Введение в многофакторную аутентификацию (MFA) — основные принципы

Что такое MFA и зачем оно нужно?

Пароли. Хорошо ли мы их защищаем? Помним ли о том, что 123456 всё ещё самый популярный пароль в мире? А теперь представьте, что атаки, связанные с угоном пароля, можно практически свести к нулю, даже если ваш пароль на уровне "qwerty". С этим нам поможет многофакторная аутентификация (MFA).

MFA — это процесс, в котором для подтверждения вашей личности используется более одного уровня проверки.

Представьте вход в квартиру: один ключ открывает основную дверь, а второй — сейф внутри. Даже если злоумышленник раздобудет первый ключ, без второго он бессилен.

Принципы работы MFA

MFA основывается на проверке как минимум двух из трёх возможных факторов аутентификации:

1. Что-то, что вы знаете: например, пароль или пин-код.
2. Что-то, что у вас есть: телефон, физический токен, смарт-карта.
3. Что-то, чем вы являетесь: биометрические данные, такие как отпечаток пальца или распознавание лица.

Пример из жизни

Представьте, вы пользуетесь банковским приложением. Войти можно только после:

1. Ввода вашего пароля.
2. Ввода кода из SMS.
3. При необходимости — подтверждения отпечатком пальца.

Даже если злоумышленник украл ваш пароль (фактор 1), он не сможет получить доступ без телефона (фактор 2) и вашего пальца (фактор 3).

Почему важно использовать MFA?

Давайте честно: пароли могут быть скомпрометированы. Люди ленятся, используют одинаковые пароли для всех сервисов, записывают их на бумажках или (ха-ха) на стикере, приклеенном к монитору.

Но с MFA в случае утечки пароля ваши данные остаются в безопасности, поскольку злоумышленнику потребуется дополнительный фактор для подтверждения личности.

Преимущества MFA:

1. Устойчивость к утечкам данных. Даже если базу данных с паролями украли, ваш аккаунт остаётся защищённым.
2. Предотвращение фишинговых атак. Злоумышленники не могут воспользоваться вашей учётной записью, даже имея пароль.
3. Снижение рисков социальной инженерии. Сложнее обмануть человека на выдачу второго фактора, нежели только пароля.
4. Уверенность в безопасности. MFA повышает доверие к вашему приложению со стороны пользователей.

Пример работы MFA в реальности

Чтобы лучше понять, как работает MFA, представьте, что вы создаёте простую систему:

1. Пользователь вводит свои имя и пароль. После подтверждения сервер делает следующую проверку:

   if (user.isPasswordCorrect) {
       sendVerificationCodeToPhone(user.phone);
   } else {
       throw new Error('Неверный пароль');
   }
   

2. Пользователь вводит полученный код — сервер проверяет его:

   if (code === codeSentToPhone) {
       loginUser();
   } else {
       throw new Error('Неверный код подтверждения');
   }
   

Если оба уровня проверки пройдены, пользователь получает доступ. Звучит просто? И это только начало.

Какие существуют подходы к MFA?

1. Одноразовые пароли (TOTP). Этот метод использует коды, которые действуют в течение определённого времени (например, Google Authenticator). Эти коды генерируются на основе секретного ключа и времени.

   Пример кода с использованием библиотеки otplib:

   import { authenticator } from 'otplib';
   
   // Генерация секретного ключа
   const secret = authenticator.generateSecret();
   
   // Создание одноразового кода
   const oneTimeCode = authenticator.generate(secret);
   
   console.log(`Ваш одноразовый пароль: ${oneTimeCode}`);

2. SMS-аутентификация. Отправка одноразового пароля через SMS. Менее безопасно, но всё ещё довольно популярно.

3. Биометрическая аутентификация. Использование отпечатков пальцев, распознавания лица или голоса.

4. Физические токены (U2F). Устройства вроде YubiKey, которые подтверждают вашу личность.

Потенциальные сложности внедрения

Когда вы начинаете добавлять MFA, важно учитывать несколько моментов:

• UX/UI дизайн. Слишком сложный процесс может отпугнуть пользователей.
• Отправка второго фактора. SMS может задерживаться, биометрия — работать некорректно, а токены могут потеряться.
• Запасные способы входа. Что делать, если пользователь теряет доступ к дополнительному фактору?

2

Задача

Модуль 3: React, 16 уровень, 0 лекция

Недоступна

Проверка второго фактора

Проверка второго фактора

Открыть