Двухфакторная аутентификация: когда пароля недостаточно

Что это? Двухфакторная аутентификация представляет собой двухступенчатый процесс входа в аккаунт. Если в классической схеме используется только пароль, то подключение второго фактора предполагает введение кода из СМС или электронной почты после введения пароля, или использование физического носителя.

Где используется? Такой способ аутентификации сейчас используется практически на всех интернет-ресурсах и в приложениях, так как значительно повышает уровень безопасности и уберегает ваши личные данные от взлома.

Что такое аутентификация

Под аутентификацией понимается проверка подлинности при доступе к каким-либо данным. В системе предварительно происходит идентификация субъекта, проходящего процедуру. На этой стадии пользователь вводит логин, пароль, e-mail, выступающие в роли идентификатора, и система начнёт производить их сравнение с сохраненными параметрами в базе данных.

Затем структура, к которой произошло обращение, делает запрос на подлинность пользователя. Происходит сличение предоставленных системе паролей с содержимым базы данных в соответствии с идентификаторами. Этот этап и можно назвать аутентификацией.

В зависимости от требуемой защищённости используются различные характеристики субъекта, которые называются факторами аутентификации. Выделяют 3 типа:

• Какие-либо секретные сведения, известные лишь авторизованному субъекту (например, некоторая последовательность символов, то есть пароль).
• Обладание уникальным физическим объектом (в этом качестве могут выступать ключ от замка, смарт-карта, личный штамп и пр.).
• Биометрические данные. В этом случае характеристикой может быть физическая особенность субъекта – фотографическая карточка, отпечаток пальца, скан сетчатки глаза и пр.

Узнай, какие ИТ - профессии
входят в ТОП-30 с доходом
от 210 000 ₽/мес

Павел Симонов

Исполнительный директор Geekbrains

Команда GeekBrains совместно с международными специалистами по развитию карьеры подготовили материалы, которые помогут вам начать путь к профессии мечты.

Подборка содержит только самые востребованные и высокооплачиваемые специальности и направления в IT-сфере. 86% наших учеников с помощью данных материалов определились с карьерной целью на ближайшее будущее!

Скачивайте и используйте уже сегодня:

Павел Симонов

Исполнительный директор Geekbrains

Топ-30 самых востребованных и высокооплачиваемых профессий 2023

Поможет разобраться в актуальной ситуации на рынке труда

Подборка 50+ бесплатных нейросетей для упрощения работы и увеличения заработка

Только проверенные нейросети с доступом из России и свободным использованием

ТОП-100 площадок для поиска работы от GeekBrains

Список проверенных ресурсов реальных вакансий с доходом от 210 000 ₽

Получить подборку бесплатно

pdf 3,7mb

doc 1,7mb

Уже скачали 30006

Защищённость системы и уровень доступа к её данным определяет какие именно факторы необходимы: ПИН-коды, пластиковые карты, ключи или обычные пароли. Следующим этапом после успешного завершения идентификации и аутентификации является процесс входа в систему, то есть авторизация.

Существуют ли угрозы при однофакторной аутентификации?

Рассмотрим ещё раз стадию запроса системой доказательств вашей личности. Если ей достаточно только одного способа верификации, то это — однофакторная аутентификация.

Наиболее распространённый вид аутентификационного формата – введение пароля, после подтверждения которого вы успешно авторизуетесь.

Тем не менее при обилии способов взлома, кражи паролей такой способ содержит риски:

• Задавая простой пароль, мы подвергаемся опасности, так как современный уровень криптоанализа позволяет похитить его.
• Если же мы сформировали сложный пароль, то риск аутентификации злоумышленником становится меньше. Угроза здесь в другом. Длинная цепочка символов трудна для запоминания, поэтому его можно просто забыть. А если такой пароль записать, то он опять же может стать лёгкой добычей недоброжелателя.

Читайте также!

Программные средства защиты информации: виды и особенности

Подробнее

Ограничиваться при аутентификации только одним паролем нецелесообразно. Его можно перехватить даже при вводе, для этого существуют различные кейлоггеры.

В современном мире каждый сталкивается с необходимостью получения доступа к той или иной базе данных. Некоторые из них и не нуждаются в особой защите. Например, какой-либо развлекательный сайт не имеет важной информации. Но, существуют и такие системы, данные которых являются чрезвычайно значимыми. Скажем, информация банков, или госорганов, содержащая сведения личного характера.

Казусы могут быть самыми различными: попадание корпоративного компьютера в чужие руки, или удалённая работа с домашнего компьютера, защита которого оставляет желать лучшего. Поэтому с целью снижения угроз добавляется вспомогательный фактор аутентификации.

