Что такое двухфакторная аутентификация? Включить двухфакторную аутентификацию Система двухфакторной аутентификации
Многофакторная аутентификация, ставшая абсолютно естественной мерой обеспечить безопасность популярных пользовательских сервисов, стремительно проникает и в корпоративный сегмент. В этой статье мы рассмотрим, как добавить в мобильное приложение возможность еще одного подтверждения аутентификации, в дополнение к имени пользователя и паролю, например звонок на зарегистрированный на пользователя телефон или ввод кода из СМС. Помимо этого, будет рассмотрена настройка backend-сервисов для реализации данной многофакторной аутентификации.
Профиты многофакторной аутентификации для корпоративных приложений
- Более надежная аутентификация, чем только имя пользователя и пароль. К «что-то, что я знаю» (логин/пароль) добавляется «что-то, чем обладаю» - физическое устройство, а проверить, владеет ли им данный пользователь, позволяет код в СМС, отправленной на это устройство, или звонок на него с запросом пин-кода.
- Удобное управление настройками подобной системы аутентификации - включение/выключение разной степени защиты для разных пользователей, настройка различных политик и способов работы дополнительных факторов аутентификации.
- Возможность использовать учетные данные корпоративной инфраструктуры для входа в приложения, а не создавать новые логины и пароли для приложения в дополнение к корпоративным.
Мы рассмотрим реализацию этой задачи с помощью следующих продуктов и технологий:
- Azure Active Directory - облачный сервис многофакторной аутентификации;
- Azure Active Directory Authentication Libraries (ADAL) - библиотеки, обеспечивающие вызовы сервисов многофакторной аутентификации, включая проверки сертификатов, защищенное соединение с облачным сервисом аутентификации, отображение необходимых диалогов аутентификации. Поддерживает множество платформ и языков программирования;
- Xamarin Forms - кросс-платформенное средство создания мобильных приложений, обеспечивающее компиляцию в нативный код и стопроцентный доступ к нативным API. Особенно удобно для быстрого создания приложений с переиспользованием 80–90% и более исходного кода между iOS, Android, Windows UWP - как раз наш случай для данного примера. Xamarin доступен как бесплатная часть Microsoft Visual Studio во всех ее версиях, включая бесплатную Visual Studio Community Edition.
Конфигурирование сервиса Azure Active Directory завершено, теперь создадим мобильное приложение и интегрируем в него многофакторную аутентификацию.
Интеграция многофакторной аутентификации в мобильное приложение
Как я сказал выше, мы для примера возьмем Xamarin Forms (бесплатная часть Visual Studio), который позволит нам, переиспользуя большую часть кода, получить сразу нативные мобильные приложения с поддержкой многофакторной аутентификации для iOS, Android и Windows UWP.
Быстрый способ - используем готовый исходный код
- Забираем код из моего репозитория на GitHub .
- Прописываем в код приложения в файле MainPage.xaml.cs идентификаторы, которые мы сконфигурировали при регистрации приложения в облачном сервисе Azure Active Directory. Их полное соответствие в приложении и сервисе необходимо, чтобы сервис не отклонял обращения приложения.
<
Все готово. Теперь мы рассмотрим также создание приложения с нуля.
Детальный способ - создаем приложение с нуля
Запускаем Visual Studio (я сейчас использую VS 2017, версия 15.6.7) с установленным Xamarin. Это можно проверить, запустив Visual Studio Installer и нажав Modify текущей инсталляции Visual Studio.
INFO
Познакомиться подробно с разработкой на Xamarin Forms можно, скачав бесплатную и очень подробную книгу знаменитого Чарльза Петцольда (думаю, многие помнят этого автора) «Creating Mobile Apps with Xamarin.Forms ».
В основном Page (окне) приложения MainPage.xaml добавим кнопку с обработчиком, для этого XAML-код для кнопки (Button) поместим вместе с существующим Label внутрь контейнера StackPanel. Этот простейший контейнер выстраивает внутри себя контролы в ряд по вертикали или горизонтали.
В Xamarin Forms язык XAML поддерживает множество различных контейнеров , причем их можно вкладывать друг в друга, создавая гибко масштабируемые интерфейсы под любые размеры экранов.
После этого сразу перейдем в файл MainPage.xaml.cs (для этого нужно развернуть секцию с MainPage.xaml, чтобы увидеть код/code-behind) и добавим обработчик нажатия кнопки, а также нужные нам идентификаторы и namespaces.
Using Microsoft.IdentityModel.Clients.ActiveDirectory;
using System;
using Xamarin.Forms;
namespace App17
{
public partial class MainPage: ContentPage
{
public static string clientId = "<
После этого прописываем в приложение в код идентификаторы, которые мы сконфигурировали при регистрации приложения в облачном сервисе Azure Active Directory. Их полное соответствие в приложении и сервисе необходимо, чтобы сервис не отклонял обращения приложения:
clientID - это Application ID из наших настроек облачного сервиса выше.
Public static string clientId = "<
returnURI - это Redirect URI из наших настроек облачного сервиса выше.
