Избегаем вымирания благодаря MFA
Наша семья недавно увлеклась еженедельным просмотром фильмов за ужином, причем меню ужина всегда связано с героями или местом действия фильма. Сейчас мы готовимся к очередной семейной поездке, и я надеюсь, что традиция просмотра фильмов продолжится и после нее. Дети всегда с радостным нетерпением ждут момента, когда придет черед выбирать фильм на текущую неделю — а мы, взрослые, не менее радостно предвкушаем, что и как нам предстоит готовить. Семейные традиции приносят столько радости… но перейдем к вопросам безопасности!
На прошлой неделе один из детей вытащил конверт с названием «Мир юрского периода:господство» . Я быстро принялась обдумывать тематическую еду, которую мы могли бы приготовить (лапки раптора в сырном соусе, динозавровые наггетсы, возможно, крылья птеродактиля), но представьте мое удивление, когда мы начали просмотр фильма и я вдруг поняла, что у нас с детьми получается отличный кибер-чат на тему безопасности. Наши дети, как и все поколение учеников начальных и младших классов, уже давно не новички в мире современных технологий.
Но что же такое многофакторная аутентификация?
«Мир юрского периода: господство» имеет отношение к теме безопасности? Безусловно. Динозавры сбегают с огороженных территорий парка во всех фильмах франшизы «Юрского периода», но это не тот тип безопасности, о котором я хочу поговорить. В фильме есть сцена (надеюсь, обойдемся без спойлеров), когда Ян Малкольм секретно передает свой супертехнологичный ID-браслет (это как ID-карта, которую вы носите на запястье, или как «волшебный браслет» в Диснейленде) доктору Элли Саттлер. Элли и доктор Алан Грант с помощью этого ID-браслета проникают в закрытые помещения лаборатории, где и похищают ДНК, что приводит к ужасающим, но захватывающим приключениям, которыми славится вся эта серия фильмов.
Суть в том, что с помощью всего лишь одного браслета они смогли получить доступ в закрытую для посетителей часть лаборатории. Им не потребовалось ни предоставить отпечаток пальца, ни ввести код после использовании ID-браслета (а ведь даже в парках Диснея необходим отпечаток пальца после считывания «волшебного браслета»!). В результате они смогли пробраться внутрь и похитить собственность компании Biosyn.
В мире кибербезопасности мы называем это отсутствием многофакторной аутентификации (также иногда «двухфакторной аутентификации») или MFA. Если требуется только один тип аутентификации — в данном случае, ID-браслет — утеря этого единственного ресурса ставит под угрозу защищаемые объекты. Если добавить вторую (или третью, четвертую и т.п.) форму идентификации — например, PIN-код, скан сетчатки глаза или даже просто ответ на вопрос — вы получаете многофакторную аутентификацию, которая значительно сокращает риски, возникающие при утере одной из форм идентификации.
Как работает многофакторная аутентификация?
Вы наверняка уже используете ее в повседневной жизни, просто не осознаете этого. Например, при подключении к мобильному банку вы указываете свой идентификатор пользователя (или номер счета) и пароль (или PIN). Если сайт не опознает ваше устройство и к вам поступает запрос на подтверждение, ― это разновидность MFA. В данном случае зарегистрированное устройство ― телефон или персональный компьютер ― служит второй формой аутентификации.
MFA ― многоуровневый подход к безопасности данных, когда система требует, чтобы пользователь предоставил два или более доказательств своей идентичности. Эти доказательства чаще всего относятся к одной из трех категорий:
- «То, что вы знаете» – например, пароль или ответ на специальный вопрос.
- «То, что у вас есть» – например, физическое устройство, аппаратный токен, ID-карта или приложение на мобильном телефоне.
- «То, кем вы являетесь» – например, отпечаток пальца или скан сетчатки глаза.
При подключении к мобильному банку зарегистрированное устройство попадает в категорию «то, что у вас есть».
Важно понимать, что простая комбинация проверок не является многофакторной аутентификацией. В эту комбинацию должны входить объекты из разных категорий. Поэтому ввод пароля и ответ на специальный вопрос не являются многофакторной аутентификацией, так как они оба относятся к категории «то, что вы знаете». А вот ввод пароля с последующим вводом уникального кода из приложения на вашем мобильном телефоне является многофакторной аутентификацией, так как сначала используется «то, что вы знаете», а затем — «то, что у вас есть».
Типы многофакторной аутентификации
Хотя существует много типов многофакторной аутентификации, самые распространенные включают ввод пароля или PIN-кода плюс одну из следующих проверок:
- Push-уведомление через официальное приложение для аутентификации
- Одноразовый пароль― уникальный код, который можно использовать только один раз и который поступает к вам уникальным для вас способом, например: по электронной почте, в виде SMS на ваш телефон или через ваше мобильное приложение.
- Двухфакторный токен ― физический токен, который вы либо подключаете, либо считываете с него код.
- Биометрические данные― отпечаток пальца, распознавание лица или сканирование сетчатки глаза.
Почему это так важно? Если бы в фильме компания Biosyn требовала распознавания лица после использования ID-браслета, Элли и Алан не смогли бы проникнуть в закрытую часть лаборатории. Если злоумышленники похитят ваше имя пользователя и пароль, они не смогут войти в систему, которая требует введения одноразового кода, направляемого на ваш мобильный телефон.
Главное ― непрерывное использование MFA
Сейчас многие системы предлагают своим пользователям MFA. Хотя сначала это может показаться лишним шагом в процессе, в реальности — чем больше вы используете MFA, тем быстрее привыкаете совершать определенную последовательность действий, и постепенно этот шаг уже не будет казаться вам лишним. Добавление еще одного метода верификации может казаться незначительным действием, но оно в состоянии стать границей между тем, смогут ли палеонтологи проникнуть в вашу секретную лабораторию, или же будут остановлены на пороге. Конечно, в фильме «Мир юрского периода: господство» тот факт, что лаборатория не использовала MFA, пошел на пользу положительным героям. Но давайте не будем оказывать услугу киберпреступникам, не активируя MFA, когда нам его предлагают.
MFA ― это необходимый базовый шаг по обеспечению кибербезопасности
Многофакторная аутентификация может казаться сложной, но, как и в случае с онлайн-банкингом, после того, как она войдет в вашу цифровую жизнь, она просто станет частью процесса и одним из простейших способов повысить уровень вашей цифровой безопасности. Помните — быть в безопасности онлайн легко… вам просто нужно знать, какие базовые шаги следует предпринять.
Если вы тоже решите завести в своей семье традицию киноужинов (а я это очень рекомендую и могу поделиться массой рецептов, подходящих пор разные фильмы), то начните с фильма «Мир юрского периода: господство» и расскажите детям, как MFA смогла бы предотвратить угрозу, если бы кто-то захотел притвориться вами. Как вы думаете, какие еще фильмы нам стоит посмотреть? Есть еще хорошие фильмы, которые расскажут вашей семье о теме кибербезопасности?
