Как устроена и зачем нужна двухфакторная аутентификация
Недавно мы рассказали, чем отличается аутентификация от авторизации. Сегодня пойдём дальше — выясним, что такое двухфакторная аутентификация и зачем она нужна.
Аутентификация: подтверждение того, что вы — это вы, а не кто-то другой, кто пытается прикинуться вами.
Авторизация: что вам разрешено делать в системе, на сайте или в приложении после аутентификации. Проще говоря, авторизация — это когда система даёт вам какие-то права доступа. Какие — зависит от авторизации.
Как работает двухфакторная защита
Давайте я вам опишу алгоритм работы двухфакторной защиты, понимая принцип, вам будет легко его настроить, где угодно, на любом сервисе. И так у нас есть замечательный пользователь Таня, люблю я это имя. Таня решила завести себе аккаунт в Gmail.com. Она проходит процедуру регистрации, где указывает какой логин и пароль у нее будет при входе на почту. Gmail подтверждает ее регистрацию и активирует ее логин и пароль по которому она будет авторизовываться.
Таня логиниться на почте, указывая логин и пароль. Gmail предлагает ей настроить двухфакторную аутентификацию, через привязку к номеру телефона, где будет получать SMS коды или через установку приложения Authenticator, которое будет генерировать каждые 25 секунд коды безопасности, если его не успели ввести, то будет новый 6-ти значный код. Таня их устанавливает и включает двухфакторную защиту.
Теперь при следующей авторизации, Тане нужно будет ввести по мимо классических средств защиты (Логина и пароля), код из SMS или из утилиты Authenticator, так же установленной на ее смартфоне. Как только она это делает, то получает доступ к сервису.
Биометрическая аутентификация
Есть возможность использовать биометрическую аутентификацию по отпечатку пальца. Решение работает по технологии Match On Card. Хэш отпечатка записывается на карту при первичной инициализации и в дальнейшем сверяется с оригиналом. Из карты никуда не уходит, в каких-то базах не хранится. Для разблокировки такого ключа используется отпечаток или комбинация ПИН + отпечаток, ПИН или отпечаток.
Для начала использования нужно просто инициализировать карту с необходимыми параметрами, записать отпечаток пользователя.
В дальнейшем такое же окно будет всплывать перед входом в ОС.
В настоящем примере карта инициализирована с возможностью аутентификации по отпечатку или ПИН-коду, о чем и сообщает окно аутентификации.
После предъявления отпечатка или ПИН-кода, пользователь попадет в ОС.
Authy
Authy является сильным конкурентов двум рассмотренным 2FA-приложениям. И в отличие от них, программа Authy доступна не только для мобильных устройств или браузера (на данный момент поддерживается Google Chrome), но и для Windows в качестве полноценного самостоятельного приложения (именно его и рассмотрим).
Для кого-то покажется минусом, что Authy требует обязательной регистрации перед использованием, для чего потребуется сообщить системе свой номер мобильного телефона и почтовый ящик.
Нужны эти данные Authy для: а) синхронизации настроек между разными устройствами; б) восстановления настроек при переустановке программы; в) восстановления доступа к самой системе Authy при утере устройства или даже смене номера телефона (для этих целей используется почтовый ящик, указанный при регистрации).
Программой Authy очень легко пользоваться, независимо от устройства, на котором та запущена. Каждый отдельный аккаунт, привязанный к аутентификатору, здесь именуется токеном (token). Для привязки учетной записи также требуется просканировать QR-код (только для мобильной версии) или ввести ключ (для Windows-версии это единственный способ привязки):
Также в приложении Authy пользователь может указать длину генерируемого ключа, если она не была определена аутентификатором при подключении аккаунта.
Другие полезные функции Authy:
- Возможность создания резервной копии настроек 2FA, защищенной паролем.
- Возможность привязке к одной учетной записи Authy нескольких устройств. При этом синхронизация между ними осуществляется путем передачи файла резервной копии. Т.к. тот зашифрован, на новом устройстве придется ввести пароль.
Как и в случае с Яндекс.Ключ, программу Authy можно защитить мастер-ключом.
Почему Google Authenticator лучше чем код в sms?
Данные хранятся локально и не передаются со стороны сайта, значит их нельзя перехватить, и значит это более надежно.
