რა არის ორფაქტორიანი ავთენტიფიკაცია? მარტივი გზამკვლევი
ორფაქტორიანი ავთენტიფიკაცია (2FA) არის შესვლა, რომელიც ორი განსხვავებული სახის დადასტურებას ითხოვს იმისა, რომ თქვენ სწორად ხართ ის, ვინც ამტკიცებთ — ჩვეულებრივ რაღაც, რაც იცით, მაგალითად პაროლი, პლუს რაღაც, რაც გაქვთ, მაგალითად ტელეფონი ან უსაფრთხოების გასაღები. თუ კრიმინალმა მოიპარა ან გამოიცნო თქვენი პაროლი, მეორე ფაქტორის გარეშე მაინც ვერ შევა. ეს ერთ-ერთი ყველაზე მარტივი გზაა მნიშვნელოვანი ანგარიშების დასაცავად.
რატომ არის მნიშვნელოვანი AI-ით აშენებისას
როცა AI-ბილდერს „login“-ს სთხოვთ, ჩვეულებრივ მიიღებთ ელფოსტას და პაროლს. ეს კარგი დასაწყისია, მაგრამ პაროლები მეორდება, ფიშინგით იპარება და ჟონდება. თუ თქვენს აპში არის რაიმე ღირებული — მომხმარებლის ჩანაწერები, ინვოისები, ადმინისტრატორის მართვა, გადახდის პარამეტრები — ერთი მოპარული პაროლი ყველაფერს შეიძლება გამოაჩინოს.
2FA გავლენას ახდენს გადაწყვეტილებებზე, რომლებზეც შესაძლოა თავიდან არ იფიქრებთ:
- ვინ უნდა გამოიყენოს. არჩევითი ყველასთვის, სავალდებულო ადმინებისთვის, თუ სავალდებულო ყველასთვის?
- რომელ მეთოდებს უჭერთ მხარს. კოდები აპიდან, ტექსტური შეტყობინებები, passkey-ები, უსაფრთხოების გასაღებები.
- რა ხდება, როცა ვიღაც ვერ შედის. დაკარგული ტელეფონი ყველაზე ხშირი მხარდაჭერის მოთხოვნაა ნებისმიერი აპისთვის, სადაც 2FA-ა.
- სად ვაკონტროლებთ. შემოწმება სერვერზე უნდა მოხდეს. 2FA ეკრანი, რომელიც მხოლოდ ბრაუზერში მალავს გვერდს, შეიძლება გვერდის ავლით იყოს.
კრიპტოგრაფიას თავად არ უნდა ააწყოთ — კარგად შემოწმებული ბიბლიოთეკები და ავთენტიფიკაციის პროვაიდერები ამას ფარავს. მაგრამ უნდა იცოდეთ, რა სთხოვოთ.
ყოველდღიური ანალოგია
წარმოიდგინეთ საბანკო სეიფის ყუთი. გასახსნელად გჭირდებათ თქვენი ID (რაც ბანკი ამოწმებს, რომ თქვენ ხართ ან რაც იცით) და ფიზიკური გასაღები (რაც გაქვთ). ქურდმა, რომელიც თქვენს ხელმოწერას აკოპირებს, მაინც არ აქვს გასაღები. ქურდმა, რომელმაც გასაღები ამოიღო ჯიბიდან, მაინც ვერ გაივლის ID-ის შემოწმებას.
2FA ასევე მუშაობს. პაროლი არის ხელმოწერა; ტელეფონი ან უსაფრთხოების გასაღები არის ფიზიკური გასაღები. თითოეული მათგანი ცალკე არ არის საკმარისი.
