Способы аутентификации 2016

Опубликовано Olga Geo Янв 18, 2016 | нет комментариев

В начале нового года все пытаются предугадать, что он принесет: какие тенденции будут преобладать в экономике и политике, какие наряды станут самыми модными, какие книги завладеют умами и душами, чем удивят и порадуют поклонников технического прогресса изобретатели и разработчики.

Попытаемся и мы “предсказать”, как будут развиваться в наступившем году технологии и способы аутентификации, что нового нас ждет, и насколько это новое может быть лучше уже привычного (и лучше ли).

Сразу бросается в глаза одна, главная тенденция: многие крупнейшие компании, диктующие моду на рынке IT-технологий, стремятся создать такие средства аутентификации пользователей, которые не только будут отличаться высоким уровнем защиты данных, но и максимально упростят процедуру подтверждения подлинности при входе в аккаунт. В качестве примера достаточно назвать лишь имена Pay Pal (крупнейшая международная система денежных переводов) и Google, в которых сейчас идет активная работа над тем, чтобы облегчить такой процесс как аутентификация клиента для посетителей своих ресурсов.

Разработчики предлагают разные, зачастую довольно экзотические способы аутентификации, которые, по мысли авторов, помогут совместить безопасность и простоту использования. Вполне естественно, что каждый отстаивает перспективность именно своего метода. Пожалуй, единственное, что объединяет всех — это осознание необходимости что-то изменить в традиционной процедуре аутентификации. Сегодня она чаще всего базируется на 2FА с использованием одноразовых паролей (one time password). Какие же имеются альтернативы?

1. Уход от использования в качестве первого фактора постоянного пароля.

Это один из наиболее многообещающих на данный момент вариантов. При его грамотном применении возможна полноценная двухфакторная авторизация, дающая высокий уровень защиты и минимальную сложность в применении. Например, практически всякий токен (token) снабжается PIN-кодом, который нужно указать перед началом работы с устройством. Почему бы не использовать PIN в виде первого фактора двухфакторной аутентификации — фактора знания? А необходимым вторым фактором — обладания — вполне может стать сам смартфон с программным токеном или аппаратный ОТР токен. Более того, и программные, и аппаратные токены могут поддерживать функцию CWYS (подпись данных), что дополнительно усиливает степень защиты.

2. Oдноразовые пароли — на свалку истории.

Многие пользователи не желают тратить время на ввод одноразовых паролей для авторизации в той или иной учетной записи. Особенно, когда в течение одной сессии код аутентификации/временный пароль приходится вводить неоднократно (такая мера предосторожности практикуется, если высокая степень защищенности соединения критически важна). Разработчики постоянно ищут новые способы избежать этого неудобства. Не так давно была представлена аутентификация по методу сравнения фоновых шумов. Тот же Google разрабатывает метод авторизации, при котором на смартфон будут отправлять сигналы по каналу GCM (Google Cloud Messaging). Еще один вариант с использованием смартфона представлен фирмой Clef.

3. Новые виды аппаратных токенов, неуязвимые для вирусов.

Существующие на сегодня USB-токены могут быть уязвимы к внедрению вирусов на компьютеры, к которым они подключены. Не так давно появились усовершенствованные USB-токены — Yubikey. Они вставляются в устройство как флешка, но срабатывают только после нажатия на специальную кнопку, что защищает их от угрозы использования без участия пользователя. Другим вариантом может быть токен в виде браслета или кольца, который соединяется со смартфоном или компьютером по беспроводному каналу связи. Разработка подобной технологии находится в планах компании Протектимус.

4. Биометрические способы аутентификации.

Уже сегодня достаточно широко применяются во всевозможных мобильных устройствах. Но, хотя удобство авторизации на сайте при помощи отпечатка пальца или звука голоса очевидно, надежность такого способа в условиях интернета вызывает сомнения. Подробнее о плюсах и минусах биометрической аутентификации можно прочитать тут.

5. Внедрение имплантов в человеческое тело.

Это смелое инновационное предложение видится разработчикам из Pay Pal тем самым “золотым ключиком”, которым будет заменена привычная двухфакторная аутентификация. В качестве аргумента “за” прежде всего упоминают предельную легкость процесса авторизации. Пользователю вообще ничего не нужно будет делать: только один единственный раз пройти операцию по вживлению под кожу электронного чипа. Однако, на сегодняшний день этот способ не может найти широкого распространения по причине своей дороговизны и технической сложности.

Совершенно очевидным трендом также является обеспечение безопасности интернета вещей. Его стремительное развитие несет с собой не только повышение комфорта, но и увеличение угроз для конфиденциальности людей, использующих умные гаджеты, подключенные к интернету. Количество смарт-устройств в наших домах растет, а система защиты данных в подавляющем большинстве из них практически отсутствует. Любой желающий (и хотя бы что-то понимающий в программировании и разработке malware) может получить доступ к управлению чужим гаджетом. Для того чтобы этого не происходило, необходима надежная система аутентификации пользователей, которые запрашивают доступ к панели управления умных устройств. По всей видимости, поиск удобных и надежных решений этой задачи красной нитью будет проходить через весь 2016 год.

Какой из методов авторизации станет новым стандартом — вопрос еще открытый. Пока же специалисты тестируют и анализируют, у обычного пользователя всегда остается проверенная временем двухфакторная аутентификация. Пока что именно она способна наилучшим образом установить подлинность пользователя, претендующего на доступ к учетной записи на сайте или к панели управления смарт-устройством.