Možda niste svjesni, ali redovno koristite dvofaktorsku autentifikaciju. Kada prenosite novac putem interneta sa svoje debitne kartice, da li se od vas traži da unesete lozinku ili verifikacioni kod putem SMS-a? Ovo je također oblik dvofaktorske autentifikacije.

Dvofaktorska autentifikacija zahtijeva dva načina za provjeru vašeg identiteta, a može se koristiti i za zaštitu različitih online identiteta. Ovo nije savršena sigurnost i zahtijeva dodatni korak prilikom prijavljivanja na svoje račune, ali čini vaše podatke sigurnijim na mreži.

Kako funkcionira dvofaktorska autentifikacija na Internetu?

Dvofaktorska autentifikacija (2FA), također poznata kao dvofaktorska autentifikacija ili višefaktorska autentifikacija, široko se koristi za dodavanje još jednog sloja sigurnosti vašim online nalozima. Najčešći oblik dvofaktorske autentifikacije prilikom prijavljivanja na nalog je proces unosa lozinke, a zatim primanja koda putem SMS-a na vaš telefon, koji zatim unosite na web stranicu ili aplikaciju. Drugi nivo dvofaktorske autentifikacije znači da bi haker ili druga zločesta osoba morala ukrasti vašu lozinku zajedno s vašim telefonom kako bi pristupila vašem računu.

Postoje tri vrste autentifikacije:

• Nešto što znate: lozinka, PIN, poštanski broj ili odgovor na pitanje (djevojačko prezime majke, ime ljubimca, itd.)
• Nešto što imate: telefon, kreditnu karticu itd.
• Nešto biometrijsko: otisak prsta, mrežnica, lice ili glas.

Kako funkcionira drugi faktor?

Nakon unosa lozinke (prvi faktor autentifikacije), drugi faktor obično stiže putem SMS-a. Odnosno, dobićete tekst sa numeričkim kodom koji ćete morati da unesete da biste se prijavili na svoj nalog. Za razliku od PIN-a debitne kartice, 2FA kod se koristi samo jednom. Svaki put kada se prijavite na ovaj račun, bit će vam poslan novi kod.

Alternativno, možete koristiti namjensku aplikaciju za autentifikaciju da primate kodove umjesto da ih šaljete putem teksta. Popularne aplikacije za autentifikaciju su Google Authenticator, Authy i DuoMobile.

Što je bolje koristiti SMS ili aplikaciju?

Mnoge web stranice i usluge, uključujući Amazon, Dropbox, Google i Microsoft, daju vam mogućnost korištenja SMS-a ili aplikacije za autentifikaciju. Twitter je najistaknutiji primjer stranice koja vas tjera da koristite SMS. Ako imate izbora, koristite aplikaciju za autentifikaciju.

Primanje kodova putem SMS-a manje je sigurno od korištenja aplikacije za autentifikaciju. Haker bi mogao presresti tekstualnu poruku ili oteti vaš broj telefona i uvjeriti vašeg operatera da ga prenese na drugi uređaj. Ili, ako sinhronizujete tekstualne poruke sa svojim računarom, haker bi mogao da dobije pristup SMS kodovima tako što će vam ukrati računar.

Aplikacija za autentifikaciju ima prednost što se ne mora oslanjati na svog operatera. Kodovi se šalju na vaš telefon na osnovu tajnog algoritma šifriranja i trenutnog vremena. Kodovi brzo ističu, obično nakon 30 ili 60 sekundi.
Budući da aplikaciji za autentifikaciju nije potreban vaš mobilni operater za prijenos kodova, oni će ostati u aplikaciji čak i ako haker uspije prenijeti vaš broj na novi telefon. Aplikacija za autentifikaciju također radi kada nemate mobilnu mrežu - to je dodatni bonus.

Upotreba aplikacije za autentifikaciju zahtijeva malo dodatnog podešavanja, ali pruža bolju sigurnost od SMS-a. Da biste postavili aplikaciju za autentifikaciju, trebate je instalirati na svoj telefon, a zatim postaviti zajednički tajni token (dugački niz koda) između aplikacije i vaših računa. To se obično radi skeniranjem QR koda kamerom vašeg telefona. Međutim, nakon postavljanja, aplikacija za autentifikaciju eliminira potrebu da unosite kod; jednostavno dodirnete obavještenje aplikacije da se prijavite na jedan od svojih računa.

Šta ako nemam telefon?

Mnoge online usluge, kao što su Dropbox, Facebook, Google i Instagram, omogućavaju vam da kreirate rezervne kodove koje možete odštampati ili napraviti snimak ekrana. Na ovaj način, ako izgubite telefon ili ne vidite signal ćelije, možete koristiti rezervni kod kao drugi faktor provjere autentičnosti za prijavu. Samo se pobrinite da sačuvate ispis rezervnih kodova na sigurnom mjestu.

Hoće li 2FA učiniti moje račune sigurnijim?

Nijedan sigurnosni proizvod ne može zahtijevati savršenu, pouzdanu zaštitu, ali kombinacijom dva od tri gore spomenuta tipa autentikacije, 2FA otežava bilo kome pristup vašem računu. Ne samo da otežavate napade na vaše naloge, već takođe činite svoje naloge manje privlačnim za hakere.

Zamislite to kao zaštitu vašeg doma. Ako imate kućni sigurnosni sistem, smanjujete vjerovatnoću provale. Ako imate glasnog, velikog psa, također smanjujete vjerovatnoću provale. Ako kombinujete sigurnosni sistem sa velikim psom, tada će vaš dom postati još teže provaliti i bit će manje privlačna meta. Većina provalnika će jednostavno pronaći lakšu opciju, bez alarma i mogućnosti ujeda psa.

