База знаний Антона Сидорова
База знаний по аналитике, ИТ архитектуре, API. Документирование. Тесты инструментов.
Project maintained by daemon110282 Hosted on GitHub Pages — Theme by mattgraham
Two-factor authentication (2FA)
Зачем
- Повысить безопасноть
- Метод защиты данных, при котором для входа в систему применяется два независимых способа подтверждения личности.
Паттерны
- OTP
- SMS
- Push
- Если пользователь вошел в приложение на другом устройстве, ему отправляется push-уведомление.
- Он может подтвердить вход одним нажатием.
- Требует наличия доверенного устройства.
- FlashCall Верификация через звонок
- Резервные (одноразовые) коды
- Аутентификация через приложение (TOTP)
- HMAC based OTP (HOTP)
- Time based OTP (TOTP)
- Passwordless Биометрия (Face ID, Touch ID)
- сдал биометрию в отделениях банков или через приложение Госуслуг
- ЛК ПИН код
- Поддержка и верификация личности
Резервные (одноразовые) коды
Резервные коды – это заранее сгенерированные одноразовые пароли, которые пользователь может использовать для входа, если не может получить SMS-код или использовать другие методы 2FA.
Алгоритм:
-
Генерация и хранение кодов При включении 2FA система генерирует несколько (обычно 5–10) уникальных одноразовых кодов. Коды отображаются пользователю один раз (например, в виде списка) с предложением их сохранить в безопасном месте. Каждый код можно использовать только один раз.
-
Использование резервных кодов Если пользователь не может получить SMS или код из приложения-аутентификатора, он выбирает опцию «Использовать резервный код». Вводит один из ранее сохраненных кодов. Если код корректный, пользователь получает доступ. Интернет нужен для проверки кода Сервер должен убедиться, что введенный код: Существует в базе резервных кодов пользователя. Еще не был использован (так как каждый код одноразовый). Принадлежит правильному аккаунту. Код, который использовался, больше недействителен.
-
Обновление резервных кодов Если у пользователя заканчиваются коды, он может запросить новый набор (обычно после входа в аккаунт). Новый список заменяет старые коды. Пользователь снова должен сохранить их в надежном месте.
Passwordless Беспарольные методы
- Passwordless authentication означает, что пользователь может подтвердить доступ к приложению или IT-системе, не предоставляя пароль и не отвечая на секретные вопросы
- К беспарольным методам относятся
- биометрия (вход в систему по отпечатку пальца, сердцебиению, походке, клавиатурному почерку, сетчатке, голосу, лицу и так далее).
- по QR-коду (как в Telegram)
- с помощью push-сообщения
- На уровне устройств, браузеров может быть реализована по протоколу WebAuthn, FIDO2\CTAP2