Суть двухфакторной аутентификации

Двухфакторная аутентификация — это такой метод идентификации пользователя при входе в какой-либо сервис, при котором подтверждение подлинности происходит двумя разными способами. Это значительно повышает защищенность. Практически это реализуется следующим образом: сначала требуется ввести логин и пароль, затем – специальный код подтверждения, сгенерированный системой защиты и высланный пользователю.

В редких случаях на второй стадии у пользователя запрашиваются специальные USB-ключи или биометрические данные. Принцип двухфакторной аутентификации прост: нужно два раза подтвердить свою подлинность при помощи ввода двух «идентификаторов», первый из которых хранится в вашей памяти, а вторым вы обладаете.

Тем не менее, такой способ защиты не является стопроцентным, но он гораздо эффективнее сохраняет информацию в безопасности по сравнению с традиционным парольным. Второй фактор ставит дополнительный барьер, который должен преодолеть злоумышленник. Ему теперь не только нужно узнать пароль, но и каким-то образом завладеть телефоном жертвы или доступом в E-mail. А если установлена двухфакторная аутентификация почты, то эта задача становится ещё труднее.

Если вы получили СМС или электронное письмо с кодом, не совершая никаких действий по входу в ту или иную систему, значит кто-то предпринимает попытки получить доступ к вашему аккаунту. Тут следует не мешкая заменить пароль!

Сферы применения двухфакторной аутентификации

Приведём несколько примеров сервисов и социальных сетей, которые предлагают использовать двухфакторную аутентификацию: Steam, Twitter, Gmail, Figma, Bitrix24, GitHub. Их авторами предлагается выбрать разные типы: SMS, список одноразовых паролей и пр.

Но, не следует забывать, что код двухфакторной аутентификации хоть и более серьёзная защита, чем простой ввод пароля, тем не менее это не дает полной гарантии. У пользователя могут быть некоторые затруднения при входе в аккаунт.

Здесь прослеживается зависимость надёжности от терпения пользователя. Лучше потратить пару минут на ввод пароля двухфакторной аутентификации, чем потерять контроль над своим же аккаунтом. Советуем применять 2FA в тех ситуациях, когда для входа используется неизвестное устройство.

Примеры второго фактора аутентификации

• СМС-код с подтверждением. Рассчитан на то, что телефон всегда находится в распоряжении пользователя и не передается в другие руки. Следовательно, оповещение может прочитать только сам владелец. Двухфакторная аутентификация на телефоне — обычная практика практически всех онлайн-банков.
• Сообщение на E-mail. После ввода в соответствующие поля логина и пароля сервис автоматически создает письмо и отправляет её на почту. Кликнув на ссылку, пользователь подтверждает свою идентичность. Имеет меньшую безопасность, потому что почтовый аккаунт легче взломать.
• Подтверждение в программе. Если сервис выпустил приложение, и вы его скачали и запустили, то вам задается вопрос о подтверждении личности. Так, к примеру, осуществляется вход в Google-аккаунт.
• Приложение-аутентификатор с кодом. Это более продвинутый способ защиты. Создаются специальные приложения – например, Duo Mobile. как подключить двухфакторную аутентификацию в этом случае? Все очень просто. Заходите в настройки безопасности сервиса и в опциях выбираете использование программ. Затем, скачанное и установленное приложение генерирует с определённой периодичностью одноразовые пароли.

Только до 23.09

Скачай подборку материалов, чтобы гарантированно найти работу в IT за 14 дней

Список документов:

ТОП-100 площадок для поиска работы от GeekBrains

20 профессий 2023 года, с доходом от 150 000 рублей

Чек-лист «Как успешно пройти собеседование»

Чтобы получить файл, укажите e-mail:

Введите e-mail, чтобы получить доступ к документам

Подтвердите, что вы не робот,
указав номер телефона:

Введите телефон, чтобы получить доступ к документам

Скачать подборку бесплатно pdf 2,5mb

Уже скачали 52300

Я подтверждаю согласие на обработку персональных данных.

• Аутентификация по QR-коду. Программа может работать с QR-кодами. Просто поднесите камеру смартфона к компьютеру для того, чтобы система удостоверилась, что вход осуществляете именно вы. По такому принципу функционирует Яндекс почта с приложением «Ключ».
• Устройство-аутентификатор. Выглядит как обычная флешка, но с кнопкой и маленьким дисплеем. При нажатии кнопки высвечивается код. При потере этого девайса нужно обратиться в место выдачи, иначе доступа к системе не будет.
• USB-токен. Похожее устройство, отличается тем, что содержит микросхему, хранящую криптографические ключи. При подключении к компьютеру автоматически вводит пароль. Потеряв токен, вы также лишитесь возможности войти на сервис.
• NFC-карта или карта с магнитной лентой. Некоторые работники банков работают на компьютерах с подключенным специальным считывателем. Вставив в ридер карту, сотрудник подтверждает свой доступ.
• Биометрия. Физические особенности человека (отпечатки пальцев, лицо, голос, сетчатка глаз) уникальны, поэтому их использование при аутентификации очень надёжно. Обычно такой метод применяется на закрытых секретных объектах с повышенным уровнем безопасности.

