Что такое двухфакторная аутентификация. Двухфакторная аутентификация для безопасности криптовалют

Функция дополнительной проверки пользователя полностью контролирует все попытки входа в аккаунт и использование приложений: узнайте, как правильно использовать и как выключить на своем яблочном девайсе двухфакторную аутентификацию в Apple ID.

Одним из главных достоинств компании Apple является подход к политике безопасности и конфиденциальности пользовательской информации.

Двухэтапная аутентификация – это один из современных приёмов для достижения максимального уровня надежности входа в аккаунт.

В компании такая технология используется для проверки владельца гаджета при попытке входа в учетную запись. Многоуровневая аутентификация является 100%-й гарантией того, что доступ к системе будет иметь только его владелец .

Принцип действия. Разница в работе аутентификации и проверки

Активированная функция многоуровневой аутентификации отлично защищает аккаунт от взломов и несанкционированного проникновения другими пользователями.

Только владелец идентификатора сможет выполнить вход, ведь система потребует ввести два типа данных:

• Пароль от Apple ID ;
• Цифровой код , который будет отправлен на все доверенные девайсы – он является доказательством легальной авторизации.

Пример: Вы решили зайти в с любого браузера или клиентской программы. Для этого действия нужно ввести логин и пароль. После прохождения авторизации вы не попадёте в свой аккаунт – нужно дополнительно ввести код, который подтверждает санкционированный вход.

Нужный код отображается на всех привязанных к Apple ID гаджетах. Введите цифры в окно аутентификации iCloud, чтобы получить доступ к профилю.

Визуальная схема работы функции представлена на рисунке:

После первого правильного ввода кода, ввод цифр больше не будет запрашиваться после следующих включений ПО. Повторная аутентификация потребуется лишь в нескольких случаях:

• При сбросе настроек;
• При повторном входе в.

Также, постоянное введение цифровых кодов обязательно для функций, которые имеют повышенную степень безопасности – изменение настроек смартфона, удаление системных параметров и прочие.

Проверка и аутентификация. В чём разница?

Важно различать понятия двухэтапная проверка и двухфакторная аутентификация , так как они имеют схожее действие, но разный смысл.

Проверка была реализована и внедрена в гаджеты от Эпл еще в 2015 году. Главная цель опции – дополнительный контроль . Проверка доступна, начиная с прошивки IOS 9.

Аутентификация – это расширенный вариант проверки. Apple доработала функцию и внесла в неё новые системы управления безопасностью. В частности – работу с местоположением. Принцип работы с картами заключается в отмеченных точках «безопасности».

Каждый человек регулярно посещает одни и те же места, поэтому на карте вы точно сможете выбрать несколько точек, с которых можно без проблем выполнять авторизацию.

Если же вход выполнен за пределами этих точек, на доверенные устройства сразу приходит проверочный код и предупреждение о возможных действиях злоумышленника.

Как видите, аутентификация действительно является более автоматизированным и надежным методом контроля идентификатора .

Задача проверки – отправка кода на доверенный гаджет, а аутентификация еще и анализирует местонахождение девайса и предупреждает владельца о возможной опасности.

Требования функции

Многоуровневая аутентификация разработана для следующих гаджетов:

Отключение аутентификации

Отключение аутентификации позволит больше не вводить дополнительные коды доступа. Подтверждать местоположение тоже не придётся. Следуйте инструкции:

• С помощью десктопного браузера зайдите на страницу облачного хранилища iCloud.com;
• Авторизуйтесь в системе – введите логин и пароль;
• Далее напечатайте в появившееся текстовое поле код доступа , который показан на других гаджетах;

• Нажмите клавишу «Разрешить» в окне, которое появится на мобильном девайсе;
• Далее браузер автоматически перенаправит вас на страницу пользователя. Если не внесен в доверительный список, на мобильном гаджете кликните на «Я доверяю этому браузеру» и нажмите на «Продолжить» ;

• После успешного входа кликните на плитку «Настройки» . Она расположен на главной странице десктопной версии iCloud. Еще один вариант входа в настройки – выбор имени пользователя в правом верхнем углу. Далее в выпадающем списке нажмите на «Настройки iCloud» ;

• В появившемся окне нажмите на клавишу «Управление» . Она расположена возле имени владельца аккаунта;

• Далее вы будете переправлены на сайт компании Apple. В новом окне требуется авторизоваться, введя свой логин и пароль от ;

• Перейдите в окно управления учетной записью и нажмите на вкладку «Безопасность» -«Изменить» ;

• Найдите поле «Отключение аутентификации» и выберите его. Далее выполните подтверждение действия с помощью ввода пароля, который будет отправлен на доверенное устройство.

Система двухэтапной аутентификации устроена таким образом, чтобы максимально обезопасить пользователей от всех возможных попыток взлома. Именно поэтому для полного отключения опции разработчики предусмотрели необходимость ответа на блок вопросов, которые вы указали .

Только после вписывания в текстовые поля правильных ответов вы получите возможность деактивировать опцию.

Подтвердите отключение:

Доверенные устройства

Проверенный девайс – это любое ваше устройство от Apple. Единственное требование – все гаджеты должны быть привязаны к одному ID. Именно по принципу этой привязки и происходит создание группы доверенных устройств.

Вы не сможете подтвердить аутентификацию с устройства, которое не входит в группу ваших гаджетов от Эпл.

Работать с двухэтапной аутентификацией может только один владелец , планшета, компьютера.

