Многофакторная аутентификация – метод контроля доступа, который требует от пользователя подтверждения личности через несколько факторов, таких как:
1️⃣ Фактор знания – что пользователь знает: пароль, PIN-код, ответ на контрольный вопрос.
2️⃣ Фактор владения – что принадлежит пользователю: физический токен или устройство, на которое приходит одноразовый пароль в SMS, e-mail или push-уведомлении.
3️⃣ Фактор свойства – сам пользователь, например, его биометрические данные.
Помимо фактора знания в целях повышения безопасности доступа следует применять дополнительные факторы, проверяемые при аутентификации. Для этого можно использовать следующие популярные методы:
🔸Получение кодов через SMS, звонок или e-mail (фактор владения): код направляется на номер телефона или на e-mail. Наиболее распространенный и уязвимый метод, так как смартфон может быть подвержен атакам типа SIM jacking, а пароль от электронной почты получен через атаку типа brute-force.
🔸Приложения-аутентификаторы (фактор владения): приложение, которое может работать без подключения к сети, генерирует одноразовые коды каждые 30 секунд. Главные уязвимости – фишинговые сайты с имитацией механизма проверки 2FA, а также вирусы-стиллеры, способные выкрасть cookie-файлы, используемые для входа в сервис.
🔸Биометрическая аутентификация (фактор свойства): использование отпечатков пальцев, распознавания лица и голоса. Предоставляя удобство аутентификации, данный метод также обладает недостатками: зависимость от точности работы оборудования, невозможность смены биометрических данных. К уязвимостям метода относится подделка биометрических данных, например, через дипфейки.
🔸Аппаратные устройства (фактор владения): физические ключи, подключаемые к устройству. Аппаратные аутентификаторы предоставляют высокий уровень безопасности, однако требуют затраты на приобретение. Наибольший риск представляет утеря устройства.
#ИБ#ПолезноЗнать