Двофакторна аутентифікація

Що це означає

Двофакторна автентифікація вимагає під час входу друге підтвердження особи окрім пароля: код із застосунку, підтвердження в телефоні, апаратний ключ. Пароль - це те, що ви знаєте; другий фактор - те, що у вас є.

Сенс простий. Навіть якщо пароль витече - через фішинг, витік іншого сервісу або повторне використання - сам по собі він доступу не дасть.

Два паролі - це не два фактори. Другий фактор має бути іншого роду, ніж перший: те, що у вас є, або те, ким ви є, наприклад відбиток пальця. У разі SSO достатньо один раз увімкнути двофакторну перевірку на центральному обліковому записі, і вона захищає всі сервіси, до яких через нього входять.

Як це працює на практиці

Вмикати її потрібно всюди, де можна щось оплатити або надіслати від імені компанії: інтернет-банк, пошта, облікова програма, платіжний шлюз, керування доменом і хмарні акаунти. Це найдешевший захід в усьому керуванні доступами.

Найнадійніші застосунки, що генерують код, або апаратний ключ; код по SMS слабший, але все одно значно кращий за самий пароль. Резервні коди зберігають окремо від пристрою, який підтверджує вхід.

Коли до облікового запису звертаються кілька людей, наприклад до інтернет-магазину чи інтернет-банку, кожен має мати власний вхід із власним другим фактором. Ми теж працюємо в системах клієнтів під власними обліковими записами, а не під спільним паролем, тож у разі звільнення людини вимикається один доступ, а решта працює далі.

На що звернути увагу

Найчастіше підводить не злам другого фактора, а його обхід: зловмисник просить код телефоном або поштою від імені банку чи ІТ-підтримки. Код не диктують нікому, а спроба входу залишиться в журналі аудиту як слід.

Якщо другий фактор прив’язаний до особистого телефону одного працівника, компанія в разі його звільнення чи втрати телефону втрачає доступ до власних облікових записів, а відновлення через підтримку постачальника може тривати від кількох днів до тижнів. Тому на корпоративні записи реєструють щонайменше два фактори, а резервні коди включають до плану відновлення.