ფაქტორების სამი სახე
უსაფრთხოების სტანდარტები, მაგალითად აშშ-ს National Institute of Standards and Technology-ის (NIST) digital identity სახელმძღვანელოები, ფაქტორებს სამ ჯგუფად აერთიანებს:
| ფაქტორი | მაგალითები |
|---|---|
| რაც იცით | პაროლი, PIN-კოდი |
| რაც გაქვთ | ტელეფონი ავთენტიფიკაციის აპით, უსაფრთხოების გასაღები, მოწყობილობა passkey-ით |
| ვინც ხართ | თითის ანაბეჭდი, სახე — ჩვეულებრივ გამოიყენება მოწყობილობის განსაბლოკად, რომელიც შემდეგ რეალურ შემოწმებას აკეთებს |
მთავარი სიტყვაა განსხვავებული. პაროლი პლუს უსაფრთხოების კითხვა ორი რამეა, რაც იცით, ამიტომ ეს რეალური ორფაქტორიანი ავთენტიფიკაცია არ არის. თუ ერთი გაჟონვა ორივეს ავლენს, ის მხოლოდ ერთად ითვლება.
გავრცელებული 2FA მეთოდები შედარებით
| მეთოდი | როგორ მუშაობს | სიძლიერე | შენიშვნები |
|---|---|---|---|
| SMS კოდი | კოდი მოდის თქვენს ტელეფონის ნომერზე | ყველაზე სუსტი | დაუცველია SIM swapping-ისა და ფიშინგის მიმართ, მაგრამ ბევრად უკეთესია, ვიდრე 2FA-ის გარეშე |
| ელფოსტის კოდი | კოდი მოდის თქვენს ელფოსტაზე | სუსტი | იმდენადვე უსაფრთხოა, რამდენადაც თქვენი ელფოსტის ანგარიში |
| ავთენტიფიკაციის აპი (TOTP) | აპი, მაგალითად Google Authenticator, ქმნის ახალ 6-ციფრიან კოდს, ჩვეულებრივ ყოველ 30 წამში | კარგი | მუშაობს ოფლაინში; მაინც შეიძლება გახდეს ფიშინგის მსხვერპლი, თუ ყალბი საიტი კოდს ითხოვს |
| Push დადასტურება | აპი გკითხავთ „ეს თქვენ ხართ?“ და თქვენ ამტკიცებთ | კარგი | ფრთხილად იყავით „approve fatigue“-ზე, როცა მომხმარებლები განმეორებით მოთხოვნებს ყოველგვარი ფიქრის გარეშე ადასტურებენ |
| Passkey ან უსაფრთხოების გასაღები | კრიპტოგრაფიული გასაღები მოწყობილობაზე ადასტურებს, რომ რეალურ საიტზე ხართ | ყველაზე ძლიერი | მდგრადია ფიშინგის მიმართ, რადგან არ პასუხობს მსგავს დომენზე |
NIST-ის რეკომენდაციები მიიჩნევს, რომ მეთოდები, სადაც კოდს აკრიფებთ (SMS, ელფოსტა, ავთენტიფიკაციის აპები), არ არის ფიშინგის მიმართ მდგრადი, და ტელეფონის ქსელით კოდების გაგზავნას „შეზღუდულად“ აფასებს. მდგრადად ითვლება passkey-ები და აპარატურული უსაფრთხოების გასაღებები, რომლებიც WebAuthn/FIDO2 სტანდარტებს ემყარება.
პრაქტიკული დასკვნა: ავთენტიფიკაციის აპი უმეტესობა აპისთვის ძლიერი და მარტივი ნაგულისხმევი არჩევანია, ხოლო passkey-ების შეთავაზება ღირს, თუ თქვენი მომხმარებლები მათთან კომფორტულად არიან.
სამუშაო მაგალითი: 2FA კლიენტის პორტალისთვის
თქვით, რომ აშენეთ პორტალი, სადაც პატარა ბუღალტრული ფირმა კლიენტებთან გადასახადის დოკუმენტებს აზიარებს. აი, როგორ მუშაობს გონივრული 2FA დაყენება, ეტაპობრივად.