Перечень доверенных устройств – это список всех моделей гаджетов, на которые будет отправлен цифровой код для подтверждения входа в Apple ID или программу.

Посмотреть этот перечень можно в самом приложении во вкладке Devices.

Доверенные номера

Доверенные номера – это список номеров оператора сотовой связи, на которые будет приходить цифровой код доступа для аутентификации. Сообщения могут приходить не только в текстовом виде, но и в форме звонка от робота Apple.

В процессе первой настройки многоуровневой аутентификации необходимо указать хотя бы один реальный телефонный номер.

Для добавления номера его нужно ввести в поле и подтвердить. В качестве подтверждения введите пришедший на номер код в появившемся окне.

Сим-карта с привязанным номером должна быть установлена в доверенном девайсе. В противном случае, коды верификации приходить не будут.

Какие данные нужно запомнить?

Важно помнить, что двухэтапная аутентификация – это целый комплекс действий, которые направлены на защиту ваших данных.

Для полноценной работы функции вам потребуется запомнить или записать следующую информацию:

• Логин и пароль от учетной записи ;
• Кастомные коды для программ – цифровые идентификаторы доступа, которые вы самостоятельно задали в своем аккаунте;
• Основной ключ – это набор букв и цифр, который автоматически генерируется после включения опции. Он понадобится в том случае, если вы потеряете доступ ко всем доверенным номерам и девайсам.

Обязательно заскриньте основной ключ и переместите его в папку на своем ПК или другом устройстве. Также, код можно записать на флешку или лист бумаги.

Храните эти данные таким образом, чтобы никто не смог найти и использовать универсальный ключ.

Также, советуем выполнять своевременные обновления доверенных номеров. Если вы изменили сим-карту, не забудьте внести данные о новом номере в свой Apple ID. В противном случае, доступ к идентификатору может быть утерян.

Следите за физической безопасностью своих девайсов.

Не оставляйте смартфон без присмотра возле посторонних и используйте сканер отпечатков пальцев для ограничения разблокировки гаджета.

Важно защититься не только от виртуального взлома идентификатора, но и от несанкционированного доступа других людей в ваш телефон/планшет.

Включение функции

Активация функции займет всего несколько минут.

В результате, вы получите дополнительный фактор безопасности, который защитит данные в памяти устройства, установленных программах и в облачном хранилище.

На iPhone и iPad

Следуйте инструкции, чтобы включить аутентификацию на своем iPhone:

1 Откройте окно настроек телефона ;

2 Перейдите в поле iCloud ;

3 Кликните на пункт «Пароль »;

4 Выберите «Настроить 2-х факторную аутентификацию» ;

5 Введите код, который придет на доверенные устройства и завершите настройку. Запишите универсальный ключ на физический носитель.

На Mac OS

В Mac OS двухэтапная аутентификация пользователей доступна только в версии El Capitan и более новых прошивках операционной системы:

1 Зайдите в окно системных настроек ;

2 Кликните на поле iCloud и запустите режим редактирования данных учетной записи;

3 В новом окне Кликните на «Безопасность» . Далее система потребует ввести пароль от идентификатора;

4 Кликните на клавишу «Настроить аутентификацию» , которая расположена в нижней части окна. Подтвердите цифровой код, который отобразится на всех привязанный к Apple ID устройствах.

Альтернативное получение уведомлений

Получать коды доступа можно не только на доверенные устройства , но и в службу «Найти Айфон» .

Установить этот параметр можно в настройках Apple ID (Безопасность-Оправка кодов доступа).

В результате, код для верификации будет приходить не только на доверенные девайсы, но и .

Таким образом, вы в одном окне сможет контролировать попытку входа с подозрительных местоположений и просматривать код доступа.

Данная опция работает только с аутентификацией. Для проверки работа с картами невозможна.

Преимущества многоуровневой аутентификации

Любой Apple ID хранит не только информацию о привязанных устройствах, но и данные кредитных карт, личную информацию пользователей.

В облаке многие хранят сканы документов и другой важной информации, кража которой может привести к необратимым последствиям.

Если вы хотите всегда быть уверенным сохранности информации, используйте двухфакторную аутентификацию. Преимущества функции:

• Единая организация безопасности всех гаджетов от Apple;
• Расширенные настройки управления функцией;
• Гарантированная защита от всех уровней и типов взлома.

Недостатки в работе функции

Несмотря на все очевидные плюсы, касающиеся безопасности гаджетов, многоуровневая аутентификация усложняет жизнь пользователей – запоминание ключей, возможность утери номера или доверенного девайса создают целый ряд проблем:

• Вместе с многоуровневой аутентификацией невозможно использовать стороннее ПО. К примеру, iMobie AnyTrans или популярную утилиту PhoneRescue;
• Сложности при входе в iCloud – из-за недоработки опции пользователи часто сталкиваются с системными ошибками даже после правильного вода ключа доступа к облачному хранилищу;
• Работа с сотовой сетью. Если вы находитесь в зоне плохого покрытия, аутентификация может не работать;
• Привязка к кодам. Проверку можно реализовать только в том случае, если под рукой есть второй гаджет, который привязан к такому же Apple ID, как и первое устройство.

Если же в данный момент возле вас нет второго гаджета, можно воспользоваться постоянным ключом, который хранится в настройках аккаунта, но на практике пользователи очень редко записывают или запоминают его.

