Как работает двухфакторная аутентификация 2FA и зачем она нужна

Пароль по-прежнему остается самым распространенным способом входа в корпоративную сеть. Злоумышленник может подобрать или перехватить его, например с помощью фишинга, а затем действовать под учетной записью сотрудника. Поэтому для защиты доступа к корпоративным системам одного пароля часто недостаточно. Двухфакторная аутентификация добавляет еще один этап проверки пользователя при входе в систему и снижает риск несанкционированного доступа, даже если пароль был скомпрометирован.

Что такое двухфакторная аутентификация

Двухфакторная аутентификация (2FA) — это проверка подлинности пользователя с помощью двух разных факторов аутентификации. Например, пользователь использует смарт-карту и вводит PIN-код для работы с ней. В этой схеме сочетаются фактор владения устройством аутентификации и фактор знания PIN-кода. Аутентификация считается успешной только при положительном результате проверки обоих факторов.

Чтобы понять роль 2FA, важно различать три понятия:

• идентификация — пользователь сообщает системе, кто он, например вводит логин;
• аутентификация — пользователь подтверждает, что логин принадлежит ему, например с помощью пароля;
• авторизация — система определяет, какие ресурсы и действия доступны этому пользователю.

2FA относится к аутентификации — проверке подлинности пользователя.

Как работает двухфакторная аутентификация

В типичной схеме 2FA после проверки пароля система запрашивает дополнительное подтверждение входа.

Такой вход проходит в несколько шагов:

1. Пользователь вводит логин и пароль.
2. Система проверяет, правильно ли введены учетные данные.
3. Пользователь подтверждает вход другим способом: например, вводит одноразовый код из приложения на смартфоне или одобряет push-запрос.
4. Если пароль введен верно и вход подтвержден вторым способом, система предоставляет доступ.

В такой схеме одного пароля для входа недостаточно. Даже если его узнает посторонний, ему потребуется пройти дополнительную проверку.

Чем двухфакторная аутентификация отличается от двухэтапной

В ГОСТ Р 58833-2020 (п. 3.30) определен термин «многошаговая идентификация и аутентификация» — последовательность процессов идентификации и аутентификации. Термин «двухэтапная аутентификация» в этом стандарте не определен.

Многошаговая проверка описывает организацию процесса, а двухфакторная аутентификация — использование двух разных типов факторов.

Например, пароль и ответ на секретный вопрос — это два шага, но оба относятся к фактору знания. В строгом смысле это не 2FA.

Пароль и одноразовый код из приложения — два разных фактора: то, что пользователь знает, и то, чем он владеет. Такая схема относится к двухфакторной аутентификации.

Выражение «двухэтапная аутентификация (2FA)» встречается в повседневной речи, но эти понятия не равнозначны: проверка в два шага относится к 2FA только при использовании двух разных факторов.

Какие бывают факторы аутентификации

Выделяют три основные группы факторов аутентификации.

1. То, что пользователь знает

К фактору знания относится секретная информация: пароль, PIN-код или кодовая фраза. Такой фактор удобен, но секрет можно подсмотреть, подобрать или украсть.

2. То, чем пользователь владеет

К фактору владения относятся устройства и средства аутентификации: смартфон с приложением-аутентификатором, смарт-карта, USB-токен, аппаратный OTP-токен или другое зарегистрированное устройство. Чтобы подтвердить владение таким средством, пользователь, например, вводит сгенерированный одноразовый код.

3. То, что связано с пользователем

К этой категории относится биометрический фактор: например, проверка отпечатка пальца или распознавание лица.

Согласно пункту 6.7 ГОСТ Р 58833-2020, биометрический фактор должен использоваться только совместно с другими факторами. Применять его как единственный фактор при однофакторной аутентификации стандарт не допускает.

Например, биометрическая проверка может открывать доступ к аутентификационной информации на токене. Тогда используются биометрический фактор и фактор владения устройством. Такой подход предусмотрен в примерах устройств аутентификации в приложении В к стандарту.

Для 2FA нужны два разных фактора. Два пароля, даже если они вводятся по очереди, двухфакторной аутентификацией не считаются.

Какие методы 2FA используются чаще всего

Для подтверждения входа используют одноразовые коды, push-запросы, аппаратные аутентификаторы и биометрию. Выбор способа зависит от инфраструктуры, требований безопасности и удобства пользователей.

Одноразовые коды TOTP

TOTP — это одноразовый код, который генерируется приложением или аппаратным устройством на основе секретного ключа и текущего времени или счетчика событий. Код действует ограниченное время, а для его генерации интернет не нужен.

Однако такой способ не защищает от фишинга: если пользователь введет код на поддельной странице, злоумышленник может успеть воспользоваться им для входа в настоящий сервис.

Push-подтверждение

В приложение на зарегистрированном устройстве приходит запрос на вход. Пользователь проверяет его и подтверждает или отклоняет. Для получения push-уведомления и отправки ответа устройство должно быть подключено к интернету — через Wi-Fi или мобильную сеть.

Код не нужно вводить вручную. При этом важно проверять сведения о входе и отклонять запросы, которые пользователь не инициировал. Неожиданное уведомление может быть связано с попыткой постороннего войти в учетную запись.