ჩართვა (რეგისტრაცია). პრია, კლიენტი, ხსნის პარამეტრებს და აწკაპუნებს „ორფაქტორიანი ავთენტიფიკაციის ჩართვა“. აპი აგენერირებს საიდუმლოს და აჩვენებს მას QR კოდად. ის სკანირებს მას თავისი ავთენტიფიკაციის აპით, რომელიც იწყებს 6-ციფრიანი კოდების ჩვენებას. ის უკან აკრიფებს მიმდინარე კოდს პორტალში, რომ დაადასტუროს, რომ დაყენება სწორად იმუშავა. აპი აჩვენებს ათ აღდგენის კოდს და სთხოვს შეინახოს ისინი უსაფრთხო ადგილას.
შემდგომი შესვლა.
- პრია შეიყვანს ელფოსტას და პაროლს. სერვერი მათ ამოწმებს.
- იმის ნაცვლად, რომ მაშინვე შეუშვას, სერვერი სესიას მონიშნავს როგორც „პაროლი მართებულია, მეორე ფაქტორი მომლოდინეა“ და აჩვენებს კოდის ეკრანს.
- ის აკრიფებს კოდს თავისი აპიდან. სერვერი ამოწმებს მას შენახული საიდუმლოს მიმართ, მცირე საათის გადახრის დაშვებით.
- მხოლოდ ახლა სერვერი ქმნის სრულ სესიას და აძლევს მის დოკუმენტების ნახვის უფლებას.
რას ხედავს შემტევი. თუ პრიას პაროლი სხვა საიტიდან გაჟონა, შემტევი ნაბიჯ 3-ზე გაჩერდება. ყოველი არასწორი კოდის მცდელობა ითვლება, და რამდენიმე არასწორი ცდის შემდეგ ანგარიში დროებით იბლოკება და პრია ელფოსტით შეტყობინებას იღებს.
ტელეფონის დაკარგვა. პრია შედის ერთ-ერთი თავისი აღდგენის კოდით, თავიდან თიშავს და რთავს 2FA-ს ახალ ტელეფონთან ერთად და იღებს ახალ აღდგენის კოდებს. გამოყენებული კოდი აღარასოდეს გამოიყენება.
თანამშრომლებისთვის. ფირმის ბუღალტრებს შეუძლიათ ნახონ ყველა კლიენტის ფაილები, ამიტომ პორტალი თანამშრომლის ანგარიშებისთვის მოითხოვს 2FA-ს; ისინი დაფამდე ვერ მიაღწევენ, სანამ არ დარეგისტრირდებიან.
გამოყენებული ტერმინები
| ტერმინი | რას ნიშნავს |
|---|---|
| 2FA / MFA | ორფაქტორიანი / მრავალფაქტორიანი ავთენტიფიკაცია: შესვლა ერთზე მეტი სახის დადასტურებით. |
| ფაქტორი | დადასტურების ერთი სახე: რაც იცით, გაქვთ ან ხართ. |
| TOTP | Time-based one-time password — მბრუნავი კოდები ავთენტიფიკაციის აპებში. |
| საერთო საიდუმლო (Shared secret) | ფარული მნიშვნელობა, რომელიც QR კოდით ყენდება და რომელსაც აპი და თქვენი ტელეფონი ერთნაირი კოდების გამოსათვლელად იყენებენ. |
| აღდგენის (სარეზერვო) კოდები | ერთჯერადი კოდები, რომლებიც გამოგადგებათ, თუ მეორე ფაქტორი დაკარგეთ. |
| Passkey | შესვლის მონაცემი, რომელიც მოწყობილობაზე ინახება და პაროლის ნაცვლად საჯარო გასაღების კრიპტოგრაფიას იყენებს. |
| უსაფრთხოების გასაღები | პატარა ფიზიკური მოწყობილობა (USB ან NFC), რომელიც passkey-ის მსგავს საქმეს აკეთებს. |
| SIM swapping | მობილური ოპერატორის მოტყუება, რომ თქვენი ნომერი ახალ SIM ბარათზე გადავიდეს, რათა ტექსტები შემტევამდე მივიდეს. |
| ფიშინგი | ყალბი საიტი ან შეტყობინება, რომელიც ადამიანს აიძულებს პაროლი ან კოდი გადასცეს. |
| Step-up ავთენტიფიკაცია | მეორე ფაქტორის ხელახლა მოთხოვნა მგრძნობიარე მოქმედებამდე, მაგალითად გადახდის მონაცემების შეცვლამდე. |
გავრცელებული შეცდომები და მცდარი წარმოდგენები
- „2FA ანგარიშს შეუღწეველს ხდის.“ ის ბევრად ართულებს შეღწევას. ფიშინგის საიტებს შეუძლიათ რეალურ დროში აიღონ აკრეფილი კოდები, და სწორედ ამიტომ არსებობს passkey-ები.
