Практика применения многофакторной аутентификации в России.

Введение.

В последние годы использование многофакторной аутентификации не только в мире, но и в России стало стандартом для компаний, уделяющих внимание вопросам обеспечения информационной безопасности. Попробуем разобраться какая бывает аутентификация и чем регулируется ее использование, какая существует практика использования многофакторной аутентификации.

Начнем с вопроса, который многих вводит в заблуждение. В чем разница между авторизацией и аутентификацией? Аутентификация – это процесс подтверждения того, что вы тот человек, за которого вы себя выдаете. Как пример можно привести процесс поездки на поезде. Подойдя к вагону, вы предъявляет проводнику паспорт, сверив данные которого с данными в билете, он пропускает вас в вагон. Проверка документа и данных билетов, происходит аутентификация. А вот допуск в вагон – это уже авторизация.

Так почему же многофакторная аутентификация стала столь популярной? Компрометация учетных данных путем перебора (bruteforce) или использования «утекших» баз данных учетных записей – один из самых популярных методов, используемых хакерами. Причин для этого несколько: во-первых, пользователи часто используют простейшие пароли (p@ssw0rd, 1QAZ2wsx и тд), во-вторых, сотрудники довольно часто регистрируются на различных интернет-ресурсах (форумы, тематические сайты и тд) с указанием корпоративной электронной почты и пароля, в-третьих, широко применяемая преступниками социальная инженерия позволяет использовать украденные у пользователя учетные данные. Для решения этой проблемы и защиты предприятия от атак с использованием украденных и «утекших» учеток применяются организационные и технические меры. К организационным можно отнести усложнение пароля (но пользователи тогда будут записывать их на листочке и клеить к монитору) и запрет на регистрацию с использованием корпоративных данных (но будем реалистами, помогает это редко). В качестве технической меры защиты выступает многофакторная аутентификация, принцип которой заключается в том, чтобы получить от пользователя не только то, что он знает (пароль) но и то, что он имеет (одноразовый код, сертификат и тд).

Использование подобной меры позволяет не только защищать корпоративных пользователей и сервисы, но и демонстрировать клиентам компании свое конкурентное преимущество. Ведь им также важно, чтобы никто не мог использовать их учетные записи и совершать от их имени какие-либо действия и быть уверенными в надежности компании, в которой они обслуживаются.