Основно съдържание
Компютрите и интернет
Курс: Компютрите и интернет > Раздел 4
Урок 7: Методи за удостоверяване/автентикация на потребителяМногофакторна автентификация
Използването на парола е най-честата форма на автентикация, но не и единствената, нито пък най-сигурната. Нападателят трябва да научи едно-единствено парче информация (паролата), за да се автентикира.
По-сигурен начин за защита на личните данни от нежелан достъп е многофакторната автентикация, която изисква няколко парчета информация, за да автентикира.
Фактори за автентикация
Автентикацията изисква от теб да предоставиш доказателство за самоличността си. Това доказателство може да е в три често използвани форми:
- Доказателство, базирано на знание (тоест нещо, което знаеш). Често доказваш самоличността си пред уебсайтовете, като им даваш доказателство под формата на парола. Паролата репрезентира нещо, което знаеш. Други примери са ПИН кодовете и фразите.
- Доказателство, базирано на притежание (тоест нещо, което имаш). Банкоматите верифицират самоличността на потребителите, като изискват от тях да предоставят банковите си карти. Твоята банкова карта репрезентира нещо, което притежаваш. Други примери са телефони, ключове или устройства за защитни токени.
- Доказателство, базирано на присъственост (тоест нещо, което си). По-новите телефони могат да те автентикират, като сканират отпечатъка ти. Твоите отпечатъци репрезентират нещо, което си ти. Други примери са разпознаване на лице или глас.
Различните форми на доказателства са познати и като фактори за автентикация. Съществуват и други фактори за автентикация (например мястото, където си), но гореизброените са най-често използваните.
Нападателите могат да откраднат тези фактори за автентикация, за да придобият неоторизиран достъп до акаунт. В зависимост от местоположението на нападателя, някои форми на доказателства са по-лесни за открадване от други. Например нападател, който е отдалечен, може по-лесно да открадне пароли, отколкото банкови карти, докато за някой, който е близо, може да е обратното.
Многофакторна автентикация
За да защитават едновременно от близки и далечни атаки, системите за автентикация използват техника за контрол на достъпа, позната като многофакторна автентикация (MFA).
MFA изисква потребителят да покаже доказателства от няколко различни фактори (например нещо, което знаеш, и нещо, което имаш), за да получи достъп до системата.
Двуфакторна автентикация
Най-популярната форма на MFA използва два фактора за автентикация. Двуфакторната автентикация (2FA) изисква две доказателства за самоличността и тези две доказателства трябва да са от два различни фактора.
Система за автентикация, която изисква парола и ПИН код, използва само един фактор, въпреки че изисква две доказателства. Паролите и ПИН кодовете попадат във фактора за знание, така че системата за автентикация се проваля да отговори на изискванията за многофакторна автентикация.
Така че, ако тази система не използва двуфакторна автентикация, как всъщност изглежда 2FA система? Стандартна схема може да поиска от теб да въведеш парола (нещо, което знаеш) и след това да те моли да въведеш и код, генериран на телефона ти (нещо, което притежаваш).
Нека преминем през процеса за двуфакторна автентикация за влизане в GitHub — уебсайт за хранилища на програмен код и контрол на версиите.
Първо GitHub ме моли да въведа потребителско име и парола:
GitHub ме подканва да въведа код за автентикация, генериран от приложение на моето устройство:
Отварям приложението за автентикация на моя телефон и виждам генерирания код за моя акаунт в GitHub.
Ако погледнеш по-внимателно, ще забележиш и таймер, който отброява наобратно, докато генерираният код за автентикация изтече. Веднъж щом отброяването приключи, ще бъде генериран нов код и таймерът ще започне отначало. Много 2FA системи добавят крайна дата на доказателството, за да предпазят нападателите да ги използват завинаги.
Тъй като генерираният код ще изтече след няколко минути, трябва бързо да го въведа в GitHub на моя лаптоп:
След всичко това, вече съм вписана в моя GitHub акаунт!
Допълнителната стъпка да използвам телефона ми за генериране на код увеличи повече от два пъти времето и сложността по вписването ми в GitHub, но освен това прави разбиването на акаунта ми GitHub от хакери много по-трудно.
През май 2019 г. много потребители на GitHub намериха хранилищата си за код изтрити и заместени от бележки за откуп. Потребителите не са използвали 2FA и случайно са разкрили паролите си и това е позволило на хакери да поемат контрол над акаунтите им. Затова GitHub силно препоръчва използването на 2FA.
Тъй като всеки допълнителен фактор за автентикация добавя нова защита срещу нападатели, защо да не използваме 3FA или дори 4FA? Може да е неудобно за потребителите да предоставят 3 или повече форми на доказателство, за да се автентикират, особено и понеже системите често изискват потворно автентикиране след определено време. Това е пример за чест компромис в кибер сигурността: използваемост срещу сигурност. С повишаването на сигурността на системите използването им може да се затруднява.
Препоръки
За да защитиш акаунтите си, най-добре е да използваш многофакторна автентикация в допълнение към силна парола. Според проучване на Google MFA е предотвратила повече атаки отколкото еднофакторната автентикация, като е предотвратила 100% от атаките от автоматизирани ботове и значително е намалила другите атаки.
Не е възможно да се използва MFA, ако уебсайтът не я поддържа, но тъй като все повече уебсайтове подобряват системите си, за да поддържат MFA, може от време на време да проверяваме да видим дали сега вече те я поддържат. Ако използваш мениджър на паролите, той може дори да те извести, ако някой от акаунтите ти сега може да бъде защитен с MFA.
Трябва да внимаваме и доказателствата от един фактор да не съдържат доказателства от друг фактор. Например ако запазваш паролите си като бележки на телефона си и някой успее да открадне и отключи телефона ти, той ще има достъп до доказателството ти за притежание и до доказателството ти за знание. 😬
🤔 Когато една система използва няколко фактора за автентикация, тя запазва повече информация за теб. Това трябва ли да ни притеснява за поверителността?
🙋🏽🙋🏻♀️🙋🏿♂️Имаш ли въпроси по тази тема? С радост ще ти отговорим—просто задай въпроса си по-долу!
Искаш ли да се присъединиш към разговора?
Все още няма публикации.