Екі факторлы аутентификация дегеніміз не? Қарапайым нұсқаулық

Екі факторлы аутентификация (2FA) — сіз кім екеніңізді дәлелдеу үшін екі түрлі дәлел сұрайтын кіру: әдетте сіз білетін нәрсе, мысалы құпия сөз, плюс сізде бар нәрсе, мысалы телефон немесе қауіпсіздік кілті. Қылмыскер құпия сөзіңізді ұрласа немесе болжаса да, екінші факторсыз кіре алмайды. Маңызды аккаунттарды қорғаудың ең қарапайым жолдарының бірі осы.

AI көмегімен құрастырғанда ол неге маңызды

AI құрастырушыдан «кіру» сұрасаңыз, әдетте электрондық пошта мен құпия сөз аласыз. Бұл жақсы бастама, бірақ құпия сөздерді қайта пайдаланады, фишингке ұшыратады және ағып кетеді. Егер қолданбаңызда құнды нәрсе болса — клиент жазбалары, шот-фактуралар, әкімші басқару элементтері, төлем баптаулары — бір ұрланған құпия сөз бәрін ашып беруі мүмкін.

2FA сізге бірден ойламайтын шешімдерге де әсер етеді:

• Кім міндетті түрде пайдалануы керек. Барлығына міндетті емес пе, әкімшілерге міндетті ме, әлде бәріне міндетті ме?
• Қандай әдістерді қолдайсыз. Қосымшадағы кодтар, мәтіндік хабарламалар, passkey, қауіпсіздік кілттері.
• Біреу құлыптан шыққан кезде не болады. Жоғалған телефондар — 2FA бар кез келген қолданба үшін ең жиі қолдау сұрауы.
• Оны қай жерде іске асыру керек. Тексеру серверде болуы керек. Тек браузерде бетті жасыратын 2FA экранын айналып өтуге болады.

Криптографияны өзіңіз жазудың қажеті жоқ — сыналған кітапханалар мен аутентификация провайдерлері оны өңдейді. Бірақ не сұрау керек екенін білу керек.

Күнделікті ұқсастық

Банктің сейф жәшігін елестетіңіз. Оны ашу үшін сізге жеке куәлік (банк тексеретін нәрсе, яғни сіз екеніңізді немесе нені білетініңізді) және физикалық кілт (сізде бар нәрсе) керек. Қолыңызды көшіріп алған ұры кілтке ие болмайды. Кілтті қалтадан ұрлаған ұры да жеке куәлік тексеруінен өте алмайды.

2FA да солай жұмыс істейді. Құпия сөз — қол қойылым, телефон немесе қауіпсіздік кілті — физикалық кілт. Олардың әрқайсысы жеке жеткіліксіз.

Үш түрлі фактор

Қауіпсіздік стандарттары, мысалы АҚШ Ұлттық стандарттар және технологиялар институтының (NIST) цифрлық идентификация нұсқаулары, факторларды үш түрге бөледі:

Негізгі сөз — әртүрлі. Құпия сөз бен қауіпсіздік сұрағы — екі білетін нәрсе, сондықтан бұл нағыз екі факторлы аутентификация емес. Егер бір ағып кету екеуін де ашып берсе, ол тек бір фактор ретінде саналады.

Жиі кездесетін 2FA әдістерін салыстыру

NIST нұсқаулығы кодты теру арқылы жұмыс істейтін әдістерді (SMS, электрондық пошта, аутентификатор қосымшалары) фишингке төзімді емес деп санайды, ал кодтарды телефон желісі арқылы жіберуді «шектеулі» деп белгілейді. WebAuthn/FIDO2 стандарттарына негізделген passkey мен аппараттық қауіпсіздік кілттері фишингке төзімді деп саналады.

Практикалық қорытынды: аутентификатор қосымшасы көпшілік қолданбаға күшті әрі оңай әдепкі таңдау, ал пайдаланушылар оларға үйренген болса, passkey ұсынуға тұрарлық.

Жұмыс мысалы: клиент порталына арналған 2FA

Шағын бухгалтерлік фирма клиенттерімен салық құжаттарын бөлісетін портал жасадыңыз делік. Дұрыс 2FA орнату қадам-қадаммен мынадай болады.

Қосу (тіркеу). Клиент Прия Баптаулар бөлімін ашып, «Екі факторлы аутентификацияны қосу» түймесін басады. Қолданба құпия кілт жасап, оны QR коды ретінде көрсетеді. Ол оны аутентификатор қосымшасымен сканерлейді, сонда қосымша алты таңбалы кодтарды көрсете бастайды. Баптаудың жұмыс істегенін дәлелдеу үшін ол ағымдағы кодты порталға қайта теріп енгізеді. Қолданба он қалпына келтіру кодын көрсетіп, оларды қауіпсіз жерге сақтауды сұрайды.

Кейін кіру.

1. Прия электрондық поштасы мен құпия сөзін енгізеді. Сервер оларды тексереді.
2. Оны бірден жүйеге кіргізудің орнына сервер сеанс күйін «құпия сөз дұрыс, екінші фактор күтуде» деп белгілеп, код экранын көрсетеді.
3. Ол қосымшасынан кодты теріп енгізеді. Сервер оны сақталған құпия кілтімен салыстырады, сағаттың аз ауытқуына рұқсат береді.
4. Тек осыдан кейін сервер толық сеанс жасап, оған құжаттарды көруге рұқсат береді.