SMS и коды по другим каналам

Код двухфакторной аутентификации приходит по SMS, электронной почте или через мессенджер. Пользователь вводит этот одноразовый код на странице входа после пароля.

Надежность такой проверки зависит от защищенности канала доставки. Если злоумышленник получит доступ к сообщениям, он сможет перехватить код. Поэтому важно учитывать, как защищены почта, учетная запись мессенджера или номер телефона.

Смарт-карты и USB-токены

Для входа пользователь подключает аппаратный аутентификатор или прикладывает смарт-карту к считывателю. В зависимости от схемы может потребоваться пароль учетной записи или PIN-код устройства. Двухфакторная аутентификация с сертификатом также предполагает проверку двух разных факторов.

Возможности защиты зависят от типа аутентификатора и протокола. Например, ключи безопасности FIDO2/WebAuthn привязывают проверку к конкретному сайту и обеспечивают устойчивость к фишингу.

Биометрия

Биометрические данные могут быть частью многофакторной схемы аутентификации. Для подтверждения личности используют отпечаток пальца, распознавание лица или другие биометрические характеристики. Конкретная реализация зависит от устройства и системы аутентификации.

От каких угроз защищает 2FA

2FA снижает риск несанкционированного доступа, если пароль пользователя стал известен злоумышленнику.

Дополнительная проверка полезна, если:

• произошла утечка пароля;
• злоумышленник подобрал или угадал пароль;
• сотрудник использовал один пароль в нескольких сервисах, и в одном из них произошла утечка информации;
• пользователь ввел пароль на фишинговой странице.

В этих случаях для входа злоумышленнику потребуется не только пароль, но и подтверждение второго фактора.

Защищает ли 2FA от всех атак

Нет. Двухфакторная аутентификация повышает уровень защиты доступа, но не делает учетную запись неуязвимой.

Риск несанкционированного доступа сохраняется, если пользователь сам передал одноразовый код злоумышленнику или подтвердил запрос на вход, который не инициировал. Угрозу также представляют заражение компьютера и потеря устройства, если посторонний может использовать его для подтверждения входа.

Устойчивость к фишингу зависит от выбранного метода 2FA. Поэтому для критичных систем нужно учитывать не только наличие второго фактора, но и его тип, порядок восстановления доступа и действия при потере аутентификатора.

Чем 2FA отличается от MFA

2FA — частный случай многофакторной аутентификации, или MFA (Multi-Factor Authentication).

При 2FA используются два разных типа факторов. MFA — более широкое понятие: такая схема включает два или больше факторов аутентификации.

Например:

• пароль + код TOTP — 2FA;
• пароль + смарт-карта — 2FA;
• пароль + аппаратный токен + дополнительная биометрическая проверка — MFA с тремя факторами аутентификации.

Любая двухфакторная аутентификация относится к MFA, но не каждая схема MFA ограничивается двумя факторами.

Где двухфакторная аутентификация нужна в компании

В корпоративной инфраструктуре двухфакторная аутентификация пользователей особенно полезна для защиты доступа к важным системам и данным.

Ее применяют для следующих ресурсов и сценариев работы:

• рабочие станции;
• VPN и удаленный доступ;
• виртуальные рабочие столы (VDI);
• веб-приложения;
• корпоративные информационные системы;
• административные интерфейсы;
• PAM-системы;
• сервисы с конфиденциальными данными.

Требования к аутентификации могут различаться в зависимости от ресурса. Например, для внутреннего портала и критичной системы компания может выбрать разные способы подтверждения входа с учетом последствий несанкционированного доступа.

Как выбрать способ двухфакторной аутентификации

Чтобы выбрать способ 2FA или сервис двухфакторной аутентификации, нужно учесть риски безопасности, особенности инфраструктуры и удобство сотрудников.

При оценке вариантов обратите внимание на следующие критерии:

Критичность ресурса. Чем серьезнее последствия несанкционированного доступа к системе, тем строже должны быть требования к аутентификации.

Сценарий работы. Для VPN, рабочей станции, веб-приложения и административной панели могут подходить разные методы. Важно, чтобы выбранный способ был совместим с системами, которые использует компания.

Удобство для сотрудников. Подтверждение входа должно быть понятным и не требовать лишних действий. Сложная процедура может приводить к ошибкам и увеличивать нагрузку на техподдержку.

Зависимость от сети. Некоторые способы аутентификации требуют подключения к интернету или мобильной сети. Коды TOTP можно генерировать без подключения, но возможность самого входа без сети зависит от системы.

Восстановление доступа. Заранее определите, как заблокировать потерянный смартфон, токен или смарт-карту в системе аутентификации и восстановить доступ сотрудника после проверки его личности.

Централизованное управление. Если в компании много приложений, важно иметь возможность управлять правилами аутентификации из единой консоли. Это упрощает настройку и изменение требований к входу.

Как подключитьдвухфакторную аутентификацию в компании

Начните с определения систем и способов подключения, через которые сотрудники получают доступ к корпоративным ресурсам.

