Conţinutul principal
Curs: Siguranța pe Internet > Unitatea 1
Lecția 7: Mai multe despre securitatea dispozitivelorAutentificare cu mai mulți factori
Folosirea unei parole este cea mai comună formă de autentificare, dar nu este singura formă de autentificare - și nici cea mai sigură. Un atacator trebuie doar să afle o singură informație (de exemplu, o parolă) pentru autentificare.
O modalitate mai sigură de a proteja accesul nedorit la datele private este autentificarea cu mai mulți factori, care necesită verificarea mai multor părți de informație.
Factori de autentificare
Autentificarea solicită prezentarea unor probe care să dovedească identitatea. Aceste dovezi se prezintă în trei forme uzuale:
- Dovezi bazate pe cunoștințe (adică ceva ce știi). Adesea îți demonstrezi identitatea pe un site web prezentând ca dovadă o parolă. Parola ta reprezintă ceva ce știi. Alte exemple includ coduri PIN sau expresii.
- Dovezi bazate pe posesie (ceva ce ai). ATM-urile verifică identitatea utilizatorilor solicitându-le să prezinte cardurile bancare ca dovadă. Cardul tău bancar reprezintă ceva ce ai. Exemplele includ telefoane, chei sau dispozitive token de securitate.
- Dovezi bazate pe caracteristici personale (ceva ce ești). Telefoanele mai noi te pot autentifica prin scanarea amprentei tale. Amprenta ta reprezintă ceva ce ești. Alte exemple includ recunoașterea facială sau vocală.
Diferitele forme de probe sunt, de asemenea, cunoscute ca factori de autentificare. Există și alți factori de autentificare (de exemplu, undeva unde ești), dar cei de mai sus sunt cei mai frecvent utilizați.
Atacatorii pot fura acești factori de autentificare pentru a obține acces neautorizat la un cont. În funcție de locul în care se află atacatorul, anumite forme de probe sunt mai ușor de furat decât altele. De exemplu, pentru un atacator de la distanță este mai ușor să fure parole decât cardurile bancare, în timp ce unul din apropiere le poate considera mai ușor de obținut pe celelalte.
Autentificare cu mai mulți factori
Pentru a proteja împotriva atacurilor locale și a atacurilor de la distanță, sistemele de autentificare utilizează o tehnică frecventă de control a accesului, cunoscută sub denumirea de autentificare cu mai mulți factori (AMF).
AMF necesită ca un utilizator să prezinte dovezi cu mai mulți factori diferiți (de ex. ceva ce știi și ceva ce ai) pentru a avea acces la un sistem.
Autentificarea cu doi factori
Cea mai populară formă de AMF utilizează doi factori pentru autentificare. Autentificarea cu doi factori (2FA) necesită două dovezi de identitate, iar aceste două dovezi trebuie să conțină doi factori diferiți.
Un sistem de autentificare care necesită o parolă și un cod PIN folosește doar un factor, chiar dacă solicită două probe (dovezi). Parolele și codurile PIN se încadrează în factorul cunoaștere, astfel încât acel sistem de autentificare nu îndeplinește cerințele autentificării cu mai mulți factori.
Dar dacă acel sistem nu foloseşte autentificarea cu doi factori, cum arată un sistem 2FA real? O schemă comună îți solicită mai întâi să introduci o parolă (ceva ce știi) și apoi îți cere să introduci un cod generat pe telefon (ceva ce ai).
Hai să trecem prin fluxul de autentificare cu doi factori pentru conectarea la Github, un site web pentru depozitele de cod sursă și controlul versiunilor.
În primul rând, Github îmi cere să completez un nume de utilizator și o parolă:
Github mă îndeamnă să introduc un cod de autentificare generat de o aplicație pe dispozitivul meu:
Deschid o aplicație de autentificare pe telefonul meu și văd codul generat pentru contul meu Github:
Dacă te uiți îndeaproape, vei vedea un cronometru care scade până la expirarea codului generat. Odată ce numărătoarea inversă se termină, un nou cod va fi generat, iar cronometrul va fi resetat. Multe sisteme 2FA adaugă o dată de expirare unei probe pentru a împiedica atacatorii să o folosească la nesfârșit.
Deoarece codul generat va expira în câteva minute, trebuie să îl completez rapid în site-ul Github pe laptopul meu:
Gata, acum sunt conectat la contul meu Github!
Pasul suplimentar de folosire a telefonului meu pentru a genera un cod a dublat timpul și complexitatea conectării la Github, dar a și devenit mult mai greu pentru un atacator să intre în contul meu Github.
În mai 2019, mai mulți utilizatori de pe Github au descoperit că depozitele lor de cod au fost înlocuite cu o notă de răscumpărare. Utilizatorii nu foloseau 2FA și își expuseseră din greșeală parolele. Acest lucru a făcut ușor ca atacatorii să preia controlul asupra acelor conturi. De aceea, Github recomandă cu insistență 2FA.
Deoarece fiecare factor de autentificare suplimentar adaugă un alt nivel de securitate împotriva atacurilor, de ce să nu se folosească 3FA sau chiar 4FA? Ar putea fi inconvenient pentru utilizatori să prezinte la autentificare 3 sau mai multe forme de dovezi, cu atât mai mult cu cât sistemele necesită adesea re-autentificarea după o anumită perioadă de timp. Acesta este un exemplu de compromis comun în materie de securitate cibernetică: ușurință în utilizare vs. securitate. Pe măsură ce securitatea unui sistem crește, ușurința cu care este folosit ar putea să scadă.
Recomandări
Pentru a ne proteja conturile, este cel mai bine să folosim autentificarea cu mai mulți factori în plus față de o parolă puternică. Potrivit unui studiu de cercetare Google, AMF a prevenit mai multe atacuri decât autentificarea cu un singur factor, prevenind 100 % din atacurile date de boți automați și reducând semnificativ alte atacuri.
Nu este posibil să folosești AMF dacă site-ul nu are un asemenea suport; dar pe măsură ce mai multe site-uri își îmbunătățesc sistemele pentru a avea AMF, putem verifica periodic dacă au implementat AMF. Dacă folosești un manager de parole, el poate chiar să te anunțe când unul dintre conturile tale poate fi protejat prin AMF.
De asemenea, trebuie să fim atenți să ne asigurăm că dovezile pentru un factor nu conțin dovezi asociate celuilalt factor. De exemplu, dacă stochezi parole în aplicația de Notițe de pe telefon și cineva reușește să fure și să deblocheze telefonul, ar avea acces atât la dovezile bazate pe posesie cât și la cele bazate pe cunoaștere. 😬
🤔 Când un sistem folosește mai mulți factori de autentificare, stochează mai multe informații despre tine. Este aceasta o problemă de confidențialitate?
🙋🏽🙋🏻♀️🙋🏿♂️Ai și alte întrebări legate de acest subiect? Ne bucurăm să îți putem răspunde—nu ai decât să pui întrebările în spațiul de mai jos!
Vrei să te alături conversației?
Nici o postare încă.