Isto tako, dvofaktorska autentifikacija sprječava većinu hakera da ciljaju vaš račun. Mnogi će jednostavno krenuti dalje i pronaći lakše račune za hakiranje. A ako vas ciljaju, trebat će im više od vaše lozinke. Osim vaše lozinke, hakeru će biti potreban i vaš telefon ili pristupni tokeni instalirani na vašem telefonu putem mehanizma za autentifikaciju, koristeći phishing napad, zlonamjerni softver ili aktiviranje oporavka računa, pri čemu se vaša lozinka resetuje i 2FA se zatim onemogućava. Ovo je dodatni i težak posao.

Koliko više problema predstavlja korištenje 2FA?

Ne znam da li bih to nazvao gnjavažom ili ne, ali 2FA zahtijeva dodatni korak prilikom prijavljivanja na vaše račune. Morat ćete unijeti svoju lozinku, pričekati da kod stigne putem SMS-a, a zatim unesite kod. Ili, ako koristite aplikaciju za autentifikaciju, morat ćete pričekati obavijest koju možete dodirnuti da potvrdite da ste vi.

Koristim 2FA autentifikaciju na mnogim svojim online nalozima i smatram da je to manje muke nego da koristim jaku lozinku ili pristupnu frazu koja kombinuje velika i mala slova, brojeve i simbole. I dok govorim o jakim lozinkama, dozvolite mi da kažem da je korištenje 2FA kao izgovora za korištenje slabijih, jednostavnijih lozinki loša ideja. Nemojte oslabiti svoj prvi zaštitni faktor samo zato što ste dodali drugi.

Kako omogućiti 2FA?

Mnoge stranice i usluge nude 2FA, ali ga nazivaju različitim imenima. Ispod su brzi načini za omogućavanje dvofaktorske autentifikacije na nekim od najpopularnijih online usluga.

Dropbox.
Kliknite na svoje ime u gornjem desnom uglu vašeg Dropbox naloga i idite na Postavke > Sigurnost i vidjet ćete status naveden na vrhu stranice za verifikaciju u dva koraka. Pored statusa „Onemogućeno“ kliknite na vezu (kliknite da biste omogućili), a zatim kliknite na dugme „Odakle početi“. Zatim možete postaviti da primate verifikacione kodove putem SMS-a na svom telefonu ili u aplikaciji kao što je Google Authenticator. Za više informacija pogledajte uputstva za Dropbox.

Facebook.
Kliknite na dugme trougla u gornjem desnom uglu, izaberite Postavke > Sigurnost i kliknite na Uredi desno od Potvrde prijave. Zatim kliknite na "Omogući" pored mjesta gdje piše "Dva faktorska autentifikacija je trenutno onemogućena." Za više informacija pogledajte

Pokazat ću vam kako da zaštitite svoj Mail nalog tako što ćete omogućiti dvofaktorsku autentifikaciju na Mail-u. Nakon unosa lozinke za vaš Mail nalog, na vaš telefon ćete dobiti SMS kod koji ćete morati da unesete da biste se prijavili na svoj Mail nalog.

1. Omogućite dvofaktorsku autentifikaciju.

Idite na mail.ru, a zatim se prijavite na svoj račun unošenjem korisničkog imena i lozinke. Zatim, nakon što se prijavite na svoj račun u gornjem desnom kutu, kliknite na postavke.

U Postavkama unesite lozinku i sigurnost. A sa desne strane se nalazi stavka koja se zove Secure Login sa SMS potvrdom. Kliknite Omogući.

Da li zaista želite da omogućite Yandex dvofaktornu autentifikaciju?

Dvofaktorska autentifikacija pruža dodatni sloj zaštite za vaš račun. Kada je autentifikacija omogućena, kada pokušate da se prijavite u svoje poštansko sanduče, od vas će se tražiti da unesete kod poslat kao SMS na povezani broj telefona.

Unesite lozinku svog naloga, navedite svoj telefonski broj i kliknite Nastavi.

Dvofaktorska autentifikacija je omogućena.

Dodajte lozinke za svaku aplikaciju.

Imajte na umu da su sve vanjske aplikacije u kojima ste koristili ovo poštansko sanduče prestale raditi. Da biste ih ponovo počeli koristiti, idite na postavke i kreirajte lozinke za svaku od njih.

Kliknite na Postavi dvofaktorsku autentifikaciju.

To je sve. Dvofaktorska autentifikacija već radi. Sada, nakon što unesete lozinku za svoj mail.ru nalog, dobit ćete SMS kod na svoj telefon, koji ćete morati unijeti da biste se prijavili na svoj račun. Dakle, ako neko sazna lozinku vašeg naloga, i dalje se neće moći prijaviti na nju, jer će morati da unese SMS kod, a SMS kod će biti poslan na vaš telefon.

2. Kreirajte lozinku za vanjske aplikacije.

Možete nastaviti s postavljanjem i prilagođavanjem The Bat! i Microsoft Outlook, ako ih koristite i tamo ste dodali svoje mail.ru poštansko sanduče. Kliknite na dodaj aplikaciju.

Kreiranje nove aplikacije. Lozinka aplikacije je potrebna da bi pošta radila u aplikacijama trećih strana.

Osmislite ime za ovu aplikaciju i kliknite na kreiranje.

Unesite trenutnu lozinku za svoj mail.ru nalog i kliknite na prihvati.

Aplikacija je uspješno kreirana. Vidjet ćete automatski generiranu lozinku za vaš The Bat! ili Microsoft Outlook, ako ih uopšte koristite.

3. Kreirajte jednokratne kodove.

Također možete generirati jednokratnu lozinku. Ovo je u slučaju da vaš telefon nije dostupan ili vam ga ukradu i ne možete koristiti svoj broj.

Jednokratni kod se može koristiti kada nema pristupa povezanom mobilnom telefonu. Svaki od njih postaje neaktivan nakon upotrebe. Nakon ponovnog generiranja kodova, svi stari kodovi postaju nevažeći. Imajte na umu da će vam biti prikazani samo jednom. Preporučuje se da odštampate generisane kodove i da ih čuvate na sigurnom mestu.

Kliknite na generiraj.

