Пароли? 2FA? Биометрия? Мозги!

Сегодня о недостатках парольной защиты не слышал только ленивый! Каждый день мы слышим о том, что пароль должен быть не менее 12 символов длиной, содержать три набора символов из четырех, не быть словом и т.д. Да еще и на каждый веб-сайт и приложение быть другим и регулярно изменяться. Кто это делает на самом деле? Особенно при персональном использовании? Чаще всего никто. Более того, чаще всего пароль — это осмысленное слово и на все приложения он одинаков. Все мы читаем что это небезопасно, плохо, но тем не менее большинство пропускает эти рекомендации мимо ушей.

2FA – двухфакторная (двухэтапная) аутентификация. Отвечает на вопросы «Что я знаю? Что я имею?» Как правило это PIN+счетчик одноразовых паролей или токен. В случае персонального использования чаще всего схема использования проста. Ввел пароль, получил SMS с кодом, ввел код.

При корпоративном использовании требует наличие токенов, разворачивания центра сертификации, системы управления токенами. Как правило, такая система достаточно дорога сама по себе. Да еще и людей обучать нужно.

В любом случае пользователи жалуются на неудобство и замедление работы.

Биометрия. Чаще всего используются датчики отпечатков пальцев, снимки лица и сканирование радужки глаза.

Увы, датчики не отличают живое от неживого, в связи с чем дактилоскопические датчики обманываются муляжами, снимки лица чаще всего обманываются фотографиями, радужка глаза неудобна в случае если человек носит очки и тем более контактные линзы.

На сегодня по мнению компании Microsoft все технологии, кроме парольной защиты, это своего рода удобство. На чем основано такое мнение? Начиная с версии Windows 8 и отпечаток пальца и PIN-код можно использовать только в том случае, если предварительно вашей учетной записи присвоен устойчивый пароль.

Как быть?

Что объединяет все эти технологии? Правильно. Недовольство пользователей. И то не так и это не эдак.

Пароли – неудобно, запоминать нужно!

2FA – дорого, да и требует дополнительного времени!

Биометрия – несовершенно, обманывается муляжами.

На самом деле пользователь сегодня не желает думать о собственной безопасности, а уж тем более применять для ее соблюдения определенные усилия. И без обучения пользователей, увы, добиться решительного перелома невозможно!

Реклама

5 Responses to Пароли? 2FA? Биометрия? Мозги!

  1. Строго говоря, пароли не обязательно все запоминать, и/или делать все одинаковыми. Есть ведь «парольницы» (LastPass — всё происходит в браузере; KeePass и т.п.)

    По опыту, хранение всей этой кучи сложных паролей в KeePass, когда база и ключ хранятся в разных шифрованных контейнерах, вполне удобно.

    А рядовой пользователь и не будет по доброй воле учиться минимальным требованиям безопасности. Лень и отсутствие умения нести ответственность за собственные учётные записи — страшная сила.

    Двухфакторная аутентификация тоже палка о двух концах — что, если мобильное устройство сломается или его украдут?

    • Сломается или украдут — не страшно, вы всегда можете ведь сами изменить параметры

      • Так-то оно так…

        Но вот была цепочка случаев, когда у мобильных операторов не очень добросовестные сотрудники делали SIM-карты — дубликаты реально существующих.

        Опуская подробности, достаточно дождаться, когда устройство законного владельца карты выйдет из эфира и подключить дубликат. Теперь он принимает все эти SMS и всё прочее.

        Насколько мне известно, есть реальные случаи эксплуатации такого трюка. Я уж и не знаю, какому устройству модно больше доверять — разве что (аппаратному) токену авторизации.

        Спасибо.

  2. Из биометрии Fujitsu PalmSecure, вроде ещё не взломали.

Добавить комментарий

Заполните поля или щелкните по значку, чтобы оставить свой комментарий:

Логотип WordPress.com

Для комментария используется ваша учётная запись WordPress.com. Выход / Изменить )

Фотография Twitter

Для комментария используется ваша учётная запись Twitter. Выход / Изменить )

Фотография Facebook

Для комментария используется ваша учётная запись Facebook. Выход / Изменить )

Google+ photo

Для комментария используется ваша учётная запись Google+. Выход / Изменить )

Connecting to %s

%d такие блоггеры, как: