Плюсы и минусы типов и методов двухфакторной аутентификации
Обзоры технологий

Плюсы и минусы типов и методов двухфакторной аутентификации

Здесь приведены плюсы и минусы методов двухфакторной аутентификации, чтобы понять, какой из них лучше для вас

Вы, надеюсь, слышали о преимуществах двухфакторной аутентификации. Если для разблокировки учетных записей в Интернете требуется не только пароль, но и что-то еще, взломать их становится гораздо сложнее

Однако двухфакторная аутентификация существует в нескольких формах, и некоторые из них лучше других. Когда у вас есть выбор, что выбрать? Давайте рассмотрим плюсы и минусы методов двухфакторной аутентификации, чтобы выяснить это

Двухфакторная аутентификация против двухэтапной аутентификации. Двухэтапная аутентификация

Прежде чем приступить к работе, давайте вкратце проясним различия между двухфакторной и двухэтапной аутентификацией. Они похожи, но не идентичны

Двухфакторная аутентификация – это когда вы защищаете учетную запись двумя различными типами методов авторизации. Фактор может быть одним из следующих:

  • Что-то, что вы знаете: Сюда входит часть информации, например пароль или секретный вопрос.
  • То, что у вас есть: Например, ваш смартфон или другое физическое устройство.
  • То, чем вы являетесь: Фактор, уникальный для вашего тела, например, отпечаток пальца или радужная оболочка глаза.

Настоящая двухфакторная аутентификация означает, что вы должны разблокировать два чека из разных факторов, прежде чем сможете войти в систему. Если ваша учетная запись защищена двумя блокировками одного и того же фактора, это называется двухэтапной аутентификацией

Например, пароль и секретный вопрос – это то, что вы знаете, что делает этот вид аутентификации двухэтапной, но не двухфакторной. Это все равно обеспечивает лучшую защиту, чем один только пароль, но правильная двухфакторная аутентификация предпочтительнее

Двухфакторная аутентификация является разновидностью двухэтапной аутентификации, но это не так

Метод 1: вопросы безопасности

Вы, вероятно, знакомы с этим методом: при создании учетной записи вы выбираете один или несколько вопросов безопасности и задаете ответы на каждый из них. При входе в эту учетную запись в будущем вы должны дать правильный ответ на каждый вопрос, чтобы подтвердить свой доступ

Плюсы вопросов безопасности

Вопросы безопасности очень легко задавать. Чаще всего сервис предоставляет выпадающее меню вопросов – все, что вам нужно сделать, это выбрать несколько и дать ответ. Вам не нужно никакого другого оборудования или устройств; ответ хранится у вас в голове

Минусы вопросов безопасности

Ответы на многие вопросы безопасности легко найти. Люди могут найти такую информацию, как второе имя вашего отца или улицу, на которой вы выросли, в открытых источниках или в социальных сетях. Также легко случайно разгласить эту конфиденциальную информацию с помощью социальной инженерии, например, фишинговых писем или телефонных звонков

Чтобы обойти недостатки секретных вопросов, можно ввести тарабарский ответ, который фактически станет вторым паролем. Но вы должны быть осторожны, чтобы не потерять или не забыть этот ответ – хранить его в менеджере паролей будет хорошей идеей

Способ 2: SMS или сообщения электронной почты

Для этого типа двухфакторной аутентификации вы указываете номер своего мобильного телефона при создании учетной записи. Когда вы хотите войти в систему, служба отправляет вам текстовое сообщение по SMS (или по электронной почте, как вариант)

Это временный проверочный код, срок действия которого истекает в ближайшее время. Вы должны ввести строку, чтобы завершить вход в систему

Преимущества SMS двухэтапной аутентификации

SMS-сообщения (и электронная почта) удобны тем, что доступ к ним есть практически у каждого. Обычно сообщения приходят мгновенно или, самое большее, через несколько минут. Если вы когда-нибудь потеряете свое устройство, вы обычно можете перенести свой номер телефона, чтобы избежать постоянной блокировки

