Ի՞նչ է երկու գործոնով նույնականացումը. պարզ ուղեցույց
Երկու գործոնով նույնականացումը (2FA) մուտք գործելու եղանակ է, որը պահանջում է երկու տարբեր տեսակի ապացույց, որ դուք այն մարդն եք, ում հայտարարում եք։ սովորաբար մի բան, որ գիտեք, օրինակ՝ գաղտնաբառ, և մի բան, որ ունեք, օրինակ՝ ձեր հեռախոսը կամ անվտանգության բանալին։ Եթե հանցագործը գողանում կամ գուշակում է ձեր գաղտնաբառը, առանց երկրորդ գործոնի նա դեռ չի կարող մուտք գործել։ Կարևոր հաշիվները պաշտպանելու ամենապարզ եղանակներից մեկն է։
Ինչու է դա կարևոր AI-ով կառուցելիս
Երբ AI կառուցողից «մուտք» եք խնդրում, սովորաբար ստանում եք էլ։ փոստ և գաղտնաբառ։ Դա լավ սկիզբ է, բայց գաղտնաբառերը կրկին օգտագործվում են, խաբեությամբ են ստացվում և արտահոսում։ Եթե ձեր հավելվածը պահում է արժեքավոր բան՝ հաճախորդների գրառումներ, հաշիվներ, ադմինի կառավարում, վճարումների կարգավորումներ, մեկ գողացված գաղտնաբառը կարող է բացահայտել ամենը։
2FA-ն ազդում է նաև այնպիսի որոշումների վրա, որոնց մասին սկզբում չեք մտածի։
- Ով պետք է օգտագործի։ Կամընտիր բոլորի համար, պարտադիր ադմինների համար, թե պարտադիր բոլորի՞ համար։
- Որ մեթոդներն եք աջակցում։ Հավելվածից ստացված կոդեր, SMS, passkey-ներ, անվտանգության բանալիներ։
- Ինչ է լինում, երբ որևէ մեկը կողպվում է դուրս։ Կորած հեռախոսները 2FA ունեցող ցանկացած հավելվածի ամենատարածված աջակցության հարցումն են։
- Որտեղ է այն կիրառվում։ Ստուգումը պետք է լինի սերվերի վրա։ Այն 2FA էկրանը, որը միայն թաքցնում է էջը բրաուզերում, կարելի է շրջանցել։
Կրիպտոգրաֆիան ինքներդ պետք չէ կառուցեք։ լավ փորձարկված գրադարանները և նույնականացման մատակարարները դա անում են։ Բայց պետք է իմանաք, թե ինչ խնդրել։
Առօրյա անալոգիա
Պատկերացրեք բանկի անվտանգության տուփը։ Այն բացելու համար պետք է ձեր ID-ն (բանի, որ բանկը ստուգում է՝ դուք եք կամ գիտեք) և ֆիզիկական բանալին (բանի, որ ունեք)։ Գողը, որը պատճենում է ձեր ստորագրությունը, դեռ բանալի չունի։ Գողը, որը գողանում է բանալին, դեռ չի կարող անցնել ID ստուգումը։
2FA-ն աշխատում է նույն կերպ։ Գաղտնաբառը ստորագրությունն է, հեռախոսը կամ անվտանգության բանալին՝ ֆիզիկական բանալին։ Յուրաքանչյուրը առանձին բավարար չէ։
Գործոնների երեք տեսակ
Անվտանգության ստանդարտները, օրինակ՝ ԱՄՆ National Institute of Standards and Technology-ի թվային ինքնության ուղեցույցները, գործոնները խմբավորում են երեք տեսակի.
