Kas ir divfaktoru autentifikācija? Vienkārša rokasgrāmata

Divfaktoru autentifikācija (2FA) ir pieteikšanās, kas pieprasa divus dažādus pierādījumus tam, ka esat tas, par ko sevi uzdodaties — parasti kaut ko, ko zināt, piemēram, paroli, un kaut ko, ko jums ir, piemēram, tālruni vai drošības atslēgu. Ja noziedznieks nozog vai uzmin jūsu paroli, bez otrā faktora viņš joprojām nevar ieiet. Tas ir viens no vienkāršākajiem veidiem, kā aizsargāt svarīgus kontus.

Kāpēc tas ir svarīgi, veidojot ar AI

Kad AI veidotājam lūdzat „pieteikšanos”, parasti saņemat e-pastu un paroli. Tas ir labs sākums, bet paroles tiek atkārtoti lietotas, izmānītas un nopludinātas. Ja jūsu lietotnē glabājas kaut kas vērtīgs — klientu ieraksti, rēķini, administratora vadība, maksājumu iestatījumi —, viena nozagta parole var atklāt visu.

2FA ietekmē arī lēmumus, par kuriem jūs varbūt sākumā nedomājat:

• Kam tā jālieto. Izvēles kārtā visiem, obligāti administratoriem vai obligāti visiem?
• Kādas metodes atbalstīt. Kodi no lietotnes, īsziņas, piekļuves atslēgas, drošības atslēgas.
• Kas notiek, ja kāds ir bloķēts. Pazaudēti tālruņi ir visbiežākais atbalsta pieprasījums jebkurai lietotnei ar 2FA.
• Kur tas tiek ieviests. Pārbaudei jānotiek serverī. Ekrāns ar 2FA, kas tikai paslēpj lapu pārlūkprogrammā, var tikt apiets.

Kriptogrāfiju pats veidot nav jāmāk — to apstrādā pārbaudītas bibliotēkas un autentifikācijas pakalpojumi. Taču jums jāzina, ko prasīt.

Ikdienas salīdzinājums

Padomājiet par bankas seifa kasti. Lai to atvērtu, jums vajag savu personas apliecinājumu (kaut ko, ko banka pārbauda, ka esat vai zināt) un fizisko atslēgu (kaut ko, kas jums ir). Zaglis, kas nokopē jūsu parakstu, joprojām nav atslēgas. Zaglis, kas nozog atslēgu, joprojām nevar iziet personas apliecinājuma pārbaudi.

2FA darbojas tāpat. Parole ir paraksts; tālrunis vai drošības atslēga ir fiziskā atslēga. Katrs no tiem atsevišķi nav pietiekams.

Trīs faktoru veidi

Drošības standarti, piemēram, ASV Nacionālā standartu un tehnoloģiju institūta (NIST) digitālās identitātes vadlīnijas, faktorus iedala trīs veidos:

Galvenais vārds ir dažādi. Parole plus drošības jautājums ir divas lietas, ko zināt, tāpēc tā nav īsta divfaktoru autentifikācija. Ja viens noplūdes gadījums var atklāt abas, tas skaitās kā viens.

Izplatīto 2FA metožu salīdzinājums

NIST vadlīnijas uzskata metodes, kurās kods jāieraksta (SMS, e-pasts, autentifikatora lietotnes), par nenoturīgām pret viltošanu, un atzīmē koda sūtīšanu pa telefonu tīklu kā „ierobežotu”. Piekļuves atslēgas un aparatūras drošības atslēgas, kas balstītas uz WebAuthn/FIDO2 standartiem, ir tās, ko tas uzskata par noturīgām pret viltošanu.

Praktisks secinājums: autentifikatora lietotne ir stipra un vienkārša noklusējuma izvēle lielākajai daļai lietotņu, un piekļuves atslēgas ir vērts piedāvāt, ja jūsu lietotājiem tās ir ērti lietot.

Darba piemērs: 2FA klientu portālam

Pieņemsim, ka esat izveidojis portālu, kurā neliels grāmatvedības birojs dalās ar nodokļu dokumentiem ar klientiem. Šeit ir, kā prātīga 2FA iestatīšana darbojas soli pa solim.

Ieslēgšana (reģistrācija). Līga, klients, atver Iestatījumus un noklikšķina uz „Ieslēgt divfaktoru autentifikāciju”. Lietotne ģenerē noslēpumu un parāda to kā QR kodu. Viņa to noskenē ar savu autentifikatora lietotni, kas sāk rādīt sešu ciparu kodus. Viņa ieraksta pašreizējo kodu atpakaļ portālā, lai pierādītu, ka iestatīšana darbojas. Lietotne parāda desmit atkopšanas kodus un lūdz tos saglabāt drošā vietā.

Pieteikšanās vēlāk.

1. Līga ievada savu e-pastu un paroli. Serveris tos pārbauda.
2. Tā vietā, lai tūlīt ielaistu, serveris atzīmē sesiju kā „parole OK, gaida otro faktoru” un parāda koda ekrānu.
3. Viņa ieraksta kodu no savas lietotnes. Serveris to pārbauda pret glabāto noslēpumu, pieļaujot nelielu pulksteņa novirzi.
4. Tikai tagad serveris izveido pilnu sesiju un ļauj viņai redzēt dokumentus.

