Ошибка аутентификации¶
Ошибка аутентификации — отказ системы в подтверждении подлинности учётных данных пользователя, из-за которого доступ к ресурсу (сервису, приложению, серверу, базе данных) блокируется. Термин относится к области информационной безопасности и компьютерных сетей. Ошибка аутентификации не означает неудачную авторизацию: аутентификация подтверждает личность, а авторизация определяет объём прав после успешной проверки.
¶Причины возникновения
Наиболее частые причины ошибок аутентификации:
- Неверный логин или пароль — опечатка, забытые учётные данные, смена пароля без обновления на клиенте.
- Истёкший срок действия учётных данных — пароль или ключ API с ограниченным временем жизни.
- Некорректные настройки сервера — неверно указанный домен, порт, протокол (LDAP, Kerberos, RADIUS), несоответствие конфигураций клиента и сервера.
- Проблемы с синхронизацией времени — протокол Kerberos чувствителен к расхождению часов более чем на 5 минут.
- Блокировка учётной записи — превышение числа неудачных попыток входа, административная блокировка, подозрение в компрометации.
- Сетевые сбои — недоступность сервера аутентификации, обрыв связи, срабатывание межсетевого экрана.
- Проблемы с сертификатами — недействительный, просроченный или самоподписанный TLS-сертификат при взаимной аутентификации.
¶Типичные проявления в разных системах
¶HTTP и веб-сервисы
При использовании HTTP-аутентификации сервер возвращает код ответа 401 Unauthorized с заголовком WWW-Authenticate, указывающим схему проверки (Basic, Digest, Bearer). Для OAuth 2.0 ошибки оформляются в формате RFC 6749: invalid_client, invalid_grant, unauthorized_client. Популярные платформы (Google, Microsoft, Яндекс) возвращают коды вида 400.12, 401, 403 с описанием причины.
¶Windows и Active Directory
В доменных средах Windows ошибки аутентификации отражаются в кодах событий журнала безопасности: 4625 (неудачная попытка входа), 4771 (сбой Kerberos pre-authentication). Коды ошибок NTSTATUS, такие как 0xC000006D (STATUS_LOGON_FAILURE) и 0xC0000234 (STATUS_ACCOUNT_LOCKED_OUT), указывают на конкретную причину отказа.
¶Базы данных
СУБД (PostgreSQL, MySQL, Oracle) при неверных учётных данных возвращают ошибки вида authentication failed for user, ORA-01017: invalid username/password. Для PostgreSQL код ошибки — 28P01 (invalid_password).
¶SSH
При подключении по SSH ошибка аутентификации отображается как Permission denied (publickey,password). Причины: отсутствие ключа в файле authorized_keys, неверные права на файлы ~/.ssh, несоответствие алгоритмов шифрования.
¶Способы устранения
- Проверка введённых данных — повторный ввод логина и пароля, проверка раскладки и регистра.
- Сброс пароля — через механизм восстановления учётной записи или обращение к администратору.
- Синхронизация времени — настройка NTP на клиенте и сервере.
- Проверка конфигурации — сверка параметров подключения (адрес сервера, порт, домен, схема аутентификации).
- Проверка сертификатов — обновление просроченных сертификатов, добавление корневого сертификата удостоверяющего центра в доверенное хранилище.
- Разблокировка учётной записи — снятие блокировки администратором, сброс счётчика неудачных попыток.
- Просмотр журналов — анализ логов сервера для выявления точной причины отказа.
¶Ошибки аутентификации и безопасность
Частые ошибки аутентификации могут указывать на попытки перебора учётных данных (brute force). Для противодействия применяются:
- ограничение числа неудачных попыток входа с автоматической блокировкой;
- многофакторная аутентификация (MFA), снижающая риск при утечке пароля;
- CAPTCHA после нескольких неудачных попыток;
- мониторинг журналов и алертинг на аномальную активность;
- политики сложности паролей и их периодической ротации.
С другой стороны, избыточно строгие политики (короткий срок жизни пароля, частая смена) повышают количество ошибок аутентификации и могут подталкивать пользователей к небезопасным практикам — записыванию паролей на видных местах или использованию одинаковых паролей для разных сервисов.
¶Смежные понятия
- Авторизация — определение прав доступа после успешной аутентификации.
- Аутентификация — процесс подтверждения подлинности.
- Идентификация — процесс предоставления идентификатора (логина) без подтверждения.
¶Источники
- RFC 7235 — Hypertext Transfer Protocol (HTTP/1.1): Authentication
- RFC 6749 — The OAuth 2.0 Authorization Framework
- Microsoft Docs — Failed logon events (Event ID 4625)
- PostgreSQL Documentation — Server Authentication
- NIST SP 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management