В основе двухфакторной аутентификации лежит использование не только традиционной связки «логин-пароль», но и дополнительного уровня защиты - так называемого второго фактора, обладание которым нужно подтвердить для получения доступа к учётной записи или другим данным.

Простейший пример двухфакторной аутентификации, с которым постоянно сталкивается каждый из нас, - это снятие наличных через банкомат. Чтобы получить деньги, нужна карта, которая есть только у вас, и PIN-код, который знаете только вы. Заполучив вашу карту, злоумышленник не сможет снять наличность не зная PIN-кода и точно так же не сможет получить деньги зная его, но не имея карты.

По такому же принципу двухфакторной аутентификации осуществляется доступ к вашим аккаунтам в соцсетях, к почте и другим сервисам. Первым фактором является комбинация логина и пароля, а в роли второго могут выступать следующие 5 вещей.

SMS-коды

Подтверждение с помощью SMS-кодов работает очень просто. Вы, как обычно, вводите свой логин и пароль, после чего на ваш номер телефона приходит SMS с кодом, который нужно ввести для входа в аккаунт. Это всё. При следующем входе отправляется уже другой SMS-код, действительный лишь для текущей сессии.

Преимущества

• Генерация новых кодов при каждом входе. Если злоумышленники перехватят ваш логин и пароль, они ничего не смогут сделать без кода.
• Привязка к телефонному номеру. Без вашего телефона вход невозможен.

Недостатки

• При отсутствии сигнала сотовой сети вы не сможете залогиниться.
• Существует теоретическая вероятность подмены номера через услугу оператора или работников салонов связи.
• Если вы авторизуетесь и получаете коды на одном и том же устройстве (например, смартфоне), то защита перестаёт быть двухфакторной.

Приложения-аутентификаторы

Этот вариант во многом похож на предыдущий, с тем лишь отличием, что, вместо получения кодов по SMS, они генерируются на устройстве с помощью специального приложения (Google Authenticator , Authy). Во время настройки вы получаете первичный ключ (чаще всего - в виде QR-кода), на основе которого с помощью криптографических алгоритмов генерируются одноразовые пароли со сроком действия от 30 до 60 секунд. Даже если предположить, что злоумышленники смогут перехватить 10, 100 или даже 1 000 паролей, предугадать с их помощью, каким будет следующий пароль, просто невозможно.

Преимущества

• Для аутентификатора не нужен сигнал сотовой сети, достаточно подключения к интернету при первичной настройке.
• Поддержка нескольких аккаунтов в одном аутентификаторе.

Недостатки

• Если злоумышленники получат доступ к первичному ключу на вашем устройстве или путём взлома сервера, они смогут генерировать будущие пароли.
• При использовании аутентификатора на том же устройстве, с которого осуществляется вход, теряется двухфакторность.

Проверка входа с помощью мобильных приложений

Данный тип аутентификации можно назвать сборной солянкой из всех предыдущих. В этом случае, вместо запроса кодов или одноразовых паролей, вы должны подтвердить вход с вашего мобильного устройства с установленным приложением сервиса. На устройстве хранится приватный ключ, который проверяется при каждом входе. Это работает в Twitter, Snapchat и различных онлайн-играх. Например, при входе в ваш Twitter-аккаунт в веб-версии вы вводите логин и пароль, потом на смартфон приходит уведомление с запросом о входе, после подтверждения которого в браузере открывается ваша лента.

Преимущества

• Не нужно ничего вводить при входе.
• Независимость от сотовой сети.
• Поддержка нескольких аккаунтов в одном приложении.

Недостатки

• Если злоумышленники перехватят приватный ключ, они смогут выдавать себя за вас.
• Смысл двухфакторной аутентификации теряется при использовании одного и того же устройства для входа.

Аппаратные токены

Физические (или аппаратные) токены являются самым надёжным способом двухфакторной аутентификации. Будучи отдельными устройствами, аппаратные токены, в отличие от всех перечисленных выше способов, ни при каком раскладе не утратят своей двухфакторной составляющей. Чаще всего они представлены в виде USB-брелоков с собственным процессором, генерирующим криптографические ключи, которые автоматически вводятся при подключении к компьютеру. Выбор ключа зависит от конкретного сервиса. Google, например, рекомендует использовать токены стандарта FIDO U2F, цены на которые начинаются от 6 долларов без учёта доставки.

Преимущества

• Никаких SMS и приложений.
• Нет необходимости в мобильном устройстве.
• Является полностью независимым девайсом.

Недостатки

• Нужно покупать отдельно.
• Поддерживается не во всех сервисах.
• При использовании нескольких аккаунтов придётся носить целую связку токенов.

Резервные ключи

По сути, это не отдельный способ, а запасной вариант на случай утери или кражи смартфона, на который приходят одноразовые пароли или коды подтверждения. При настройке двухфакторной аутентификации в каждом сервисе вам дают несколько резервных ключей для использования в экстренных ситуациях. С их помощью можно войти в ваш аккаунт, отвязать настроенные устройства и добавить новые. Эти ключи стоит хранить в надёжном месте, а не в виде скриншота на смартфоне или текстового файла на компьютере.

Как видите, в использовании двухфакторной аутентификации есть некоторые нюансы, но сложными они кажутся лишь на первый взгляд. Каким должно быть идеальное соотношение защиты и удобства, каждый решает для себя сам. Но в любом случае все заморочки оправдываются с лихвой, когда дело заходит о безопасности платёжных данных или личной информации, не предназначенной для чужих глаз.