Основные этапы внедрения:

1. Определить системы, для которых нужна усиленная аутентификация.
2. Оценить риски безопасности с учетом полномочий пользователей и важности ресурсов.
3. Выбрать способы подтверждения входа для разных сценариев работы.
4. Определить порядок регистрации, замены и блокировки аутентификаторов.
5. Настроить восстановление доступа с обязательной проверкой личности сотрудника.
6. Запустить пилот на небольшой группе сотрудников, проверить совместимость и удобство входа.
7. По результатам пилота скорректировать настройки и поэтапно подключить остальных пользователей и запланированные системы.
8. Организовать мониторинг событий аутентификации, включая неудачные попытки входа.

Такой подход помогает защитить наиболее уязвимые точки доступа и учесть повседневные задачи сотрудников.

Как организовать 2FA и MFA с Indeed Access Manager

При подключении 2FA для нескольких корпоративных систем удобнее управлять настройками аутентификации централизованно.

Indeed Access Manager (Indeed AM) позволяет задавать политики доступа и использовать разные способы усиленной аутентификации для корпоративных ресурсов.

С помощью Indeed AM можно защищать доступ к рабочим станциям Windows и Linux, VPN, виртуальным рабочим столам (VDI), Microsoft Remote Desktop Services, веб- и настольным приложениям, PAM-системам и другим подключенным ресурсам.

Для интеграции используются распространенные протоколы и механизмы, включая RADIUS, SAML, OpenID Connect, OAuth 2.0, Kerberos и LDAP.

В зависимости от сценария доступны следующие способы подтверждения входа:

• push-подтверждение через мобильное приложение Indeed Key;
• одноразовые коды TOTP и HOTP;
• смарт-карты и USB-токены;
• другие поддерживаемые программные и аппаратные средства аутентификации.

Методы аутентификации можно использовать отдельно или объединять в многофакторные цепочки. Для 2FA необходимо сочетание двух разных типов факторов. Требования к входу можно настраивать с учетом важности ресурса и рисков несанкционированного доступа, сохраняя удобство работы сотрудников.

Главное о двухфакторной аутентификации

Двухфакторная аутентификация защищает доступ с помощью двух разных факторов. Если пароль украден, для входа все равно потребуется дополнительное подтверждение личности.

В корпоративной инфраструктуре необходимо выбрать методы аутентификации для разных систем, определить правила их применения и организовать централизованное управление.

Чем больше в инфраструктуре приложений, рабочих станций и удаленных подключений, тем важнее единый подход к настройке аутентификации, восстановлению доступа и мониторингу событий входа.

Часто задаваемые вопросы

Что такое 2FA простыми словами

Двухфакторная аутентификация (2FA) — это проверка подлинности пользователя с помощью двух разных факторов аутентификации. Например, пользователь применяет смарт-карту и вводит PIN-код: карта обеспечивает фактор владения, а PIN-код — фактор знания. Для успешной аутентификации необходимо пройти проверку обоих факторов.

Чем отличаются аутентификация и идентификация

При входе идентификация позволяет распознать зарегистрированного пользователя по предъявленному идентификатору, например логину. Аутентификация проверяет подлинность пользователя и принадлежность ему предъявленного идентификатора и аутентификационной информации. Идентификационные данные описывают пользователя через связанные с ним атрибуты и их значения.

Считаются ли два пароля двухфакторной аутентификацией

Нет. Оба пароля относятся к одному типу факторов — тому, что пользователь знает. Для 2FA нужны два разных фактора, например знание пароля и владение устройством с приложением-аутентификатором.

Что лучше: SMS или приложение-аутентификатор

Выбор зависит от задачи. Для получения SMS нужна мобильная связь, а приложение может генерировать коды TOTP без подключения к сети. При этом оба способа уязвимы к фишингу: злоумышленник может перехватить действующий код. Для критичных систем важно учитывать устойчивость выбранного метода к таким атакам.

Можно ли использовать 2FA без пароля

Да, если система поддерживает комбинацию двух других независимых факторов. Пароль — лишь один из возможных факторов аутентификации. Например, система может проверять владение аппаратным аутентификатором и запрашивать биометрическое подтверждение. Такая схема должна поддерживаться устройством и системой аутентификации в компании.

Можно ли взломать двухфакторную аутентификацию

Да. 2FA не делает учетную запись неуязвимой. Например, злоумышленник может получить доступ, если пользователь передаст ему одноразовый код или подтвердит чужой запрос на вход. Устойчивость к фишингу зависит от выбранного метода.

Что делать при потере устройства для аутентификации

Если потерян смартфон, токен или смарт-карта, нужно как можно быстрее заблокировать использование соответствующего аутентификатора для входа в систему. Затем нужно пройти предусмотренную процедуру восстановления доступа и зарегистрировать новый аутентификатор.

Безопасный порядок восстановления доступа при потере устройства необходимо предусмотреть еще до внедрения 2FA.

Как поставить двухфакторную аутентификацию на личный аккаунт

Двухфакторную аутентификацию аккаунта обычно подключают в настройках безопасности сервиса. При этом важно заранее настроить доступные способы восстановления доступа.