Класична схема захисту облікового запису довгий час виглядала просто: користувач вводить логін і пароль, а для важливих систем додається другий фактор — код із SMS або застосунку. Ще кілька років тому така модель справді була суттєвим кроком уперед порівняно із захистом лише паролем.

Проблема в тому, що змінилися й атаки.

Сучасний фішинг давно не обмежується листами з очевидними помилками та проханням «терміново підтвердити пароль». Зловмисники копіюють корпоративні сторінки входу, використовують справжні логотипи, домени зі схожим написанням, QR-коди, повідомлення в месенджерах і навіть ведуть діалог від імені керівника або служби технічної підтримки.

У такій ситуації головне питання вже звучить не «чи використовується у компанії двофакторна автентифікація? », а значно конкретніше: чи може користувач випадково передати зловмиснику обидва фактори?

Якщо може — MFA сама по собі проблему не вирішує.

Чому одного пароля очевидно недостатньо

Паролі залишаються наймасовішим способом автентифікації, хоча їхні слабкі сторони давно відомі.

Люди використовують однакові або подібні паролі в різних сервісах, обирають передбачувані комбінації, зберігають їх у браузерах або передають колегам. Якщо дані одного сервісу потрапляють у витік, зловмисники нерідко перевіряють ті самі логін і пароль на інших ресурсах.

Додамо сюди фішинг — і проблема стає ще очевиднішою. Користувач може мати складний пароль із двадцяти символів, але його криптографічна стійкість нічого не означатиме, якщо власник сам введе пароль на підробленій сторінці.

Саме тому бізнес масово перейшов до другого фактора.

Чому 2FA теж буває різною

На практиці під двофакторною автентифікацією можуть матися на увазі зовсім різні технології.

Найпоширеніші варіанти:

код у SMS;

одноразовий код електронною поштою;

OTP-код у застосунку;

push-підтвердження;

апаратний ключ;

біометрична автентифікація.

Формально кожен із цих варіантів може додати до пароля ще один фактор. Але їхня стійкість до атак суттєво відрізняється.

Наприклад, SMS-код значно кращий, ніж відсутність другого фактора взагалі. Проте його також можна виманити у користувача. Якщо фальшива сторінка входу просить спочатку пароль, а потім шестизначний код, людина нерідко вводить обидва.

Те саме стосується одноразових кодів із застосунків. Вони не передаються мобільною мережею, але користувач усе ще може вручну скопіювати код у форму, створену зловмисником.

Це принципова проблема: другий фактор є, однак він залишається передаваним.

Посередник між користувачем і справжнім сервісом

Окремо варто згадати атаки, у яких фішингова сторінка працює фактично як посередник.

Користувач бачить майже точну копію звичної форми входу та вводить свої дані. Зловмисницька система в реальному часі передає їх справжньому сервісу. Якщо сервіс запитує одноразовий код, підроблена сторінка просить його і в користувача.

У результаті жертва може пройти весь звичний процес входу і навіть не зрозуміти, що пароль та OTP-код фактично використала стороння система.

Тому для захисту критичних акаунтів поступово набуває значення інший підхід: фактор автентифікації повинен бути технічно прив’язаний до справжнього сервісу, а не просто передаватися користувачем у будь-яке поле введення.

Саме на цьому принципі побудована FIDO-автентифікація.

Що змінює FIDO2

FIDO2 використовує криптографічну модель замість передавання секрету між користувачем і сервером.

Під час реєстрації для конкретного сервісу створюється пара криптографічних ключів. Відкритий ключ зберігається на стороні сервісу, а приватний залишається на пристрої користувача.

Коли потрібно підтвердити вхід, пристрій виконує криптографічну операцію. Приватний ключ при цьому не передається на сервер і не вводиться користувачем вручну.

Це вже зовсім інша логіка захисту.

Фішингова сторінка може бути зовні практично ідентичною оригіналу, але апаратний або платформний автентифікатор враховує, для якого ресурсу було створено облікові дані. Саме тому підроблений домен не може просто «попросити той самий код», як це відбувається з SMS або OTP.

