Двухэтапная аутентификация при использовании интернет-служб

Следует признать, что, хотя функции двухэтапной аутентификации в интернет-службах появились достаточно давно, по данным Google, сегодня ими пользуются порядка 10% пользователей. Большинство пользователей все еще считают, что это очень неудобно, так как требует дополнительных действий. Так ли это? Попробуем выяснить.

Двухэтапная аутентификация в Gmail

Настроить двухэтапную аутентификацию в Gmail можно несколькими способами. Рассмотрим подробнее каждый из них (экран 1).

Экран 1. Вход в аккаунт Google

Что такое двухэтапная аутентификация

После обычного ввода пароля для регистрации с учетной записью Google потребуется ввести код подтверждения. Его можно ввести, получив на телефон в виде короткого сообщения, с помощью голосового вызова или приложения Google Authenticator, установленного на смартфоне. Если же у вас есть специальное устройство, ключ-токен безопасности, вы можете просто вставить его в USB-порт компьютера.

Более того, при регистрации со своей учетной записью вы можете установить флажок «Запомнить код на этом компьютере», после чего система перестанет запрашивать второй фактор аутентификации. Однако ваши данные по-прежнему будут под защитой. При попытке регистрации со своей учетной записью с другого компьютера система потребует ввести код или вставить токен для авторизации.

Самый простой и наименее надежный способ двухэтапной аутентификации — использовать для получения второго фактора аутентификации сообщение SMS, как показано на экране 2. Увы, данный способ сегодня признан ненадежным. Вашу SIM-карту злоумышленники могут клонировать, и тогда SMS можно перехватить. На этом же этапе вы выбираете способ получения кода — сообщение SMS или телефонный звонок.

Экран 2. Настройка номера телефона

После того как вы нажмете «Далее», вам будет отправлено SMS-сообщение с кодом подтверждения из шести цифр. Все, данный этап можно считать оконченным. Но, как уже было сказано, это наименее надежный способ получения кода подтверждения. Гораздо безопаснее установить приложение Google Authenticator (экран 3).

Экран 3. Настройка Google Authenticator для iPhone

Установите соответствующее приложение из App Store или Google Play (экран 4), отсканируйте штрих-код для его настройки. Все, теперь ваш генератор кодов действует (экран 5).

Экран 4. Настройка Google Authenticator Android

Экран 5. Экран Google Authenticator iPhone

Настройка электронного токена на примере Yubikey

Данный способ является наиболее безопасным, но в то же время требует затрат на покупку соответствующего ключа (экраны 6 и 7).

Экран 6. Настройка токена

Экран 7. Регистрация токена

Кроме того, вы можете распечатать коды на случай, если не можете получить их с помощью SMS и при этом пользуетесь не смартфоном, а обычным телефоном (экраны 8 и 9).

Экран 8. Настроить второй этап

Экран 9. Коды Google

Данный способ, на мой взгляд, достаточно удобный, хотя, конечно, надежнее все же использовать токен безопасности, как показано на экране 10.

Экран 10. Регистрация с помощью уведомления от Google

Вместе с тем стоит отметить, что если вы используете почтовый клиент Outlook из состава Microsoft Office или настраиваете получение почты на смартфоне, то данные приложения не используют двухфакторную аутентификацию. В таком случае вам потребуется настроить пароль приложения.

Получить пароль приложения

Пароль приложения — это 16-значный код доступа, который дает приложению или устройству разрешение на доступ к вашей учетной записи Google. Если вы используете двухшаговую верификацию и видите сообщение «Неверный пароль» при попытке получить доступ к своей учетной записи Google, пароль приложения поможет решить проблему. В большинстве случаев вам придется вводить пароль приложения только один раз для каждого приложения или устройства, поэтому запоминать его не потребуется.

Если на вашем Mac установлена операционная система Mac OS 10.10.3 или более поздней версии, а на iPhone — iOS 8.3 или более поздней версии, вам больше не придется вводить пароли приложений для двухэтапной проверки при использовании Gmail или любых приложений Google из iTunes. Применение службы Google на родном почтовом клиенте iOS также не требует паролей приложения.

Как создать пароль для приложения

Посетите страницу паролей вашего приложения. При этом может появиться запрос с предложением зарегистрироваться со своей учетной записью Google. Внизу страницы нажмите кнопку «Выбрать приложение» и выберите приложение и устройство, для которого хотите создать пароль.

Выберите вариант «Создать». Будет сгенерирован пароль приложения (16-значный код в желтой полосе) на вашем устройстве (экран 11). Щелкните ссылку «Готово».

Экран 11. Пароль приложения

Если вы забыли соответствующий пароль приложения, не стоит беспокоиться. Несмотря на то что каждый пароль приложения используется только один раз, вы всегда можете сгенерировать новый пароль для приложения, когда он вам понадобится, даже для устройства или приложения, которые вы авторизовали ранее.