Public static string returnUri = "http://MFATestPCL-redirect";
Зворотний зв">","icon":"//yastatic.net/iconostasis/_/qOYT2LWpAjy_Ig4gGx3Kn6YO9ZE.svg","type":"service","id":96,"slug":"passport","nameKey":"96_name"},"alerts":,"documentPath":"passport/authorization/twofa-login.html","doccenter":{"html_heads":{"sources":{"meta":{"copyright":"(C) Copyright 2020","DC.rights.owner":"(C) Copyright 2020","DC.Type":"concept","DC.Relation":"../authorization/twofa.html","prodname":"Паспорт","DC.Format":"XHTML","DC.Identifier":"twofa-login","DC.Language":"ru","generator":"Yandex Yoda DITA","topic_id":"twofa-login","topic_name":"","doc_id":"passport-guide","doc_name":"Помощь","component_id":"","component_name":"","product_id":"passport","product_name":"Паспорт","description":"","product":"passport","product_realname":"Паспорт","doc_group":"passport-guide","doc_group_name":"passport-guide","section_name":"Вход с двухфакторной аутентификацией","langs":"uk ru"},"title":"Вход с двухфакторной аутентификацией","js":["//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.ru.no-bem.js"],"inlineJs":,"css":["//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.bidi.css"],"common":{"js":["//yastatic.net/jquery/1.12.4/jquery.min.js"]},"legacy":{"js":["//yastatic.net/es5-shims/0.0.1/es5-shims.min.js"],"css":["//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.bidi.ie8.css"]}},"meta":" \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n ","bundle":{"styles":"\n ","js":"\n "},"lang":"ru","title":"Вход с двухфакторной аутентификацией"},"menu":"","document":"
Вход с двухфакторной аутентификацией
- Вход с помощью QR-кода
- Перенос Яндекс.Ключа
- Мастер-пароль
Вход на сервис или в приложение Яндекса
Вы можете ввести одноразовый пароль в любой форме авторизации на Яндексе или в разработанных Яндексом приложениях.
Примечание.
Вход с помощью QR-кода
Если такой иконки в форме входа нет, значит на данном сервисе можно авторизоваться только с помощью пароля. В этом случае вы можете авторизоваться с помощью QR-кода в Паспорте , а затем перейти к нужному сервису.
Вход с аккаунтом Яндекса в стороннее приложение или сайт
пароль приложения .
Перенос Яндекс.Ключа
Вы можете перенести генерацию одноразовых паролей на другое устройство, или настроить Яндекс.Ключ на нескольких устройствах одновременно. Для этого откройте страницу Управление доступом и нажмите кнопку Замена устройства .
Несколько аккаунтов в Яндекс.Ключе
настройке одноразовых паролей .
восстанавливать доступ .
Отпечаток пальца вместо пин-кода
iPhone, начиная с модели 5s;
iPad, начиная с модели Air 2.
Примечание.
мастер-пароль
Мастер-пароль
С помощью мастер-пароля вы можете:
сделать так, чтобы вместо отпечатка можно было ввести только мастер-пароль Яндекс.Ключа, а не код блокировки устройства;
Резервная копия данных Яндекс.Ключа
Вы можете создать резервную копию данных Ключа на сервере Яндекса, чтобы иметь возможность восстановить их, если вы потеряли телефон или планшет с приложением. На сервер копируются данные всех аккаунтов, добавленных в Ключ на момент создания копии. Больше одной резервной копии создать нельзя, каждая следующая копия данных для определенного номера телефона замещает предыдущую.
Чтобы получить данные из резервной копии, нужно:
иметь доступ к номеру телефона, который вы указали при ее создании;
помнить пароль, который вы задали для шифрования резервной копии.
Внимание. Резервная копия содержит только логины и секреты, необходимые для генерации одноразовых паролей. Пин-код, который вы задали, когда включали одноразовые пароли на Яндексе, необходимо помнить.
Удалить резервную копию с сервера Яндекса пока невозможно. Она будет удалена автоматически, если вы ей не воспользуетесь в течение года после создания.
Создание резервной копии
Выберите пункт Создать резервную копию в настройках приложения.
Введите номер телефона, к которому будет привязана резервная копия (например, «380123456789» ), и нажмите кнопку Далее .
Яндекс отправит код подтверждения на введенный номер телефона. Как только вы получите код, введите его в приложении.
Придумайте пароль, которым будет зашифрована резервная копия ваших данных. Этот пароль нельзя восстановить, поэтому убедитесь в том, что вы не забудете или не потеряете его.
Введите придуманный пароль два раза и нажмите кнопку Готово . Яндекс.Ключ зашифрует резервную копию, отправит ее на сервер Яндекса и сообщит об этом.
Восстановление из резервной копии
Выберите пункт Восстановить из резервной копии в настройках приложения.
Введите номер телефона, который вы использовали при создании резервной копии (например, «380123456789» ), и нажмите кнопку Далее .
Если для указанного номера найдена резервная копия данных Ключа, Яндекс отправит код подтверждения на этот номер телефона. Как только вы получите код, введите его в приложении.
Убедитесь, что дата и время создания резервной копии, а также имя устройства, соответствует той резервной копии, которую вы хотите использовать. Затем нажмите кнопку Восстановить .
Введите пароль, который вы задали при создании резервной копии. Если вы не помните его, к сожалению, расшифровать резервную копию будет невозможно.
Яндекс.Ключ расшифрует данные резервной копии и сообщит о том, что данные восстановлены.
Как одноразовые пароли зависят от точного времени
При генерации одноразовых паролей Яндекс.Ключ учитывает текущее время и часовой пояс, установленные на устройстве. Когда доступно интернет-соединение, Ключ также запрашивает точное время с сервера: если на устройстве время выставлено неверно, приложение сделает поправку на это. Но в некоторых ситуациях даже после поправки и при корректном пин-коде одноразовый пароль будет неправильным.
