Пояснюємо, що таке багатофакторна автентифікація (MFA), навіщо вона потрібна, чому нею слід користуватися і які фактори бувають.
Якщо у вас є облікові записи в яких-небудь соціальних мережах або інтернет-сервісах, то ви майже напевно стикалися з двофакторною автентифікацією. Іноді її ще називають двоетапною автентифікацією чи навіть двоетапною верифікацією, але суть від цього не змінюється.
Можливо, вам цікаво знати, що це таке і як працює. І найголовніше: навіщо взагалі потрібна двофакторна автентифікація? Спробуємо відповісти на ці запитання у нашому записі.
Двофакторна автентифікація: що це таке
Для початку дамо просте визначення. У тому випадку, коли для підтвердження прав доступу — тобто власне для аутентифікації — використовується кілька різних методів одночасно, це називається багатофакторна автентифікація (MFA) (або мультифакторна).
Найчастіше цифрові сервіси працюють із двофакторною автентифікацією. В принципі, ніщо не заважає використовувати і більше факторів, але, щоб даремно не дратувати користувачів, вони зазвичай обмежуються двома методами підтвердження права входу.
Іншими словами, двофакторна автентифікація забезпечує оптимальний баланс між надійністю захисту облікового запису та зручністю входу в нього. Які взагалі можуть бути фактори, що підтверджують право користувача на вхід? Ось найбільш популярні варіанти:
- Знання. Аутентифікація можлива, якщо ви знаєте пароль, секретну фразу, цифровий код, графічний патерн, відповідь на секретне питання тощо.
- Володіння. Якщо у вас є якийсь предмет — наприклад, ключ, USB-токен, телефон, банківська карта, то він є підтвердженням вашого права доступу. Сюди ж належить володіння доступом до якогось іншого облікового запису — скажімо, електронною поштою чи номером телефону, — яке ви можете продемонструвати, наприклад, отримавши на цей обліковий запис одноразовий код.
- Невід’ємна властивість. Також часто є можливість аутентифікуватися за якоюсь невід’ємною і досить унікальною властивістю самого користувача — відбитком пальця, голосом, обличчям, ДНК, малюнком райдужної оболонки, характерною манерою друку на клавіатурі і так далі.
- Розташування. У цьому варіанті підтвердженням права на доступ є факт знаходження користувача в певному місці — наприклад, якщо йдеться про корпоративні ресурси, всередині офісу компанії.
Важливо розуміти, що для багатофакторної аутентифікації методи, якими користувач підтверджує свої права, мають бути різними. Тобто в тому випадку, якщо якийсь сервіс просить користувача вводити два паролі, а не один (або, наприклад, пароль та відповідь на секретне питання), це не можна вважати двофакторною автентифікацією, оскільки тут двічі використано один і той самий метод підтвердження прав – знання певної інформації.
Навіщо потрібна двофакторна автентифікація
Багатофакторна аутентифікація використовується, тому що окремо всі методи підтвердження права доступу мають ті чи інші вади. Скажімо, знання певної інформації могло б бути дійсно надійним способом підтвердження лише в тому випадку, якщо ця інформація відома лише самому користувачеві і не може бути отримана з інших джерел.
Це чудово працювало б в ідеальному світі, але насправді все набагато менш райдужно. Скажімо, той самий пароль користувачеві доводиться набирати на клавіатурі, передавати через Інтернет і, ймовірно, якимось чином зберігати (неможливо самому пам’ятати всі паролі від усіх акаунтів). Це дає масу можливостей для перехоплення та крадіжки.
Крім того, цей пароль обов’язково буде зберігатися на стороні сервісу, і рано чи пізно він звідти може втекти. І якщо ви користуєтеся однаковим паролем у кількох сервісах, а це, на жаль, роблять дуже багато людей, то під загрозою злому опиняються відразу всі ці акаунти.
Те саме можна сказати і про інші методи підтвердження. Чинник володіння не ідеальний, тому що предмет – скажімо, банківську картку, ключ або телефон – у вас можуть вкрасти. Геолокація сама собою взагалі нічого не підтверджує: практично напевно в одній точці простору одночасно з вами знаходиться ще ціла купа людей (якщо ви не сидите на самотній крижині посеред Північного Льодовитого океану).
Мабуть, тільки невід’ємну властивість можна вважати більш-менш надійним варіантом — і тому іноді її дійсно використовують як єдиний фактор автентифікації. Але навіть тут все не так гладко і є велика кількість аспектів.
З цього і випливає основна ідея багатофакторної аутентифікації: чим більше різних факторів використовується одночасно, тим більша ймовірність, що доступ до облікового запису намагається отримати людина, яка дійсно має на це право.
Чим більше факторів, тим більша впевненість у тому, що ви це ви
Таким чином, відповідь на запитання «навіщо потрібна багатофакторна автентифікація?» звучить наступним чином: щоб сервіс міг впевнено розуміти, що ви це ви, і завдяки цьому обліковий запис було важче у вас вкрасти.
Як правильно користуватися двофакторною автентифікацією
Про те, які бувають варіанти двофакторної аутентифікації, ми поговоримо в окремому записі, а цей текст закінчимо кількома порадами:
- Обов’язково вмикайте двофакторну автентифікацію у всіх сервісах, які дозволяють це зробити.
- Якщо це можливо, вибирайте як метод двофакторної аутентифікації одноразові коди з програми. А для особливо цінних облікових записів взагалі використовуйте апаратний ключ FIDO U2F.
- Якщо ці варіанти недоступні, то будь-які інші методи все одно будуть набагато кращими, ніж повна відсутність другого фактора.
- Пам’ятайте, що двофакторна автентифікація не захищає від якісного фішингу (за винятком ключів FIDO U2F). Тому щоразу, перш ніж ввести код, обов’язково переконайтеся, що перед вами цей сайт, а не підроблений.
- А в ідеалі використовуйте надійне рішення, в якому автоматичний захист від фішингу.
Щодо паролів, то для створення надійних комбінацій та їх безпечного зберігання ми рекомендуємо використовувати менеджери паролів.