Двухфакторная аутентификация в Outlook

До недавнего времени настройка двухэтапной аутентификации в почтовой службе Outlook была практически такой же, за исключением того, что аутентификация с помощью аппаратного токена была невозможна. Однако с появлением версии Windows 10 с номером 1809 ситуация изменилась. Вместе с тем стоит отметить, что сегодня применение Security Key возможно только при условии использования версии English (United State) и браузера Edge. В случае использования другого браузера или другой версии OS устройство Security Key не работает.

Как выполняется процесс? Для настройки Security Key перейдите в окно Windows Setting, запустите модуль Accounts, как показано на экране 12. Выберите ссылки Manage my Microsoft Account (экран 13), потом Security (экран 14) и More security options (экран 15). Щелкните по ссылке Set up a security key. Выберите тип своего токена. Либо это USB-устройство, либо устройство с поддержкой функции NFC (экран 16).

Экран 12. Раздел настроек Accounts

Экран 13. Настройка учетной записи

Экран 14. Security basics

Экран 15. Настройка Security key

Экран 16. Выбор типа токена

Учтите, что для настройки вы можете выбирать только Yubikey версии 5.0. Ключи Yubikey внешне в разных версиях не отличаются. Выяснить, какой именно ключ у вас, вы можете лишь с помощью YubiKey Manager. Данную программу можно загрузить с сайта yubico. com (экран 17).

Экран 17. Введите PIN-код своего устройства

Если ваш YubiKey не имеет PIN-кода, вам будет предложено его создать (экраны 18 и 19).

Экран 18. Вход с помощью Windows Hello или security key

Экран 19. Введите Security key PIN

Далее вы вводите PIN или Security Key, как показано на экране 19. Все, аутентификация пройдена. Однако учтите, что пока это работает только в версии English (United States).

Проект FIDO 2

Теперь я чуть подробнее расскажу о том, почему токен подходит только для версии 5.0. Проблема в том, что необходимо, чтобы ваш токен поддерживал технологию FIDO 2.0.

Проект FIDO 2 — это набор взаимосвязанных инициатив, которые вместе создают стандарт аутентификации FIDO для Интернета и значительно расширяют экосистему FIDO. FIDO 2 состоит из спецификации веб-аутентификации W3C (WebAuthn) и соответствующего протокола FAPO, «клиент — аутентификатор», которые в совокупности позволят пользователям задействовать обычные устройства для простой аутентификации в сетевых службах — как в мобильных, так и в настольных средах.

WebAuthn определяет стандартный веб-API, который может быть встроен в браузеры и соответствующую инфраструктуру веб-платформы, чтобы сетевые службы могли использовать аутентификацию FIDO. Это позволяет внешним устройствам, таким как мобильные телефоны или ключи безопасности FIDO, работать с WebAuthn и выполнять функции аутентификаторов для настольных приложений и веб-служб.

Стандарты реализованы во многих основных веб-браузерах, включая Chrome, Firefox и Microsoft Edge. Операционные системы Android, Windows 10 и связанные с ними технологии Microsoft также будут иметь встроенную поддержку аутентификации FIDO (см. рисунок).

Рисунок. Проект FIDO 2

Завершение усилий по стандартизации FIDO2 и приверженность ведущих производителей браузеров к ее внедрению открывает новую эру повсеместной защиты FIDO с аппаратной поддержкой для всех, кто использует Интернет.

Предприятия и поставщики сетевых служб, желающие защитить себя и своих клиентов от рисков, связанных с паролями, в том числе от фишинга, взлома и атак с использованием украденных учетных данных, смогут вскоре развернуть строгую стандартную аутентификацию, которая работает через браузер. Развертывание FIDO Authentication позволяет сетевым службам предоставлять пользователям возможность выбора из экосистемы устройств, которые мы используем каждый день, таких как мобильные телефоны и ключи безопасности.

Новые спецификации дополняют существующие сценарии и специ­фикации FIDO UFF без паролей и FIDO U2F второго фактора и расширяют возможности аутентификации FIDO. Пользователи, у которых уже есть внешние FIDO-совместимые устройства, такие как ключи безопасности FIDO U2F, смогут продолжать применять эти устройства с веб-приложениями, поддерживающими WebAuthn. Текущие устройства FIDO UAF по-прежнему могут использоваться с уже существующими услугами, а также с новыми решениями, основанными на протоколах FIDO UAF.

Фактически разница между Google и Microsoft заключается в том, что Microsoft позволит вам задействовать ваш ключ для однофакторной аутентификации. Другими словами, вводя свой ключ, вы входите в систему, без использования имени пользователя и без пароля. Информация о ключе помещается в доверенный платформенный модуль на физическом компьютере. Затем эти данные сравниваются с вашими «облачными» учетными данными и вашей информацией FIDO 2.

Удобно? Безусловно. Но на пользователя накладывается дополнительное обязательство. Не потеряйте свой Security key! Ведь в этом случае нашедший его злоумышленник может зарегистрироваться с вашей учетной записью. И ему не нужен ни логин, ни пароль. Все будет зависеть только от сложности вашего PIN-кода. Так что не храните его вместе с ключом.