Что такое аутентификация
Методы аутентификации и лучшие практики
С зарождения цивилизации человечество искало безопасные и удобные способы подтверждения личности для обеспечения доступа только тем, кто имеет на это право, и поддержания преимущества над злоумышленниками. Черты лица, жетоны, криптография, подписи, отпечатки пальцев и пароли — это лишь некоторые из методов аутентификации, использовавшихся до наступления цифровой эпохи. Эволюция этих методов задает вектор развития аутентификации сегодня.
Например, вместо того чтобы полагаться на человеческий глаз для распознавания черт лица, мы используем инструменты биометрии для аутентификации человека по радужной оболочке глаза, сетчатке, отпечатку пальца, голосу или другим специфическим биологическим характеристикам. Так же вместо физических жетонов, системы безопасности выдают цифровые жетоны пользователям, успешно подтвердившим свою личность.
Тем не менее, злоумышленники продолжают находить способы обхода аутентификации. В прежние времена преступники могли подделывать печати, чтобы обойти защиту. Сегодня все больше киберпреступников крадут аутентификационные токены, чтобы обойти MFA (многофакторную аутентификацию), иногда с разрушительными последствиями. Например, hackers похитили токены сеансов, чтобы эффектно захватить три канала Linus Media Group YouTube .
Команды кибербезопасности в технологических гигантах, таких как Google, Microsoft и Apple, постоянно стремятся улучшить свои системы аутентификации, чтобы защитить пользователей и организации от все более изощренных и частых кибератак.
Однако многие пользователи предпочитают больше удобства, чем безопасности, что объясняет медленное внедрение MFA пользователями Microsoft, несмотря на 25,6 миллиарда попыток взлома учетных записей с помощью грубого взлома украденных паролей в 2021 году. Это также может объяснить, почему Microsoft отключила Basic аутентификацию для Exchange Online в пользу современной аутентификации, включающей такие опции, как MFA, смарт-карты, аутентификация на основе сертификатов (CBA) и сторонние поставщики идентификационных данных Security Assertion Markup Language (SAML).
Читайте наше подробное руководство, чтобы узнать больше о:
- значение аутентификации.
- Двухфакторная аутентификация против многофакторной аутентификации.
- Аутентификация против авторизации.
- Методы аутентификации.
- Аутентификация без пароля.
Значение аутентификации
Аутентификация — это метод кибербезопасности, который помогает подтверждать подлинность системы или пользователя. Самый распространенный метод аутентификации — с использованием имени пользователя и пароля. Другие методы, такие как биометрическая проверка, более сложные и тщательные. Например, при попытке получить доступ к электронной почте, вам нужно будет ввести имя пользователя и пароль, чтобы попасть в свой почтовый ящик.
Почему аутентификация важна?
Аутентификация имеет решающее значение для защиты нашей безопасности и конфиденциальности. Мы выполняем множество различных действий в Интернете, от работы и общения до покупок или хранения конфиденциальных данных, как правило, удаленно. Аутентификация помогает сохранить целостность любого цифрового пространства, например банков, облачных вычислительных платформ, страниц в социальных сетях и других, снижая риск несанкционированного доступа. Именно благодаря аутентификации мы можем доверять физически невидимым системам и личностям.
Некоторые средства аутентификации могут также замедлить или остановить кибератаку. Например, киберпреступник с украденным именем пользователя и паролем может проникнуть в учетную запись, чтобы украсть данные, распространить вредоносное ПО или инициировать атаку"человек посередине" ( Man-in-the-Middle, MitM). Однако в системе с более глубокими протоколами аутентификации их боковые перемещения могут быть остановлены.
Аутентификация также важна, потому что она увеличивает ответственность пользователя. Аутентифицированный пользователь может с меньшей вероятностью заниматься злонамеренной деятельностью, зная, что за ним следят. Аутентификация может помочь организациям из некоторых отраслей соблюдать законы о безопасности и конфиденциальности данных, улучшая их безопасность.
Для чего используется аутентификация?
Аутентификация может использоваться для различных целей:
- Безопасность устройств: Все типы устройств с операционными системами используют аутентификацию для обеспечения безопасности, включая настольные компьютеры, ноутбуки, смартфоны, планшеты и даже широкий спектр устройств Интернета вещей (IoT).
