В наше время каждый из нас обладает множеством аккаунтов, а в качестве одного из факторов по-прежнему остается пароль. Однако, как показывает практика, большинство пользователей относятся к своим паролям мягко скажем легкомысленно. В качестве наглядной иллюстрации того, насколько подчас важны пароли и к каким катастрофическим для современного общества последствиям приводит легкомысленное отношение пользователей к паролям, стоит привести эту новость

Нередки случаи, когда пользователи используют один и тот же пароль для нескольких аккаунтов. Даже требование периодической смены пароля оказывается по существу проигнорированным и, как следствие, бесполезным: новый пароль пользователя зачастую либо очень похож на один из предыдущих, либо совпадает с паролем от какого-нибудь другого аккаунта. Такое отношение людей к своим паролям связано с тем, что пароль в идеале должен представлять собой случайную комбинацию символов, но никак не имя домашнего питомца, собственное имя или дату рождения. А это уже сложно для запоминания. Так уж устроена память человека, что проще запоминаются осмысленные комбинации символов – слова, формулы, нежели их случайные комбинации.

Тогда как же быть, если аккаунтов много, а действительно надежные пароли запомнить сложно? – вариантов на самом деле много. Первое, что сразу, приходит в голову, это сохранить этот сложный пароль где угодно – в текстовом файле на компьютере, в браузере или даже на бумажке. Но ни один из этих вариантов не обеспечивает той надежности хранения, какую может обеспечить память человека. Записать пароль на бумажке или сохранить в текстовом файле на компьютере по уровню безопасности хранения равноценны. Хранение в браузере, конечно, куда безопаснее, чем первые два варианта, благодаря наличию шифрования, однако злоумышленники научились и оттуда вытаскивать пароли жертв. О различных методиках подбора пароля я уже молчу, тем более, что им противодействовать не так уж и сложно с технической точки зрения.

То что пароль давно уже не панацея разработчики различных систем и сервисов давно поняли, и теперь повсеместно внедряется двухфакторная аутентификация. Однако не успели мы выдохнуть, как злоумышленники научились обходить и ее, несмотря на то что технически это по прежнему довольно сложно.

Хорошо. Если двухфакторную аутентификацию тоже можно обмануть, тогда как-же защитить свои аккаунты?

Вариантов, на самом деле, несколько. Сюда относятся использование единых систем аутентификации и авторизации, использование сертификата электронной подписи вместо пароля, а также новое веяние – биометрические данные. Расскажу вкратце обо всех перечисленных вариантах.

Использование единых систем аутентификации и авторизации

Сущность данного метода заключается в том, что для удобства пользователя вход в различные сервисы осуществляется с помощью одного и того же аккаунта. Например, имея учетную запись на госуслугах (ЕСИА) можно авторизовываться не только на порталах различных государственных органов, например ГАС “Правосудие”, но и в соцсетях (например, популярная в России “ВКонтакте”). Однако данный способ повышает безопасность паролей лишь косвенным образом, и в большей мере направлен на обеспечение удобства пользователей. У него есть и минус: если злоумышленник получит контроль над данной учетной записью, он автоматически получает контроль над всеми аккаунтами, привязанными к этой учетной записи. Но и это еще не все. Приватность. Она в данном случае оставляет желать лучшего… (подумайте сами почему я так говорю)

Использование сертификата электронной подписи вместо пароля

Сущность данного метода основывается на принципе работы электронной подписи, что обеспечивает его высокую надежность. Принцип заключается в том, что клиент при помощи закрытого ключа сертификата электронной подписи зашифровывает некоторую авторизационную строку, и передает ее серверу. Сервер в свою очередь, используя открытый (публичный) ключ сертификата электронной подписи расшифровывает эту строку и производит проверку. Таким образом для аутентификации используются сразу три фактора: строка авторизации, закрытый и открыты ключи пользовательского сертификата.
Поскольку закрытый ключ сертификата хранится только на устройстве пользователя (лучший способ – USB-токен), а его значение неизвестно даже самому пользователю, злоумышленник практически лишен возможности представляться именем жертвы. Даже если злоумышленник сможет перенаправить трафик клиента на свой сервер, никакой ценной для него информации он не узнает. Да, он сможет расшифровать зашифрованную клиентом строку авторизации, но он никогда не сможет ее зашифровать обратно, так как закрытый ключ ему неизвестен.

