Пароли больше не в моде, или какой метод аутентификации самый надежный? Если верить исследованиям, в прошлом году на черных киберрынках продавалось более 15 миллиардов украденных личных данных, в том числе имена и пароли для соцсетей, онлайн-банкинга и музыкальных стриминговых сервисов. Как утверждает Microsoft, в 99,9% случаев утечки данных можно было избежать, если бы пользователи уделяли больше внимания аутентификации в сети.
Артур Филатов, руководитель бизнеса кибербезопасности компании Tet (ex-Lattelecom)
Что такое аутентификация?
Простыми словами аутентификация — это подтверждение того, что вы — это вы, а не кто-то другой. Это часть процедуры входа в систему, учетную запись или получения доступа к какому-либо онлайн-ресурсу после идентификации и перед авторизацией. Разобраться в этих «-циях» несложно: идентификация — это проверка вашего логина, имени пользователя или электронной почты, а авторизация — доступ и права, которые вы получаете после прохождения идентификации и авторизации.
Например, вы приходите на большую свадьбу, называете свое имя, и вас находят в списке гостей (это идентификация, такое имя действительно есть в списке). Вас могут попросить показать ваше приглашение или даже паспорт (это аутентификация, вы действительно тот человек, чье имя назвали). Все данные совпадают, вас пропускают в роскошный зал (это авторизация, теперь вы можете приятно провести время в кругу приглашенных).
Для чего это нужно?
В первую очередь, для защиты данных. Ведь если ваша информация попадает в чужие руки, это чревато диапазоном последствий: от попадания личных фото в соцсети до разорения компании, с данными которой вы работаете удаленно. Количество возможных операций в сети увеличивается, растет и кибермошенничество. Поэтому к защите информации стоит относиться со всей серьезностью, даже если это обычная учетная запись в онлайн-магазине.
Методы аутентификации
Выделяют одно- и многофакторную (обычно двухфакторную) аутентификацию. Факторы бывают трех видов:
- уникальное знание (код, пароль, кодовое слово и т.п.);
- уникальное приспособление (токен, электронная подпись, сертификат и т.п.);
- уникальные биометрические характеристики (отпечатки пальцев, черты лица, рисунок сетчатки глаза и т.п.).
Следовательно, в однофакторной аутентификации используется фактор/ры одного вида, а во многофакторной — двух или трех.
Однофакторная аутентификация
Пароли
Согласно исследованию Cybersecurity Ventures, каждый интернет-пользователь в среднем имеет от 25 до 36 паролей для аутентификации. Запомнить такое количество секретных кодов обычному человеку не под силу, поэтому большинство пользователей выбирают простые для запоминания (и взлома) пароли и повторяют их на разных сайтах (упрощая задачу хакерам). Более сложные пароли значительно надежнее, но их непросто запомнить и нужно где-то хранить. А все, что где-то хранится, можно украсть. Поэтому все серьезные организации уже отказались от этого вида аутентификации.
Преимущества:
- быстрый вход в систему.
Недостатки:
- легко взломать;
- если пароли повторяются, одновременно может пострадать личная информация на разных ресурсах.
В среднем, издержки для использования мощности дата-центров составляют 25$ в час. Соответственно, кибер-преступники могут использовать мощности облачных услуг в аренду с целью взлома паролей. Это означает, что становится возможным подбирать более чем 650 миллионов различных комбинаций паролей в секунду. А именно, если какой-то злоумышленник наткнется на «сверхсложный пароль из 7 символов», и у этого злоумышленника в своем распоряжении есть час и 25 $ в запасе, то, скорее всего, ваш пароль будет взломан.
Добавьте еще один символ к вашему паролю, и злоумышленнику в нашем сценарии потребуется уже максимум 5 дней и около 3000 $, чтобы взломать ваш пароль (вместе со всеми другими паролями длиной в 8 символов).
Цифровые сертификаты и электронные цифровые подписи
Цифровые сертификаты с открытыми ключами часто используются в сетях с большим количеством пользователей. В таком случае сеть не хранит информацию о пользователях, они сами ее предоставляют в виде сертификатов (электронных форм), выданных специальными центрами. Цифровая подпись преимущественно используется для аутентификации, когда речь идет о важных документах.
Преимущества:
- высокая надежность;
- возможность проверить подлинность сервера, к которому подключаешься.
Недостатки:
- риск кражи сертификата/подписи.
Аппаратные токены
Это специальные устройства (часто в виде флешки) с одноразовыми паролями, которые позволяют пользователю авторизоваться в системе.
Преимущества:
- автоматическое генерирование и ввод кода доступа;
- высокий уровень защиты.
Недостатки:
- дополнительные затраты на приобретение;
- риск кражи или потери.
Двухфакторная аутентификация
Подтверждение по SMS
Хорошо знакомый всем метод, который активно используют в онлайн-банкинге. После того как вы ввели свой логин и пароль на сайте, нужно дополнительно ввести одноразовый пароль, который придет в SMS.
Преимущества:
- более высокая степень защиты.
Недостатки:
- SMS можно перехватить;
- зависимость от качества мобильной связи;
- проблемы в случае кражи или потери телефона.
Подтверждение с помощью смартфона
В этом случае после первого этапа аутентификации для дополнительного подтверждения личности вам либо звонят на ваш номер телефона, либо присылают код в мобильное приложение, установленное на нем.
Преимущества:
- относительно высокий уровень надежности;
- в случае с приложением возможность входить в него с разных устройств.
Недостатки:
- зависимость от качества мобильной сети или интернет-подключения;
- необходимость иметь при себе телефон.
Подтверждение по биометрическим данным
Помимо уже привычной нам разблокировки устройств с помощью отпечатков пальцев или идентификации лица, для аутентификации также используют и другие уникальные характеристики: рисунок сетчатки глаза или вен на руке, голос, характерные жесты при работе с мышкой или клавиатурой и т.п.
Преимущества:
- высокая степень надежности;
- ваши органы и привычки всегда при вас, вы их не забудете дома и не потеряете.
Недостатки:
- несовершенство считывающих устройств, которые можно «обмануть» с помощью 3D-копий или фотографий;
- невозможность передавать биометрические данные на расстоянии;
- возможные проблемы в случае получения пользователем физических увечий.
Краткий, но важный вывод
Самым надежным способом защиты данных на сегодня является многофакторная аутентификация. Подключайте ее при любой возможности, ведь это именно тот случай, когда «лишняя» перестраховка оправдана на все 200%.