Где можно и нужно включить двухфакторную аутентификацию, а также о том, какие сервисы её поддерживают, можно прочесть .

В данное время, одной из самый обсуждаемых и педалируемых тем в области обеспечения максимальной защиты, является двухфакторная защита . В связи с растущим количеством сервисов и атак на пользовательские аккаунты, мы должны более подробно рассмотреть что собой являет, как работает, и почему стоит воспользоваться данным типом защиты.

Что собой являет двухфакторная защита?

Двухфакторная защиты - метод идентификации в каком-либо сервисе, при запросе двух разных типов аутентификации. Такая двухслойная защита обеспечит более безопасный вход в систему и затруднит перехват ваших данных третьими лицами. На практике это выглядит следующим образом: первый шаг, это логин и пароль; второй этап - специальный код, который приходит на Ваш мобильный или почту (реже используются специальные USB ключи или биометрические данные). Простыми словами: чтобы куда-то попасть, Вам нужно подтвердить факт того, что Вы совершаете санкционированный вход в систему. Знаете, как работает банк хранилище с индивидуальными сейфами, где один ключ у Вас, а другой в сотрудника банка? Так и здесь, один ключ у Вас в памяти, второй приходит на телефон или почту.

Впрочем, двухфакторная защита не есть панацея от взлома, но очень сильно усложнит задание злоумышленникам, которые хотят получить доступ к Вашему аккаунту; а так же перечеркнет недостатки классической системы защиты. Метод входа при помощи логина и пароля вызывает вот такой парадокс: чем длиннее, сложнее пароль, тем сложнее его подобрать, но в то же время сложнее запомнить; а чем проще, тривиальнее пароль, тем легче его взломать, к тому же подавляющее число пользователей устанавливает одни и те же пароли для аутентификации в различных сервисах. Используя двухфакторную защиту , даже если злоумышленник подберет, узнает, украдет Ваш пароль, ему придется так же украсть ваш сотовый или получить доступ к почтовому ящику (который, кстати, тоже может быть защищен двухфакторным методом аутентификации).

Хоть современный человек, в попытках заменить укоренившуюся систему аутентификации с помощью пароля на что-то более интересное и надежное, из-за ее простоты не смог полностью избавиться от привычной всем парадигмы. И разбирая разные варианты мы должны согласится, что в наше время двухфакторная защита обеспечивает самый большой уровень защиты. Еще одним из плюсов является тот факт, что при попытке несанкционированного входа в систему, Вам придет оповещение, и если в тот момент Вы не собирались зайти в свой аккаунт, значит самое время задуматься над надежностью своего старого пароля и наличия вредоносных ПО на персональном компьютере.

Где и в каких случая следует включить двухэтапную защиту?

Сколько логинов и паролей к различным аккаунтам и почтовым ящикам в открытом доступе? А сколько откровенных, личных фотографий известных личностей попали на общее обозрение? Даже такой простой пример показывает как ненадежен метод одного, постоянного пароля.

Если сервис, которым Вы пользуетесь, содержит важные, личные данные, и предлагает установить вам двухслойную степень защиты , то сделайте это не задумываясь. Впрочем, если это какой-то файлообменник или форум, то я вряд ли бы стал все усложнять. А вот на счет социальных сетей, интернет-банкинга, почтовых ящиков или служебных сервисов, то однозначно да. Может Вы замечали, что ведущие банки используют даже трехфакторную степень защиты? А именно: постоянный пароль, временный пароль (на сотовый), а так же звонок для подтверждения. Ведь такие учреждения больше всех несут убытки от незаконного проникновения в сервис.

К слову, если у вас есть собственный сайт и возможность ввести двухфакторную степень защиты , то постарайтесь ею воспользоваться. Ведь, как говорилось раньше: если Вам дорого аккаунт и его содержание, то усилить защиту будет выгодным для всех решением.

Какие виды двухэтапной защиты существуют?

Как говорилось раньше, уважающие себя интернет-ресурсы и VPN-сети используют такие методы усиленной защиты, как код с помощью смс/звонок на мобильный, письма на почту, USB-ключи, смарт-карты, звонок. Но кроме них существуют еще и такие методы, как генератор кодов (брелок с кнопками и маленьким экраном), технология SecurID и другие специфические методы, которые используют преимущественно корпоративные секторы. Актуальны и более старые методы защиты, такие как TAN-пароли (Transaction Authentication Number — аутентификационный номер транзакции). Скорее всего вы имели дело с таким методом, когда пользуясь интернет-банкингом Вам выдали бумажку с заранее сформированными паролями (одноразовыми). К слову говоря, даже не самые прогрессивные банки используют двухфакторную защиту . Ведь для входа в сервис вы пользуетесь карточкой (первый ключ), и паролем, который у вас в голове (второй ключ).

Разберем еще более непривычные для нас способы аутентификации. Сканирование отпечатков пальцев, радужной оболочки глаз, есть даже такие, что ориентируются по "рисунку" сердцебиения. Хотя в обыденной жизни мы не сталкиваемся с такими методами, но все же они актуальны и необходимы в весьма серьезных учреждениях. Испытываются даже электромагнитные татуировки, которые по примеру радиочипов могут служить элементом двухфакторной защиты . Надеемся, что от идеи к воплощению пройдет не большой промежуток времени. Лично я бы не отказался от такого.