| Գործոն | Օրինակներ |
|---|---|
| Մի բան, որ գիտեք | Գաղտնաբառ, PIN |
| Մի բան, որ ունեք | Հեռախոս authenticator հավելվածով, անվտանգության բանալի, passkey պահող սարք |
| Մի բան, որ եք | Մատնահետք, դեմք. սովորաբար օգտագործվում է սարքն ապակողպելու համար, որը հետո կատարում է իրական ստուգումը |
Կարևոր բառը տարբեր է։ Գաղտնաբառը և անվտանգության հարցը երկու բան են, որ գիտեք, ուստի դա իրական երկու գործոնով նույնականացում չէ։ Եթե մեկ արտահոսքը կարող է բացահայտել երկուսն էլ, դա հաշվվում է միայն որպես մեկ։
Ընդհանուր 2FA մեթոդների համեմատություն
| Մեթոդ | Ինչպես է աշխատում | Ուժգնություն | Նշումներ |
|---|---|---|---|
| SMS կոդ | Կոդը ուղարկվում է ձեր հեռախոսի համարին | Ամենաթույլը | Խոցելի է SIM swapping-ի և ֆիշինգի նկատմամբ, բայց շատ ավելի լավն է, քան առանց 2FA-ի |
| Էլ. փոստի կոդ | Կոդը ուղարկվում է ձեր էլ. փոստին | Թույլ | Միայն այնքան ապահով, որքան էլ. փոստի հաշիվը |
| Authenticator հավելված (TOTP) | Այնպիսի հավելված, ինչպիսին Google Authenticator-ն է, ստեղծում է նոր 6-նիշ կոդ, սովորաբար յուրաքանչյուր 30 վայրկյանը մեկ | Լավ | Աշխատում է օֆլայն։ դեռ ֆիշինգի ենթակա է, եթե կեղծ կայքը կոդ է պահանջում |
| Push հաստատում | Հավելվածը հարցնում է «Սա դո՞ւք եք», և դուք հաստատում եք հպելով | Լավ | Ուշադրություն դարձրեք «approve fatigue»-ին, երբ օգտատերերը հաստատում են, որպեսզի կրկնվող հարցումները դադարեն |
| Passkey կամ անվտանգության բանալի | Սարքի վրա գտնվող կրիպտոգրաֆիկ բանալին ապացուցում է, որ դուք իրական կայքում եք | Ամենաուժեղը | Դիմացկուն է ֆիշինգին, քանի որ չի արձագանքում նմանատիպ տիրույթին |
NIST-ի ուղեցույցը այն մեթոդները, որտեղ դուք կոդ եք մուտքագրում (SMS, էլ. փոստ, authenticator հավելվածներ), չի համարում ֆիշինգի դիմացկուն, իսկ կոդերի ուղարկումը հեռախոսային ցանցով նշում է որպես «սահմանափակված»։ Ֆիշինգի դիմացկուն են համարվում passkey-ները և սարքային անվտանգության բանալիները, որոնք հիմնված են WebAuthn/FIDO2 ստանդարտների վրա։
Պրակտիկ եզրակացություն։ authenticator հավելվածը ուժեղ և հեշտ լռելյայն ընտրություն է շատ հավելվածների համար, իսկ passkey-ները արժե առաջարկել, եթե ձեր օգտատերերը հարմարավետ են դրանց հետ։
Աշխատած օրինակ։ 2FA հաճախորդների պորտալի համար
Նշենք, որ դուք կառուցել եք պորտալ, որտեղ փոքր հաշվապահական գրասենյակը հաճախորդներին հարկային փաստաթղթեր է տրամադրում։ Ահա, թե ինչպես է աշխատում խելամիտ 2FA կարգավորումը, քայլ առ քայլ։
