет говорить о быстроте ввода продукта в эксплуатацию как о конкурентном преимуществе.
Доступность строгой аутентификации в виде специализированного программного обеспечения позволяет добавлять многофакторность приложениям, прежде не обладающим таким функционалом, без комплексных доработок. Практически все информационные системы, сервисы, приложения, не поддерживающие строгую аутентификацию «из коробки», могут использовать возможности сервера аутентификации для доступа пользователей.
Windows , OS X, Linux и Chrome OS. Для работы с USB-ключом необходимо использовать браузер Google Chrome версии 38 и выше.
Использование USB-ключей полностью бесплатно, однако пользователи должны приобретать их за свой счет. Ключи отличаются дизайном. Самая дорогая модель за $60 оснащена технологией Java Card.
Двухфакторную аутентификацию с отсылкой SMS -сообщения с кодом подтверждения Google запустила в 2011 г. В январе 2013 г. корпорация сообщила, что планирует разработать и предложить физические средства подтверждения личности. В частности, именно тогда речь зашла о доступе к сервисам Google с помощью USB-ключей.
Лишь 34% опрошенных уверены, что сотрудники в состоянии сделать все необходимое для защиты компании от компьютерных угроз.
Двухфакторная аутентификация Apple ID – это новая технология обеспечения безопасности для учётки, гарантирующая, что доступ к ней будет обеспечен только ее владельцу. Причем даже если символы пароля от учётки знает кто-то еще, все равно он не сможет войти в систему вместо законного обладателя ID.
Использование этой технологии обеспечивает доступ к учётке исключительно с доверенных девайсов – айфона, планшета или макбука. При первичном заходе на новом гаджете понадобится указать два вида данных – символы пароля и код проверки в 6 – значном формате. Кодовые символы на автомате обновляются на этих девайсах. После его вбивания новый гаджет причислят к доверенным. Допустим, если в наличии iPhone, при первичном входе в учетку на только что купленном MacBook понадобится вбить символы пароля и проверочный код, который на автомате всплывет на дисплее айфона.
Поскольку для доступа к учетке символов пароля недостаточно, применяются и иные типы проверки, показатель безопасности ID – номера значительно повышается.
После осуществления входа запрашивание кода больше производиться на этом девайсе не будет – до того момента, пока не выполнится выход и не будет стерта вся информация на гаджете либо не потребуется смена символов пароля (тоже в целях безопасности). Если вход производится через сеть, можно сделать браузер доверенным и в следующий раз при работе с этим же девайсом код вбивать не понадобится.
Таковым может быть не любой «яблочный» девайс – только айфоны, айпады тач с операционкой версии 9 или более новой, а также макбуки с операционкой Capitan либо более «свежими». В системы этих гаджетов должны быть осуществлены входы с применением 2-факторной проверки.
Если коротко – это девайс, о котором Apple доподлинно известно, кому он принадлежит, и через который можно проверить личность через показ кода подтверждения при заходе с иного гаджета или браузера.
Это те, которые можно применять, чтобы поступали подтверждающие коды через текстовые послания либо вызовы. Требуется подтвердить хотя бы один номер для доступак 2-х факторному определению личности.
Еще можно выполнить подтверждение иных номеров – домашнего, или друга/родственника. Когда временно нет доступа к основному, можно будет использовать их.
Если на девайсе стоит операционка версии 10.3 и старше, алгоритм действий будет таков:
Если на гаджете операционка 10.2 или более ранняя, шаги будут следующими:
Многие интересуются, можно ли выключить эту технологию. Конечно, да. Но запомните, что после выключения учетка будет защищена слабо – только символами пароля и вопросами.
Для отключения потребуется войти на страничке своей учетки в пункт правок (во вкладке безопасности). Потом нажать по разделу выключения двухфакторной идентификации. После задания новых секретных вопросов и согласия с указанной датой рождения технология деактивируется.
Если кто-то ее вновь активирует для ID без ведома законного обладателя, можно будет выполнить отключение по e-mail. Далее нужно, как и ранее, нажать на раздел выключения аутентификации в самом низу сообщения, пришедшего ранее по e-mail. Ссылка будет активной еще две недели. Переход по ней позволит восстановить прошлые настройки безопасности ID и контроль над своей учёткой.
