Безопасность в квадрате. Что такое двухфакторная аутентификация и для чего она нужна
Эксперт по кибербезопасности Мясоедов: для защиты данных стоит использовать 2FA
:focal(0.5:0.49):format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyMy8xMC9jeWJlci1zZWN1cml0eS1kYXRhLXByaXZhY3ktbG9jay1zeW1ib2wtcHJvdGVjdGlvbi1zeXN0ZW0tNzI2MTEzLTE1MTUuanBlZw.webp?w=1920)
На портале «Госуслуги» с 1 октября заработала обязательная двухфакторная аутентификация. Теперь при входе в приложение или на сайт у пользователя запрашивают не только пароль, но и дополнительное подтверждение личности. Зачем нужна расширенная защита и как ее используют — в материале «360».
Двухфакторная аутентификация
Двухфакторная аутентификация (2FA) — метод обеспечения безопасности, который требует от пользователя предоставить два разных способа подтверждения личности перед получением доступа к какой-либо системе или ресурсу.
С ее помощью повышают уровень защиты, так как для взлома учетной записи злоумышленнику придется узнать не только логин и пароль.
Эксперт по кибербезопасности Павел Мясоедов объяснил «360», что двухфакторная аутентификация — это простая, но очень эффективная дополнительная защита. Воспользоваться чужим аккаунтом не получится, даже если украсть устройство и подобрать пароль.
Она подразумевает, что у вас существует собственная связка логин-пароль, чтобы вы могли входить в какие-то приложения, но вам добавляют дополнительный фактор в виде случайного кода.
Павел Мясоедов
Специалист по безопасности напомнил, что при использовании логина и пароля поодиночке есть риск компрометации личных данных: кто-то может украсть или взломать их. Цель дополнительной защиты — разделить данные для входа на разные источники.
Эта мера, по словам собеседника «360», стала ответом на массовые взломы и утечки данных. Сейчас 2FA — повсеместная практика, которую подключают практически во всех сервисах. Более того, некоторые используют трехфакторную или четырехфакторную аутентификацию.
Зачем нужна двухфакторная аутентификация
Защита от утечек паролей. В случае утечки или компрометации пароля злоумышленнику все равно потребуется дополнительный фактор для входа в аккаунт. Это усложняет взлом учетной записи, а порой делает его невозможным.
Укрепление безопасности онлайн-аккаунтов. Множество онлайн-сервисов — электронная почта, социальные сети, банковские аккаунты и онлайн-магазины — предоставляют 2FA в качестве дополнительной защиты.
Защита корпоративных ресурсов. В корпоративной среде 2FA используют для безопасности корпоративных сетей, приложений и данных. Это помогает предотвратить несанкционированный доступ к важным ресурсам и снижает риски утечки конфиденциальной информации.
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyMy8xMC9zaWduLXVzZXItcGFzc3dvcmQtcHJpdmFjeS1jb25jZXB0LmpwZw.webp?w=1920)
Борьба с фишингом. Двухфакторная аутентификация может предотвратить недобросовестные действия мошенников. Даже если злоумышленник узнает пароль к какому-то сервису, он все равно не сможет получить доступ без дополнительного фактора.
Соблюдение нормативных требований. В некоторых отраслях и сферах деятельности соблюдение нормативных требований и стандартов безопасности (например, HIPAA, PCI DSS) требует внедрения 2FA для защиты данных и систем.
Павел Мясоедов отметил, что двухфакторная аутентификация, как правило, позволяет избежать взлома учетных записей. Более того, с точки зрения пользователя все происходит достаточно просто и без дополнительных усилий.
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyMy8xMC9tYW4tdXNlcy1sYXB0b3AtY2xvc2V1cC1tYWxlLWhhbmRzLW5lb24tbGlnaHRpbmdfZnZpVHBmNC5qcGc.webp?w=1920)
Где подключать дополнительную защиту
Подключать двухфакторную аутентификацию нужно везде, где необходима максимальная защита данных, подчеркнул Мясоедов. Например, кому-то особенно важно сохранить информацию в социальных сетях, а кому-то — в банковском приложении.
«Включать двухфакторную аутентификацию стоит на всех ресурасах, где вы храните персональные и финансовые данные. Мошеннику же для кражи данных нужно будет получить доступ к программе, куда придет второй фактор», — подчеркнул эксперт.
Важно понимать, что 2FA не абсолютная гарантия безопасности, но она создает дополнительный барьер для злоумышленников.
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyMy8xMC9kZXZpY2UtcHJvdGVjdGVkLWJ5LWN5YmVyLXNlY3VyaXR5LmpwZw.webp?w=1920)
Как можно подтвердить свою личность
Код из SMS или email. Пользователю на устройство приходит SMS с цифрами для входа в аккаунт — это самый известный и простой способ. Он интуитивно понятный: нужно ввести текст из сообщения.
Однако Павел Мясоедов обратил внимание, что SMS с паролем могут перехватить мошенники из-за уязвимости в протоколе, по которому они отправляются. Поэтому многие банки сейчас используют push-уведомления в приложении.
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyMy8xMC9jbG9zZS11cC1oYW5kLWhvbGRpbmctcGhvbmUuanBn.webp?w=1920)
Код из отдельного приложения. Чтобы войти в нужное приложение, сначала стоит установить отдельное приложение для входа. На экране этого сервиса обычно появляется QR-код, при сканировании которого можно зайти в аккаунт.
Резервные коды. Многие сервисы сами предоставляют пользователю некоторое количество резервных кодов. Их можно использовать, если нет мобильной связи или при потере смартфона.
Физический ключ безопасности. В таком случае используют устройство в виде USB-флешки. Такой ключ можно применять для входа в соцсети. Однако эта мера безопасности, как правило, нужна для особенно важной информации.
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyNS80LzIwMjUwNDAyLWdhZi11MzktMzQwLmpwZw.webp?w=1920)
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyNS80L3JpYS04NDA5Mjc0bHIuanBn.webp?w=1920)
:focal(0.51:0.41):format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyNS80LzIwMjQxMTIyLWdhZi1yazcxLTAyNC5qcGc.webp?w=1920)
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyNS80LzIwMjUwMzI4LWdhZi11MDMtMTI5LmpwZw.webp?w=1920)
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyNS80L3Bob3RvLTIwMjUtMDQtMTAtMjAtNTktMzMuanBn.webp?w=1920)
:focal(0.49:0.47):format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyNS80LzIwMTgxMDA1LWdhZi11MzktNTMzLmpwZw.webp?w=1920)