Страницы

вторник, 25 декабря 2018 г.

Безопасность в сети: методы двухфакторной идентификации


На протяжении тысячелетий перед людьми постоянно стоял вопрос о сохранности информации и выработке механизмов ограничения доступа со стороны посторонних. С развитием интернета потребность в надежной идентификации сразу же возросла и, как ответ на это требование, появилась распространенная конструкция «логин-пароль».

Позже, сначала в платежных системах, добавилась дополнительная защита с помощью второго, платежного пароля, а в дальнейшем и текстовые сообщения с одноразовым кодом, доставляемые на мобильный телефонный номер.

Сегодня механизмы многофакторной идентификации уже развиты достаточно, чтобы при грамотном применении обеспечить 100% защиту персональных данных, счетов, денежных переводов. Происходит дальнейшее развитие — разрабатываются и внедряются методы использования уникальной речевой интонации, отпечатков пальцев.

Распознавание лица и сканирование сетчатки глаза уже лет 10, как норма. На улицах и в учреждениях устанавливаются камеры наружного наблюдения. С их помощью записывается происходящее, в автоматическом режиме устанавливается личность каждого отдельного человека.

Идентификация и предоставление прав доступа предполагает получение не связанных подтверждающих данных из одного или нескольких источников. Применяется один, два или несколько факторов. Как пример возьмем банковскую карту ATM. Чтоб получить деньги, потребуется удостоверить личность владельца с помощью:

1.      Пластиковой карты с записанной на магнитную ленту информацией.

2.      Введения пин-кода из 4, 6 или 8 цифр.

В результате получается, что тут не обойтись без информации о пин-коде. Обязательно и наличие физического носителя информации, в роли которого выступает банковская карта.

Факторы идентификации принадлежат к трем категориям:

1.      Знание. Информация, которую человек знает. Это пароль, пин-код, мнемоническая фраза, последовательность символов — вещи, которые давно вошли в повседневную жизнь.

2.      Владение. То, чем человек владеет: аппаратный кошелек, отдельная флешка для интернет-банкинга, программное обеспечение с генерацией уникальных кодов, IMEI-код мобильного телефона. К этому списку принадлежит и электронная цифровая подпись.

3.      Свойство. То, что человек собой представляет. Речевые интонации, лицо, отпечатки пальцев, сетчатка глаза. Использование индивидуальных свойств дает максимальную безопасность: такую защиту применяют там, где потери в результате мошеннических действий неприемлемы и требуется 100% исключить вероятность ошибки.

В интернете преимущественно используются комбинации факторов, основанные на категориях знания и владения.

Использование механизмов двухфакторной идентификации затрагивает сферы, где требуется надежно обеспечить безопасность счетов и личных данных. Естественным образом получается, что это электронные платежные системы и биржевые кошельки, расположенные на онлайн-платформах.

Потребность в дополнительной защите актуализировалась в связи с появлением нового класса активов — криптовалют, что вместе со стремительным ростом их стоимости привело к пропорциональному увеличению попыток взлома криптовалютных кошельков и часто успешному хищению средств.

Только в России за первые 8 месяцев 2018 года зафиксировано 107 980 киберпреступлений, что на 44% больше по сравнению с тем же периодом 2017 года, а общий ущерб вплотную приблизился к отметке 400 млрд рублей.

Возникает повышенный спрос на использование механизмов дополнительной защиты личных данных и размещенных в электронной форме активов. Надежное решение проблемы — двухфакторная идентификация. Ее применение потребует, помимо ввода логина, пароля и использования дополнительного идентификационного фактора. В этой роли чаще выступает мобильный телефон или специализированное программное обеспечение.

Удобное, популярное и сертифицированное приложение Google Autenticator — не единственное решение: на рынке присутствуют Microsoft Autentificator, Authy, FreeOTP. Но абсолютное большинство сервисов и почти все криптовалютные биржи выбирают Google, в результате чего установка Google Autenticator заранее предопределена.

Для работы с программой потребуется мобильный телефон — версия для ПК до сих пор отсутствует. Загрузка происходит бесплатно с Apple AppStore или Google Play Market.

После установки программы можно сразу приступать к добавлению учетных записей, где будет применяться двухфакторная аутентификация.

Сначала стоит уточнить генерацию кодов. Предлагается выбор из 2 режимов:

По умолчанию стоит TOTP. Очевидно, он дает больше безопасности, но это не везде нужно. При авторизации в электронной почте или в облачном сервисе, где нет риска серьезных потерь в случае взлома аккаунта, лучше использовать HOTP.

Достоинства Google Authenticator:

Недостатки:

Использование 2FA на основе программного приложения — перспективный метод защищенной идентификации, вместе с должным уровнем безопасности, удобством и доступностью применения.

Другой распространенный способ добавления второго идентификационного фактора — получение SMS-сообщения с одноразовым кодом, действующим в течение короткого времени.

Это подходит тем, кто в силу причин или обстоятельств не в состоянии установить идентификационное приложение. Достоинства этого метода:

Недостатки предсказуемы:

Особенность многофакторной идентификации — отсутствие утвержденных стандартов. Значит, будут появляться новые концепции и методы. Нельзя точно сказать, как это будет выглядеть через 5 или 10 лет. Единственное, что наверняка останется — применение SMS-сообщений как доступного всем без исключения метода.

Настройка 2FA на биржах и в платежных системах интуитивно понятна и не представляет затруднений, что связано с постоянным совершенствованием юзабилити разработчиками. Шаги, которые потребуется совершить, определяются особенностями площадки, они укладываются в примерно одинаковую последовательность. Рассмотрим подключение приложения для генерации кодов:

Если данные введены верно, 2FA активируется, и при следующем входе придется ввести дополнительный код из Google Authenticator.

При выборе авторизации через SMS порядок действий проще — потребуется только привязать телефон путем введения проверочного кода и подтвердить операцию текущим паролем.

При подключении с использованием приложения рекомендуется отдельно распечатать, сделать скриншот или, если есть такая опция, сохранить в отдельный файл QR-код и 16-значный ключ. Это поможет восстановить доступ с другого устройства в форс-мажорных обстоятельствах: утеря телефона, случайное удаление программы, поломка или вирус. В противном случае восстановление доступа возможно через службу поддержки, что займет время и потребует дополнительных усилий.

Отключение 2FA также предусмотрено. Для этого придется выполнить аналогичные шаги, но в обратной последовательности.

Механизмы 2FA предоставляют надежную защиту данных, подходящую для большинства пользователей при соблюдении норм безопасности. Ситуация «я все делал правильно, но почему-то средства пропали», тем не менее, возникнуть может. Это происходит по следующим причинам:

Для эффективной защиты, во-первых, требуется знать об угрозах. Постоянно обновлять антивирус, не открывать подозрительные ссылки, проверять корректность интернет-адреса страницы при проведении авторизации.

2FA — достаточная гарантия безопасности при работе с электронными активами. Но человеческий фактор — главная уязвимость, способная нивелировать потенциал любого механизма безопасности. Невзирая на совершенство разработок, именно человек и его поведение, в конечном счете, определяют степень надежности, защиты и безопасности цифровых капиталов.

Статьи по теме:

Как защитить криптовалютные кошельки от хакеров

Как выбрать кошелек для биткоина — классификация и рекомендации по выбору

Что такое приватный и публичный ключ для криптокошелька?

Комментариев нет:

Отправка комментария