19.06.2015  Экспертиза, Безопасность

Я уверен, что большинство читателей знает, что аутентификация делится на: Парольную; Двухфакторную («что я знаю — что я имею», 2FA); С помощью одноразовых паролей (One Time password, OTP). Несмотря на все недостатки, присущие парольной аутентификации, ее безусловным преимуществом является простота. Пароль, вероятно, был самым первым способом аутентификации. Пользователь сам себе выдумывает пароль. Однако стоит помнить, что пароли должны быть длинными, содержать минимум три набора символов из четырех, не являться словарными словами, не содержать имя пользователя и т. д. К тому же их нужно еще и регулярно менять. Недостатки же такого способа также очевидны: Пользователи быстро забывают пароли; Если соблюдать требования к длине, времени жизни и сложности пароля, то до 50% работы службы поддержки будет уходить на смену паролей. К тому же сегодня у пользователя куча устройств, а пароли нужно помнить и менять на всех устройствах. Что делать? Применять двухфакторную аутентификацию? А где гарантия что пользователь не забудет (не потеряет) токен? Или не сделает PIN-код для доступа к токену слишком простым? Ведь фактически 2FA это тот же пароль плюс токен безопасности. Придуманный способ передачи второй части пароля в виде SMS тоже не всегда выход. Да еще и при условии работы в незащищенной сети, например, в общедоступном Wi-Fi. Интересный способ придумала Microsoft для доступа к своим сервисам. Там пароль как таковой просто не нужен. Достаточно просто запросить одноразовый ... читать далее.