Аутентификация: определение и методы¶
Аутентификация — это процедура проверки подлинности субъекта (пользователя, устройства, процесса или сообщения) при доступе к информационной системе или ресурсу. В отличие от авторизации, которая определяет, какие действия разрешены, аутентификация отвечает на вопрос «кто это?» и подтверждает заявленную личность посредством проверки определённых данных.
¶Основные понятия
В контексте информационной безопасности аутентификация является первым этапом контроля доступа. Субъект предъявляет системе некий аутентификатор — набор данных, подтверждающих его личность. Система сверяет предъявленные данные с хранимой эталонной информацией и принимает решение о допуске или отказе.
Термин происходит от греческого authentikos — «подлинный, настоящий». В русскоязычной информатике закрепился англицизм «логин», обозначающий имя пользователя, и слово «пароль» (от французского passe-partout — «ключ ко всем дверям»), обозначающее секретную строку.
¶Факторы аутентификации
Все методы аутентификации принято классифицировать по трём категориям, называемым факторами:
| Фактор | Суть | Примеры |
|---|---|---|
| «Что-то, что вы знаете» | Знание секретной информации | Пароль, PIN-код, ответ на контрольный вопрос |
| «Что-то, что у вас есть» | Физический объект | Смартфон, USB-ключ, банковская карта, токен |
| «Что-то, чем вы являетесь» | Биометрические характеристики | Отпечаток пальца, сетчатка глаза, голос, рисунок вен |
Для повышения надёжности используют комбинации нескольких факторов — так называемая многофакторная аутентификация (MFA). Например, при входе в банк через интернет-клиент пользователь вводит пароль (знание) и подтверждает вход кодом из SMS (владение телефоном). Однофакторная аутентификация, например только по паролю, считается наименее защищённой.
¶Основные методы
¶По паролю
Наиболее распространённый и одновременно наименее надёжный метод. Пользователь задаёт секретную строку, которую система хранит не в открытом виде, а в виде хеша — результата одностороннего преобразования. При входе хеш вычисленного пароля сравнивается с сохранённым значением. Популярные алгоритмы хеширования: bcrypt, Argon2, PBKDF2. Слабые места: перебор паролей, фишинг, повторное использование паролей на разных сайтах.
¶По одноразовому коду
Система генерирует короткоживущий код, который пользователь получает отдельным каналом — по SMS, в push-уведомлении, через приложение-аутентификатор (Google Authenticator, Authy) или по электронной почте. Коды могут формироваться по алгоритму TOTP (Time-based One-Time Password, RFC 6238), основанному на синхронизации времени с секретным ключом.
¶По аппаратному ключу
Физическое устройство, например YubiKey, подключается к компьютеру по USB или взаимодействует по NFC. Ключи работают по протоколу FIDO2/WebAuthn, основанному на асимметричной криптографии: приватный ключ не покидает устройство, а сервер получает только публичный ключ. Такой подход устойчив к фишингу, поскольку ключ привязан к конкретному домену сайта.
¶Биометрическая
Система сравнивает предъявленную биометрическую характеристику с сохранённым шаблоном. В операционных системах широко применяются сканеры отпечатков пальца (Touch ID, Windows Hello) и распознавание лица. Биометрические данные неизменяемы, поэтому их утечка необратима — в отличие от пароля, который можно сменить. Поэтому хранят шаблоны в виде хешей и обрабатывают на защищённых модулях (Secure Enclave, TPM).
¶По сертификату
Используется асимметричная криптография: клиент предъявляет цифровой сертификат, подписанный удостоверяющим центром. Метод применяется в корпоративных сетях, для доступа к защищённым API и в электронном документообороте. На основе сертификатов строится протокол mutual TLS (mTLS), когда подтверждают подлинность обе стороны соединения.
¶По биометрии поведения
Относительно новый метод: система анализирует стиль набора текста, движение мыши, паттерны взаимодействия с сенсорным экраном. Используется преимущественно для непрерывной аутентификации — постоянной проверки личности во время сессии.
¶Стандарты и протоколы
Для веб-аутентификации применяются протоколы OAuth 2.0 (авторизация, но часто используется и для аутентификации через внешние провайдеры), OpenID Connect (слой поверх OAuth 2.0, предназначенный именно для аутентификации), SAML 2.0 (обмен аутентификационными данными между доменами, широко используется в корпоративной среде). В России для государственных и муниципальных информационных систем действует приказ ФСТЭК, устанавливающий требования к аутентификации, включая обязательную многофакторную проверку для отдельных категорий систем.
¶Проблемы и развитие
Основные проблемы современной аутентификации — усталость от паролей (password fatigue), фишинг и утечки баз хешированных паролей. Индустрия движется к концепции passwordless — отказу от паролей в пользу аппаратных ключей, биометрии и одноразовых кодов. Стандарты FIDO2 и Passkeys, продвигаемые альянсом FIDO, позволяют синхронизировать криптографические ключи между устройствами через облачные аккаунты, что делает безпарольный вход массовым.
Источники:
- RFC 6238 — Time-Based One-Time Password Algorithm
- Спецификация FIDO2/WebAuthn (W3C)
- Приказ ФСТЭК России от 11.02.2013 № 17 «Об утверждении состава и содержания организационных и технических мер по защите персональных данных при их обработке в информационных системах персональных данных»
- NIST SP 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management