Если вы уверены, что вводите пин-код и пароль верно, но авторизоваться не получается:
Убедитесь, что на вашем устройстве установлено корректное время и часовой пояс. После этого попробуйте войти с новым одноразовым паролем.
Подключите устройство к интернету, чтобы Яндекс.Ключ мог получить точное время самостоятельно. Затем перезапустите приложение и попробуйте ввести новый одноразовый пароль.
Если проблема не разрешилась, обратитесь в службу поддержки через форму ниже.
Оставить отзыв о двухфакторной аутентификации
\n ","minitoc":[{"text":"Вход на сервис или в приложение Яндекса","href":"#login"},{"text":"Вход с помощью QR-кода","href":"#qr"},{"text":"Вход с аккаунтом Яндекса в стороннее приложение или сайт","href":"#third-party"},{"text":"Перенос Яндекс.Ключа","href":"#concept_mh4_sxt_s1b"},{"text":"Несколько аккаунтов в Яндекс.Ключе","href":"#more-accounts"},{"text":"Отпечаток пальца вместо пин-кода","href":"#touch-id"},{"text":"Мастер-пароль","href":"#master-pass"},{"text":"Резервная копия данных Яндекс.Ключа","href":"#backup"},{"text":"Как одноразовые пароли зависят от точного времени","href":"#time"}],"mobile_menu":"","prev_next":{"prevItem":{"disabled":false,"title":"Вход через письмо","link":"/support/passport/mail-login.html"},"nextItem":{"disabled":false,"title":"Привязка телефонных номеров","link":"/support/passport/authorization/phone.html"}},"breadcrumbs":[{"url":"/support/passport/auth.html","title":"Вход на Яндекс"},{"url":"/support/passport/authorization/twofa-login.html","title":"Вход с двухфакторной аутентификацией"}],"useful_links":"","meta":{"copyright":"(C) Copyright 2020","DC.rights.owner":"(C) Copyright 2020","DC.Type":"concept","DC.Relation":"../authorization/twofa.html","prodname":"Паспорт","DC.Format":"XHTML","DC.Identifier":"twofa-login","DC.Language":"ru","generator":"Yandex Yoda DITA","topic_id":"twofa-login","topic_name":"Вход с двухфакторной аутентификацией","doc_id":"passport-guide","doc_name":"Помощь","component_id":"","component_name":"","product_id":"passport","product_name":"Паспорт","description":"Вы можете ввести одноразовый пароль в любой форме авторизации на Яндексе или в разработанных Яндексом приложениях.","product":"passport","product_realname":"Паспорт","doc_group":"passport-guide","doc_group_name":"passport-guide","section_name":"Вход с двухфакторной аутентификацией","langs":"uk ru"},"voter":"
Была ли статья полезна?
Нет Да
Уточните, почему:
нет ответа на мой вопрос
текст трудно понять
содержание статьи не соответствует заголовку
мне не нравится, как это работает
другая причина
Спасибо за ваш отзыв!
Расскажите, что вам не понравилось в статье:
Отправить
","lang":{"current":"ru","available":["uk","ru"]}},"extra_meta":[{"tag":"meta","attrs":{"name":"copyright","content":"(C) Copyright 2020"}},{"tag":"meta","attrs":{"name":"DC.rights.owner","content":"(C) Copyright 2020"}},{"tag":"meta","attrs":{"name":"DC.Type","content":"concept"}},{"tag":"meta","attrs":{"name":"DC.Relation","content":"../authorization/twofa.html"}},{"tag":"meta","attrs":{"name":"prodname","content":"Паспорт"}},{"tag":"meta","attrs":{"name":"DC.Format","content":"XHTML"}},{"tag":"meta","attrs":{"name":"DC.Identifier","content":"twofa-login"}},{"tag":"meta","attrs":{"name":"DC.Language","content":"ru"}},{"tag":"meta","attrs":{"name":"generator","content":"Yandex Yoda DITA"}},{"tag":"meta","attrs":{"name":"topic_id","content":"twofa-login"}},{"tag":"meta","attrs":{"name":"topic_name","content":"Вход с двухфакторной аутентификацией"}},{"tag":"meta","attrs":{"name":"doc_id","content":"passport-guide"}},{"tag":"meta","attrs":{"name":"doc_name","content":"Помощь"}},{"tag":"meta","attrs":{"name":"component_id","content":""}},{"tag":"meta","attrs":{"name":"component_name","content":""}},{"tag":"meta","attrs":{"name":"product_id","content":"passport"}},{"tag":"meta","attrs":{"name":"product_name","content":"Паспорт"}},{"tag":"meta","attrs":{"name":"description","content":"Вы можете ввести одноразовый пароль в любой форме авторизации на Яндексе или в разработанных Яндексом приложениях."