- კოდის შემოწმება მხოლოდ ბრაუზერში. თუ სერვერი პაროლის შემდეგ სრულ სესიას გასცემს, კოდის ეკრანი მხოლოდ დეკორაციაა. სერვერმა უარი უნდა თქვას წვდომაზე, სანამ მეორე ფაქტორი არ გაივლის.
- კოდის გამოცნობის შეზღუდვის გარეშე. ექვსციფრიან კოდს მილიონი ვარიანტი აქვს. შეზღუდვისა და ბლოკირების გარეშე (rate limiting), შემტევს შეუძლია უბრალოდ განაგრძოს გამოცნობა.
- აღდგენის დავიწყება. აღდგენის კოდების გარეშე ყოველი დაკარგული ტელეფონი მხარდაჭერის მოთხოვნად იქცევა, ან დაბლოკილ კლიენტად.
- TOTP საიდუმლოს არასათანადო შენახვა. საერთო საიდუმლო მონაცემთა ბაზაში დაშიფრული უნდა იყოს და დაყენების შემდეგ აღარასოდეს უნდა გამოჩნდეს.
- მომხმარებლებისთვის 2FA-ის გამორთვა ხელახალი შემოწმების გარეშე. 2FA-ის გამორთვა ან ანგარიშის ელფოსტის შეცვლა უნდა მოითხოვდეს პაროლსა და მიმდინარე კოდს.
- პაროლი პლუს უსაფრთხოების კითხვა 2FA-ად ითვლება. არა — ორივე არის რაც იცით.
რა სთხოვოთ თქვენს AI-ბილდერს
- „დაამატე არჩევითი ორფაქტორიანი ავთენტიფიკაცია ავთენტიფიკაციის აპით (TOTP), QR კოდით დაყენებისთვის და დასტურის კოდით ჩართვამდე.“
- „აჩვენე ათი ერთჯერადი აღდგენის კოდი, როცა 2FA ჩართულია. შეინახე ისინი ჰეშირებულად, პაროლების მსგავსად.“
- „გააკეთე 2FA სერვერზე სავალდებულო: სრული სესია არ გაიცეს, სანამ მეორე ფაქტორი არ გაივლის.“
- „შეზღუდე კოდის მცდელობები და განბლოკე შესვლა 15 წუთის შემდეგ გამეორებითი წარუმატებლობების შემდეგ. გაუგზავნე მომხმარებელს ელფოსტა, როცა ეს ხდება.“
- „მოითხოვე 2FA ადმინის ანგარიშებისთვის.“
- „მოითხოვე პაროლი და მიმდინარე კოდი 2FA-ს გამორთვამდე ან ანგარიშის ელფოსტის შეცვლამდე.“
- „გამოიყენე კარგად ცნობილი ბიბლიოთეკა ან ჩვენი ავთენტიფიკაციის პროვაიდერის ჩაშენებული 2FA — კრიპტო არ დაწერო თავად.“
- „აგიხსენი, რომელი მეთოდი გამოიყენე და სად ინახება საიდუმლოები.“
თუ იყენებთ მართულ ავთენტიფიკაციის პროვაიდერს, შეამოწმეთ, აქვს თუ არა მას უკვე 2FA ან passkey-ები; ჩაშენებული ფუნქციის ჩართვა ჩვეულებრივ უფრო უსაფრთხოა, ვიდრე მორგებული კოდი. ნაბიჯ-ნაბიჯ ვერსია მოცემულია როგორ დავამატოთ ორფაქტორიანი ავთენტიფიკაცია გიდში, ხოლო რა არის ავთენტიფიკაცია ხსნის შესვლის საფუძვლებს, რომლებზეც ის დგას.