- Безопасность учетной записи: Многие платформы используют аутентификацию для усиления безопасности аккаунтов. Например, почтовые и социальные сети используют аутентификацию, чтобы предотвратить несанкционированный доступ к аккаунтам. Финансовые платформы защищают онлайн-банкинг, цифровые платежи и электронную коммерцию от мошенничества благодаря аутентификации.
- Облачные вычисления: Поскольку все больше организаций переходят на облачные платформы, такие как Microsoft Azure, для обеспечения безопасности активов, данных и операций используется аутентификация. Аутентификация также применяется для защиты организаций с активами на месте, такими как сети и системы, использующие удаленную работу.
- Контроль доступа: Аутентификация используется не только для внешней, но и для внутренней безопасности. Организации могут применять аутентификацию, чтобы убедиться, что сотрудники имеют доступ к сетям, приложениям и данным исключительно на основе их необходимости.
Аутентификация против авторизации
Несмотря на то что аутентификация и авторизация кажутся похожими и иногда эти термины неправильно используют взаимозаменяемо, это разные понятия в кибербезопасности. Длинное объяснение заключается в том, что авторизация — это процесс верификации подлинности через учетные данные, черты лица, голос или токен аутентификации. Авторизация происходит после аутентификации. Как только система аутентифицировала подлинность системы или лица, она позволяет объекту получить доступ к ресурсам или выполнять действия в соответствии с их привилегиями.
Краткое объяснение различий между аутентификацией и авторизацией в том, что первая определяет, разрешен ли объекту доступ, а вторая — какими ресурсами он может пользоваться после получения разрешения.
Часто используемые факторы аутентификации
Любой, кто использовал современную операционную систему или работал на платформе облачных вычислений, знает, что существует множество видов методов и инструментов аутентификации, таких как PIN-коды, отпечатки пальцев, жетоны и IP-адреса. Эти методы или инструменты делятся на различные категории, называемые факторами аутентификации.
Факторы знания
Фактором знания считается все, что знает пользователь, например пароль или ответ на вопрос безопасности. Факторы знаний, как правило, работают быстро, но уязвимы для взлома. Например, пароли могут быть украдены. Слабые пароли подвержены атакам методом перебора, напримератакам по словарю .
Мы настоятельно рекомендуем вам узнать, как создать надежный пароль для защиты ваших аккаунтов. Также можете рассмотреть использование надежного менеджера паролей для управления вашим списком сложных учетных данных.
Факторы владения
Фактор владения может обеспечивать большую безопасность, чем фактор знания, поскольку он требует от пользователя наличия определенного предмета, например токена или смартфона, для подтверждения своей личности. Например, система может отправить одноразовый пароль на умное устройство пользователя, когда тот пытается получить доступ. Однако факторы владения тоже не идеальны, поскольку владеемые предметы могут быть похищены или украдены.
Факторы наследования
Один из самых безопасных факторов аутентификации — фактор наследования, потому что он основан на уникальных физических характеристиках пользователя, таких как отпечаток пальца или радужка глаза.
Наибольший недостаток использования факторов наследования состоит в том, что оборудование системы должно быть способно принимать и обрабатывать биометрические данные, хотя большинство современных устройств имеют такие функции.
Фактор наследования также может оказаться слишком эффективным в редких случаях. Например, было много случаев, когда ближайшие родственники не могли получить доступ к криптовалюте своего умершего ребенка, потому что его устройство было защищено фактором наследования.
Факторы местоположения
Организация, например, потоковый сервис, может использовать фактор местоположения, такой как геоблокировка, чтобы ограничить доступ для пользователей из определенных регионов. Например, потоковый сервис, как Netflix США, может блокировать пользователей из Канады от просмотра некоторого контента. Однако факторы местоположения обычно имеют обходные пути. Например, кто-то в Канаде теоретически может использовать частную VPN для скрытия своего местоположения и получить доступ к Netflix США.
Факторы поведения
Поведенческий фактор аутентификации требует от пользователя выполнения определенных действий для подтверждения его личности. Например, от пользователя может потребоваться нарисовать определенные узоры или решить сложную головоломку, чтобы доказать, что он человек, а не бот. В reCAPTCHA от Google используется механизм анализа рисков и отслеживания движений мыши для проверки поведения человека.