}},{"tag":"meta","attrs":{"name":"product","content":"passport"}},{"tag":"meta","attrs":{"name":"product_realname","content":"Паспорт"}},{"tag":"meta","attrs":{"name":"doc_group","content":"passport-guide"}},{"tag":"meta","attrs":{"name":"doc_group_name","content":"passport-guide"}},{"tag":"meta","attrs":{"name":"section_name","content":"Вход с двухфакторной аутентификацией"}},{"tag":"meta","attrs":{"name":"langs","content":"uk ru"}}],"title":"Вход с двухфакторной аутентификацией - Паспорт. Помощь","productName":"Паспорт","extra_js":[[{"elem":"js","url":"//yastatic.net/jquery/1.12.4/jquery.min.js","block":"b-page","elemMods":{},"mods":{"html-only":""},"__func136":true,"tag":"script","bem":false,"attrs":{"src":"//yastatic.net/jquery/1.12.4/jquery.min.js","nonce":"8SC4/+KPXkDGYAMHMFtJPw=="},"__func66":true}],[{"elem":"js","url":"//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.ru.no-bem.js","block":"b-page","elemMods":{},"mods":{"html-only":""},"__func136":true,"tag":"script","bem":false,"attrs":{"src":"//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.ru.no-bem.js","nonce":"8SC4/+KPXkDGYAMHMFtJPw=="},"__func66":true}],[{"elem":"js","url":"//yastatic.net/es5-shims/0.0.1/es5-shims.min.js","block":"b-page","elemMods":{},"mods":{"html-only":""},"__func136":true,"tag":"script","bem":false,"attrs":{"src":"//yastatic.net/es5-shims/0.0.1/es5-shims.min.js","nonce":"8SC4/+KPXkDGYAMHMFtJPw=="},"__func66":true}]],"extra_css":[,[{"elem":"css","ie":null,"url":"//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.bidi.css","block":"b-page","elemMods":{},"mods":{"html-only":""},"__func68":true,"__func67":true,"bem":false,"tag":"link","attrs":{"rel":"stylesheet","href":"//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.bidi.css"}}],[{"elem":"css","ie":"lte IE 8","url":"//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.bidi.ie8.css","block":"b-page","elemMods":{},"mods":{"html-only":""},"__func68":true,"__func67":true,"bem":false,"tag":"link","attrs":{"rel":"stylesheet","href":"//yastatic.net/s3/locdoc/static/doccenter/2.295.0/bundles/index/_index.bidi.ie8.css"}}]],"csp":{"script-src":},"lang":"ru"}}}">
Русский
Українська
Русский
Вход с двухфакторной аутентификацией
Для авторизации в сторонних приложениях и программах (почтовых клиентах, мессенджерах, сборщиках почты и т. п.), следует использовать пароли приложений .
Внимание. Приложения, разработанные в Яндексе, требуют именно одноразового пароля - даже правильно созданные пароли приложений не подойдут.
- Вход на сервис или в приложение Яндекса
- Вход с помощью QR-кода
- Вход с аккаунтом Яндекса в стороннее приложение или сайт
- Перенос Яндекс.Ключа
- Несколько аккаунтов в Яндекс.Ключе
- Отпечаток пальца вместо пин-кода
- Мастер-пароль
- Резервная копия данных Яндекс.Ключа
- Как одноразовые пароли зависят от точного времени
Вход на сервис или в приложение Яндекса
Вы можете ввести одноразовый пароль в любой форме авторизации на Яндексе или в разработанных Яндексом приложениях.
Примечание.
Одноразовый пароль нужно успеть ввести, пока он отображается в приложении. Если до обновления осталось слишком мало времени, просто дождитесь нового пароля.
Чтобы получить одноразовый пароль, запустите Яндекс.Ключ и введите пин-код, который вы задали при настройке двухфакторной аутентификации. Приложение начнет генерировать пароли раз в 30 секунд.
Яндекс.Ключ не проверяет введенный вами пин-код и генерирует одноразовые пароли, даже если вы ввели свой пин-код неправильно. В этом случае созданные пароли также оказываются некорректными и авторизоваться с ними не получится. Чтобы ввести правильный пин-код, достаточно выйти из приложения и запустить его снова.
Вход с помощью QR-кода
Некоторые сервисы (например, главная страница Яндекса, Паспорт и Почта) позволяют войти на Яндекс, просто наведя камеру на QR-код. При этом ваше мобильное устройство должно быть подключено к интернету, чтобы Яндекс.Ключ мог связаться с сервером авторизации.
Нажмите на иконку QR-кода в браузере.
Если такой иконки в форме входа нет, значит на данном сервисе можно авторизоваться только с помощью пароля. В этом случае вы можете авторизоваться с помощью QR-кода в , а затем перейти к нужному сервису.
Введите пин-код в Яндекс.Ключе и нажмите Войти по QR-коду .
Наведите камеру вашего устройства на QR-код, отображенный в браузере.
Яндекс.Ключ распознает QR-код и передаст в Яндекс.Паспорт ваш логин и одноразовый пароль. Если они пройдут проверку, вы автоматически авторизуетесь в браузере. Если переданный пароль окажется неверным (например, из-за того, что вы неправильно ввели пин-код в Яндекс.Ключе), браузер покажет стандартное сообщение о неправильном пароле.
Вход с аккаунтом Яндекса в стороннее приложение или сайт
Приложения или сайты, которым нужен доступ к вашим данным на Яндексе, иногда требуют ввести пароль, чтобы войти в аккаунт. В таких случаях одноразовые пароли не сработают - для каждого такого приложения необходимо создать отдельный пароль приложения .
Внимание. В приложениях и сервисах Яндекса работают только одноразовые пароли. Даже если вы создадите пароль приложения, например, для Яндекс.Диска, авторизоваться с ним не получится.