Միացնելը (գրանցում)։ Պրիյա անունով հաճախորդը բացում է Կարգավորումները և սեղմում «Միացնել երկու գործոնով նույնականացումը»։ Հավելվածը գեներացնում է գաղտնի բանալի և այն ցուցադրում որպես QR կոդ։ Նա սկանավորում է այն իր authenticator հավելվածով, որը սկսում է ցույց տալ վեցնիշ կոդեր։ Նա մուտքագրում է ընթացիկ կոդը պորտալում՝ ապացուցելու համար, որ կարգավորումն աշխատում է։ Հավելվածը ցուցադրում է տասը վերականգնման կոդ և խնդրում է դրանք պահել որևէ անվտանգ տեղում։
Մուտք գործելը հետո։
- Պրիյան մուտքագրում է իր էլ. փոստը և գաղտնաբառը։ Սերվերը դրանք ստուգում է։
- Նրան ուղղակիորեն մուտք գործելու փոխարեն սերվերը սեսիան նշում է որպես «գաղտնաբառը OK է, երկրորդ գործոնը սպասվում է» և ցույց է տալիս կոդի էկրանը։
- Նա մուտքագրում է իր հավելվածի կոդը։ Սերվերը ստուգում է այն պահված գաղտնի բանալու դեմ՝ թույլ տալով մի փոքր ժամանակային շեղում։
- Միայն դրանից հետո սերվերը ստեղծում է լրիվ սեսիա և թույլ տալիս տեսնել փաստաթղթերը։
Ինչ է տեսնում հարձակվողը։ Եթե Պրիյայի գաղտնաբառը արտահոսել է մեկ այլ կայքից, հարձակվողը մնում է 3-րդ քայլում։ Յուրաքանչյուր ձախողված կոդի փորձ հաշվվում է, և մի քանի սխալ փորձից հետո հաշիվը ժամանակավորապես կողպվում է, իսկ Պրիյան էլ. նամակ է ստանում։
Հեռախոսը կորցնելը։ Պրիյան մուտք է գործում իր վերականգնման կոդերից մեկով, անջատում և նորից միացնում է 2FA-ն իր նոր հեռախոսով և ստանում նոր վերականգնման կոդեր։ Օգտագործված կոդը այլևս երբեք չի կարող օգտագործվել։
Աշխատակիցների համար։ Գրասենյակի հաշվապահները կարող են տեսնել բոլոր հաճախորդների ֆայլերը, ուստի պորտալը աշխատակիցների հաշիվների համար պահանջում է 2FA։ նրանք չեն կարող հասնել վահանակին, մինչև գրանցվեն։
Բացատրված ընդհանուր տերմիններ
| Տերմին | Ինչ է նշանակում |
|---|---|
| 2FA / MFA | Երկու գործոնով / բազմագործոն նույնականացում։ մուտք գործելը մեկից ավելի տեսակի ապացույցով։ |
| Գործոն | Ապացույցի մեկ տեսակ՝ մի բան, որ գիտեք, ունեք կամ եք։ |
| TOTP | Ժամանակահիմն միանգամյա գաղտնաբառ՝ authenticator հավելվածների պտտվող կոդերը։ |
| Ընդհանուր գաղտնի բանալի | Թաքնված արժեք, որը սահմանվում է QR կոդով և որը և՛ հավելվածը, և՛ ձեր հեռախոսը օգտագործում են համապատասխան կոդեր գեներացնելու համար։ |
| Վերականգնման (պահուստային) կոդեր | Մեկանգամյա կոդեր՝ մուտք գործելու, երբ կորցրել եք երկրորդ գործոնը։ |
| Passkey | Ձեր սարքում պահված մուտքի հավատարմագիր, որը գաղտնաբառի փոխարեն օգտագործում է հանրային բանալիների կրիպտոգրաֆիա։ |
| Անվտանգության բանալի | Փոքր ֆիզիկական սարք (USB կամ NFC), որը նույն աշխատանքն է կատարում, ինչ passkey-ը։ |
| SIM swapping | Խաբել բջջային օպերատորին, որ մեկի համարը տեղափոխի նոր SIM-ի, որպեսզի SMS-ները հասնեն հարձակվողին։ |