Недостатки двухэтапной аутентификации по SMS

Вы должны доверять сервису настолько, чтобы сообщить свой номер телефона, поскольку некоторые недобросовестные сервисы могут использовать ваш номер в рекламных целях. Другая проблема заключается в том, что вы не сможете получить текст с кодом входа, если у вас нет сотовой связи

Кроме того, SMS и электронная почта не являются безопасными методами связи. Хакеры могут перехватывать тексты SMS, не прикасаясь к вашему телефону, хотя это и нелегко

Метод 3: Одноразовые пароли, основанные на времени (OTP)

При этом методе аутентификации вы используете приложение-аутентификатор для сканирования QR-кода, содержащего секретный ключ. При этом секретный ключ загружается в приложение и генерирует временные пароли, которые регулярно меняются. После ввода пароля вам нужно будет ввести код из приложения аутентификатора, чтобы завершить вход

Преимущества одноразовых паролей

После добавления учетной записи в приложение аутентификатора вам не нужно иметь мобильную связь для доступа к ней. Поскольку секретный ключ хранится на самом устройстве, он не может быть перехвачен, как это бывает с SMS. А если вы используете некоторые приложения-аутентификаторы, например Authy, вы можете синхронизировать свои коды между несколькими устройствами, чтобы избежать блокировки

Недостатки одноразовых паролей

Если в телефоне разрядится батарея, вы не сможете получить доступ к своим кодам (хотя это справедливо и для SMS). Поскольку для генерации кодов используется время, существует вероятность рассинхронизации часов между вашим устройством и сервисом, что приводит к недействительным кодам. Именно поэтому всегда следует распечатывать резервные коды, которые предоставляются сервисами в качестве аварийного способа входа в систему

Хотя это и маловероятно, но если хакер каким-то образом клонирует ваш секретный ключ, он сможет генерировать собственные действительные коды по своему усмотрению. А если сервис не ограничивает количество попыток входа, хакеры все равно смогут взломать ваш аккаунт с помощью грубой силы

Метод 4: Ключи U2F

Универсальный второй фактор (U2F) – это открытый стандарт, который используется с устройствами USB, устройствами NFC и смарт-картами. Для аутентификации достаточно вставить USB-ключ, нажать на устройство NFC или провести пальцем по смарт-карте

Плюсы U2F

Ключ U2F – это настоящий физический фактор. Пока вы храните их в физической безопасности, они не могут быть перехвачены или перенаправлены в цифровом виде. И в отличие от большинства двухфакторных методов, ключи U2F защищены от фишинга, поскольку они работают только после того, как вы зарегистрировали их на сайте. Таким образом, это один из самых безопасных методов 2FA, доступных в настоящее время

Минусы U2F

U2F – относительно новая технология, поэтому она не так широко поддерживается, как другие варианты. Другим существенным недостатком является неудобство, связанное с различием USB-портов на ваших устройствах. Например, если у вас есть ключ U2F с разъемом USB-A, он не будет работать на устройстве Android, iPhone или более новом MacBook без адаптера

Более дорогие U2F-ключи имеют встроенный NFC, что позволяет использовать их с мобильными устройствами, но они стоят дороже. Хотя стоимость ключей U2F начинается от 20 долларов, приобретение прочного ключа или ключа с NFC обойдется дороже

Способ 5: Push-уведомление

Некоторые платформы двухфакторной аутентификации предоставляют альтернативный метод, на который стоит обратить внимание. В этом случае после ввода пароля вы получаете на свое устройство push-уведомление с информацией о попытке входа. Просто нажмите Одобрить или Отклонить , чтобы ответить на запрос

Преимущества Push-уведомлений

Push-уведомления гораздо удобнее, чем открывать приложение аутентификатора и вводить код. Они также содержат информацию о том, кто пытается войти в систему, например, тип устройства, IP-адрес и общее местоположение. Это позволяет предупредить вас о любых злонамеренных попытках входа в систему по мере их возникновения