Перенос Яндекс.Ключа
Вы можете перенести генерацию одноразовых паролей на другое устройство, или настроить Яндекс.Ключ на нескольких устройствах одновременно. Для этого откройте страницу и нажмите кнопку Замена устройства .
Несколько аккаунтов в Яндекс.Ключе
Один и тот же Яндекс.Ключ можно использовать для нескольких аккаунтов с одноразовыми паролями. Чтобы добавить в приложение еще один аккаунт, при настройке одноразовых паролей на шаге 3 нажмите в приложении значок . Кроме того, вы можете добавить в Яндекс.Ключ генерацию паролей для других сервисов, поддерживающих такую двухфакторную аутентификацию. Инструкции для самых популярных сервисов приведены на странице о создании кодов проверки не для Яндекса .
Чтобы удалить привязку аккаунта к Яндекс.Ключу, нажмите и удерживайте соответствующий портрет в приложении, пока справа от него не появится крестик. Когда вы нажмете на крестик, привязка аккаунта к Яндекс.Ключу будет удалена.
Внимание. Если вы удалите аккаунт, для которого включены одноразовые пароли, вы не сможете получить одноразовый пароль для входа на Яндекс. В этом случае будет необходимо восстанавливать доступ .
Отпечаток пальца вместо пин-кода
Отпечаток пальца вместо пин-кода можно использовать на следующих устройствах:
смартфоны под управлением Android 6.0 и сканером отпечатков пальца;
iPhone, начиная с модели 5s;
iPad, начиная с модели Air 2.
Примечание.
На смартфонах и планшетах с iOS отпечаток пальца можно обойти, введя пароль устройства. Чтобы защититься от этого, включите мастер-пароль или измените пароль на более сложный: откройте приложение Настройки и выберите пункт Touch ID и пароль .
Чтобы воспользоваться включить проверку отпечатка:
Мастер-пароль
Чтобы дополнительно защитить ваши одноразовые пароли, создайте мастер-пароль: → Мастер-пароль .
Добрый день!. В прошлый раз я вам подробно рассказал, каким образом вы можете защитить свою флешку от вирусов и вредоносных программ , сегодня еще раз поговорим, о защите ваших данных и сервисов. Речь пойдет, о двухфакторной аутентификации, или как ее еще называют двухфакторная защита . Которую вы можете встретить, абсолютно на любом нормальном сервисе или сайте. Уверен, что многим эта информация будет актуальной, так как процентов 80 пользователей на это просто забивают, за что потом и платятся.
Что такое двухфакторная аутентификация (2FA)
Представим классическую ситуацию, на примере России. Есть популярная социальная сеть Вконтакте, которой пользуются огромное количество людей. Для доступа к ней, большинство людей использует логин и пароль, а так как человек существо ленивое и наивное, то он не особо напрягается безопасностью своего аккаунта, что в итоге влечет за собой его взлом, тем самым потерю аккаунта и доступа, и не факт, что он его потом восстановит, так как мог даже не привязывать номер телефона к нему. А вот если бы он заранее настроил двухфакторную защиту , то даже при компрометации пароля ему было бы по барабану, так как еще нужен был бы дополнительные этап проверки, который привязывается к телефону.
Двухфакторная аутентификация (Two-Factor Authentication) - это дополнительный, надежный процесс обеспечения безопасности, я бы назвал его расширенная аутентификация, которая требует от пользователя, получающего доступ к устройству или сервису. еще один из ключей безопасности, в качестве которого можете быть код безопасности из SMS, временный код сгенерированный с помощью специального приложения. которое обновляет их каждые 25 секунд.
В роли бастиона двухфакторной защиты, выступает ваш мобильный телефон, к номеру которого привязывается аккаунт или устройство, для которой он будет дополнительным средством подтверждения личности истинного хозяина.
Как работает двухфакторная защита
Давайте я вам опишу алгоритм работы двухфакторной защиты, понимая принцип, вам будет легко его настроить, где угодно, на любом сервисе. И так у нас есть замечательный пользователь Таня, люблю я это имя. Таня решила завести себе аккаунт в Gmail.com. Она проходит процедуру регистрации, где указывает какой логин и пароль у нее будет при входе на почту. Gmail подтверждает ее регистрацию и активирует ее логин и пароль по которому она будет авторизовываться.
Таня логиниться на почте, указывая логин и пароль. Gmail предлагает ей настроить двухфакторную аутентификацию, через привязку к номеру телефона, где будет получать SMS коды или через установку приложения Authenticator, которое будет генерировать каждые 25 секунд коды безопасности, если его не успели ввести, то будет новый 6-ти значный код. Таня их устанавливает и включает двухфакторную защиту.
Теперь при следующей авторизации, Тане нужно будет ввести по мимо классических средств защиты (Логина и пароля), код из SMS или из утилиты Authenticator, так же установленной на ее смартфоне. Как только она это делает, то получает доступ к сервису.
Плюсы и минусы двухфакторной аутентификации
Начну с плюсов, этой технологии:
- Очень высокая степень защиты, я бы ей дал 99%, так как все привязано к номеру телефона, который будет очень сложно скомпрометировать
- Всегда под рукой
- Коды доступа часто меняются
Из минусов можно выделить вот что:
- Так как все привязано к номеру телефона, то при его утере, будет затруднены доступы к вашим сервисам, хотя на большинстве из них и есть процедура восстановления, но она очень трудоемкая
- Вероятность установить или занести вирус в устройство, которое будет передавать ваши данные злоумышленникам
- Может разрядиться устройство в нужный момент
- Мобильный телефон всегда должен видеть сеть оператора, иначе не будет возможности получать SMS или коды.