Вы можете не осознавать этого, но вы регулярно используете двухфакторную аутентификацию. Когда вы переводите деньги онлайн со своей дебетовой карты, вас же просят ввести пароль или код подтверждения из SMS? Это тоже является формой двухфакторной аутентификации.

Двухфакторная проверка подлинности требует двух способов подтверждения вашей личности, она также может использоваться для защиты различных уётных записей в интернете. Это не обеспечивает идеальную безопасность и требует дополнительного шага при входе в ваши учётные записи, но это делает ваши данные более безопасными в интернете.

Как двухфакторная аутентификация работает в Интернете?

Существует три типа аутентификации:

• Что-то, что вы знаете: пароль, PIN-код, почтовый индекс или ответ на вопрос (девичья фамилия матери, имя домашнего животного и т. д.)
• Что-то, что у вас есть: телефон, кредитная карта и т.п.
• Что-то биометрическое: отпечаток пальца, сетчатка глаза, лицо или голос.

Как работает второй фактор?

Альтернативный вариант - вы можете использовать специальное приложение аутентификации для получения кодов вместо отправки их в текстовом режиме. Популярные аутентификационные приложения - Google Authenticator, Authy и DuoMobile.

Что лучше использовать SMS или приложение?

Получение кодов с помощью SMS менее надёжно, чем использование приложения для аутентификации. Хакер может перехватить текстовое сообщение или перехватить ваш телефонный номер, убедив вашего оператора перевести его на другое устройство. Или, если вы синхронизируете текстовые сообщения с компьютером, хакер может получить доступ к кодам SMS, украв ваш компьютер.

Приложение аутентификации имеет то преимущество, что тут не нужно полагаться на своего оператора. Коды отправляются на ваш телефон на основе секретного алгоритма шифрации и текущего времени. Действие кодов быстро истекает, обычно через 30 или 60 секунд.
Поскольку приложение аутентификации не нуждается в операторе мобильной связи для передачи кодов, они останутся в приложении, даже если хакеру удастся перенести ваш номер на новый телефон. Приложение аутентификации также работает, когда у вас нет сотовой сети - это дополнительный бонус.

Использование приложения для аутентификации требует небольшой дополнительной настройки, но обеспечивает лучшую защиту, чем SMS. Чтобы настроить приложение аутентификации, вам необходимо установить приложение на свой телефон, а затем настроить общий секретный токен (длинная кодовая строка) между приложением и вашими учётными записями. Это обычно делается путем сканирования QR-кода камерой телефона. Однако после настройки приложение-аутентификатор избавляет вас от необходимости вводить код; вы просто нажимаете на уведомление от приложения, чтобы войти в одну из своих учётных записей.

Что делать, если у меня нет телефона?

2FA сделает мои учётные записи более безопасными?

Думайте об этом, как о защите своего дома. Если у вас есть домашняя система безопасности, вы снижаете вероятность кражи со взломом. Если у вас есть громкая большая собака, вы также понижаете вероятность кражи со взломом. Если вы объедините систему безопасности с большой собакой, тогда ваш дом становится ещё труднее взломать и он будет менее привлекательной целью. Большинство грабителей просто найдут более легкий вариант, без тревожной сигнализации и возможности укуса собаки.

Аналогичным образом, двухфакторная проверка подлинности отторгает большую часть хакеров от нацеливания на вашу учётную запись. Многие будут просто уходить дальше и находить более простые для взлома учётные записи. И если они нацелены на вас, им потребуется больше, чем просто ваш пароль. В дополнение к вашему паролю, хакеру также потребуется ваш телефон, или получить доступ к маркерам, установленным на вашем телефоне с помощью механизма аутентификации, с применением фишинговой атаки, вредоносных программ или активации восстановления учётной записи, где ваш пароль сбрасывается и 2FA затем отключается. Это дополнительная и сложная работа.

На сколько больше хлопот доставляет использование 2FA?

Я использую аутентификацию 2FA во многих моих учётных записях в интернете и считаю, что это менее хлопотно, чем использование надёжного пароля или кодовой фразы, которая сочетает в себе буквы верхнего и нижнего регистра, цифры и символы. И хотя я говорю о сильных паролях, позвольте мне заявить, что использование 2FA в качестве предлога для использования более слабых и удобных для ввода паролей - это плохая идея. Не ослабляйте свой первый фактор защиты только потому, что вы добавили второй.

Как включить 2FA?

Это утверждение имеет смысл и относится, прежде всего, к компаниям финансового сектора, как, впрочем, и ряду компаний, выполняющих научно-исследовательские, опытно-конструкторские и технологические работы (НИОКР) в высокотехнологичных секторах рынка.

Применяя данный тип 2FA пользователь вводит на первом уровне аутентификации персональный пароль. На следующем этапе он должен ввести маркер ОТР, обычно отправляемый с помощью SMS на его мобильное устройство. Идея способа понятна. ОТР будет доступен только тому, кто, как предполагается в теории, ввел недоступный постороннему пароль.

Однако, увы, отправлять OTP в SMS, вообще говоря, небезопасно, так как часто сообщения отправляются открытым текстом. Даже начинающие хакеры могут прочесть подобные текстовые сообщения, ведь фактически все, что им нужно - целевой номер телефона.

Кроме того, многофакторная аутентификация не в состоянии предотвратить атаки класса MitM, которые часто используются в ходе фишинговых компаний с помощью электронной почты. В случае успеха атаки пользователь перейдет по мошеннической ссылке и попадет на сайт, похожий на онлайн-портал банка. Там пользователь введет информацию о входе в систему и другие конфиденциальные данные, которые будут использоваться злоумышленником чтобы получить доступ к реальному сайту.

