Аутентификация — проверка подлинности¶

Аутентификация — это процедура проверки подлинности субъекта (пользователя, устройства, процесса или сообщения) посредством сопоставления предъявленных идентификаторов и аутентификационных данных с ранее зарегистрированными в системе. Результат аутентификации — подтверждение или отклонение заявленной идентичности, что является обязательным условием для последующего авторизации доступа к ресурсам.

¶Основные понятия

В информационной безопасности аутентификация опирается на три категории доказательств идентичности:

Современные системы, требующие повышенной безопасности, используют комбинацию двух и более категорий — так называемую многофакторную аутентификацию (MFA).

¶Классификация методов

¶Однофакторная аутентификация

Наиболее распространённый и наименее защищённый вариант — подтверждение идентичности только одним фактором, как правило, паролем. Парольная аутентификация реализуется в протоколах PPP (PAP, CHAP), HTTP (Basic, Digest), а также в механизмах входа в операционные системы и веб-приложения. Недостаток метода — уязвимость к перебору, фишингу и повторным атакам.

¶Многофакторная аутентификация

MFA предполагает одновременное использование факторов из разных категорий. Типичный пример — вход по паролю с подтверждением одноразовым кодом, отправленным на мобильный телефон. Многофакторная аутентификация существенно повышает устойчивость к компрометации: утечка пароля сама по себе не даёт злоумышленнику доступа без второго фактора.

¶Биометрическая аутентификация

Использует уникальные физиологические или поведенческие характеристики. Разделяют:

• Физиологическую биометрию — отпечатки пальцев, геометрию кисти, рисунок радужной оболочки, распознавание лица.
• Поведенческую биометрию — динамику набора текста, почерк, походку, особенности голоса.

Биометрическая аутентификация применяется в мобильных устройствах (сканер отпечатка, Face ID), на пропускных пунктах и в банковских системах идентификации клиентов.

¶Аутентификация на основе сертификатов

Использует асимметричное шифрование и инфраструктуру открытых ключей (PKI). Клиент предъявляет цифровой сертификат, подписанный доверенным центром сертификации, и доказывает владение закрытым ключом. Метод применяется в протоколах TLS (ранее SSL), в защищённом электронном документообороте, в системах корпоративного доступа (802.1X).

¶Протоколы аутентификации

• Kerberos — сетевой протокол тикетной аутентификации, основанный на симметричном шифровании и доверенных третьих сторонах (KDC). Широко используется в доменах Active Directory.
• RADIUS / TACACS+ — протоколы централизованной аутентификации при удалённом доступе и администрировании сетевого оборудования.
• OAuth 2.0 — протокол делегированной авторизации, часто ошибочно называемый аутентификацией; для собственно аутентификации в веб-приложениях применяется OpenID Connect, построенный поверх OAuth 2.0.
• SAML — стандарт обмена аутентификационными и авторизационными данными между доверенными сторонами, лежащий в основе федеративной идентичности.
• LDAP — протокол доступа к каталогам, служащий источником учётных записей для аутентификации в корпоративных средах.

¶Аутентификация в России

В российской практике аутентификация регулируется рядом нормативных актов. Федеральный закон «Об информации, информационных технологиях и о защите информации» (№ 149-ФЗ) и постановление Правительства РФ № 1119 устанавливают требования к защите персональных данных, включая обязательность аутентификации при доступе к информационным системам персональных данных. ГОСТ Р 50922-2006 «Защита информации. Средства защиты аутентификации. Основные понятия» определяет терминологию и классификацию средств аутентификации. Для государственных и критически важных информационных инфраструктур применяются требования ФСТЭК России (приказы № 21, № 239), предписывающие многофакторную аутентификацию и защиту от атак типа «человек посередине».

¶Уязвимости и атаки

Основные направления атак на механизмы аутентификации:

• Фишинг — вымогательство учётных данных поддельным сайтом или письмом.
• Атака перебором (brute force) — подбор пароля методом перечисления.
• Атака «человек посередине» (MITM) — перехват аутентификационных данных в канале связи.
• Повторная атака (replay) — повторное использование перехваченного токена или ответа.
• Атака «отказ в обслуживании» на этапе аутентификации — исчерпание ресурсов сервера множеством запросов.

Для противодействия применяются: хеширование паролей с солью (bcrypt, Argon2), ограничение числа попыток входа, CAPTCHA, мониторинг аномальной активности, а также переход от парольной аутентификации к криптографическим методам.

¶Связь с авторизацией

Аутентификация и авторизация — последовательные, но разные этапы. Аутентификация отвечает на вопрос «кто это?», авторизация — «что этому субъекту разрешено?». В системах с ролевым доступом (RBAC) после успешной аутентификации пользователю назначается роль, определяющая набор разрешённых операций. Разделение этих функций позволяет гибко управлять правами без изменения учётных данных.

Источники:

• ГОСТ Р 50922-2006. Защита информации. Средства защиты аутентификации. Основные понятия
• Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
• Приказ ФСТЭК России № 21. Перечень организационных и технических мер по защите персональных данных
• Stallings W. Cryptography and Network Security: Principles and Practice
• RFC 6749. The OAuth 2.0 Authorization Framework
• RFC 4120. The Kerberos Network Authentication Service (V5)