Authy — для активации присылают смс на телефон, если телефон потеряете то нужно будет восстановить номер у оператора, чтоб потом была возможность получить смс на него и войти в приложение. Дает возможность доступа к вашим кодам с разных устройств, можно установить на ПК, мобильный, планшет и тп). Для подключения других устройств нужно в настройках дать разрешение на это. Для безопасности все же лучше использовать генератор кодов только на одном устройстве.
2 Factor Authenticatior – приложение, его нет в интернете, оно есть в Магазине Виндовс, если у вас Windows8 или Windows10 в системе есть магазин, там можно найти его и установить, оно бесплатное, недостаток оно опаздывает. В Магазине Виндовс есть и другие похожие приложения, но все они пока не очень, опаздывают.
WinAuth – программа которая скачивается с интернета и устанавливается на ваш ПК. Насколько она надежная, или насколько ей можно доверять, не знаю, не проверял. Умеет делать экспорт всех ключей в текстовый файл, это опасно.
Приложение для браузера хром Authenticator ( chrome.google.com/webstore/detail/authenticator/bhghoamapcdpbohphigoooaddinpkbai ) — не рекомендую устанавливать. Приложение устанавливается в браузер и генерирует коды. Разработчик приложения малоизвестный китаец, неизвестно насколько безопасно хранить коды в нем. Новички любят эту программу потому что она простая, и потому что она дает возможность сделать бекап (резервную копию секретных кодов ваших ключей). Но возможность делать бекап с помощью просмотра секретного кода это дырка в безопасности, любой сможет сделать бекап и ваша защита и возня с кодами доступа становится бессмысленная. У известных брендов в приложениях нет возможности посмотреть секретный код, так как это прямая угроза безопасности. Разовые коды которые генерируют программы никому не нужны так как они каждые 30 секунд меняются, а вот если завладеть вашим секретным ключом, можно будет потом без вашего ведома генерировать правильные коды и с помощью их попасть к вам на ваши защищенные сайты.
Что такое Google Authenticator
Итак, Google Authenticator на PC представляет собой специальное мобильное приложение, предназначенное для усиления безопасности доступа к определённому аккаунту путём создания дополнительных факторов проверки. Изначально программа была разработана, исходя из специфики использования системой Google, но ничего не мешает применить её и для защиты своей страницы в социальной сети или облачного хранилища данных.
Говоря простым языком, во время входа в закреплённый в приложении аккаунт, оно формирует и высылает на мобильное устройство дополнительный проверочный код, после введения которого открывается вход. То есть, даже если злоумышленник будет знать часть персональных данных, аутентифицироваться без подтверждения он не сможет. Такое простое, но эффективное решение позволяет значительно обезопасить свой профиль.
Google Authenticator на компьютере онлайн?
Многие пользователи интересуются — можно ли установить это приложение на ПК и использовать его прямо на Рабочем Столе. Я смог запустить аутентификатор через эмулятор Nox App Player.
Такие эмуляторы создают идентичную копию Андроид-устройства на компьютере и позволяют запустить практически все приложения и множество игр через неё. Выбор среди эмуляторов есть — Nox, BlueStacks, Andy, Droid4x. Выбор я остановил на Ноксе. Он оказался очень легким, быстрым и бесплатным. Плюс ко всему, радует большая совместимость Андроид приложений и широкий выбор настроек.
Для успешного запуска вам потребуется сделать все по-пунктам:
- Перейдите на официальный ресурс эмулятора и загрузите последнюю версию.
- Проведите установку. Перед началом просмотрите установочное соглашение — там нужно убрать галочки с партнерского ПО.
- Запустите Плей Маркет и авторизируйте учетную запись Гугл для возможности прямого скачивания.
- Найдите приложение и проведите установку.
- Далее запустите Google Authenticator.
Программка работает и выполняет все функции, но есть небольшая проблема со сканированием QR-кодов. Дело в том, что веб-камера зеркально отображает такой код и он не распознается. Я убрал эту проблему следующим образом — сделал скрин, скинул его в обычный Paint, увеличил изображение и сделал отображение по горизонтали. Все сразу же распозналось и я подключился без проблем.
Если вы не хотите выполнять эти манипуляции, тогда просто вводите секретный ключ, предварительно выбрав «Ввести ключ». На этом все, в случае трудностей пишите в комментарии.