И хотя данная атака будет возможна для осуществления только ограниченный период времени, она все же возможна.

Требования Федеральной службы по техническому и экспортному контролю по многофакторной аутентификации

В начале 2014 года Федеральная служба по техническому и экспортному контролю (ФСТЭК) утвердила методический документ о мерах защиты информации в государственных информационных системах. Документ прояснил многие аспекты, касающихся организационных и технических мер защиты информации, принимаемых в государственных информационных системах, в соответствии с утверждённым приказом ФСТЭК России от 11 февраля 2013 г. No17.

ФСТЭК настоятельно рекомендует полностью отказаться от привычной аутентификации на основе статических паролей для всех пользователей без исключения и перейти к более надежной многофакторной аутентификации. Обязательными требованиями для многофакторной аутентификации является использование аппаратных аутентификаторов и механизма одноразовых паролей при удаленном и локальном доступе.

Примеры двухфакторной и многофакторной аутентификации

Методика аутентификации при помощи SMS основана на использовании одноразового пароля: преимущество такого подхода, по сравнению с постоянным паролем в том, что этот пароль нельзя использовать повторно. Даже если предположить, что злоумышленнику удалось перехватить данные в процессе информационного обмена, он не сможет результативно использовать украденный пароль для получения доступа к системе.

А вот пример, реализуемый с применением биометрических устройств и методов аутентификации: использование сканера отпечатка пальца, который имеется в ряде моделей ноутбуков. При входе в систему пользователь должен пройти процедуру сканирования пальца, а затем подтвердить свои полномочия паролем. Успешно завершенная аутентификация даст ему право на использование локальных данных конкретного ПК. Тем не менее, регламентом работы в ИС может быть предусмотрена отдельная процедура аутентификации для доступа к сетевым ресурсам компании, которая помимо ввода другого пароля может включать в себя целый ряд требований к представлению аутентификаторов субъекта. Но даже при такой реализации, защищенность системы, несомненно, усиливается.

Аналогичным образом могут быть использованы и другие биометрические аутентификаторы :

• отпечатки пальцев;
• геометрия кисти руки;
• очертания и размеры лица;
• характеристики голоса;
• узор радужной оболочки и сетчатки глаз;
• рисунок вен пальцев.

При этом конечно применяется соответствующее оборудование и программное обеспечение, а затраты на его приобретение и поддержку могут отличаться в разы.

Однако, стоит понимать – биометрические аутентификаторы не являются абсолютно точными данными. Отпечатки одного пальца могут иметь отличия под воздействием внешней среды, физиологического состояния организма человека и т.п. Для успешного подтверждения этого аутентификатора достаточно неполного соответствия отпечатка эталону. Методы биометрической аутентификации содержат определение степени вероятности соответствия действующего аутентификатора эталону. Что касается биометрической аутентификации и удаленного доступа к ИС, то пока у современных технологий нет возможности передать по незащищенным каналам достоверные данные - отпечаток пальца или результат сканирования сетчатки глаза.

Эти технологии в большей степени годятся для использования в корпоративных сетях.

Наиболее популярной технологией в этом направлении в недалеком будущем может стать голосовая аутентификация и признаки тому очевидны. Значительное количество разработок в этой сфере имеется уже сегодня, проекты внедрения подобных механизмов управления/контроля нашли место в ряде крупных банков РФ. В качестве примера практического применения систем голосовой биометрической аутентификации, можно указать аутентификацию по ключевой фразе, применяемую в ряде колл-центров, аудио-пароли для доступа к системам интернет-банкинга и т.п., подтверждение действий персонала при осуществлении важных операций доступа к информации, контроль физического доступа и присутствия в помещении.

Помимо технологий, связанных с использованием биометрических аутентификаторов, имеются также программно-аппаратные решения, такие как автономные ключи для генерации одноразовых паролей, считыватели RFID -меток, криптокалькуляторы, программные и аппаратные жетоны (токены), электронные ключи различных типов – Touch Memory и ключ/смарт-карта, а также биометрические идентификационные карты. Все перечисленные в рамках статьи системы и методы многофакторной аутентификации, а помимо них еще и системы контроля и управления доступом (СКУД) могут интегрироваться, комбинироваться, отрабатываться поочерёдно и в комплексе. Отсюда можно сделать вывод: на рынке России существует достаточное количество предложений для усиления защиты информационных систем, как от внутренних, так и внешних вторжений. У компаний имеется возможность выбора, ограничиваемая лишь размером бюджета.

Методам защиты, основанным на методиках многофакторной аутентификации, сегодня доверяет большое число зарубежных компаний, среди которых организации хай-тека, финансового и страхового секторов рынка, крупные банковские учреждения и предприятия госсектора, независимые экспертные организации, исследовательские фирмы.

При этом, частные компании и организации в мире, в целом, не очень охотно распространяются о внедрении у себя технологических новинок в сфере безопасности и защиты информации , по вполне понятным причинам. Гораздо больше известно о проектах в государственном секторе – с 2006 года публично известны успешно реализованные технологические решения в государственных учреждениях Канады, Саудовской Аравии, Испании , Дании и ряда других стран.