| Ֆիշինգ | Կեղծ կայք կամ հաղորդագրություն, որը խաբում է մարդկանց՝ տալու գաղտնաբառեր կամ կոդեր։ |
| Step-up authentication | Երկրորդ գործոնի կրկնակի պահանջ զգայուն գործողությունից առաջ, օրինակ՝ վճարման մանրամասները փոխելիս։ |
Ընդհանուր սխալներ և թյուրըմբռնումներ
- «2FA-ն հաշիվը անկոտրելի է դարձնում»։ Այն դա շատ ավելի դժվար է դարձնում։ Ֆիշինգային կայքերը դեռ կարող են գրված կոդերը իրական ժամանակում գրավել, ուստի passkey-ները գոյություն ունեն։
- Կոդի ստուգումը միայն բրաուզերում։ Եթե սերվերը գաղտնաբառից հետո տալիս է լրիվ սեսիա, կոդի էկրանը միայն դեկոր է։ Սերվերը պետք է մերժի մուտքը, մինչև երկրորդ գործոնը չանցնի։
- Կոդերի գուշակման սահման չկա։ Վեցնիշ կոդը միլիոն հնարավորություն ունի։ Արագության սահմանափակման և կողպումների առկայության դեպքում հարձակվողը պարզապես կարող է շարունակել գուշակել։
- Վերականգնումը մոռանալը։ Վերականգնման կոդերի բացակայությունը նշանակում է, որ յուրաքանչյուր կորցրած հեռախոս դառնում է աջակցության հարցում, կամ կողպված հաճախորդ։
- TOTP գաղտնի բանալու անփույթ պահպանումը։ Ընդհանուր գաղտնի բանալին պետք է կոդավորված լինի տվյալների բազայում և կարգավորումից հետո այլևս երբեք չցուցադրվի։
- Օգտատերերին թույլ տալը անջատել 2FA-ն առանց նորից ստուգման։ 2FA-ն անջատելը կամ էլ. փոստը փոխելը պետք է պահանջի գաղտնաբառ և ընթացիկ կոդ։
- Գաղտնաբառ և անվտանգության հարց՝ որպես 2FA։ Դա այդպես չէ։ երկուսն էլ այն բաներն են, որ գիտեք։
Ինչ խնդրել ձեր AI կառուցողից
- «Ավելացրու կամընտիր երկու գործոնով նույնականացում authenticator հավելվածի (TOTP) միջոցով՝ QR կոդով կարգավորման համար և հաստատող կոդով, մինչև այն միացվի»։
- «Երբ 2FA-ն միացված է, ցուցադրիր տասը մեկանգամյա վերականգնման կոդ։ Պահիր դրանք հեշավորված, ինչպես գաղտնաբառերը»։
- «Կիրառիր 2FA-ն սերվերի վրա։ լրիվ սեսիա չտալ, մինչև երկրորդ գործոնը չանցնի»։
- «Սահմանափակիր կոդերի փորձերը և կողպիր մուտքը 15 րոպեով կրկնվող ձախողումներից հետո։ Երբ դա տեղի ունենա, էլ. նամակ ուղարկիր օգտատիրոջը»։
- «Պահանջիր 2FA ադմինի հաշիվների համար»։
- «Խնդրիր գաղտնաբառ և ընթացիկ կոդ 2FA-ն անջատելուց կամ հաշվի էլ. փոստը փոխելուց առաջ»։
- «Օգտագործիր հայտնի գրադարան կամ մեր նույնականացման մատակարարի ներկառուցված 2FA-ն։ կրիպտոգրաֆիան ինքդ մի գրիր»։
- «Բացատրիր, թե որ մեթոդն ես օգտագործել և որտեղ են պահվում գաղտնի բանալիները»։
Եթե օգտագործում եք հոստինգով նույնականացման մատակարար, ստուգեք, արդյոք այն արդեն առաջարկում է 2FA կամ passkey-ներ։ ներկառուցված գործառույթը միացնելը սովորաբար ավելի ապահով է, քան հատուկ կոդը։ Քայլ առ քայլ տարբերակը գտնվում է ինչպես ավելացնել երկու գործոնով նույնականացում ուղեցույցում, իսկ ինչ է նույնականացումը-ը ընդգրկում է դրա հիմքում ընկած մուտքի հիմունքները։