Виды аутентификации
Аутентификация на основе пароля
Наиболее распространенная форма аутентификации — это аутентификация на основе пароля, то есть процесс проверки личности пользователя путем предоставления пароля, который полностью совпадает с хранимым в системе. Система отклонит пароль, который не совпадает с сохраненным даже на один символ.
Как упоминалось, хакеры могут быстро угадать слабые пароли, используя самые современные инструменты. Поэтому пользователи должны задавать пароли длиной как минимум 10 символов и сложные, а также периодически менять пароли.
Многофакторная аутентификация (MFA)
MFA возникла в силу необходимости. Даже самый сложный пароль может быть украден. При использованиимногофакторной аутентификации неавторизованным пользователям, возможно, придется подтвердить свою личность другим способом, если они спровоцируют срабатывание системы безопасности. Например, если при попытке входа в систему система обнаруживает новое устройство или IP-адрес, она может запросить PIN-код или токен, даже если пользователь предъявил правильные учетные данные.
Двухфакторная аутентификация (2FA)
Многие задаются вопросом о разнице между 2FA и MFA. Ответ заключается в том, что 2FA - это, по сути, подмножество MFA. Как уже говорилось, MFA требует двух или более факторов аутентификации. 2FA запрашивает только два, обычно это пароль и код, отправленный на учетную запись электронной почты или мобильное устройство. Чтобы узнать больше, вы можете ознакомиться сосновами двухфакторной аутентификации на сайте .
В то время как пользователи социальных сетей используют 2FA для защиты своих аккаунтов, некоторые платформы, к сожалению, монетизируют безопасность аккаунтов. Например, вы могли слышать о Twitter и двухфакторной аутентификации, где платформа существенно меняет настройки безопасности. С 19 марта пользователи не могут использовать SMS-базированную 2FA без подписки.
Однако у пользователей есть другие варианты (пока что). Например, они могут настроить двухфакторную аутентификацию в Twitter с помощью аппаратного ключа для повышения уровня безопасности. Аппаратный ключ — это более надежный инструмент безопасности, чем SMS, который подвержен атаке замены SIM-карты.
Однофакторная аутентификация (SFA)
Как следует из названия, SFA требует от пользователей только одного элемента аутентификации. Как правило, наиболее распространенным типом SFA является пароль. Хотя SFA может быть более удобным, чем MFA, он может быть значительно менее безопасным, особенно если тип аутентификации слабый. SFA также уязвима для атак социальной инженерии, таких как фишинг.
Аутентификация на основе сертификатов
В этом типе аутентификации система использует цифровой сертификат. Сертификационная аутентификация более безопасна, чем пароли, поскольку сертификаты сложны, используют ключи и могут быть аннулированы выдавшим органом. Высокопрофильные организации, такие как правительства, используют эту криптографическую технику для повышения безопасности.
Биометрическая аутентификация
Как уже упоминалось, биометрическая аутентификация полагается на уникальные физические характеристики, такие как отпечатки пальцев, голоса и радужные оболочки глаз, для защиты систем. Биометрическая аутентификация — это самая безопасная и удобная форма аутентификации.
Аутентификация на основе токенов
Веб-приложения, API и другие системы часто используют токены для аутентификации пользователей. Токен — это уникальный идентификатор, выдаваемый авторизованному пользователю. Хотя использование токенов растет из-за увеличения количества гибридных рабочих сред, увеличивается и количество краж токенов.
Basic аутентификация
Система базовой аутентификации требует только имя пользователя и пароль для аутентификации пользователя. Системы, использующие базовые методы, более уязвимы к хакерам. Только внутренние тестовые ресурсы или публичные системы, такие как публичные сети WiFi, теперь используют базовую аутентификацию. Базовая аутентификация — это основная причина, по которой пользователи должны быть более осторожными, используя публичный WiFi.
Аутентификация без пароля
Так как пользователи и организации требуют больше удобства в вопросах безопасности, безпарольные методы аутентификации, такие как биометрия, аппаратные ключи, токены и одноразовые коды, становятся все более популярными в корпоративных средах и на платформах, используемых потребителями.
В дополнение к большему удобству, безпарольная аутентификация может обеспечить более высокую безопасность, поскольку многие пользователи продолжают использовать слабые пароли или становятся жертвами фишинговых атак, нацеленных на кражу учетных данных.