Кроме того, поскольку push-уведомление привязано к вашему телефону, нет риска того, что хакер скопирует ваш секретный код или украдет SMS. Этот метод требует физического наличия устройства при себе для входа в систему

Недостатки Push-уведомлений

Аутентификация с помощью Push-уведомлений требует, чтобы ваш телефон был подключен к Интернету. Таким образом, если у вас нет соединения для передачи данных и вы не подключены к Wi-Fi, вы не получите запрос на вход

Кроме того, существует риск проигнорировать информацию в push и просто одобрить ее, не подумав. Если вы не будете осторожны, это может привести к тому, что вы предоставите доступ тому, кто не должен его иметь

Метод 6: Биометрия (лицо, голос или отпечаток пальца)

Распознавание лица, голоса и отпечатков пальцев относится к категории биометрии. Системы используют биометрическую аутентификацию, когда необходимо убедиться, что вы действительно тот, за кого себя выдаете, часто в областях, требующих допуска (например, в правительстве)

Преимущества биометрии

Биометрические данные чрезвычайно трудно взломать. Даже отпечаток пальца, который, вероятно, легче всего скопировать, требует определенного физического взаимодействия

Для распознавания голоса потребуется какое-либо заявление, произнесенное вашим голосом, а для распознавания лица – что-то радикальное, вроде пластической операции. Она не является неуязвимой, но довольно близка к этому

Недостатки биометрии

Самый большой недостаток, который является причиной того, что биометрия редко используется в качестве двухфакторного метода, заключается в том, что скомпрометированная биометрия остается скомпрометированной на всю жизнь. Вы не можете изменить отпечаток пальца или лицо, как номер телефона

Кроме того, большинству людей неудобно предоставлять компаниям свое лицо, голос или отпечатки пальцев. Даже если бы вы это сделали, технологию правильного использования этих факторов было бы слишком сложно внедрить в повседневные приложения и сервисы

Плюсы и минусы многофакторной аутентификации

Теперь, когда мы рассмотрели преимущества и недостатки двухфакторных методов аутентификации, какой из них лучше? Это зависит от того, что вы цените больше всего

В общем, вот наши рекомендации:

  • Для баланса лучше всего использовать одноразовые пароли, основанные на времени, с помощью приложения-аутентификатора. Однако вы должны быть осторожны и хранить резервные коды на случай потери или поломки устройства. В этом может помочь использование Authy и вход на нескольких устройствах.
  • Для обеспечения максимальной безопасности и конфиденциальности лучше всего подходят ключи U2F. Они не могут быть использованы для слежки за вами, и для их использования вам не нужно предоставлять никакой личной информации. Но U2F-ключи стоят денег и часто неудобны.
  • Для удобства лучше всего подходят SMS-сообщения. Они могут быть перехвачены и не работают при плохом приеме. Однако они быстрые, простые и лучше, чем одноэтапная аутентификация.
  • Если у вас есть возможность использовать push-уведомления, их стоит попробовать. Только убедитесь, что при их использовании у вас стабильное подключение к Интернету, и всегда проверяйте информацию в подсказке.

.

Если у вас есть выбор, никогда не полагайтесь на вопросы безопасности в качестве двухфакторного метода. Если сайт их требует, относитесь к ним как ко второму паролю и храните свои ответы в менеджере паролей. Неразумно отвечать на вопросы напрямую

Теперь, когда вы знаете, какой метод использовать, следуйте нашему руководству по включению двухфакторной аутентификации на многих популярных сайтах

Об авторе

Алексей Белоусов

Привет, меня зовут Филипп. Я фрилансер энтузиаст . В свободное время занимаюсь переводом статей и пишу о потребительских технологиях для широкого круга изданий , не переставая питать большую страсть ко всему мобильному =)

Комментировать

Оставить комментарий

ВАМ БУДЕТ ИНТЕРЕСНО