Jeste li sigurni da želite generirati novu tablicu kodova? Imajte na umu da vaši stari kodovi više neće važiti.

Kliknite na nastavak.

Unesite trenutnu lozinku za svoj mail.ru nalog i SMS kod koji će biti poslan na vaš broj.

Kliknite prihvati.

Jednokratni kodovi (koji se obično generišu i šalju vam putem SMS-a) će biti generisani za vas. Sačuvajte ih negdje (samo ne u svom telefonu, jer su za slučaj da nemate telefon sa sobom). Pa, ne pokazuj ih nikome. A ako uvijek držite svoj telefon kod sebe i sigurni ste da ga neće ukrasti i da uvijek možete vratiti svoj broj, onda ne možete uopće koristiti jednokratne kodove i izbrisati ih.

Sada kada pokušate da se prijavite na svoju poštu na pametnom telefonu ili tabletu ili negde drugde, unesite svoje korisničko ime i lozinku i kliknite na prijavu.

Također ćete morati unijeti SMS kod koji će biti poslan na vaš broj ili generirani jednokratni kod. Ako više ne želite da unosite SMS kod svaki put kada provjeravate e-poštu na svom pametnom telefonu, na primjer, označite polje ne pitaj za ovaj uređaj.

A ako ne primite SMS kod, pritisnite Problemi s prijavom?

Ako ne primite poruku u roku od nekoliko sekundi ili minuta, možete zatražiti ponovno slanje. Kliknite na Zahtjev.

A kada SMS kod stigne na vaš telefon, unesite ga i pritisnite enter.

Prije svega, zahvaljujući ovoj metodi zaštite, možete biti sigurni da ćete samo vi imati pristup svom računu, čak i ako lozinka padne u ruke trećih strana.

U kontaktu sa

Kako funkcionira dvofaktorska autentifikacija

Ovaj način zaštite vam omogućava da se prijavite na svoj Apple ID račun samo sa pouzdanih uređaja. Potonji uključuje korisnikov iPhone, iPad ili Mac koji je verificiran od strane sistema. Naime: kada prvi put pristupite svom nalogu, usluga će od vas tražiti da unesete lozinku i šestocifreni kod, koji će se prikazati na ekranu pouzdanog gadžeta. Na primjer, ako korisnik ima iPhone i želi se prijaviti na svoj račun sa novokupljenog iPada (ili Maca), sistem će od njega zatražiti da unese lozinku i kod - potonji će biti poslan na pametni telefon.

Šta ovo daje korisniku? Budući da će vam trebati više od obične lozinke da biste se prijavili na svoj račun, to će značajno osigurati i vaš Apple ID i podatke pohranjene na Apple serverima. Kada dobijete pristup, više nećete morati unositi verifikacioni kod. Osim u slučajevima kada se izvrši potpuni izlaz, svi podaci iz gadžeta se brišu ili se mijenja lozinka. Također možete odrediti određeni preglednik kao pouzdan ako se korisnik prijavi na račun s njega (pod uvjetom da će to učiniti s pouzdanog uređaja) - to će eliminirati potrebu da svaki put potvrđuje svoj pristup.

Pouzdani (provjereni) uređaji

Pouzdani uređaji uključuju iPhone, iPad, iPod touch ili Mac koji koriste iOS 9 ili OS X El Capitan (ili njihova najnovija ažuriranja). Ovi gadgeti moraju biti prijavljeni na vaš Apple ID koristeći dvofaktorsku autentifikaciju. Drugim riječima, provjereni uređaji uključuju one za koje sistem može sa sigurnošću znati da pripadaju određenom vlasniku, a to se može provjeriti slanjem verifikacionog koda na njegov gadget.

Provjereni brojevi telefona

Pouzdani telefonski broj je broj na koji korisnik očekuje da primi digitalni kod koji sistem šalje u obliku tekstualnih poruka i poziva. Naravno, da biste koristili funkciju dvofaktorske autentifikacije, morate imati barem jedan verifikovani telefonski broj.

U slučaju da odjednom nemate pri ruci pouzdani uređaj, logično je da među provjerene brojeve unesete svoj kućni broj, broj rođaka ili bliskog prijatelja. Ovo će vam omogućiti da se prijavite na svoj Apple ID račun ako iz nekog razloga nemate svoj gadget u blizini.

Šta je verifikacioni kod

Ovo je kod koji sistem šalje na pouzdani uređaj ili pouzdani broj telefona korisnika kako bi potvrdio njegov identitet kada se prvi put prijavi na svoj račun. Također možete zatražiti takav kod na svom pouzdanom gadgetu u " Postavke" Treba imati na umu da lozinka i kod nisu ista stvar. Korisnik sam kreira lozinku, a sistem mu šalje kod.

Kako postaviti dvofaktornu autentifikaciju za Apple ID na iPhoneu, iPadu ili iPod touchu

Da biste pristupili opciji dvofaktorske autentifikacije, morate biti korisnik iCloud-a i imati gadget s iOS 9 ili OS X El Capitan (ili njihovim ažuriranjima) na brodu.

Ako vaš gadget ima instaliran iOS 10.3 ili noviji operativni sistem, tada morate poduzeti sljedeće korake:

1. Otvori « Postavke", idite na odjeljak sa svojim imenom i otvorite stavku" lozinka i sigurnost»;

2. U prozoru koji se otvori kliknite na dugme “ Uključi"ispod stavke" Dvofaktorska autentifikacija»;

3. kliknite na " Nastavi».

Ako vaš uređaj koristi iOS 10.2 ili stariju verziju, morate učiniti sljedeće:

1. Otvori u " Postavke"poglavlje" iCloud»;

2. Odaberite svoj Apple ID i idite na " lozinka i sigurnost»;

3. U prozoru koji se otvori aktivirajte “ Dvofaktorska autentifikacija»;

4. kliknite na " Nastavi».