Как включить двухфакторную аутентификацию в разных сервисах

Как правило, опции активации этой функции находятся в разделе сервиса «безопасность» или «настройки конфиденциальности», названия у разных систем могут отличаться.

Не все сервисы предлагают такую защиту. Если вы не нашли как поставить двухфакторную аутентификацию, возможно, в системе её просто-напросто нет.

ВКонтакте

ВК реализовал идентичную процедуру подключения 2ФА как на компьютер, так и на смартфон. Найдите в настройках аккаунта опцию «безопасность и вход» — «Подтверждение входа».

Введите в поле пароль и дайте согласие на подтверждение.

Кликните (или тапните на сенсорном экране смартфона) кнопку «Позвоните мне». Затем введите последние четыре цифры связавшегося с вами номера. Если звонка не последовало, то можно продублировать операцию, запросив код по SMS.

Telegram

Расскажем, как сделать двухфакторную аутентификацию в этой сети. Зайдите в «настройки» — «Конфиденциальность».

Нужно ввести код из SMS и пароль при входе с нового устройства. Нажав кнопку «Задать пароль», впишите и подтвердите его. Есть возможность активировать подсказку.

Укажите E-mail, на этот адрес будет выслан код, который и надо будет ввести.

Mail.ru

Зайдите в настройки почтового ящика, выберите «Пароль и безопасность» — «Двухфакторная аутентификация».

Если ваш номер не был привязан, то сервис сделает запрос. Добавьте телефон в разделе «Настройки» — «Контакты и адреса».

Затем нажмите кнопку «Подключить» и укажите куда следует отправить SMS, введите полученный код и пароль от почты. Наслаждайтесь безопасностью вашего аккаунта.

Яндекс

Подключаем двухфакторную аутентификацию на Яндексе. Установите приложение Яндекс.Ключ для Android или iOS. С его помощью будет сгенерирован одноразовый пароль.

Откройте страницу Яндекс в браузере, зайдите в настройки аккаунта. Найдите Раздел «Пароли и авторизация» и нажмите «Настроить двухфакторную аутентификацию».

Сервис запросит подтверждение номера телефона, прислав код по SMS.

Придумайте пин-код. С его помощью нужно получить одноразовый пароль в программе Яндекс.Ключ. Код может быть от 4 до 16 цифр.

Отсканируйте в «Ключе» появившийся на следующей странице QR-код. Открыв приложение на смартфоне, тапните на экране кнопку «Добавить аккаунт в приложение».

Читайте также!

Технологии защиты информации: как не стать целью кибератаки

Подробнее

Отсканируйте QR-код и выберите опцию «Следующий шаг».

Наконец, введите пин-код в Яндекс.Ключе, и вам будет предоставлен пароль для входа в профиль.

Правила безопасности для двухфакторной аутентификации

Следует также упомянуть о необходимых предосторожностях при использовании двухфакторной аутентификации:

• Держите смартфон всегда при себе.
• При наличии у сервиса 2ФА обязательно воспользуйтесь такой возможностью защиты.
• Если ваш телефон двухсимочный, то используйте одну из СИМ-карт только для получений кодов, и нигде не указывайте её номер.
• Заведите дополнительный почтовый ящик и берегите его для входа в наиболее важные для вас сервисы.
• Не используйте в качестве ПИН-кодов для приложений легкодоступную информацию вроде года рождения или номера телефона.
• Придумайте несколько надёжных паролей, желательно с применением спецсимволов, можно также вписать в него название сервиса, для которого он предназначен.
• Скачивайте приложения только из надёжных источников – официального магазина. Сомнительные программы могут содержать в себе различные вирусы, которые могут принести немало бед.

Популярные статьи

Высокооплачиваемые профессии сегодня и в ближайшем будущем

Дополнительный заработок в Интернете: варианты для новичков и специалистов

Востребованные удаленные профессии: зарабатывайте, не выходя из дома

Разработчик игр: чем занимается, сколько зарабатывает и где учится

Как выбрать профессию по душе: детальное руководство + ценные советы

Большое количество организаций оценили преимущества двухфакторной аутентификации в сфере обеспечения электронной безопасности, среди них: IT-компании, финансовые и страховые учреждения, банки, государственные органы различного уровня, НИИ и т.д.

Многие пользователи, у которых использование двухфакторной аутентификации вызывало скепсис, разобравшись в настройках и выяснив, что сложного то ничего и нет, а преимущества очевидны, пересмотрели свое отношение. И теперь охотно используют этот метод. Тем более он постоянно совершенствуется и бурно развивается, впрочем, как и вся сфера информационных технологий.

Автор статьи:

Редакция сайта GeekBrains Шеф-редактор раздела Программирование