Авторизація без пароля: що це таке і чому важливо

Oleksii_Lishchuk

Кіберзлочинці не здійснюють злом - вони входять в систему. Понад 80% зломів пов'язані з використанням втрачених або викрадених паролів. Паролі - ціль номер один для хакерів: щосекунди відбувається 921 атака на паролі. Паролі - це відповідальність. На щастя, безпарольна автентифікація усуває залежність від паролів і підтверджує особу користувача за допомогою альтернативних засобів, таких як відбитки пальців або сканування сітківки ока. Перехід на безпарольний вхід блокує найпоширенішу ціль атаки хакерів. Дізнайтеся, що таке безпарольна автентифікація та чому варто перейти на неї.

Що таке безпарольна автентифікація? 

Безпарольна автентифікація перевіряє особу користувача без необхідності вводити ім'я користувача та пароль. Замість того, щоб вимагати пароль, сучасна або безпарольна автентифікація використовує більш безпечні альтернативи для перевірки ваших облікових даних, такі як:

• Біометрія: відбитки пальців, розпізнавання обличчя або сканування сітківки ока.
• Фактори володіння: USB-ключ безпеки або одноразові паролі (OTP) на телефон. 
• Чарівні посилання: введіть свою електронну адресу, щоб отримати на неї унікальне посилання для входу. Натисніть на нього, щоб увійти.

Можливо, ви вже використовуєте безпарольну автентифікацію, не усвідомлюючи цього. Багато банківських додатків автентифікують користувачів за допомогою розпізнавання голосу або відбитків пальців. Slack , наприклад, перевіряє користувачів за допомогою магічних посилань.

Безпарольна автентифікація продовжує набувати дедалі більшої популярності - адже вона дозволяє легше зберігати дані в безпеці та конфіденційності під час входу в будь-яке місце в Інтернеті. Сайти та додатки більше не зберігають паролі, тож кіберзлочинцям нічого красти чи здійснювати фішинг-атаки. Також не потрібно буде запам'ятовувати численні паролі.

Проблема з авторизацією за допомогою паролів 

Паролі є найслабшою ланкою в системі кібербезпеки: понад 80% витоків даних пов'язані зі слабкими або скомпрометованими паролями. Згідно зі звітом LastPass за 2020 рік, 42% вважають, що пароль, який легко запам'ятовується, важливіший за надійний. А 66% використовують один і той самий пароль або його варіацію для кількох акаунтів.

В середньому людині потрібно запам'ятати 100 паролів. Відстежувати та запам'ятовувати паролі додатків, що часто змінюються, складно, і це створює проблеми, з якими багато хто стикається:

• Повторне використання одного і того ж пароля на різних платформах 
• Використання слабких паролів 
• Записування паролів на папері 
• Вимоги скидання пароля

Зловмисники використовують недбалу політику щодо паролів для проведення кібератак і викрадення конфіденційних даних за допомогою фішингу. Багатофакторна автентифікація може допомогти, оскільки ви отримуєте попередження, коли хтось намагається увійти від вашого імені. Вдтак перехід на безпарольну автентифікацію підвищує безпеку і покращує користувацький досвід, усуває складнощі з процесом входу в систему.

Чому варто перейти на безпарольну автентифікацію? 

Відмова від паролів усуває проблеми безпеки, пов'язані з їх використанням:

1. На фішинг припадає 36% всіх витоків даних. Відмовившись від паролів, фішинг більше не є загрозою, оскільки ви не зможете випадково розкрити свої дані, якщо відповісте на фішинговий лист. 
2. Виключення паролів з процесу автентифікації означає, що кіберзлочинці не зможуть зловживати ними. Тепер ви більше не будете вразливі до атак методом "грубої сили" або витоку інформації, пов'язаної з паролем. 
3. Використання ключа безпеки USB зменшує вразливість до фішингових атак.

Перехід на безпарольний доступ також має багато переваг для користувачів і компаній.