- Бывают сервисы, которые в качестве многофакторной защиты используют, дополнительный код отправленный на электронную почту, поэтому, чтобы вас не скомпрометировали, обязательно включите двухфакторную аутентификацию на самой почте, а то ее взломают и будет веселье.
- Например, SMS оповещения, могут приходить с задержкой, такое встречал у Сбербанка или ВТБ24 .
Виды двухфакторной аутентификации
Давайте рассмотрим основные виды реализации двухфакторной защиты, которые вы легко можете повстречать на текущий момент, они со временем могут обновляться и расширяться, но пока есть такие:
Какой метод двухфакторной аутентификации 2FA лучше
Тут я долго расписывать не буду, выделю два, и оба они будут привязаны к вашему мобильному телефону. Это SMS и Push -уведомления и более надежный с использованием программ Authenticator . Плюсы, что все это бесплатно, телефон мобильный есть у всех, и главное, это надежно.
Какой выбрать программный Authenticator 2FA
Давайте я вам опишу, какой аутентификатор я бы посоветовал выбрать
- Google Authenticator - самый популярный в мире аутентификатор,используемый при двухфакторной защите, в виду популярности Google как компании и конечно же количеству сервисов, которая она предоставляет.
- Fido - второй по популярности защитник (https://www.yubico.com/solutions/fido-u2f/)
Как взломать двухфакторную аутентификацию 2FA
Для того, чтобы обойти двухфакторную аутентификацию, хакеры используют вот такие методы:
Как восстановить двухфакторную аутентификацию
Если вы потеряли свой телефон и хотите восстановить свой доступ, то алгоритм такой:
- Если есть возможность быстрее восстановите симкарту и телефон
- Перед активацией программного Authenticator, сервисы вам выдают секретные коды восстановления или QR-код, у вас огни должны быть
- Если кодов нет, то придется писать в техническую поддержку, и доказывать, что вы это вы, подготовьте обязательно все ваши данные и документы, но это прокатит, если у вас все было корректно и полностью заполнено, а не просто хозяин учетной записи megapixar123:))
Как отключить двухфакторную защиту?
Вообще я вам не советую отключить двухфакторный код, в виду уменьшения безопасности ваших данных, но если вы все же решились, то тут у каждого сервиса своя процедура, которая в 99% случаев, сводится к выставлению тумблера в настройках, отключающего двух этапную проверку, чтобы ее отключить. нужно так же будет указать проверочный код или же ответ на секретный вопрос. С вами был, Иван Семин, автор и создатель IT блога сайт,
Процесс регистрации пользователя в сети или его аутентификация осуществляется каждый раз при входе в интернет с любых мобильных устройств или стационарного компьютера. Обычно это автоматический процесс, не требующий от человека дополнительного участия. Но если необходимо усилить защиту, то предлагается использовать двухфакторную идентификацию.
Двухфакторная аутентификация (2FA) – что это такое простыми словами
Данное словосочетание заимствовано из английского языка и пишется в оригинале как «two-factor authentication». Существует сокращенное наименование – аббревиатура 2FA.
Онлайн идентификация сама по себе – это передача индивидуальных данных конкретного пользователя во всемирную сеть или его верификация. А двухфакторная идентификация – это усиление мер безопасности процесса выхода в интернет соответственно в 2 раза.
Двухфакторная идентификация используется:
- При регистрации в социальной сети или создании учетной записи на сайте, при создании электронных почтовых ящиков ;
- Участии в виртуальных играх;
- Операциях в банке (интернет-банкинге);
- Оформлении визы;
- При замене, выдаче паспорта нового поколения.
В отличии от стандартной идентификации, при которой достаточно ввести только логин и пароль, двухфакторная защита при считывании личных технических данных подразумевает ввод дополнительной информации. Другими словами, это способ защиты своего аккаунта , основанный на двух ключах.
К дополнительной информации относятся:
- Технические индивидуальные данные – номер телефона, код, ключ, паспорт, токен безопасности, смарт-карта, USB-ключи, диск;
- Личные данные, которые знает только пользователь – кодовое слово или ответ на секретный вопрос – формируются, например, в процессе оформления банковской карты;
- Биометрия – отпечатки пальцев, радужная оболочка, сетчатка глаза, геометрия лица, голос, динамика нажатия клавиш, речевые шаблоны, походка – эти данные формируются в банке или консульстве.
Двухэтапная проверка применятся все более широко и повсеместно и считается достаточно надежной. Ее используют многие ведущие мировые компании. Если пользователь передает важную информацию через интернет или ее хранит в облачных сервисах – однозначно такой тип защиты необходимо установить.
Работает на любых видах электронных устройств:
- Мобильных телефонах (смартфонах);
- Планшетном компьютере;
- Ноутбуке;
- Стационарном компьютере.
Такие компании, как Apple, Twitter, Gmail, Google, Facebook, Microsoft, ВКонтакте, Yandex, Dropbox, сервис Advcash (электронный кошелек), криптовалютные биржи и многих другие сайты предоставляют технологию усиленной аутентификации. В некоторых случаях сайты устанавливают требование о двухфакторной аутентификации в обязательном порядке.