Երկու գործոնով նույնականացումը Mythex-ում
Mythex-ը չի ներառում ներկառուցված մուտքի համակարգ ձեր հավելվածի օգտատերերի համար, ուստի 2FA-ն ընտրած նույնականացման մոտեցման մաս է։ կամ ձեր սեփական էլ. փոստով և գաղտնաբառով մուտքը, որը հենվում է նախագծի տվյալների բազայի վրա, կամ հոստինգով մատակարար, որն առաջարկում է 2FA։ Դուք չատում agent-ին խնդրում եք այն ավելացնել, և ցանկացած մատակարարի բանալիներ դրվում են նախագծի գաղտնիքներում, ոչ թե հենց չատի մեջ։ Մուտք ավելացնել ձեր հավելվածին docs ուղեցույցը ունի սկզբնական հուշում՝ հարմարեցնելու համար, իսկ ձեր կառուցած հավելվածների անվտանգությունը-ը ընդգրկում է բանալիների հետ կապված սովորությունները։ Գործարկումից առաջ անցեք AI-ով կառուցված հավելվածների անվտանգության ստուգաթերթը-ով։
Հարցեր
Պարզ ասած, ի՞նչ է երկու գործոնով նույնականացումը:
Երկու գործոնով նույնականացումը (2FA) նշանակում է, որ մուտք գործելիս պահանջվում են երկու տարբեր տեսակի ապացույցներ, սովորաբար ձեր գաղտնաբառը և ձեր հեռախոսից կամ անվտանգության բանալիից ստացված կոդը։ Նա, ով գողանում է միայն ձեր գաղտնաբառը, դեռ չի կարող մուտք գործել։
Արդյո՞ք 2FA-ն նույնն է, ինչ MFA-ն:
Գրեթե։ Բազմագործոն նույնականացումը (MFA) նշանակում է երկու կամ ավելի գործոն։ երկու գործոնով նույնականացումը ամենատարածված դեպքն է, երբ ճիշտ երկու գործոն կա։ Ամենօրյա գործածության մեջ տերմինները փոխարինելի են օգտագործվում։
Արդյո՞ք SMS-ով երկու գործոնով նույնականացումը ապահով է:
Այն շատ ավելի լավն է, քան միայն գաղտնաբառը, բայց ամենաթույլ տարբերակն է ընդհանուր տարբերակներից։ SMS-ները կարող են գողացվել կամ վերահղվել SIM swapping-ի միջոցով, և կեղծ մուտքի էջը կարող է խաբել մարդկանց՝ կոդը մուտքագրելու համար։ Authenticator հավելվածները ավելի ուժեղ են, իսկ passkey-ները կամ անվտանգության բանալիները՝ էլ ավելի ուժեղ։
Արդյո՞ք իմ հավելվածին պետք է երկու գործոնով նույնականացում:
Եթե հաշիվները պահում են փող, անձնական տվյալներ կամ ադմինի իշխանություն մյուս օգտատերերի նկատմամբ, 2FA առաջարկելը լավ գաղափար է, իսկ ադմինների համար դրա պահանջելը սովորական է։ Պարզ սիրողական հավելվածի դեպքում այն կարող է լինել կամընտիր կամ թողնվել ավելի ուշ։
Ի՞նչ է լինում, եթե օգտատերը կորցնի իր հեռախոսը:
Դրա համար են վերականգնման կոդերը. մեկանգամյա պահեստային կոդերի կարճ ցանկ, որը ցուցադրվում է 2FA-ն միացնելիս։ Առանց դրանց՝ վերականգնումը սովորաբար պահանջում է հավելվածի սեփականատիրոջ կողմից ձեռքով ինքնության ստուգում, ուստի պլանավորեք այն մինչև գործարկումը։