Provjera pouzdanog broja telefona

Nakon dovršetka gornjih koraka, pojavit će se prozor u kojem ćete morati navesti broj telefona - na taj broj će naknadno biti poslan verifikacijski kod. Također treba napomenuti u kojem obliku će se tražiti potvrda: u obliku tekstualne poruke ili telefonskog poziva.

Kako postaviti dvofaktorsku autentifikaciju za Apple ID na Macu

Da biste postavili dvofaktornu autentifikaciju, morate biti korisnik iCloud-a i imati OS X El Capitan (i novije verzije).

1 . Otvorite Apple meni i idite na " System Settings" a zatim u " iCloud" i " Račun».

2 . Odaberite " Sigurnost».

3 . kliknite na " Omogućite dvofaktorsku autentifikaciju».

4 . Trebali biste biti svjesni da ako je verifikacija u dva koraka već omogućena, trebate je onemogućiti prije aktiviranja dvofaktorske provjere autentičnosti. Također, neki Apple ID-ovi kreirani u iOS-u 10.3 ili macOS-u 10.12.4 (ili novijim verzijama ovih operativnih sistema) mogu automatski omogućiti zaštitu dvofaktorske autentifikacije.

6 . Prije svega, preporučljivo je zapamtiti lozinku za svoj račun. U suprotnom, može se desiti da ovi podaci, koji se snimaju ili čuvaju u nekom fajlu, završe kod trećih lica.

8 . Treće, ne zaboravite da odmah ažurirate listu pouzdanih telefonskih brojeva.

9 . Također je važno osigurati da uređaj ne padne u ruke strancima.

Sve ove sigurnosne mjere mogu pružiti maksimalan stepen zaštite gadžeta i informacija pohranjenih na njemu.

Upravljajte svojim Apple ID računom

Na svom nalogu možete uređivati ​​informacije o pouzdanim uređajima i telefonima.

Ažurirajte potvrđene brojeve telefona

Da bi se koristila dvofaktorska autentikacija, baza podataka usluge mora imati barem jedan pouzdani telefonski broj. Ako je potrebno promijeniti ovaj broj, slijedite ove korake:

• Prijavite se na svoj Apple ID nalog;
• Otvori karticu " Sigurnost" i kliknite na stavku " Uredi».

Ako treba da navedete verifikovani broj telefona, kliknite na " Dodajte potvrđeni broj telefona" i unesite ovaj broj. Možete ga potvrditi navođenjem jednog od metoda: slanjem koda u tekstualnoj poruci ili pozivom. Da biste izbrisali broj koji više nije aktuelan, kliknite na ikonu koja se nalazi pored ovog broja.

Pregled i upravljanje pouzdanim gadžetima

Informacije o gadžetima koji su dobili status verifikovane možete pogledati u " Uređaji» na vašem Apple ID nalogu. Tamo možete pronaći i informacije o ovim gadžetima.

Ako je potrebno, verifikovani uređaj se može ukloniti sa liste. Nakon toga, neće biti moguće pristupiti iCloud-u i drugim Appleovim uslugama dok se ponovo ne ovlasti pomoću dvofaktorske autentifikacije.

Ova izjava ima smisla i odnosi se, prije svega, na kompanije u finansijskom sektoru, kao i na niz kompanija koje se bave istraživanjem, razvojem i tehnološkim poslovima (R&D) u visokotehnološkim sektorima tržišta.

Koristeći ovu vrstu 2FA, korisnik unosi ličnu lozinku na prvom nivou autentifikacije. U sljedećem koraku mora unijeti OTP token, koji se obično šalje SMS-om na njegov mobilni uređaj. Ideja metode je jasna. OTP će biti dostupan samo onima koji su, kako se pretpostavlja u teoriji, unijeli lozinku koja je nedostupna drugima.

Međutim, nažalost, slanje OTP-a putem SMS-a općenito nije bezbedno, jer se poruke često šalju u čistom tekstu. Čak i početnici hakeri mogu pročitati takve tekstualne poruke, jer sve što im zaista treba je ciljni broj telefona.

Osim toga, višefaktorska autentifikacija ne može spriječiti MitM napade, koji se često koriste u phishing prevarama e-pošte. Ako napad bude uspješan, korisnik će kliknuti na lažni link i biti odveden na stranicu sličnu portalu za internet bankarstvo. Tamo će korisnik unijeti podatke za prijavu i druge povjerljive podatke koje će napadač koristiti za pristup stvarnoj web stranici.

Iako će ovaj napad biti moguć samo u ograničenom vremenskom periodu, ipak je moguć.

Zahtjevi Federalne službe za tehničku i izvoznu kontrolu za višefaktorsku autentifikaciju

Početkom 2014. godine Federalna služba za tehničku i izvoznu kontrolu (FSTEC) odobrila je metodološki dokument o mjerama zaštite informacija u državnim informacionim sistemima. Dokument je razjasnio mnoge aspekte koji se odnose na organizacione i tehničke mere zaštite informacija koje se preduzimaju u državnim informacionim sistemima, u skladu sa odobrenom naredbom FSTEC Rusije od 11. februara 2013. br. 17.

FSTEC snažno preporučuje potpuno napuštanje uobičajene autentifikacije zasnovane na statičkim lozinkama za sve korisnike bez izuzetka i prelazak na pouzdaniju višefaktorsku autentifikaciju. Obavezni zahtjevi za višefaktorsku autentifikaciju su korištenje hardverskih autentifikatora i mehanizma jednokratne lozinke za daljinski i lokalni pristup.

Primjeri dvofaktorske i višefaktorske autentifikacije

Metoda SMS autentikacije zasniva se na korištenju jednokratne lozinke: prednost ovog pristupa, u poređenju sa trajnom lozinkom, je u tome što se ova lozinka ne može ponovo koristiti. Čak i ako pretpostavimo da je napadač uspeo da presretne podatke tokom razmene informacija, neće moći efikasno da iskoristi ukradenu lozinku za pristup sistemu.

