Vícefaktorová autentizace ( MFA , anglicky multi-factor authentication , MFA ) - pokročilá autentizace , metoda řízení přístupu k něčemu ( počítač , stránka atd.), při které musí uživatel předložit více než jeden „důkaz o mechanismu autentizace“. ", abyste získali přístup k informacím.
Kategorie takových důkazů zahrnují:
Hlavní článek: Autentizace
Ještě před příchodem počítačů se používaly různé charakteristické rysy předmětu, jeho charakteristiky. Nyní závisí použití té či oné charakteristiky v systému na požadované spolehlivosti, bezpečnosti a nákladech na implementaci. Existují tři faktory ověřování:
Podle odborníků vícefaktorová autentizace drasticky snižuje možnost krádeže identity online, protože ke spáchání podvodu nestačí znát heslo oběti. Mnoho přístupů vícefaktorové autentizace však zůstává zranitelných vůči útokům phishing , man-in-the-browser a man-in-the- midth .
Hlavní článek: Autentizace
Při volbě toho či onoho faktoru či způsobu autentizace pro systém je nutné vycházet především z požadovaného stupně zabezpečení, nákladů na vybudování systému a zajištění mobility subjektu.
Zde je srovnávací tabulka:
| Míra rizika | Požadavky na systém | Technologie ověřování | Příklady aplikací |
|---|---|---|---|
| Krátký | Pro přístup do systému je vyžadována autentizace a krádež, hackování, vyzrazení důvěrných informací nebude mít významné důsledky | Doporučeným minimálním požadavkem je použití opakovaně použitelných hesel. | Registrace na portálu na internetu |
| Průměrný | Pro přístup do systému je vyžadována autentizace a krádež, hackování, vyzrazení důvěrných informací způsobí malé škody | Doporučeným minimálním požadavkem je použití jednorázových hesel | Provádění bankovních operací subjektem |
| Vysoký | Pro přístup do systému je vyžadována autentizace a krádež, hackování, vyzrazení důvěrných informací způsobí značné škody | Doporučený minimální požadavek – použijte vícefaktorové ověření | Provádění velkých mezibankovních transakcí vedoucími pracovníky |
Standard zabezpečení dat odvětví platebních karet (PCI), požadavek 8.3, vyžaduje použití MFA pro veškerý vzdálený síťový přístup mimo síť do prostředí Card Data Environment (CDE). [1] Počínaje PCI-DSS verze 3.2 je použití MFA vyžadováno pro jakýkoli administrativní přístup k CDE, i když je uživatel v důvěryhodné síti.
Dvoufaktorová autentizace ( DFA , anglicky two-factor authentication , známá také jako dvoufázové ověření ) je druh vícefaktorové autentizace. DFA je technologie, která umožňuje identifikaci uživatele kombinací dvou různých komponent.
Příklady dvoufaktorové autentizace jsou autorizace Google a Microsoft . Když se uživatel přihlásí z nového zařízení, je kromě ověření uživatelského jména a hesla požádán o zadání šestimístného (Google) nebo osmimístného (Microsoft) ověřovacího kódu. Účastník jej může obdržet prostřednictvím SMS , pomocí hlasového hovoru na svůj telefon, potvrzovací kód lze získat z předem sestaveného registru jednorázových kódů nebo lze ve zkratce vygenerovat nové jednorázové heslo pomocí autentizační aplikace. časová období . Metoda se volí v nastavení účtu Google nebo Microsoft, resp.
Výhoda dvoufaktorové autentizace prostřednictvím mobilního zařízení:
Nevýhody dvoufaktorové autentizace prostřednictvím mobilního zařízení:
Nyní mnoho velkých služeb, jako je Microsoft, Google, Dropbox, Facebook, již poskytuje možnost používat dvoufaktorové ověřování. A pro všechny můžete použít jedinou ověřovací aplikaci , která splňuje určité standardy, jako je Google Authenticator, Microsoft Authentificator, Authy nebo FreeOTP.
Mnoho produktů vícefaktorové autentizace vyžaduje, aby uživatel měl klientský software, aby systém vícefaktorové autentizace fungoval. Někteří vývojáři vytvořili samostatné instalační balíčky pro přihlášení k síti, přihlašovací údaje pro webový přístup a připojení VPN. Chcete-li s těmito produkty používat token nebo čipovou kartu , budete muset na svůj počítač nainstalovat čtyři nebo pět speciálních softwarových balíčků. Mohou to být balíčky pro správu verzí nebo balíčky pro kontrolu konfliktů s obchodními aplikacemi. Pokud lze přístup provést pomocí webových stránek, nevzniknou žádné neočekávané náklady. S jinými softwarovými řešeními pro vícefaktorovou autentizaci, jako jsou „virtuální“ tokeny nebo některé hardwarové tokeny, žádný ze softwaru nemohou instalovat přímí uživatelé.
Vícefaktorové ověřování není standardizováno. Existují různé formy jeho implementace. Problém tedy spočívá v jeho schopnosti interakce. Existuje mnoho procesů a aspektů, které je třeba vzít v úvahu při výběru, vývoji, testování, implementaci a údržbě kompletního systému správy identit zabezpečení, včetně všech příslušných autentizačních mechanismů a souvisejících technologií: všechny tyto popsal Brent Williams v kontextu „Identity Životní cyklus" [1]
Vícefaktorová autentizace má řadu nevýhod, které brání její distribuci. Zejména pro člověka, který této oblasti nerozumí, je těžké sledovat vývoj hardwarových tokenů nebo USB klíčů. Mnoho uživatelů není schopno nainstalovat certifikovaný klientský software sami, protože nemají odpovídající technické dovednosti. Obecně platí, že vícefaktorová řešení vyžadují dodatečné náklady na instalaci a provoz. Mnoho hardwarových komplexů založených na tokenech je patentováno a někteří vývojáři účtují uživatelům roční poplatek. Z logistického hlediska je umístění hardwarových tokenů obtížné, protože se mohou poškodit nebo ztratit. Vydávání tokenů ve velkých organizacích, jako jsou banky a další velké podniky, by mělo být regulováno. Kromě nákladů na instalaci vícefaktorové autentizace se značná částka platí také za údržbu. V roce 2008 provedl hlavní mediální zdroj Credit Union Journal průzkum mezi více než 120 americkými družstevními záložnami. Účelem průzkumu je ukázat náklady na údržbu spojené s dvoufaktorovou autentizací. Nakonec se ukázalo, že nejvyšší náklady stojí certifikace softwaru a přístup k nástrojové liště.
V roce 2013 Dotcom, Kim tvrdil, že vynalezl dvoufaktorovou autentizaci patentovanou v roce 2000 [4] a krátce pohrozil žalobou na všechny hlavní webové služby. Evropský patentový úřad však jeho patent [5] zrušil ve světle dřívějšího amerického patentu z roku 1998, který vlastnila AT&T. [6]