Для користувачів це дає зручність і полегшує вхід в систему, зменшує ймовірність витоку даних і крадіжки особистих даних. За даними Verizon, у 2021 році понад 89% зломів облікових записів були пов'язані з перебором паролів або викраденням облікових даних.

У бізнесі 50% усіх звернень до ІТ-підтримки - це запити на скидання пароля, а працівники повторно використовують корпоративні облікові дані як особисті логіни - 64% співробітників компаній зі списку Fortune 1000 повторно використовують паролі на кількох сайтах. Захоплення облікових записів за допомогою викрадених або скомпрометованих облікових даних є основною причиною витоку даних. Перехід на безпарольну автентифікацію може зменшити витрати на ІТ та підвищити безпеку, ускладнивши доступ неавторизованих користувачів до бізнес-ресурсів чи даних.

Які існують види аутентифікації без пароля? 

Безпарольна автентифікація дозволяє отримати доступ до програми або пристрою без введення пароля. Найпоширеніші типи безпарольної автентифікації включають

• Авторизація за допомогою електронної пошти 
• Методи засновані на використанні SMS-повідомлень 
• Багатофакторна автентифікація (MFA) 
• Біометрія 
• Безпарольна авторизація для зареєстрованих користувачів

Що таке три фактори безпарольної автентифікації? 

Фактор автентифікації - це тип доказів, необхідних для підтвердження особи користувача. Безпарольна автентифікація використовує три фактори, окрім пароля:

• Фактори володіння: щось, що є лише у вас, нарпиклад USB-ключ 
• Біометричні фактори: щось, що притаманне лише вам, наприклад, відбитки пальців 
• Магічні посилання: спеціально згенероване посилання для входу, наприклад, посилання, що надіслане  на електронну пошту 

1) Автентифікація за допомогою факторів володіння  

Фактори володіння надають доступ через фізичні об'єкти, якими ви володієте, наприклад, мобільний телефон або USB-токен. Ви можете увійти до додатків, ввівши одноразовий пароль (OTP), надісланий на пристрій, або отримати пуш-сповіщення від програми-автентифікатора. Це робить кібератаки більш складними для виконання, оскільки хакери повинні реагувати безпосередньо на підказки системи безпеки в режимі реального часу.

Типи факторів володіння: 

• Мобільний пристрій: Мобільні push-сповіщення, OTP на основі SMS або телефонний дзвінок 
• Програми-автентифікатори: Microsoft Authenticator або Google Authenticator генерують одноразовий пароль для підтвердження вашої особи на мобільному пристрої. 
• Апаратний OTP-токен: Фізичні пристрої безпеки, які генерують одноразовий пароль. 
• Фізичні ключі FIDO: Замініть свої паролі зовнішнім ключем безпеки, який під'єднується до USB-порту та унікально ідентифікує власника пристрою.

Як працює функція захисту на основі фактору володіння 

Коли ви реєструєтесь у новому додатку, ви надаєте та підтверджуєте свій ідентифікатор фактору володіння (наприклад, номер мобільного телефону або QR-код). 

Додаток генерує приватний ключ, який прив'язується до вашого пристрою. 

Щоразу, коли ви намагаєтеся увійти знову, додаток надсилає на ваш пристрій OTP, PIN-код або пуш-сповіщення. 

Якщо правильно відреагуєте на повідомлення системи безпеки, увійдете безпосередньо в систему.

Переваги авторизації, що заснована на факторі володіння: 

• Високий рівень безпеки - викрасти телефон або сім-карту досить складно. 
• Мобільний телефон може допомогти визначити місцезнаходження хакера.

Недоліки авторизації на базі фактору володіння: 

• Постійне введення кодів з SMS може дратувати. 
• Пристрій може бути загублений або вкрадений. 
• Можливо, доведеться носити з собою ще один пристрій. 
• Щоб отримувати пуш-сповіщення, потрібно встановлювати додаткові програми для мобільних пристроїв.