Аутентификация на основе знаний (KBA)
KBA — это тип аутентификации, который проверяет знания человека об информации, сохраненной для подтверждения своей личности. Примеры KBA включают ответы на вопросы о улице, на которой они выросли, их любимом цвете или девичьей фамилии их матери.
Существует несколько причин, почему KBA является слабым методом аутентификации. С увеличением открытых данных о пользователях на форумах и социальных сетях, таких как LinkedIn и Facebook, злоумышленникам становится легче собрать необходимую информацию для обхода KBA. Более того, пользователи с меньшей вероятностью задают сложные ответы на секретные вопросы, чем устанавливают сложные пароли.
Взаимная аутентификация
Взаимная аутентификация, также известная как двусторонняя аутентификация, - это тип аутентификации, при котором обе стороны в соединении проверяют друг друга, обычно с помощью цифровых сертификатов. Хотя взаимная аутентификация чаще всего используется в таких протоколах связи, как Transport Layer Security (TLS) и Secure Sockets Layer(SSL), многие устройства Интернета вещей (IoT) также используют эту технику в соединениях между устройствами.
SMS-аутентификация
SMS-аутентификация использует текстовые сообщения в качестве компонента MFA. SMS-аутентификация лучше всего работает, когда методы аутентификации не содержат никаких элементов. Например, оператору беспроводной связи пришла в голову блестящая идея смешать SMS-аутентификацию с рекламой, что может позволить субъектам угроз разработать более убедительный дизайн. smishing атаки.
Аутентификация сети или сервера
Сетевая аутентификация относится к идентификации пользователей, которые пытаются получить доступ к сети или серверу. Этот тип аутентификации используется в коммуникационных протоколах, VPN, файерволах и системах, контролирующих доступ к приложениям.
Аутентификация с помощью секретного ключа
В системе, использующей секретный ключ для аутентификации, пользователь и система обмениваются криптографическим сессионным ключом, известным только двум сторонам. Эти ключи являются симметричными. Другими словами, они используются для шифрования и дешифрования. Протоколы коммуникации, такие как Secure Sockets Layer (SSL), используют авторизацию с секретным ключом для обеспечения безопасности передачи данных, например, между веб-браузером и вебсайтом.
Ключ физической защиты
Физический ключ безопасности — это аппаратное устройство, которое помогает пользователю подтвердить свою личность и является примером фактора владения. Физический ключ безопасности обычно генерирует уникальный код, который передается в систему для аутентификации. Физические ключи безопасности раньше использовались только высокопрофильными организациями, такими как банки и разведывательные агентства.
Однако в настоящее время многие различные типы платформ, такие как игровые, электронная коммерция и социальные сети, позволяют пользователям защищать свои аккаунты с помощью физических ключей безопасности. Например, пользователи могут включить аутентификацию с использованием аппаратного ключа Facebook для iOS и Android, чтобы добавить дополнительный слой безопасности.
Лучшие практики аутентификации
- Остерегайтесь вредоносных программ, предназначенных для кражи учетных данных или конфиденциальной информации, таких как некоторые виды троянов, шпионских программ и кейлоггеров. Также узнайте насайте , как удалить кейлоггер, поскольку он может собирать нажатия клавиш, скриншоты и другую информацию, чтобы обмануть систему аутентификации.
- Создавайте пароли длиной не менее десяти символов, содержащие комбинацию чисел, символов и букв.
- Избегайте использования известных шаблонов в паролях, таких как день рождения или имя любимого знаменитости.
- Никогда не храните свои учетные данные в открытом виде, например, на листе бумаги на столе. Шифруйте пароли на устройствах.
- Помогите своему паролю, используя методы MFA, такие как биометрическая идентификация или ключ безопасности.
- Остерегайтесь атак социальной инженерии, направленных на кражу ваших учетных данных.
- Избегайте повторного использования пароля; иначе, украденный пароль может привести к множественным взломам аккаунтов.
- Регулярно меняйте свой пароль. Для удобства попробуйте использовать надежный менеджер паролей.
- Порекомендуйте сетевому администратору вашей организации ограничить длину сеанса, чтобы предотвратить перехват сеанса.
- Администраторы должны мониторить журналы аутентификации и сетевые данные, чтобы быстро реагировать на подозрительные действия, такие как многократные попытки доступа с подозрительных IP-адресов.
- Организации должны рассмотреть возможность принятия архитектуры нулевого доверия для большей безопасности.