2019: Иск против Apple за «незаконное» включение двухфакторной аутентификации

11 февраля 2019 года стало известно, что житель Калифорнии Джей Бродски (Jay Brodsky) подал в суд на компанию Apple за «незаконное» включение двухфакторной аутентификации . Бродски жалуется на то, что двухфакторная аутентификация существенно усложняет жизнь пользователям, поскольку от них требуется не только помнить пароль, но еще и иметь доступ к доверенному телефону или телефонному номеру. Подробнее .

2017: Google отказывается от SMS при двухфакторной авторизации

В документе содержится прямое указание на то, что использование SMS -сообщений для двухфакторной аутентификации может являться «недопустимым» и «небезопасным» (секция документа 5.1.3.2).

Полностью данный параграф выглядит так: «Если верификация по внешнему каналу осуществляется посредством SMS-сообщения в публичной сети мобильной телефонной связи, верификатор должен убедиться, что используемый предварительно зарегистрированный телефонный номер действительно ассоциируется с мобильной сетью, а не с VoIP или иным программным сервисом. После возможна отправка SMS-сообщения на предварительно зарегистрированный телефонный номер. Изменение предварительно зарегистрированного телефонного номера не должно быть возможно без двухфакторной аутентификации в ходе изменения. Использование SMS-сообщений в аутентификации по внешнему каналу недопустимо, и не будет дозволяться в будущих версиях данного руководства».

Основные опасения экспертов Национального института стандартов и технологий сводятся к тому, что номер телефона может быть привязан к VoIP -сервису, кроме того, злоумышленники могут попробовать убедить поставщика услуг в том, что номер телефона изменился, и подобные уловки нужно сделать невозможными.

Хотя документ рекомендует производителям использовать в своих приложениях токены и криптографические идентификаторы, авторы поправок также отмечают, что смартфон или другое мобильное устройство всегда могут быть украдены, или могут временно находиться в руках другого человека" - говорится в документе NIST.

Механизмов компрометации SMS паролей существует достаточно много, и они уже были неоднократно использованы в основном для похищения денежных средств клиентов российских банков. Достаточно перечислить лишь несколько методов взлома SMS паролей:

• Замена SIM карты с использованием поддельных документов
• Использование уязвимостей в протоколе OSS-7
• Переадресация вызовов у оператора мобильной связи
• Ложные базовые станции
• Специализированные троянские программы для смартфонов , перехватывающие SMS пароли

То обстоятельство, что механизм SMS-паролей используется всеми банками, открывает для хакеров широкие перспективы. Очевидно, что написав один раз троян для смартфона , его можно использовать для атаки на все российские банки, при его (трояна) минимальной кастомизации.

При этом можно предсказать, что первыми "под раздачу" будут попадать крупные банки – большая клиентская база последних позволяет мошенникам рассчитывать на весомый результат даже при небольших остатках на счетах клиентов.

Одноразовые пароли через SMS

• задержки в доставке
• возможность перехвата на уровне канала связи или ввода в систему
• возможность перехвата на уровне оператора мобильной связи
• возможность переоформления сим-карты клиента на мошенника по поддельной доверенности (и перехвата SMS)
• возможность направления клиенту SMS-сообщений с подменного номера
• рост операционных затрат пропорционально клиентской базе

Одноразовые пароли через PUSH

• негарантированная доставка
• прямой запрет Apple /Google /Microsoft на использование для передачи конфиденциальной информации
• предназначение – только информирование

Исследователи продемонстрировали простую атаку для обхода двухфакторной аутентификации

Ученые из Амстердамского свободного университета Радхеш Кришнан Конот (Radhesh Krishnan Konoth), Виктор ван дер Вен (Victor van der Veen) и Герберт Бос (Herbert Bos) продемонстрировали практическую атаку на двухфакторную аутентификацию с использованием мобильного устройства. Исследователи продемонстрировали атаку «Человек в браузере» (Man-in-the-Browser) против смартфонов на базе Android и iOS .

Проблема с двухфакторной аутентификацией возникла из-за увеличения популярности смартфонов и желания владельцев синхронизировать данные между различными девайсами. Двухфакторная аутентификация полагается на принцип физического разделения устройств для защиты от вредоносного ПО. Однако синхронизация данных делает подобную сегментацию абсолютно бесполезной.

Исследователи продемонстрировали атаку с использованием установки уязвимого приложения через Google Play . Им удалось успешно обойти проверку Google Bouncer и активировать приложение для перехвата одноразовых паролей.

Для атаки на iOS исследователи использовали новую возможность OS X под названием Continuity, позволяющую синхронизировать SMS -сообщения между iPhone и Mac. Если этот функционал активирован, злоумышленнику достаточно иметь доступ к компьютеру, чтобы прочитать все SMS сообщения.

Согласно исследователям, приложение для хищения одноразовых паролей было добавлено в Google Play 8 июля 2015 года и оставалось доступно для пользователей в течение двух месяцев, до выхода видео с демонстрацией атаки.

Два фактора авторизации в системе «Яндекса» следующие: информация о принадлежности устройства конкретному пользователю, которая хранится на серверах «Яндекса», и знание пользователем своего четырехзначного пина (или его отпечаток пальца), пояснили в компании.

Каждый раз при вводе пин-кода (или при срабатывании Touch ID) в приложении генерируется уникальный одноразовый код, который действует 30 секунд. При этом часть кода генерируется из пин-кода, который знают только пользователь и «Яндекс», и часть - из данных приложения. В одноразовом коде зашифрованы оба «секрета». «Таким образом, исключается вариант, когда один из факторов был скомпрометирован и злоумышленник подбирает данные второго фактора», - добавили в «Яндексе».

