АКТУАЛИЗАЦИЯ ЗА СИГУРНОСТТА В ИНТЕРНЕТ: Двуфакторно удостоверяване и многофакторно удостоверяване

В средата на 80-те години, когато започнах моето пътуване с компютърната електроника, хората нямаха множество онлайн акаунти, както днес. Ако сте имали някакъв вид „акаунт“, свързан с компютър, вероятно сте били свързани с правителствена агенция, изследователски център или някакъв вид академия, използвайки ARPANET, CSNET ИЛИ NSFNET, предшествениците на съвременния Интернет.

Като алтернатива, ако сте като мен и сте ограничени до по-скромни компютърни стремежи, сте използвали „домашен“ компютър (моят беше Commodore 64) и сте се свързали към „Системи за табла за обяви“, които са подобни на съвременния Интернет, като използвате брояч . – Настройка на модема чрез телефонни мрежи. Можете също така да се абонирате за ориентирани към потребителите мрежови услуги като FidoNet или Compuserve, които таксуват на минута.

За достъп до всички тези прекрасни технологии вие сте използвали, точно както днес, „акаунт“, който се състои от потребителско име (присвоено или измислено от вас) и парола. Тези две неща отключиха всички врати към Интернет, които имаше. Изискванията за паролата бяха прости; сигурността не беше основно съображение и киберпрестъпността беше сравнително рядка.

Бързо напред до днес и нещата се промениха драстично. Въпреки че онлайн престъпността е избухнала до колосални размери на пандемия, ние все още използваме потребителски имена и пароли. Въпреки че изискванията за паролата станаха по-строги и сигурността влезе в центъра на вниманието, имаме нужда от повече в борбата за безопасност онлайн; потребителските имена и паролите вече не са достатъчни. Въведете 2FA и MFA.

Двуфакторно удостоверяване (2FA) и многофакторно удостоверяване (MFA) са термини, които описват по същество едно и също нещо: начин за представяне на допълнителни доказателства (наречени „фактори“), за да докажете, че сте този, за когото се представяте, когато се опитвате да достъп до онлайн услуга. Целият процес се нарича „удостоверяване“, т.е. вие сте добросъвестни или „автентични“, истинските „вие“.

Старият модел потребителско име/парола използва само един „фактор“, който е паролата. Една от причините да има още един „фактор“ е, че толкова много бази данни с пароли са били хакнати и изложени на всеки, който иска да погледне. Някои хора са виновни и за използването на слаби, лесни за отгатване пароли, които никога не променят. Друга причина да се нуждаете от друг „фактор“ е, че много хора използват една и съща парола за всичките си акаунти. Наличието на повече фактори затруднява достъпа до акаунт за грешен човек.

Факторите включват нещо, което имате (като банкова карта), нещо, което знаете (като парола или ПИН), нещо, което сте (биометрични, като пръстов отпечатък или други уникални за вас физически характеристики) и някъде, където се намирате (като свързани с конкретна мрежа или информация за местоположение, като например GPS).

Най-честата употреба на многофакторно удостоверяване е да изпратите код в текстово съобщение до телефона си, когато се опитате да влезете в онлайн акаунт. Например, влизате в Amazon, като въведете паролата си (първият фактор). Amazon ви изпраща код, който трябва да въведете (вторият фактор) и след това ви е разрешено да използвате вашия акаунт в Amazon.

За съжаление, въпреки че все още се използва широко, използването на текстови съобщения като начин за получаване на MFA/2FA кодове вече не се препоръчва. Лошите в интернет са намерили много различни начини за хакване на текстовия метод. Microsoft всъщност издаде предупреждение миналия ноември, в което се казва, че поради опасения за сигурността хората трябва да се отдалечат от 2FA, базиран на текстови съобщения, и да започнат да използват приложения за удостоверяване като Authy, Microsoft Authenticator или „token secure“ като YubiKey.

Следваща колона: как да използвате MFA/2FA инструменти като Authy и Yubikey.

Дейв Мур, CISSP, поправя компютри в Оклахома от 1984 г. Основател на организацията с нестопанска цел Internet Safety Group Ltd, той също така преподава семинари за обучение на общността по интернет безопасност. Можете да го намерите на 405-919-9901 или internetsafetygroup.org