Evo primjera implementiranog korištenjem biometrijskih uređaja i metoda autentifikacije: pomoću skenera otiska prsta, koji je dostupan u brojnim modelima laptopa. Prilikom prijavljivanja, korisnik mora skenirati svoj prst, a zatim potvrditi svoje vjerodajnice lozinkom. Uspješno završena autentifikacija će mu dati pravo da koristi lokalne podatke određenog računara. Međutim, propisi o radu IS-a mogu predvidjeti posebnu proceduru autentifikacije za pristup mrežnim resursima kompanije, koja, osim unošenja druge lozinke, može uključivati ​​i niz zahtjeva za predstavljanje predmetnih autentifikatora. Ali čak i sa takvom implementacijom, sigurnost sistema se nesumnjivo povećava.

Drugi biometrijski autentifikatori mogu se koristiti na sličan način:

• otisci prstiju;
• geometrija ruke;
• obrisi i dimenzije lica;
• karakteristike glasa;
• uzorak šarenice i mrežnice;
• uzorak vena prsta.

U tom slučaju se, naravno, koristi odgovarajuća oprema i softver, a troškovi njegove nabavke i podrške mogu značajno varirati.

Međutim, vrijedno je razumjeti da biometrijski autentifikatori nisu potpuno tačni podaci. Otisci prstiju jednog prsta mogu se razlikovati pod uticajem spoljašnje sredine, fiziološkog stanja ljudskog tela itd. Za uspješnu potvrdu ovog autentifikatora dovoljno je nepotpuno podudaranje otiska prsta sa standardom. Biometrijske metode autentikacije uključuju određivanje stepena vjerovatnoće da trenutni autentifikator odgovara standardu. Što se tiče biometrijske autentifikacije i daljinskog pristupa informacionim sistemima, savremene tehnologije još uvek nemaju mogućnost prenosa pouzdanih podataka kroz neobezbeđene kanale – otisak prsta ili rezultat skeniranja mrežnjače.

Ove tehnologije su pogodnije za upotrebu u korporativnim mrežama.

Najpopularnija tehnologija u ovom pravcu u bliskoj budućnosti mogla bi biti glasovna autentikacija i znaci toga su očigledni. Značajan broj razvoja u ovoj oblasti već je dostupan danas, projekti za uvođenje sličnih mehanizama upravljanja/kontrole našli su mjesto u nizu velikih banaka u Ruskoj Federaciji. Kao primjer praktične primjene sistema glasovne biometrijske autentifikacije možemo navesti autentifikaciju ključnih fraza koja se koristi u brojnim pozivnim centrima, audio lozinke za pristup sistemima Internet bankarstva itd., potvrdu radnji osoblja prilikom obavljanja važnih operacija pristupa informacijama , kontrola fizičkog pristupa i prisutnosti u prostorijama.

Osim tehnologija povezanih s korištenjem biometrijskih autentifikatora, postoje i softverska i hardverska rješenja, kao što su samostalni ključevi za generiranje jednokratnih lozinki, čitači RFID tagova, kripto kalkulatori, softverski i hardverski tokeni (tokeni), elektronski ključevi raznih tipova - Touch Memory i key/smart card, kao i biometrijske identifikacione kartice. Svi sistemi i metode višefaktorske autentifikacije navedeni u članku, a pored njih i sistemi kontrole i upravljanja pristupom (ACS), mogu se integrisati, kombinovati i razrađivati ​​jedan po jedan iu kompleksu. Iz ovoga možemo zaključiti: na ruskom tržištu postoji dovoljan broj ponuda za poboljšanje zaštite informacionih sistema, kako od unutrašnjih tako i od eksternih upada. Kompanije imaju izbor ograničen samo veličinom njihovog budžeta.

Metode zaštite zasnovane na tehnikama višefaktorske autentifikacije danas uživaju povjerenje velikog broja stranih kompanija, uključujući visokotehnološke organizacije, sektore tržišta finansija i osiguranja, velike bankarske institucije i preduzeća u javnom sektoru, nezavisne ekspertske organizacije i istraživačke firme.

Istovremeno, privatne kompanije i organizacije širom sveta, generalno, iz očiglednih razloga, ne žele da govore o uvođenju tehnoloških inovacija u oblasti bezbednosti i zaštite informacija. O projektima u javnom sektoru zna se mnogo više – od 2006. godine javnosti su poznata uspješno implementirana tehnološka rješenja u vladinim agencijama u Kanadi, Saudijskoj Arabiji, Španiji, Danskoj i nizu drugih zemalja.

2019: Tužba protiv Apple-a za „nezakonito“ uključivanje dvofaktorske autentifikacije

Dana 11. februara 2019. godine postalo je poznato da je stanovnik Kalifornije Jay Brodsky tužio Apple zbog "nezakonitog" omogućavanja dvofaktorske autentifikacije. Brodsky se žali da dvofaktorska autentifikacija otežava život korisnicima jer zahtijeva od njih ne samo da pamte lozinku, već i da imaju pristup pouzdanom telefonu ili telefonskom broju. Čitaj više.

2017: Google napušta SMS sa dvofaktorskom autentifikacijom

U dokumentu se izričito navodi da upotreba SMS poruka za dvofaktorsku autentifikaciju može biti “neprikladna” i “nesigurna” (odjeljak dokumenta 5.1.3.2).

Ovaj paragraf u cijelosti glasi: „Ako se eksterna provjera kanala vrši putem SMS poruke na javnoj mobilnoj telefonskoj mreži, verifikator mora osigurati da je prethodno registrirani telefonski broj koji se koristi stvarno povezan s mobilnom mrežom, a ne s VoIP-om ili drugi softverski servis. Zatim možete poslati SMS poruku na prethodno registrovani broj telefona. Promjena unaprijed registrovanog broja telefona ne bi trebala biti moguća bez dvofaktorske autentifikacije kao dijela promjene. Upotreba SMS poruka u vanjskoj autentifikaciji nije dozvoljena i neće biti dozvoljena u budućim verzijama ovog vodiča."

