На портале «Госуслуги» с 1 октября заработала обязательная двухфакторная аутентификация. Теперь при входе в приложение или на сайт у пользователя запрашивают не только пароль, но и дополнительное подтверждение личности. Зачем нужна расширенная защита и как ее используют — в материале «360».
Двухфакторная аутентификация
Двухфакторная аутентификация (2FA) — метод обеспечения безопасности, который требует от пользователя предоставить два разных способа подтверждения личности перед получением доступа к какой-либо системе или ресурсу.
С ее помощью повышают уровень защиты, так как для взлома учетной записи злоумышленнику придется узнать не только логин и пароль.
Эксперт по кибербезопасности Павел Мясоедов объяснил «360», что двухфакторная аутентификация — это простая, но очень эффективная дополнительная защита. Воспользоваться чужим аккаунтом не получится, даже если украсть устройство и подобрать пароль.
Она подразумевает, что у вас существует собственная связка логин-пароль, чтобы вы могли входить в какие-то приложения, но вам добавляют дополнительный фактор в виде случайного кода.
Павел Мясоедов
Специалист по безопасности напомнил, что при использовании логина и пароля поодиночке есть риск компрометации личных данных: кто-то может украсть или взломать их. Цель дополнительной защиты — разделить данные для входа на разные источники.
Эта мера, по словам собеседника «360», стала ответом на массовые взломы и утечки данных. Сейчас 2FA — повсеместная практика, которую подключают практически во всех сервисах. Более того, некоторые используют трехфакторную или четырехфакторную аутентификацию.
Зачем нужна двухфакторная аутентификация
Защита от утечек паролей.
В случае утечки или компрометации пароля злоумышленнику все равно потребуется дополнительный фактор для входа в аккаунт. Это усложняет взлом учетной записи, а порой делает его невозможным.
Укрепление безопасности онлайн-аккаунтов.
Множество онлайн-сервисов — электронная почта, социальные сети, банковские аккаунты и онлайн-магазины — предоставляют 2FA в качестве дополнительной защиты.
Защита корпоративных ресурсов.
В корпоративной среде 2FA используют для безопасности корпоративных сетей, приложений и данных. Это помогает предотвратить несанкционированный доступ к важным ресурсам и снижает риски утечки конфиденциальной информации.
Борьба с фишингом.
Двухфакторная аутентификация может предотвратить недобросовестные действия мошенников. Даже если злоумышленник узнает пароль к какому-то сервису, он все равно не сможет получить доступ без дополнительного фактора.
Соблюдение нормативных требований.
В некоторых отраслях и сферах деятельности соблюдение нормативных требований и стандартов безопасности (например, HIPAA, PCI DSS) требует внедрения 2FA для защиты данных и систем.
Павел Мясоедов отметил, что двухфакторная аутентификация, как правило, позволяет избежать взлома учетных записей. Более того, с точки зрения пользователя все происходит достаточно просто и без дополнительных усилий.
Где подключать дополнительную защиту
Подключать двухфакторную аутентификацию нужно везде, где необходима максимальная защита данных, подчеркнул Мясоедов. Например, кому-то особенно важно сохранить информацию в социальных сетях, а кому-то — в банковском приложении.
«Включать двухфакторную аутентификацию стоит на всех ресурасах, где вы храните персональные и финансовые данные. Мошеннику же для кражи данных нужно будет получить доступ к программе, куда придет второй фактор», — подчеркнул эксперт.
Важно понимать, что 2FA не абсолютная гарантия безопасности, но она создает дополнительный барьер для злоумышленников.
Как можно подтвердить свою личность
Код из SMS или email.
Пользователю на устройство приходит SMS с цифрами для входа в аккаунт — это самый известный и простой способ. Он интуитивно понятный: нужно ввести текст из сообщения.
Однако Павел Мясоедов обратил внимание, что SMS с паролем могут перехватить мошенники из-за уязвимости в протоколе, по которому они отправляются. Поэтому многие банки сейчас используют push-уведомления в приложении.
Код из отдельного приложения.
Чтобы войти в нужное приложение, сначала стоит установить отдельное приложение для входа. На экране этого сервиса обычно появляется QR-код, при сканировании которого можно зайти в аккаунт.
Резервные коды.
Многие сервисы сами предоставляют пользователю некоторое количество резервных кодов. Их можно использовать, если нет мобильной связи или при потере смартфона.
Физический ключ безопасности.
В таком случае используют устройство в виде USB-флешки. Такой ключ можно применять для входа в соцсети. Однако эта мера безопасности, как правило, нужна для особенно важной информации.
