two-factor authentication
3 статей с этим тегом
Мошенничество с 7pay (2019) — как платёжное приложение без 2FA было захвачено
Захваты аккаунтов начались на следующий день после запуска; ~808 пользователей потеряли ~¥38,6 млн. Ключевой провал — в дизайне аутентификации: (1) не было двухфакторной аутентификации, поэтому для входа хватало ID + пароля, и (2) сброс пароля мог отправить новый пароль на адрес, отличный от зарегистрированного — так что фрагментов личных данных хватало для захвата аккаунта. Защита: требуйте 2FA на чувствительных действиях, ограничивайте сброс пароля зарегистрированными каналами, обнаруживайте и блокируйте подстановку учётных данных и давайте проверять поток аутентификации второй паре глаз перед запуском.
Что такое двухфакторная аутентификация (2FA)? Отличие от двухэтапной проверки и сила методов
Двухфакторная аутентификация (2FA) усиливает проверку личности, добавляя доказательство другой категории — «то, что у вас есть» или «то, чем вы являетесь» (код, ключ или биометрия) — поверх «того, что вы знаете» (пароля). Строго говоря, это не то же самое, что двухэтапная проверка (две проверки, но не обязательно двух категорий). Сила зависит от метода: SMS/email < приложение-аутентификатор (TOTP) < passkey/аппаратный ключ (FIDO2). Позиция нашего сайта: сначала включите хоть какую-то 2FA везде, затем переведите ключевые аккаунты на методы, которые нельзя отдать фишинговому сайту.
Что такое одноразовый пароль (OTP)? TOTP против HOTP против SMS и его пределы
Одноразовый пароль (OTP) — это короткоживущий одноразовый код, который становится недействительным после использования. Виды: TOTP приложения-аутентификатора (на основе времени), HOTP (на основе счётчика) и SMS-OTP. Он силён против утёкших и повторно используемых паролей и обычно служит фактором «то, что у вас есть» в 2FA. Но у него есть предел: фишинг «злоумышленник посередине» (AiTM) может ретранслировать OTP через поддельный сайт и всё равно войти. Настоящая устойчивость к фишингу даёт привязанный к домену passkey. OTP — «намного лучше, чем ничего, но не финишная черта».