Glavna zabrinutost stručnjaka iz Nacionalnog instituta za standarde i tehnologiju je da telefonski broj može biti vezan za VoIP uslugu, osim toga, napadači mogu pokušati uvjeriti provajdera da se broj telefona promijenio, te bi trebalo napraviti takve trikove. nemoguće.

Dok se u dokumentu preporučuje da proizvođači koriste tokene i kriptografske identifikatore u svojim aplikacijama, autori izmjena također napominju da pametni telefon ili drugi mobilni uređaj uvijek može biti ukraden, ili može biti privremeno u rukama druge osobe”, navodi se u dokumentu NIST-a. .

Postoji dosta mehanizama za kompromitovanje SMS lozinki, koji su već više puta korišteni, uglavnom za krađu sredstava od klijenata ruskih banaka. Dovoljno je navesti samo nekoliko metoda za hakovanje SMS lozinki:

• Zamjena SIM kartice korištenjem lažnih dokumenata
• Iskorišćavanje ranjivosti u OSS-7 protokolu
• Preusmjeravanje poziva od vašeg mobilnog operatera
• Lažne bazne stanice
• Specijalizirani trojanski programi za pametne telefone koji presreću SMS lozinke

Činjenica da mehanizam SMS lozinke koriste sve banke otvara široke mogućnosti za hakere. Očigledno, nakon što je jednom napisao trojanac za pametni telefon, on se može koristiti za napad na sve ruske banke, uz minimalno prilagođavanje (trojanski).

Istovremeno, može se predvidjeti da će velike banke biti prve žrtve distribucije - velika baza klijenata potonjih omogućava prevarantima da računaju na značajne rezultate čak i sa malim stanjem na računima klijenata.

Jednokratne lozinke putem SMS-a

• kašnjenja isporuke
• mogućnost presretanja na nivou komunikacionog kanala ili ulaska u sistem
• mogućnost presretanja na nivou mobilnog operatera
• mogućnost ponovne registracije SIM kartice klijenta na prevaranta koristeći lažno punomoćje (i presretanje SMS-a)
• mogućnost slanja SMS poruka klijentu sa zamjenskog broja
• povećanje operativnih troškova proporcionalno bazi klijenata

Jednokratne lozinke putem PUSH-a

• negarantovana isporuka
• direktna zabrana Apple/Google/Microsofta da koriste povjerljive informacije za prijenos
• svrha - samo informacija

Istraživači demonstriraju jednostavan napad za zaobilaženje dvofaktorske autentifikacije

Naučnici Vrije Universiteit Amsterdam Radhesh Krishnan Konoth, Victor van der Veen i Herbert Bos demonstrirali su praktičan napad na dvofaktorsku autentifikaciju pomoću mobilnog uređaja. Istraživači su demonstrirali napad Man-in-the-Browser na Android i iOS pametne telefone.

Problem sa dvofaktorskom autentifikacijom nastao je zbog sve veće popularnosti pametnih telefona i želje vlasnika da sinkroniziraju podatke između različitih uređaja. Dvofaktorska autentifikacija se oslanja na princip fizičkog razdvajanja uređaja radi zaštite od zlonamjernog softvera. Međutim, sinhronizacija podataka čini takvu segmentaciju potpuno beskorisnom.

Istraživači su demonstrirali napad korištenjem instalacije ranjive aplikacije putem Google Playa. Uspjeli su uspješno zaobići Google Bouncer verifikaciju i aktivirati aplikaciju za presretanje jednokratnih lozinki.

Za napad na iOS, istraživači su koristili novu OS X funkciju pod nazivom Continuity, koja vam omogućava da sinhronizujete SMS poruke između iPhone-a i Mac-a. Ako je ova funkcija aktivirana, napadač treba samo da ima pristup računaru da bi pročitao sve SMS poruke.

Prema istraživačima, aplikacija za jednokratnu krađu lozinke dodana je na Google Play 8. jula 2015. godine i ostala je dostupna korisnicima dva mjeseca prije nego što je objavljen video koji pokazuje napad.

Dva faktora autorizacije u sistemu Yandex su sljedeća: informacija o uređaju koji pripada određenom korisniku, a koja se pohranjuje na Yandex serverima i korisnikovo znanje o njegovom četverocifrenom pinu (ili otisku prsta), objasnila je kompanija.

Svaki put kada unesete PIN kod (ili kada se aktivira Touch ID), aplikacija generiše jedinstveni jednokratni kod koji važi 30 sekundi. U ovom slučaju, dio koda se generira iz pin koda koji znaju samo korisnik i Yandex, a dio se generira iz podataka aplikacije. Obje "tajne" su šifrirane u jednokratnom kodu. „Na ovaj način se isključuje mogućnost da je jedan od faktora kompromitovan i da napadač bira podatke drugog faktora“, dodaje Yandex.

Ako čitanje QR koda ne uspije, na primjer, kamera pametnog telefona ne radi ili nema pristupa internetu, aplikacija Yandex.Key kreirat će jednokratnu lozinku od simbola. Takođe će trajati samo 30 sekundi.

Nakon prelaska na dvofaktorsku autentifikaciju, postojeća lozinka korisnika više neće raditi na svim instaliranim programima koji koriste Yandex prijavu i lozinku, uključujući Yandex.Disk, programe e-pošte konfigurirane za prikupljanje pošte s Yandex.Mail, sinhronizaciju u Yandex.Browseru " , upozorila je kompanija. Svaka aplikacija će trebati svoju novu lozinku - kreirat će se u Yandex.Passportu, u postavci „Lozinke za aplikacije“. Morat će se unijeti jednom u svaku aplikaciju.

Server za autentifikaciju će integrirati procese verifikacije

Svrha autentifikacije je da se što je više moguće oteža nekom drugom korištenje (ukradenih, ukradenih) vjerodajnica. Ovaj proces bi trebao biti jednostavan za legalnog korisnika, a smišljanje i pamćenje jakih lozinki dužine od najmanje nn znakova i uključivanje posebnih znakova i brojeva će vrlo vjerovatno iritirati korisnike.