Ko redz uzbrucējs. Ja Līgas parole tika nopludināta no citas vietnes, uzbrucējs iestrēgst 3. solī. Katrs neveiksmīgs koda mēģinājums tiek skaitīts, un pēc vairākiem nepareiziem mēģinājumiem konts uz laiku tiek bloķēts, un Līga saņem e-pastu.

Tālruņa pazaudēšana. Līga pieteikšanās izmanto vienu no atkopšanas kodiem, izslēdz un atkal ieslēdz 2FA ar savu jauno tālruni un saņem jaunus atkopšanas kodus. Izmantotais kods nekad vairs nevarēs tikt izmantots.

Darbiniekiem. Biroja grāmatveži var redzēt visu klientu failus, tāpēc portāls darbinieku kontiem prasa 2FA; viņi nevar piekļūt informācijas panelim, kamēr nav reģistrējušies.

Biežāk lietoti termini

Biežākās kļūdas un nepareizi priekšstati

• „2FA padara kontu neuzlaužamu.” Tas to padara daudz grūtāk uzlaužamu. Viltotas lapas joprojām var reāllaikā uztvert ievadītos kodus, tāpēc pastāv piekļuves atslēgas.
• Koda pārbaude tikai pārlūkprogrammā. Ja serveris pēc paroles izsniedz pilnu sesiju, koda ekrāns ir tikai dekorācija. Serverim jānoraida piekļuve, kamēr otrais faktors nav izturējis pārbaudi.
• Nav ierobežojuma koda minējumiem. Sešu ciparu kodam ir miljons iespēju. Bez pieprasījumu ierobežošanas un bloķēšanas uzbrucējs vienkārši var turpināt minēt.
• Atkopšanas aizmiršana. Bez atkopšanas kodiem katrs pazaudētais tālrunis kļūst par atbalsta pieteikumu vai bloķētu klientu.
• TOTP noslēpuma nolaidīga glabāšana. Kopīgajam noslēpumam jābūt šifrētam datubāzē un pēc iestatīšanas nekad vairs nav jārāda.
• Lietotājiem ļauts izslēgt 2FA bez atkārtotas pārbaudes. 2FA atslēgšanai vai konta e-pasta maiņai vajadzētu prasīt paroli un aktuālu kodu.
• Parole plus drošības jautājums skaitās kā 2FA. Nē — abas ir lietas, ko zināt.

Ko prasīt no sava AI veidotāja

• „Pievienojiet izvēles divfaktoru autentifikāciju, izmantojot autentifikatora lietotni (TOTP), ar QR kodu iestatīšanai un apstiprinājuma kodu pirms ieslēgšanas.”
• „Kad 2FA ir ieslēgta, parādiet desmit vienreizējus atkopšanas kodus. Glabājiet tos sajauktus (hashed), tāpat kā paroles.”
• „Ieviesiet 2FA serverī: nekādas pilnas sesijas, kamēr otrais faktors nav izturējis pārbaudi.”
• „Ierobeži koda mēģinājumus un bloķējiet pieteikšanos uz 15 minūtēm pēc atkārtotām kļūmēm. Nosūtiet lietotājam e-pastu, kad tas notiek.”
• „Prasiet 2FA administratoru kontiem.”
• „Pirms 2FA atslēgšanas vai konta e-pasta maiņas prasiet paroli un aktuālu kodu.”
• „Izmantojiet labi zināmu bibliotēku vai mūsu autentifikācijas pakalpojumu iebūvēto 2FA — nerakstiet kriptogrāfiju pats.”
• „Paskaidrojiet, kuru metodi izmantojāt un kur glabājas noslēpumi.”

Ja izmantojat hostētu autentifikācijas pakalpojumu, pārbaudiet, vai tam jau ir 2FA vai piekļuves atslēgas; iebūvētas funkcijas ieslēgšana parasti ir drošāka nekā pielāgots kods. Soli pa solim versija ir sadaļā kā pievienot divfaktoru autentifikāciju, un kas ir autentifikācija aptver pieteikšanās pamatus zem tās.

Divfaktoru autentifikācija Mythex

Mythex nesniedz iebūvētu pieteikšanās sistēmu jūsu lietotnes lietotājiem, tāpēc 2FA ir daļa no jebkuras autentifikācijas pieejas, ko izvēlaties — jūsu pašu e-pasta un paroles pieteikšanās, ko atbalsta projekta datubāze, vai hostēts pakalpojums, kas piedāvā 2FA. Pievienot to lūdzat aģentam tērzēšanā, un visas pakalpojumu atslēgas tiek ievietotas projekta noslēpumos, nevis pašā tērzēšanā. Docs recepte pieteikšanās pievienošana jūsu lietotnei satur sākuma uzvedni, ko pielāgot, un drošība lietotnēm, ko veidojat aptver ieradumus ap atslēgām. Pirms palaišanas izejiet cauri drošības kontrolsarakstam AI veidotām lietotnēm.

Jautājumi