Что такое многофакторная аутентификация (MFA)?

• Глоссарий IAM
• Что такое многофакторная аутентификация (MFA)?

Многофакторная аутентификация (MFA) — это мера безопасности, в рамках которой пользователям требуется проходить более одной аутентификации для доступа к службе или приложению.

Определение многофакторной аутентификации

Идея MFA заключается во введении дополнительного уровня безопасности (помимо традиционного использования имени пользователя и пароля) путем требования предоставления дополнительного подтверждения личности пользователя. Это дополнительное подтверждение называется фактором аутентификации. Существует четыре различных типа факторов аутентификации:

• Что-то, что вы знаете: Это может быть пароль, PIN-код или ответ на контрольный вопрос.

• Что-то, что вы имеете: Это может быть физический токен, такой как смарт-карта или USB-ключ безопасности, или виртуальный токен, сгенерированный приложением-аутентификатором на смартфоне пользователя. Эти виртуальные токены называются одноразовыми паролями (OTP) или одноразовыми паролями на основе времени (TOTP).

• Что-то, что является частью вас: Биометрическая информация, такая как отпечаток пальца, распознавание лица или сканирование радужной оболочки глаза.

• Ваше местоположение: Ваше географическое местоположение. Некоторые приложения и службы доступны только пользователям, находящимся в определенном географическом регионе. Этот фактор аутентификации часто используется в средах безопасности с нулевым доверием.

Системы MFA требуют, чтобы пользователи предоставили как минимум два разных фактора из двух разных категорий. Лучше всего пояснить это на примере:

• Система, требующая от пользователей ввода пароля и PIN-кода, не может считаться относящейся к MFA, потому что оба эти фактора относятся к категории «что-то, что вы знаете».
• Банкоматы использовали MFA на протяжении десятилетий. Они требуют, чтобы пользователи вставили карту банкомата (что-то, что у них есть) и ввели PIN-код (что-то, что они знают).

Помимо банкоматов, MFA широко используется для защиты учетных записей в Интернете, таких как электронная почта, онлайн-банкинг и облачное хранилище, а также для физического доступа в здания и другие защищенные зоны.

Не все факторы аутентификации равноценны

Некоторые системы MFA используют TOTP-пароли, отправляемые по телефону, текстовыми сообщениями или по электронной почте для аутентификации. Хотя эти методы предоставляют в принципе «законные» факторы MFA, многие эксперты по безопасности не одобряют их использование из-за того, что их можно легко скомпрометировать.

Поэтому в целях безопасности рекомендуется избегать использования электронной почты, телефонных звонков или текстовых сообщений для MFA, если доступны и другие методы. Более надежные варианты включают биометрию, физический токен безопасности и отдельное приложение для аутентификации.

В чем разница между MFA и 2FA?

2FA означает двухфакторную аутентификацию. Единственная разница между 2FA и MFA заключается в том, что 2FA относится к методу аутентификации, для которого требуется только два фактора аутентификации, тогда как MFA — это обобщенный термин, относящийся к системе, для которой требуется два или более факторов аутентификации.

Поэтому наш пример с банкоматом выше является примером использования 2FA, но назвать его MFA также правильно. И наоборот, система, требующая от пользователя вставки карты или ключа безопасности, ввода PIN-кода и сканирования отпечатка пальца, будет системой MFA, но не 2FA.

Какую защиту обеспечивает MFA?

Скомпрометированные пароли являются основной причиной утечек данных и атак программ-вымогателей. MFA предотвращает кибератаки, связанные с паролями, существенно усложняя взлом учетной записи злоумышленниками. Даже если злоумышленнику удастся получить рабочий пароль, он бесполезен без дополнительных факторов аутентификации. Согласно статистики Microsoft, MFA может блокировать более 99,9% атак, направленных на компрометацию учетной записи.

По этой причине MFA играет большую роль в обеспечении соответствия требованиям для ИТ. Многие отраслевые и нормативно-правовые базы требуют от организаций внедрения MFA для защиты своих внутренних систем. Многофакторная аутентификация также необходима для реализации системы безопасности с нулевым доверием, в рамках которой требуется явная проверка пользователи.

Внедрение MFA также может помочь повысить доверие пользователей к системе, поскольку это демонстрирует, что организация серьезно относится к безопасности и стремится защищать информацию пользователей.

Как реализовать многофакторную аутентификацию?

Для личных пользователей

Физические лица должны включить 2FA/MFA на всех веб-сайтах и в приложениях, которые ее поддерживают, чтобы защитить свои личные учетные записи от злоумышленников. Многие сайты и приложения знакомят пользователей с этим процессом при настройке учетной записи. В противном случае пользователи могут обратиться к справочным документам для сайта или приложения.

Помните, что не следует использовать электронную почту, текстовые сообщения или телефонные звонки в качестве фактора аутентификации, если только сайт или приложение не поддерживают другие методы.

Для бизнес-пользователей

Шаги, связанные с внедрением MFA, будут различаться в зависимости от конкретных потребностей и ресурсов вашей организации. Если вы не уверены в том, как действовать дальше, рекомендуется обратиться за помощью к эксперту по безопасности или ИТ-специалисту. Тем не менее, вот общий обзор необходимых шагов:

1. Определите типы факторов аутентификации для использования: Решите, какие факторы аутентификации использовать, исходя из ваших потребностей в безопасности и доступных ресурсов. Не забудьте выбрать как минимум два фактора из двух разных категорий и не используйте телефонные звонки, электронную почту или текстовые сообщения в качестве фактора аутентификации.

2. Выберите решение MFA: Существует множество коммерческих решений и решений с открытым исходным кодом, доступных для внедрения MFA. Выберите решение, поддерживающее выбранные вами факторы аутентификации и соответствующее вашему бюджету и техническим возможностям.

3. Интегрируйте решение MFA в свои системы: Это может включать интеграцию решения MFA в существующую систему аутентификации или замену существующей системы аутентификации решением с поддержкой MFA. Возможно, вам потребуется изменить код приложения или внести изменения в сетевую инфраструктуру.

4. Зарегистрируйте пользователей: После интеграции решения MFA в свои системы зарегистрируйте пользователей, предоставив им дополнительные факторы аутентификации, необходимые для решения MFA.

5. Контролируйте и поддерживайте решение MFA: Регулярно контролируйте производительность и безопасность решения MFA и обновляйте его по мере необходимости, чтобы поддерживать его эффективность.