ОБНОВЛЕНИЕ ИНТЕРНЕТ-БЕЗОПАСНОСТИ: двухфакторная и многофакторная аутентификация

В середине 1980-х годов, когда я начал свой путь в области компьютерной электроники, у людей не было нескольких учетных записей в Интернете, как сегодня. Если у вас была какая-либо «учетная запись», связанная с компьютером, вы, вероятно, были подключены к правительственному учреждению, исследовательскому центру или какой-либо академической организации, используя ARPANET, CSNET ИЛИ NSFNET, предшественников современного Интернета.

В качестве альтернативы, если вы были похожи на меня и ограничивались более скромными вычислительными устремлениями, вы использовали «домашний» компьютер (у меня был Commodore 64) и подключались к «системам досок объявлений», которые были похожи на современный Интернет, с помощью счетчика. . – Настройка модема через телефонные сети. Вы также можете подписаться на ориентированные на потребителя сетевые услуги, такие как FidoNet или Compuserve, оплата поминутно.

Для доступа ко всем этим замечательным технологиям вы использовали, как и сегодня, «учетную запись», состоящую из имени пользователя (назначенного или придуманного вами) и пароля. Эти две вещи открыли все двери в Интернет, которые у него были. Требования к паролю были простыми; безопасность не была основным фактором, а киберпреступность была относительно редкой.

Перенесемся в сегодняшний день, и все резко изменилось. Несмотря на то, что онлайн-преступность достигла колоссальных масштабов пандемии, мы по-прежнему используем имена пользователей и пароли. Хотя требования к паролям стали более строгими, а безопасность стала в центре внимания, нам нужно больше бороться за безопасность в Интернете; имен пользователей и паролей уже недостаточно. Введите 2FA и MFA.

Двухфакторная аутентификация (2FA) и многофакторная аутентификация (MFA) — это термины, которые описывают, по сути, одно и то же: способ предоставления дополнительных доказательств (называемых «факторами»), чтобы доказать, что вы являетесь тем, кем вы себя называете, когда пытаетесь получить доступ к онлайн-сервису. Весь процесс называется «аутентификацией», т.е. вы добросовестны или «аутентичны», настоящие «вы».

Старая модель имени пользователя и пароля использует только один «фактор» — пароль. Одна из причин иметь еще один «фактор» заключается в том, что так много баз данных паролей были взломаны и доступны любому, кто захочет их просмотреть. Некоторые люди также виновны в использовании слабых, легко угадываемых паролей, которые они никогда не меняют. Еще одна причина, по которой нужен еще один «фактор», заключается в том, что многие люди используют один и тот же пароль для всех своих учетных записей. Наличие большего количества факторов затрудняет доступ к учетной записи не тому человеку.

Факторы включают в себя то, что у вас есть (например, банковская карта), что-то, что вы знаете (например, пароль или PIN-код), то, кем вы являетесь (биометрические данные, например отпечаток пальца или другие физические характеристики, уникальные для вас), и место, где вы находитесь (например, при подключении к определенной сети или информации о местоположении, например GPS).

Чаще всего многофакторная аутентификация используется для отправки кода в текстовом сообщении на ваш телефон при попытке войти в учетную запись в Интернете. Например, вы входите в Amazon, вводя свой пароль (первый фактор). Amazon отправляет вам код, который вы должны ввести (второй фактор), после чего вам будет разрешено использовать свою учетную запись Amazon.

К сожалению, использование текстовых сообщений в качестве способа получения кодов MFA/2FA, хотя и широко распространено, больше не рекомендуется. Злоумышленники в Интернете нашли много разных способов взломать текстовый метод. В ноябре прошлого года Microsoft фактически выпустила предупреждение, в котором говорилось, что из соображений безопасности людям следует отказаться от 2FA на основе текстовых сообщений и начать использовать приложения для аутентификации, такие как Authy, Microsoft Authenticator или «безопасные токены», такие как YubiKey.

Следующая колонка: как использовать инструменты MFA/2FA, такие как Authy и Yubikey.

Дэйв Мур, CISSP, занимается ремонтом компьютеров в Оклахоме с 1984 года. Основатель некоммерческой организации Internet Safety Group Ltd. Он также проводит обучающие семинары по интернет-безопасности. С ним можно связаться по телефону 405-919-9901 или на сайте Internetsafetygroup.org.