Если считать QR-код не получается, например, не работает камера смартфона или нет доступа к интернету приложение «Яндекс.Ключ» создаст одноразовый пароль из символов. Он также будет действовать в течение только 30 секунд.

После перехода на двухфакторную аутентификацию существующий пароль пользователя перестанет работать на всех установленных программах, использующих логин и пароль «Яндекса», включая «Яндекс.Диск», почтовые программы, настроенные на сбор почты из «Яндекс.Почты», синхронизацию в «Яндекс.Браузере», предупредили в компании. Для каждого приложения будет необходим свой новый пароль - он будет создан в «Яндекс.Паспорте», в настройке «Пароли приложений». Его необходимо будет ввести один раз в каждом приложении.

Сервер аутентификации объединит процессы проверки

Цель аутентификации - максимально затруднить использование чужих (украденных, подобранных) учетных данных. Этот процесс должен быть простым для легального пользователя, а придумывание и запоминание стойких паролей длиной не менее nn символов и включением в них спецсимволов, цифр с высокой вероятностью раздражает пользователей .

В компании может быть несколько различных информационных систем, источников ресурсов, требующих аутентификации:

• корпоративный портал,
• электронная почта,
• CRM -система,
• удаленный VPN -доступ,

И поскольку перед пользователем стоит задача - соответствовать требованиям политики безопасности по сложности и уникальности паролей, ее решение представляет определенные трудности для исполнения пользователем, а в технологическом плане - это разрозненные системы аутентификации, не связанные между собой, не гибкие, требующие большого объема ресурсов для поддержки. Все вкупе ведет к дополнительным расходам и «неповоротливости» компании при внесении изменений в способах аутентификации.

Разрешить вопросы и помочь в решении стоящих задач может сервер аутентификации - единый центр администрирования всех процессов проверки подлинности сразу для всех приложений/сервисов/ресурсов. Промышленные серверы такого типа поддерживают целый набор методов аутентификации. Как правило, это OATH HOTP, TOTP, OCRA, PKI-сертификаты, RADIUS, LDAP , обычный пароль, SMS , CAP/DPA и другие. Каждый ресурс, использующий сервер аутентификации, может использовать метод, который требуется именно ему.

С использованием серверов аутентификации ИТ-администраторы получают единый интерфейс управления учетными данными пользователей, гибкие возможности по смене методов проверки подлинности. Бизнес получает надежную защиту доступа к сервисам и ресурсам в виде двухфакторной аутентификации, что повышает лояльность пользователей, как внутренних, так и внешних.

Добавление второго фактора для проверки подлинности, при действующем сервере аутентификации, не потребует от компании создания новых программно-технических средств и закупки новых токенов.

В качестве примера: банк А проверял подлинность владельцев дебетовых или кредитных карт в клиент-банке по сертификатам на USB -токенах. Его платежные карты были исключительно с магнитной полосой, но в какой-то момент банк наладил выпуск карт с EMV-чипом, который, по сути, является микрокомпьютером. Карту с EMV-чипом можно использовать для аутентификации по алгоритму Master Card Chip Authentication Program (CAP). То есть теперь банк А может отказаться от применения для каждого пользователя дорогостоящих PKI-токенов и сменить этот метод аутентификации на CAP, для которого требуется только недорогой криптокалькулятор. Через некоторое время банк А начинает выпуск платежных карт с дисплеем и реализованным алгоритмом OATH TOTP и для того, чтобы избавить пользователя от использования дополнительного криптокалькулятора, настраивает аутентификацию TOTP для клиент-банка. Следует понимать, что помимо дистанционного банковского обслуживания в банке А есть множество других сервисов, как внутренних, так и предназначенных для клиентов или партнеров, требующих аутентификации. Для каждого приложения служба информационной безопасности может выдвинуть свои требования по необходимым методам проверки подлинности пользователей. Вся аутентификация банка А может производиться на сервере аутентификации. Нет никакой необходимости заниматься разработками для каждого приложения отдельно.

Такая гибкость и легкость добавления новых методов проверки подлинности недостижима без сервера аутентификации. Сокращение времени на эти задачи столь значительно, что позволяет говорить о быстроте ввода продукта в эксплуатацию как о конкурентном преимуществе.

Доступность строгой аутентификации в виде специализированного программного обеспечения позволяет добавлять многофакторность приложениям, прежде не обладающим таким функционалом, без комплексных доработок. Практически все информационные системы, сервисы, приложения, не поддерживающие строгую аутентификацию «из коробки», могут использовать возможности сервера аутентификации для доступа пользователей.

Windows , OS X, Linux и Chrome OS. Для работы с USB-ключом необходимо использовать браузер Google Chrome версии 38 и выше.

Использование USB-ключей полностью бесплатно, однако пользователи должны приобретать их за свой счет. Ключи отличаются дизайном. Самая дорогая модель за $60 оснащена технологией Java Card.

Двухфакторную аутентификацию с отсылкой SMS -сообщения с кодом подтверждения Google запустила в 2011 г. В январе 2013 г. корпорация сообщила, что планирует разработать и предложить физические средства подтверждения личности. В частности, именно тогда речь зашла о доступе к сервисам Google с помощью USB-ключей.

2013: Двухфакторная аутентификация мобильных транзакций

Лишь 34% опрошенных уверены, что сотрудники в состоянии сделать все необходимое для защиты компании от компьютерных угроз.