Кибербезопасность — одна из центральных тем в 2020 года. Хакинг паролей в криминальной экосистеме онлайн-преступлений занимает центральное место. Основой онлайн-безопасности является надежная защита данных. Рассмотрим существующие методы аутентификации, в чем их плюсы и минусы.
Использование классического пароля или графического ключа, является технически легко реализуемым и простым способом защиты данных. Однако, как легко он реализуем, так же легко он может быть скомпрометирован компьютерными вирусами или шпионскими программами, попавшими на устройство из интернета, или банально подсмотренным злоумышленником.
Аутентификация по биометрии
Биометрическая аутентификация – способ аутентификации, основанный на уникальных характеристиках человеческого организма. Зачастую в качестве биометрических данных для аутентификации используют отпечатки пальцев, голосовые данные, радужки глаз и распознавание черт лица. Так в 2019 году National Westminster Bank начал тестировать дебетовые карты со встроенным в них «сканером» отпечатков пальцев. Несмотря на уникальность, биометрическая информация также может быть украдена — хотя сделать это не так просто, как подобрать пароль, состоящий из букв, цифр и символов.
Многофакторная аутентификация
Многофакторная аутентификация — метод аутентификации с использованием нескольких факторов: фактор знаний (пароль/графический ключ), фактор владения (СМС-сообщения, e-mail, USB-ключ и т.п.), фактор свойства (голосовые данные, отпечатки пальцев и т.п.). Также данный метод может включать проверку такой информации как геолокация пользователя, IP-адрес, история покупок. Так, если киберпреступник узнал ваш логин и пароль, многофакторная аутентификация станет для него серьезным препятствием и резко снизит возможность кражи данных.
Зачастую вторым фактором многофакторной аутентификации используют одноразовые СМС пароли One Time направленные на мобильное устройство, однако данный способ небезопасен, так как сообщения направляются открытым текстом. Существуют технологии, позволяющие кибермошенникам, заполучить/перехватить/перенаправить одноразовые СМС-пароли. К выбору способа идентификации при многофакторной аутентификации следует отнестись ответственно, изучив имеющиеся риски.
Еще одним минусом многофакторной идентификации можно считать ее сложность и многоэтапность для простых пользователей.
Ключ безопасности
Физический ключ безопасности является высокоэффективной формой защиты учетных записей на веб-сайтах и сервисах от нежелательного доступа. Ключ безопасности представляет из себя небольшие NFC-, Bluetooth- или USB- устройства, которые пользователь использует во время своей аутентификации. Физический ключ безопасности имеет еще один приятный плюс для пользователей, проходящих аутентификацию с его использованием — это отсутствие необходимости запоминать логин и пароль. Несмотря на все плюсы использования для защиты данных Ключа безопасности, существенным минусом является вероятность его физической утраты. Поэтому стоит рассмотреть двухфакторную аутентификацию с использованием ключа безопасности в качестве одного из факторов.
Двухфакторная аутентификация по биометрии и QR-коду
Чтобы залогиниться, пользователю необходимо отсканировать онлайн QR-код с помощью устройства — так он «связывает» сеанс со своей личностью. Затем подлинность личности подтверждается сканированием черт лица или отпечатка пальца. Создаются QR-коды на основе ключа, который известен только серверу и вам, а также текущего времени, округленного до 30 секунд. Так как обе составляющие одинаковы, у сервера и у вас коды генерируются одновременно. За счет того, что сгенерированный QR-код имеет короткий срок действия, пользователь может быть уверен, что его биометрические данные никуда не утекут.
Поведенческая биометрия
Поведенческая (активная) аутентификация основана на анализе поведенческих характеристик человека, таких как движение губ, воспроизведение кодового слова, походка, жест, осанка, динамика управления компьютерной мышью, движение пальцев над тачскрином, скорость печати или сила нажатия на клавиатуру. По отдельности, эти факторы не идентифицирует конкретного человека — необходимо анализировать их совокупность. Сбор поведенческой биометрии осуществляется скрытно в фоновом режиме.
Однако в технологиях активной аутентификации остается уязвимое звено – возможность похищать собираемую в процессе слежения за пользователем информацию и подделать обрабатывающие ее алгоритмы. Для предотвращения подобных утечек применяют такие инструменты, как искусственный интеллект на основе нейронных сетей и машинное обучение.
Рассмотрев перечисленные выше способы аутентификации, стоит отметить, что ни один из них не гарантирует полной защиты от взлома аккаунта и кражи данных, а лишь позволяет существенно снизить такую вероятность.
Кибермошенники ищут новые способы и изобретают новые технологии по преодолению «препятствий» защищающих данные, а специалисты по кибербезопасности постоянно работают над уже имеющимися инструментами защиты данных и разрабатывают новые. Так в последние годы разрабатываются и совершенствуются вторичные факторы защиты, например, аутентификация при помощи микрочипа, вживленного под кожу человека, что еще совсем недавно было из области фантастики.