Стандартная процедура идентификации пользователя в интернете или в какой-либо системе требует лишь наличие имени пользователя и пароля. И хотя использование паролей лучше, чем отсутствие защиты, как таковой - они не достаточно надежды для безопасности.
Если мошенник, например, путем сможет получить данные от учетной записи - для него не составляет никакого труда похитить ценную и важную информацию для человека. Для того чтобы предотвратить несанкционированный доступ к системе и данным применяют двухфакторную аутентификацию (Two-factor authentication (2FA)).
Двухфакторная аутентификация что это?
Двухфакторная аутентификация (в некоторых источник можно встретить - двухэтапная проверка или двухэтапная верификация) представляет собой дополнительный уровень защиты для проверки подлинности пользователя. Когда пользователь вводит данные от своей учетной записи для того чтобы доступ к сайту, помимо логина и пароля потребуется предоставить еще один фактор для аутентификации .
Фактор аутентификации - некоторая информация, параметр или характеристика, которой обладает только владелец учетной записи или доверенное ему лицо и может представлять собой:
- фактор знания - то, что знает пользователь (ПИН-код, пароль, кодовое слово, ответ на секретный вопрос и т.д.);
- фактор владения - то, чем владеет пользователь (ключ, паспорт, смарт-карта, токен безопасности, USB-флешка, диск, смартфон и другое мобильное устройство);
- - то, что является частью пользователя (отпечатки пальцев, радужная оболочка и сетчатка глаза, голос, геометрия лица). Так же сюда входит поведенческая биометрия, такая как динамика нажатия клавиш, походка или речевые шаблоны;
- фактор местоположения - (например по IP-адресу или через спутниковую навигационную систему);
- фактор времени - фиксируется определенный временной промежуток, в течении которого можно выполнить входи в систему.
Сейчас, в связи с тем, что пароль и не обеспечивает необходимый уровень безопасности, двухфакторную защиту (2FA) применяют повсеместно. Данная технология встречается в социальных сетях, форумах, блогах, мессенджерах, играх, онлайн-банке и т.д. Двухэтапную проверку применяют Apple, Facebook, Twitter, Вконтакте, Gmail, Yandex, Google, Microsoft и многие другие лидеры рынка. Где-то этот метод защиты встречается, как дополнительный фактор безопасности, а где-то, как один из обязательных.
Так, как знания пароля уже становится недостаточно для прохождения проверки подлинности, двухфакторная аутентификация, в значительной степени усложняет задачу для потенциального злоумышленника и выступает в роли сдерживающего фактора, а в некоторых случаях - стоп-фактором.
Какие существуют виды двухфакторной аутентификации?
Скорее всего Вы уже ни один раз сталкивались с двухэтапной проверкой, например, когда пытались зайти на страницу в социальной сети с другого компьютера или телефона и в этот момент, сервис подозревая о сомнительной активности, запрашивал у Вас проверочный код, который был отправлен на телефон. Это лишь одна из форм представления 2FA, а в целом они более многогранны и могут быть реализованы, как :
- имя пользователя и пароль + наличие специального ПИН-кода из SMS-сообщения, электронной почты или мобильного приложения - данный вариант самый простой по реализации и самый популярный среди других;
- имя пользователя и пароль + фотография - это означает, что при попытке входа делается фотография с помощью веб-камеры и отправляется на доверенное устройство (мобильный телефон, планшет, ноутбук). Все, что остается - на втором устройстве подтвердить подлинность сделанной фотографии или отклонить, тем самым заблокировав доступ для злоумышленника;
- имя пользователя и пароль + визуальная метка - в случае, если отсутствует веб-камера на компьютере или нет желания себя фотографировать, можно пройти двухфакторную аутентификацию другим способом. Визуальная метка - формирует уникальный визуальный код, который вычисляется по определенному алгоритму и отображается у пользователя на двух устройствах одновременно, позволяя пройти аутентификацию путем проверки подлинности кодов;
- имя пользователя и пароль + биометрика (отпечаток пальца, геометрия руки, сетчатка или радужная оболочка глаза, лицо, голос) - при получении доступа к системе, отправляется уведомление на соответствующее устройство, где от пользователя потребуется предоставить необходимый биометрический параметр;
- имя пользователя и пароль + аппаратное устройство (USB-накопитель, смарт-карта, токен, ключ) - для прохождения двухфакторной аутентификации потребуется вставить в персональный компьютер ключ доступа, или приложить карту к специальному считывателю, или же синхронизировать токен, например, через Bluetooth;
- имя пользователя и пароль + метаданные - аутентификация пользователя осуществляет только при соответствии всех необходимых параметров. В частности учитывается, местоположение посредством GPS. Пользователь, имеющий аппаратуру GPS, многократно посылает координаты заданных спутников, находящихся в зоне прямой видимости. Подсистема аутентификации, зная орбиты спутников, может с точностью до метра . Также может учитываться время, например, выполнить вход в систему можно в период с 8:00 до 9:00, в иное время - доступ заблокирован. Как альтернатива - полная привязка к операционной системе и компонентам устройства, т. е. фиксируется IP-адрес и устройство (операционная система, программы и т. д.).
Нарушение и хакерские атаки чаще всего происходят через Интернет, поэтому двухэтапная верификация делает подобные атаки менее опасными. Даже если злоумышленник получит данные от учетной записи, маловероятно, что он сможет получить второй фактор аутентификации.