Де тут апаратний ключ

FIDO2 може працювати з різними автентифікаторами. Це можуть бути засоби, інтегровані в ноутбук або смартфон, але для корпоративного середовища особливо цікавими залишаються окремі апаратні пристрої.

Такий ключ легко фізично видати конкретному співробітнику, включити у внутрішні правила доступу, заблокувати при втраті та використовувати незалежно від особистого смартфона працівника.

Саме тому FIDO токен варто розглядати не просто як ще один спосіб отримати «другий фактор», а як інструмент для переходу до фішингостійкої автентифікації.

Різниця тут принципова. Користувача намагаються не навчити безпомилково розпізнавати кожну підроблену сторінку — задача майже нереальна, — а технічно обмежити можливість використати його облікові дані не на тому ресурсі.

Де FIDO2 найбільш доречний

Не обов’язково починати впровадження одразу для всіх співробітників і всіх систем.

Найлогічніше насамперед захистити акаунти, компрометація яких створює найбільший ризик.

Це можуть бути:

корпоративна електронна пошта;

облікові записи системних адміністраторів;

хмарна інфраструктура;

VPN і віддалений доступ;

GitHub, GitLab та інші системи розробки;

фінансові сервіси;

панелі керування сайтами;

акаунти керівників;

системи, де зберігається конфіденційна або службова інформація.

Особливо важливо захищати пошту. Отримавши доступ до корпоративної скриньки, атакувальник може скидати паролі в інших сервісах, вести листування від імені співробітника та створювати значно переконливіші атаки вже проти його колег або партнерів.

Тому захист електронної пошти часто є хорошою першою точкою для переходу до сильнішої автентифікації.

Чи означає це, що SMS і OTP треба негайно вимкнути

Не обов’язково.

У кібербезпеці рідко буває корисним підхід «усе старе негайно викинути». Якщо компанія сьогодні використовує лише паролі, навіть проста двофакторна автентифікація суттєво покращить ситуацію.

Питання полягає у рівні ризику.

Для звичайного внутрішнього сервісу OTP може бути цілком прийнятним. Для адміністратора корпоративної інфраструктури або співробітника, який має доступ до критичних систем, вимоги мають бути значно вищими.

Тому компаніям варто не просто поставити галочку «MFA увімкнено», а розділити облікові записи за важливістю і підібрати відповідний рівень захисту.

Людський фактор нікуди не зникне

Навіть найкраща технологія не скасовує необхідності навчати співробітників.

Працівники мають розуміти, чому не можна підтверджувати несподівані запити на вхід, передавати засоби автентифікації колегам або ігнорувати повідомлення про невідомі сесії.

Але технології можуть суттєво зменшити ціну людської помилки.

Людина втомлюється, поспішає, працює з телефону, може не помітити одну змінену літеру в домені. Будувати всю систему корпоративної безпеки на припущенні, що кожен із сотень співробітників завжди безпомилково визначить фішинг, — ризикована стратегія.

Фішингостійка автентифікація змінює саму модель: навіть якщо людину вдалося переконати перейти за підробленим посиланням, одного цього вже недостатньо для отримання доступу.

Від «другого фактора» до захищеної цифрової ідентичності

Наступний етап розвитку корпоративної автентифікації — це не збільшення кількості кодів, які потрібно вводити користувачу.

Навпаки, поступово рух іде до ситуації, коли секрети взагалі не потрібно передавати.

Для бізнесу це важлива зміна підходу. Захист облікового запису перестає бути лише питанням складності пароля і стає частиною загальної архітектури цифрової ідентичності.

Паролі ще довго залишатимуться поруч із нами. SMS і OTP також нікуди не зникнуть найближчим часом.

Але там, де ціна компрометації акаунта висока, варто вже сьогодні дивитися на наступний рівень — методи автентифікації, які не просто додають другий фактор, а роблять його стійким до самого механізму фішингової атаки.

Саме в цьому полягає головна перевага FIDO2: користувачу вже не потрібно щоразу доводити, що він здатний розпізнати добре зроблену підробку. Частину цієї роботи бере на себе криптографія. Фішингостійка автентифікація: чому пароля і SMS-коду недостатньо для захисту корпоративних акаунтів читайте на сайті HiTech. Expert.