Мне поручено находить и оценивать некоторые библиотеки аутентификации для использования в одном из наших продуктов, а одна из функций продажи, которую вызывают некоторые решения, - это «двухфакторная аутентификация».Что такое двухфакторная аутентификация?
Что это за метод и как он работает? Есть ли лучшие методы (например, трехфакторная аутентификация, я думаю)?
Два фактора аутентификации использует два фактора аутентификации человека (или иногда процесс).
Это может быть PIN-код (что-то вы знаете) и дебетовая карта (что-то у вас есть).
Есть много факторов аутентификации, которые могут быть использованы:
факторов аутентификации применяются для специальной процедуры аутентификации человека как личности с окончательно предоставленных правами доступа. Существуют различные типы факторов для аутентификации:
- Человеческий фактор неразрывно связаны с человеком, например биометрические («Что-то вы»).
- Личные факторы в противном случае мысленно или физически распределены для физическое лицо, например, узнало . («Что-то вы знаете»)
- Технические факторы связаны с физическими средствами, например, с проходом, идентификационной карточкой или жетоном.(«Что-то у вас есть »)
Какие факторы вы выбираете в зависимости от типа доступа требуется, безопасности, необходимой, стоимости, и особенно то, что люди готовы мириться.
Люди раздражаются сильными паролями, которые меняются каждые 4 месяца, поэтому вы можете найти сотрудников более счастливыми с ноутбуками, у которых есть сканеры отпечатков пальцев, и они могут использовать слабый пароль и отпечаток пальца - для пользователей может быть проще проверить два фактора.
Но другим может не нравиться вопрос о конфиденциальности в отношении биометрической безопасности и, скорее, нести вокруг устройства для связывания ключей, которое будет выдавать номера, которые вводятся вместе с паролем.
В ситуациях повышенной безопасности могут потребоваться все три фактора - что-то, что у вас есть, например, карта, что-то такое, как визуализация сетчатки, и то, что вы знаете, например пароль.
Но затраты и раздражение растут по мере того, как вы добавляете больше уровней.
-Adam
Ха-ха, жир шанс получить лазер в любой точке моей сетчатки. Но это хорошее объяснение. Интересно, будет ли анализ мочи рабочей силой (и содрогаться на устройстве, которое это делает). – paxdiablo
Мне любопытно. Почему технические и человеческие не одинаковы? Наверняка ваши отпечатки пальцев/сетчатки все еще есть у вас? Мне напомнили о фильме «Человек-разрушитель», где Уэсли Снайпс вырвал глаз у ребят, чтобы потом использовать сканер сетчатки (сродни краже карты VISA). – paxdiablo
Человеческие факторы не могут быть изменены (в идеале). Таким образом, как только ваш отпечаток скомпрометирован (например, скопирован), вы никогда не сможете использовать его снова - у кого-то есть его копия. Не похоже, что вы можете просто получить новую визу. Как только все ваши пальцы будут скопированы, вы не сможете использовать отпечатки пальцев в качестве фактора ... –
Его, когда два (или более) разных фактора используются для аутентификации кого-то.
Например, банк может запросить у вас номер вашей учетной записи и номер буфера. И иногда, например, когда вы звоните в колл-центры, они могут задать вам дополнительные факторы, такие как имя, док, номер телефона, адрес и т. Д.
Теория состоит в том, что чем больше факторов вы можете аутентифицировать, тем выше вероятность того, что вы имеете дело с правильным человеком. Насколько хорошо он работает и сколько безопасней это спорно, на мой взгляд ...
факторы включают в себя:
Ваши примеры в параграфе. 2 не имеют разных факторов - они являются примерами одного фактора. Ваши факторы из права «Факторы включают» указывают на то, что может быть несколькими факторами: у вас есть плюс то, что вы знаете, это 2 фактора; 2 раза то, что вы знаете, нет. –
Итак, ваша реальная карта VISA и PIN-код - это два разных фактора, да?Но ваши отпечатки пальцев и изображение сетчатки и татуировка на ягодицах - один из факторов (что-то у вас есть). – paxdiablo
Исправить. Многие банки используют «1.5-факторную аутентификацию» - пароль (что-то вы знаете) и вопрос безопасности (что-то, что вы также знаете), но пытайтесь притвориться, что это действительно 2 фактора. –
"Существуют ли более эффективные методы (такие как аутентификация три фактора, я думаю)?"
Вопрос не просто Подробнее Факторы. Это лучшее сочетание факторов.
Пароли легко теряются и скомпрометированы. Люди пишут их на липках и кладут их на дно своих клавиатур.
Другие факторы, не относящиеся к паролю, являются частью микса. Для приложений на базе браузера вы можете использовать IP-адрес и другой материал для ПК, который плавает в составе HTTP-заголовков. Для настольных приложений (например, VPN-соединений) независимые генераторы ключей или подключаемые USB-считыватели могут обеспечить дополнительные факторы.
Я возьму это с совершенно другого такта. Конечно, все эти ответы верны, но я хочу немного расширить тему - подумать о том, где &, когда применять двухфакторную аутентификацию. Существуют три области, где может использоваться сильная аутентификация: аутентификация сеанса, взаимная аутентификация и аутентификация транзакций. Session auth - это то, о чем думают большинство людей, когда думают о 2FA. Но представьте себе, если бы людям приходилось использовать OTP при совершении банковских транзакций. Поверхность атаки идет от «при входе в систему» до «При совершении транзакции», что намного меньше. если аутентификация транзакции использует систему открытых ключей для подписи tx, то все лучше.
Взаимная аутентификация - это система, которая пытается помешать атакам MiTM. Вы можете думать о маленьких картинах, которые используют некоторые банковские сайты, но они совершенно неэффективны, потому что криптона не задействовано. вот как мы делаем взаимную аутентификацию, проверяя сертификат ssl сайта для пользователя: http://www.wikidsystems.com/learn-more/technology/mutual_authentication/. Конечно, есть и другие способы сделать то же самое.
Лучшая аутентификация «Max Factor», использующая ваш макияж, чтобы определить, кто вы, но в основном работает только для женщин. –