Настройка двухэтапной аутентификации
Вот несколько примеров тех сайтов и ресурсов, где второй фактор - это не просто атрибут в настройках, а некоторый ключевой элемент, который может в существенной степени повлиять на безопасность учетной записи.
Так выглядит настройка двухфакторной аутентификации в социальной сети ВКонтакте :
Позволяет обеспечить надежную защиту от взлома аккаунта: для входа на страницу потребуется ввести одноразовый код, полученный по SMS или иным доступным для подключения способом.
Повышает безопасность аккаунта и при каждом входе с нового устройства будет запрашивать код-идентификатор.
Google , как одна из мировых компаний просто на просто не может обойтись без данной функции и позволяет в настройках подключить второй фактор для аутентификации:
Каждый раз при входе в аккаунт Google нужно будет вводить пароль и одноразовый код подтверждения.
Конкурент предыдущего - в своем арсенале так же имеет данный функционал:
В данном случае, при входе в учетную запись Yandex не потребуется вводить пароль - необходимо будет указать проверочный код из СМС-сообщения.
Для пользователей «яблочных устройств » так же существует двухфакторная аутентификация apple, которую можно подключить, как на телефоне, так и на компьютере:
При использовании 2FA получить доступ к своей учетной записи в Apple ID возможно будет только при вводе специальной проверочной комбинации из СМС-сообщения или через доверенное устройство.
Сейчас у каждой уважаемой себя компании или организации, которая осуществляется деятельность в сети Интернет и, где есть возможность регистрировать аккаунт - должна быть функция двухфакторной аутентификации. Здесь даже дело не в уважении, а в требовании к безопасности в современном мире. Пароль и ПИН-код при наличии времени и ресурсов подбирается за крайне малый промежуток времени, в то время, как добыть второй фактор не всегда представляется возможным для злоумышленника. Именно, поэтому наличие данной функции можно наблюдать практически на каждом сервисе или сайте (где есть учетные записи пользователей).
Где можно подключить двухфакторную аутентификацию?
Здесь вопрос, вероятнее всего нужно ставить несколько иначе - а нужно ли подключать? Потому что подключить можно практически везде, но целесообразно ли это? Здесь необходимо учитывать тот факт, насколько важен для Вас ресурс и какую информацию он содержит. Если это какой-то форум, где Вы были всего один раз и никаких данных не указывали - не стоит беспокоиться. Если же это, например, социальная сеть, электронная почта или личный кабинет в онлайн-банке - однозначно нужно и в данном случае не должно быть никаких сомнений. Основные ресурсы, где можно подключить двухэтапную аутентификацию:
Как отключить двухфакторную аутентификацию (2FA)?
Выбирая для сайта тот или иной способ аутентификации, необходимо, прежде всего, отталкиваться от требуемой степени защищенности и удобства пользования. Т.к. жизнь постоянно стремится к упрощению во всех аспектах ее проявления, двухфакторная аутентификация часто воспринимается, как некий лишний барьер, который не дает получить необходимую информацию быстро и без лишних действий. Однако, это не значит, что стоит пренебрегать безопасностью учетной записи.
Как и в предыдущем разделе - обратите внимание на аккаунт и ценность информации, которая содержится в нем. Если кража данной учетной записи не приведет к непоправимым последствиям и, если второй фактор создает дополнительные трудности - отключите его. В ином случае - не делайте этого, а лучше позаботьтесь о том, как еще можно повысить степень защиты и безопасности.
Как обойти двухэтапную верификацию?
Стоит понимать, что два фактора - это хорошая мера защиты, однако не панацея и существует целый ряд методов позволяющих все обойти:
- путем хищения мобильного устройства или другого фактора для доступа;
- посредством дублирования SIM-карты;
- с помощью вредоносных программных средств, которые будут перехватывать запросы и СМС-сообщения пользователя.
Преимущество двухфакторной аутентификации
- следуя пословице «Одна голова хорошо, а две лучше» можно сделать вывод, что один пароль или ПИН-код - это хорошо, но если их будет два, при этом разного характера - безопасность учетной записи, устройства или системы будет в разы надежнее;
- в случае кражи, утечки или хищения логина и - Вы узнаете об этом через приложение или СМС-сообщение, что позволит среагировать и восстановить скомпрометированный пароль от учетной записи;
- генерация новых уникальных кодовых комбинаций при каждом входе в систему, в то время, как пароль остается постоянным (до тех пор, пока не смените его самостоятельно).
Недостатки двухфакторной аутентификации
- если будет настроен фактор аутентификации через мобильное устройство путем СМС-сообщения, то при потере сигнала сети не получиться войти в аккаунт;
- если кому-то очень нужно будет - есть вероятность клонирования SIM-карты и перехвата сообщений на уровне провайдера услуг мобильной связи;
- мобильное устройство в самый неподходящий момент может разрядиться.
Заключение
Сегодня двухфакторной аутентификации доверяет масса крупных компаний, среди которых можно найти организации в ИТ-сфере, финансовом секторе рыка, исследовательских и государственных учреждениях. Со временем 2FA будет считаться обязательным элементом защиты, т. к. с развитием технологий развиваются и хакерские уловки для кражи информации и данных. Если сейчас есть возможность воспользоваться двумя факторами безопасности - сделайте это.