Однако данный метод сложен для повсеместного и массового применения, поскольку сам выпуск сертификатов электронной подписи, которые принимались бы любыми сервисами на текущий момент вызывает сложности организационного характера.

Более подробно об электронной подписи можете почитать в моей статье

Биометрия

Данный метод является наиболее актуальным и в тоже время наиболее спорным на текущий момент времени и заключается в использовании биометрических данных, а точнее их цифровой копии, в качестве одного из факторов проверки подлинности.

Однако я бы не стал считать его безопасным и единственной альтернативой паролям. Дело все в том, что в случае, если цифровая копия биометрических данных пользователя окажется в руках злоумышленника, последний получает монопольный контроль над аккаунтом жертвы, лишая ее возможности вернуть себе контроль над своим аккаунтом. Невозможность вернуть контроль над аккаунтом связана с тем, что биометрические данные неизменны на протяжении всей жизни человека: пароль можно сменить, сертификат электронной подписи отозвать, а отпечаток пальца ни изменить, ни отозвать невозможно. Следовательно, биометрические данные без второго фактора не могут заменить всем надоевшие пароли, но и двухфакторная аутентификацию злоумышленники тоже научились обманывать. Единственный действительно надежный вариант при использовании биометрии – сочетание биометрических данных с сертификатом электронной подписи, как это, например, описано тут. Но как я уже писал ранее, повсеместное использование электронной подписи на текущий момент затруднительно ввиду организационных сложностей выпуска ее сертификатов.

Заключение

Суть аутентификации сводится в проверке соответствия логина и пароля, в общем случае. Если быть точнее, то пароль либо его хэщ, как правило, используется в качестве ключа шифрования. Он шифрует некоторую аутентификационную строку, которая может собой представлять, например, текущее время (подобно тому, как это реализуется в протоколе kerberos). Следовательно, если вместо пароля использовать, например, цифровую копию отпечатка пальца, компрометация хэша или самого отпечатка пальца, приведет к полной и безвозвратной утрате контроля над аккаунтом. Причем в этом случае компрометация цифровой копии отпечатка пальца или ее хеша наоборот упрощается, это может быть сделано и посредством социальной инженерии. Например, если направить жертву на поддельный сайт вместо подлинного, злоумышленник может получить искомую информацию.

Смена пароля всегда была единственным способом возвращения контроля над аккаунтом в случае его компрометации (взлома). А биометрические данные, как я уже говорил выше, изменить нельзя. Хорошим вариантом представляется использование биометрических данных в совокупности с сертификатом электронной подписи, однако ввиду того, что сертификат электронной подписи сам по себе является наиболее безопасным и защищенным от компрометации способом аутентификации, использование биометрических данных представляется избыточным и нецелесообразным, а также противоречащим основным положениям Федерального закона "О персональных данных" № 152-ФЗ от 27.07.2006 г., а именно ч. 5 ст. 5.

Следовательно, лучший вариант – сертификат электронной подписи. Но до тех пор, пока выпуск доверенных среди всех сервисов, в том числе и зарубежных, сертификатов электронной подписи вызывает организационные сложности, остается лишь двухфакторная аутентификация с использованием паролей. При этом, если хочется сохранить свои личные данные и аккаунты в безопасности, стоит приучиться к гигиене паролей. И не ставить везде и всегда пароли вида “Qq123456”. Такие пароли в принципе паролями считать нельзя, ведь на их подбор компьютер затратит считанные микросекунды времени, тем самым обойдя любую защиту от подбора пароля.