Шабуылшы не көреді. Егер Прияның құпия сөзі басқа сайттан ағып кетсе, шабуылшы 3-қадамда тұрып қалады. Әр дұрыс емес код әрекеті санала береді, бірнеше қате әрекеттен кейін аккаунт уақытша құлыпталып, Прияға электрондық хат келеді.

Телефонын жоғалту. Прия кіру үшін қалпына келтіру кодтарының бірін пайдаланады, жаңа телефонымен 2FA-ны өшіріп, қайта қосады және жаңа қалпына келтіру кодтарын алады. Пайдаланылған код енді ешқашан қайта қолданыла алмайды.

Қызметкерлер үшін. Фирманың бухгалтерлері әрбір клиенттің файлдарын көре алады, сондықтан портал қызметкер аккаунттары үшін 2FA-ны талап етеді: олар тіркелмейінше басқару тақтасына кіре алмайды.

Негізгі терминдердің түсіндірмесі

Жиі кездесетін қателер мен қате түсініктер

• «2FA аккаунтты бұзу мүмкін емес етеді». Ол бұзуды едәуір қиындатады. Фишинг сайттары енгізілген кодтарды нақты уақытта ұстай алады, сондықтан passkey бар.
• Кодты тек браузерде тексеру. Егер сервер құпия сөзден кейін толық сеанс берсе, код экраны — әшекей. Сервер екінші фактор өткенше кіруге тыйым салуы керек.
• Код болжауға шек қоймау. Алты таңбалы кодтың миллион нұсқасы бар. Жылдамдық шегі мен құлыптаусыз шабуылшы жай ғана болжай береді.
• Қалпына келтіруді ұмыту. Қалпына келтіру кодтары болмаса, жоғалған әр телефон қолдау сұрауына немесе құлыптан шыққан клиентке айналады.
• TOTP құпия кілтін абайсызда сақтау. Ортақ құпия дерекқорда шифрленуі керек және орнатудан кейін қайта көрсетілмеуі керек.
• Пайдаланушыларға қайта тексермей 2FA-ны өшіруге рұқсат беру. 2FA-ны өшіру немесе электрондық поштаны өзгерту құпия сөзді және ағымдағы кодты талап етуі керек.
• Құпия сөз мен қауіпсіздік сұрағы 2FA деп саналады. Олай емес — екеуі де білетін нәрсе.

AI құрастырушыңыздан не сұрау керек

• «Аутентификатор қосымшасын (TOTP) пайдаланатын міндетті емес екі факторлы аутентификацияны қосыңыз: орнатуға арналған QR код және қосылмас бұрын растау коды.»
• «2FA қосылған кезде он реттік қалпына келтіру кодын көрсетіңіз. Оларды құпия сөздер сияқты хештеп сақтаңыз.»
• «2FA-ны серверде іске асырыңыз: екінші фактор өтпейінше толық сеанс жоқ болсын.»
• «Код әрекеттерін шектеңіз және қайталанған қателіктерден кейін кіруді 15 минутқа құлыптаңыз. Бұл болған кезде пайдаланушыға хат жіберіңіз.»
• «Әкімші аккаунттары үшін 2FA-ны міндетті етіңіз.»
• «2FA-ны өшірмес немесе аккаунт поштасын өзгертпес бұрын құпия сөзді және ағымдағы кодты сұраңыз.»
• «Танымал кітапхананы немесе біздің аутентификация провайдерінің кірістірілген 2FA-сын пайдаланыңыз — криптографияны өзіңіз жазбаңыз.»
• «Қай әдісті қолданғаныңызды және құпияларың қай жерде сақталатынын түсіндіріңіз.»

Егер хостингтегі аутентификация провайдерін пайдалансаңыз, оның 2FA немесе passkey ұсынатынын тексеріңіз; кірістірілген мүмкіндікті қосу әдетте теңшелген кодқа қарағанда қауіпсізірек. Қадам-қадам нұсқаулық — екі факторлы аутентификацияны қалай қосу керек бетінде, ал оның астындағы кіру негіздерін аутентификация дегеніміз не бетінде қараңыз.

Mythex-тегі екі факторлы аутентификация

Mythex қолданбаңыздың пайдаланушылары үшін кірістірілген кіру жүйесін ұсынбайды, сондықтан 2FA сіз таңдаған аутентификация тәсілінің бөлігі болып табылады — жобаның дерекқоры негізіндегі өзіңіздің электрондық пошта мен құпия сөз арқылы кіру, немесе 2FA ұсынатын хостингтегі провайдер. Оны чатта агентке қосуды сұрайсыз, ал кез келген провайдер кілттері чаттың өзіне емес, жобаның құпияларына сақталады. Қолданбаға кіруді қосу docs рецептінде бейімдеуге болатын бастапқы сұраныс бар, ал сіз салған қолданбалардың қауіпсіздігі кілттерге қатысты әдеттерді түсіндіреді. Іске қосар алдында AI арқылы салынған қолданбаларға арналған қауіпсіздік тексеру тізімін өтіңіз.

Сұрақтар