ორფაქტორიანი ავთენტიფიკაცია Mythex-ში
Mythex არ შეიცავს ჩაშენებულ სისტემას თქვენი აპის მომხმარებლების შესასვლელად, ამიტომ 2FA არის იმ ავთენტიფიკაციის მიდგომის ნაწილი, რომელსაც აირჩევთ — თქვენი საკუთარი ელფოსტა-და-პაროლის შესვლა, რომელიც პროექტის მონაცემთა ბაზას ემყარება, ან მართული პროვაიდერი, რომელსაც 2FA აქვს. ჩატში აგენტს სთხოვთ მის დამატებას, და პროვაიდერის გასაღებები მოთავსდება პროექტის საიდუმლოებში და არა თავად ჩატში. დოკუმენტაციის რეცეპტი შესვლის დამატება თქვენს აპზე შეიცავს საწყის prompt-ს, რომლის მორგებაც შეგიძლიათ, ხოლო უსაფრთხოება თქვენს მიერ აშენებული აპებისთვის აშუქებს გასაღებებთან დაკავშირებულ ჩვევებს. გაშვებამდე გაიარეთ უსაფრთხოების ჩეკლისტი AI-ით აშენებული აპებისთვის.
კითხვები
რა არის ორფაქტორიანი ავთენტიფიკაცია მარტივად?
ორფაქტორიანი ავთენტიფიკაცია (2FA) ნიშნავს, რომ შესვლისთვის ორი განსხვავებული სახის დადასტურება გჭირდებათ, ჩვეულებრივ პაროლი და კოდი თქვენი ტელეფონიდან ან უსაფრთხოების გასაღები. ვინც მხოლოდ თქვენს პაროლს მოიპარავს, მაინც ვერ შევა.
არის თუ არა 2FA იგივე, რაც MFA?
თითქმის. მრავალფაქტორიანი ავთენტიფიკაცია (MFA) ნიშნავს ორ ან მეტ ფაქტორს; ორფაქტორიანი ავთენტიფიკაცია ყველაზე გავრცელებული შემთხვევაა, ზუსტად ორი ფაქტორით. ყოველდღიურ გამოყენებაში ტერმინებს ერთმანეთის ნაცვლად იყენებენ.
უსაფრთხოა თუ არა SMS-ით ორფაქტორიანი ავთენტიფიკაცია?
ის ბევრად უკეთესია, ვიდრე მხოლოდ პაროლი, მაგრამ ყველაზე სუსტი გავრცელებული ვარიანტია. ტექსტური შეტყობინებები შეიძლება გადაიკვეთოს ან გადამისამართდეს SIM swapping-ით, და ყალბი სალოგინო გვერდი ადამიანს შეაცდენს, რომ კოდი აკრიფოს. ავთენტიფიკაციის აპები უფრო ძლიერია, ხოლო passkey-ები ან უსაფრთხოების გასაღებები — კიდევ უფრო.
სჭირდება თუ არა ჩემს აპს ორფაქტორიანი ავთენტიფიკაცია?
თუ ანგარიშებში ინახება ფული, პირადი მონაცემები ან ადმინისტრატორის უფლებები სხვა მომხმარებლებზე, 2FA-ის შეთავაზება კარგი იდეაა, და ადმინებისთვის მისი მოთხოვნა ჩვეულებრივი პრაქტიკაა. მარტივი ჰობი აპისთვის ის შეიძლება არჩევითი იყოს ან გადაიდოს მოგვიანებით.
რა ხდება, თუ მომხმარებელმა ტელეფონი დაკარგა?
ამისთვისაა აღდგენის კოდები: მოკლე სია ერთჯერადი სარეზერვო კოდებისა, რომელიც 2FA-ის ჩართვისას გამოჩნდება. მათ გარეშე აღდგენა ჩვეულებრივ აპის მფლობელის მიერ ხელით ხდება პირადობის შემოწმებით, ამიტომ მის დაგეგმვას გაშვებამდე ჯობია.