Kompanija može imati nekoliko različitih informacijskih sistema i izvora resursa koji zahtijevaju autentifikaciju:

• korporativni portal,
• e-mail,
• CRM sistem,
• udaljeni VPN pristup,

A pošto se korisnik suočava sa zadatkom da ispuni zahtjeve sigurnosne politike u pogledu složenosti i jedinstvenosti lozinki, njeno rješenje predstavlja određene poteškoće koje korisnik može ispuniti, a u tehnološkom smislu to su različiti sistemi autentifikacije, međusobno nepovezani, nije fleksibilan, zahtijeva veliku količinu resursa za podršku. Sve zajedno dovodi do dodatnih troškova i “tromosti” kompanije pri izmjenama metoda autentifikacije.

Server za autentifikaciju – jedinstveni administrativni centar za sve procese autentifikacije za sve aplikacije/usluge/resurse odjednom – može riješiti probleme i pomoći u rješavanju problema. Industrijski serveri ovog tipa podržavaju čitav niz metoda provjere autentičnosti. Po pravilu, to su OATH HOTP, TOTP, OCRA, PKI sertifikati, RADIUS, LDAP, obična lozinka, SMS, CAP/DPA i drugi. Svaki resurs koji koristi server za provjeru autentičnosti može koristiti metodu koju posebno zahtijeva.

Koristeći servere za autentifikaciju, IT administratori dobijaju objedinjeno sučelje za upravljanje korisničkim vjerodajnicama i fleksibilne opcije za promjenu metoda provjere autentičnosti. Preduzeća dobijaju pouzdanu zaštitu pristupa uslugama i resursima u vidu dvofaktorske autentifikacije, čime se povećava lojalnost korisnika, kako internih tako i eksternih.

Dodavanje drugog faktora za autentifikaciju, uz postojeći server za autentifikaciju, neće zahtijevati od kompanije da kreira novi softver i hardver ili kupi nove tokene.

Kao primjer: Banka A je potvrdila autentičnost vlasnika debitnih ili kreditnih kartica u banci klijenta koristeći certifikate na USB tokenima. Njene platne kartice su bile isključivo sa magnetnom trakom, ali je u jednom trenutku banka počela da izdaje kartice sa EMV čipom, koji je u suštini mikrokompjuter. Kartica sa EMV čipom može se koristiti za autentifikaciju pomoću algoritma Master Card Chip Authentication Program (CAP). To jest, sada Banka A može odbiti da koristi skupe PKI tokene za svakog korisnika i promijeni ovu metodu autentifikacije u CAP, za koju je potreban samo jeftin kripto kalkulator. Nakon nekog vremena, Banka A počinje izdavati platne kartice sa displejom i implementiranim OATH TOTP algoritmom te, kako bi korisnika spasila korištenja dodatnog kripto kalkulatora, postavlja TOTP autentifikaciju za banku klijenta. Treba imati na umu da pored usluga daljinskog bankarstva, Banka A ima mnogo drugih usluga, kako internih tako i namijenjenih klijentima ili partnerima koji zahtijevaju autentifikaciju. Za svaku aplikaciju, služba za sigurnost informacija može postaviti svoje zahtjeve za potrebne metode provjere autentičnosti korisnika. Sva autentifikacija banke A može se obaviti na serveru za autentifikaciju. Nema potrebe za razvojem za svaku aplikaciju posebno.

Ova fleksibilnost i lakoća dodavanja novih metoda provjere autentičnosti nije moguća bez servera za autentifikaciju. Smanjenje vremena za ove zadatke je toliko značajno da nam omogućava da govorimo o brzini puštanja proizvoda u rad kao o konkurentskoj prednosti.

Dostupnost jake autentifikacije u obliku specijaliziranog softvera omogućava vam dodavanje multifaktora aplikacijama koje ranije nisu imale takvu funkcionalnost, bez složenih modifikacija. Gotovo svi informacioni sistemi, usluge i aplikacije koje ne podržavaju snažnu autentifikaciju iz kutije mogu koristiti mogućnosti servera za autentifikaciju za pristup korisnika.

Windows, OS X, Linux i Chrome OS. Da biste radili s USB ključem, morate koristiti preglednik Google Chrome verzije 38 ili noviju.

USB ključevi su potpuno besplatni za korištenje, ali ih korisnici moraju kupiti o svom trošku. Tipke se razlikuju po dizajnu. Najskuplji model od 60 dolara opremljen je Java Card tehnologijom.

Google je pokrenuo dvofaktorsku autentifikaciju slanjem SMS poruke sa verifikacionim kodom 2011. godine. U januaru 2013. korporacija je objavila da planira razviti i ponuditi fizička sredstva provjere identiteta. Konkretno, tada smo počeli razgovarati o pristupu Google uslugama pomoću USB ključeva.

2013: Dvofaktorska autentifikacija mobilnih transakcija

Samo 34% ispitanika je uvjereno da su zaposleni u stanju učiniti sve što je potrebno da zaštite kompaniju od kompjuterskih prijetnji.

Kada razmišljate o tome kako da osigurate svoje naloge na veb lokacijama i servisima na Internetu, prva stvar koja vam pada na pamet je dvofaktorska autentifikacija (2FA). S jedne strane, smanjuje vjerovatnoću hakiranja naših naloga, a s druge strane nas iritira otežavajući nam prijavu na njih.

U nastavku ćemo pogledati različite dostupne opcije za dvofaktorsku autentifikaciju i razbiti neke mitove u vezi s tim.

Najčešće 2FA alternative

Potvrda putem SMS-a

Uobičajeno je među aplikacijama i uslugama da ponude dodavanje dvofaktorske autentikacije barem putem SMS poruka, na primjer, prilikom prijavljivanja na nalog. 2FA možete koristiti svaki put kada se prijavite na svoj račun ili samo s novog uređaja. Druga faza autentifikacije je pametni telefon ili mobilni telefon.

SMS poruka se sastoji od jednokratnog koda koji se mora unijeti u uslugu ili web stranicu. Hakeru koji želi da hakuje nalog biće potreban pristup telefonu vlasnika da dobije ovaj kod. Problem može biti mobilna komunikacija. Šta ako se nađete na mjestu bez pokrivenosti ili putujete bez pristupa svom operateru? Tada se sami nećete moći prijaviti na svoj račun bez da dobijete pristupni kod.

U većini slučajeva, ova metoda je zgodna, jer skoro svi imaju telefon i uvijek su u blizini. Neke usluge imaju automatske sisteme koji izgovaraju kod naglas, što vam omogućava da ga primite čak i putem žičanog telefona.

Google Authenticator / kodovi generirani iz aplikacije

Potencijalno bolja alternativa SMS-u jer se ne oslanja na operatera. Velike su šanse da ste već koristili barem jednu aplikaciju za generiranje koda. Google Authenticator za Android i iPhone je najpopularnija ponuda u ovoj kategoriji softvera.

Nakon postavljanja određene usluge za korištenje Authenticator-a, pojavit će se prozor u kojem će se od vas tražiti da unesete autorizacijski kod zajedno sa svojom prijavom i lozinkom. Aplikacija Google Authenticator na vašem pametnom telefonu će izdati ovaj kod. Vijek trajanja koda se računa u minutama, tako da ga morate unijeti na vrijeme ili ćete morati nabaviti još jedan. Iako je Google u imenu, osim Gmail-a ovdje možete dodati brojne servise, uključujući Dropbox, LastPass, Amazon Web Services, Evernote i druge.

Ako ne vjerujete Googleu, postoji niz alternativa, a najbolja je Authy. Authy nudi šifrirane sigurnosne kopije generiranih kodova, podršku za više platformi i offline funkcionalnost. LastPass je također nedavno lansirao vlastiti autentifikator.

Ove aplikacije generiraju godine sa i bez pristupa Internetu. Jedini nedostatak je komplikovan proces instaliranja aplikacija.

Fizička sredstva autentifikacije

Ako korištenje kodova, aplikacija i tekstualnih poruka zvuči previše komplicirano, postoji još jedna opcija: fizički ključevi za autentifikaciju. Ovo je mali USB uređaj koji se može nositi zajedno sa ključevima (poput sigurnosnog ključa FIDO U2F prikazanog na slici.) Kada se prijavite na svoj nalog na novom računaru, umetnite USB ključ i pritisnite dugme.

Brojne kompanije rade na stvaranju standarda pod nazivom U2F. Google, Dropbox i GitHub računi su već kompatibilni sa U2F oznakama. U budućnosti će fizički ključevi za autentifikaciju raditi s NFC i Bluetooth bežičnim standardima za komunikaciju s uređajima bez USB portova.

Autentifikacija zasnovana na aplikaciji i e-pošti

Neke mobilne aplikacije ne koriste gore navedene opcije i vrše potvrdu unutar same aplikacije. Na primjer, aktiviranje “Potvrde prijave” na Twitteru kada se prijavite s novog uređaja prisilit će vas da potvrdite ovu prijavu sa svog pametnog telefona. Ovo će pokazati da je vlasnik naloga prijavljen, osim ako mu je pametni telefon ukraden. Slično, Apple koristi iOS mobilni sistem za provjeru prijave na nove uređaje. Jednokratni kod se šalje na vaš postojeći uređaj.

Sistemi zasnovani na e-pošti koriste vašu adresu e-pošte kao drugi korak u prijavljivanju na vaš nalog. Jednokratni kod se šalje e-poštom.

Pitanja i odgovori o dvofaktorskoj autentifikaciji

** Ovdje je dvofaktorska autentifikacija posebno važna, jer ove usluge obično služe kao pristup svim drugim aktivnostima korisnika na mreži.

Da biste saznali podržavaju li određena stranica ili usluga 2FA, posjetite twofactorauth.org.

Ako je vaša usluga ugrožena, omogućite dvofaktorsku autentifikaciju što je prije moguće.

Problem je što se 2FA ne može aktivirati jednim prekidačem. Pokretanje 2FA znači izdavanje oznaka ili kriptografskih ključeva ugrađenih u druge uređaje. Budući da se 2FA oslanja na sudjelovanje korisnika, brzina u ovom slučaju neće biti velika.

Trebam li omogućiti dvofaktorsku autentifikaciju ili ne?

Da, posebno na važnim uslugama sa ličnim i finansijskim podacima.

Da li je dvofaktorska autentifikacija neranjiva?

br. 2FA ovisi o tehnologiji i ljudima, a problemi mogu biti na obje strane. 2FA sa SMS-om se oslanja na pouzdanost telekom operatera. Zlonamjerni programi na pametnom telefonu mogu presresti i poslati SMS napadačima. Korisnik također može odobriti zahtjev za autorizaciju bez gledanja, koji je došao zbog pokušaja napadača da pristupi računu.

Da li su sva dvofaktorska rješenja u suštini ista?

Ovo je možda nekada bilo istina, ali 2FA u posljednje vrijeme bilježi dosta inovacija. Postoje rješenja korištenjem SMS-a i e-pošte. Postoje rješenja s mobilnim aplikacijama sa kriptografskim tajnama ili pohranjivanjem informacija u korisnikov pretraživač.

Da li dvofaktorska autentifikacija otežava pristup vašim računima i ne pruža li nikakvu korist?

Ovakav stav pomaže hakerima da ostvare svoje ciljeve. Za neke organizacije i usluge korištenje 2FA je obavezan zahtjev. Ovo može biti neugodno rješenje za korisnika, ali ako ga kompanija koristi, može smanjiti vjerovatnoću prevare.

Je li blizu kraj modernim 2FA metodama?

Možda. Sve gore napisano odnosi se na dvofaktorsku autentifikaciju danas, a ne sutra. Vremenom može postati praktičniji i pouzdaniji.