2) Автентифікація за допомогою біометричних факторів

Біометричні фактори і - це поширений тип безпарольної автентифікації, який широко використовується в мобільних пристроях. Вони підтверджують особу користувача на основі природних біологічних характеристик, які є унікальними для, їх практично неможливо зламати, і вони є доволі зручними у використанні.

Біометричні типи безпарольної автентифікації: 

1. Розпізнавання голосу
2. Сканування сітківки ока 
3. Розпізнавання обличчя 
4. Сканування відбитків пальців

Як працює біометричний захист: 

Під час реєстрації на сервісі чи у додатку  ви надаєете біометричний ідентифікатор. Цей ідентифікатор слугує приватним ключем. 

Під час повторного входу використовується цей біометричний ідентифікатор для до платформи, додатку, сервісу тощо.

Коли біометричні ідентифікатори збігається, приватні ключі розблоковуються і надають доступ.

Переваги біометричної авторизації: 

1. Високий рівень безпеки. Мобільні телефони створені для запобігання несанкціонованому доступу до пристроїв і даних. 
2. Швидкий, безперешкодний доступ до входу без шкоди для точності. 
3. Мобільний телефон є майже у кожного.

Мінуси біометрії: 

1. Потрібно встановлювати та налаштовувати додаткові програми на телефоні. 
2. Біометричний захист за допомогою відбитків пальців не є надійний на 100%. TouchID та FaceID були успішно зламані.

3) Авторизація за допомогою “магічних посилань” 

“Чарівні посилання” дозволяють увійти в систему без введення пароля за допомогою унікального веб-посилання, надісланого на електронну пошту або SMS. “Чарівні посилання” містять токен, який на певний час виконує функції пароля.. Після натискання чарівного посилання відбувається вхід у систему.

Приклади чарівних посилань: 

• Додаток Slack 
• Вхід у обліковий запис Medium

Як працюють чарівні посилання: 

Ви реєструєте своє ім'я користувача або електронну пошту, щоб отримати доступ до додатку. 

Під час входу додаток генерує та надсилає унікальний токен “чарівного посилання” на електронну пошту. 

Ви переходите за посиланням, а додаток ідентифікує токен і шукає збіг у своїй внутрішній базі даних. 

Ви проходите автентифікацію і входите в систему, коли токен збігається з записом у базі даних.

Переваги технології “магічних посилань”: 

• Швидший і більш простий спосіб входу. 
• Проста автентифікація. Не потрібно турбуватися про збереження пароля.

Недоліки “чарівних посилань”: 

• Безпека цілком залежить від вашої електронної пошти. Якщо хакер отримає доступ до поштової скриньки, він зможе увійти в акаунти з магічними посиланнями. 
• Листи з “магічними посиланнями” можуть потрапити до папки "Спам". 
• Існує ризик отримання листів з фішинговими посиланнями.

Чи безпечна безпарольна автентифікація? 

Так, безпечна. Безпарольна авторизація, як правило, надійна і безпечна, але не позбавлена ризиків. , Пов'язані ризики такі ж, як і для інших методів. Якщо використовуєте магічні посилання для безпарольної автентифікації, хакер може легко увійти в систему, якщо у нього є доступ до вашого облікового запису електронної пошти. Однак цей ризик такий самий, якщо використовуєте парольну автентифікацію - хакеру достатньо натиснути кнопку "скинути пароль", щоб надіслати посилання для скидання на адресу електронної пошти.

Біометричні фактори, хоча і є більш безпечними, не є абсолютно надійними, оскільки можуть бути вкрадені або підроблені. Якщо компанії зберігають ваші біометричні дані, витік інформації може надати хакерам величезні масиви даних, які дозволять їм видавати себе за кого завгодно. У 2019 році хакери викрали дані відбитків пальців понад 1 мільйона людей під час злому BioStar 2. Дослідники обдурили систему розпізнавання відбитків пальців, створивши синтетичний відбиток за допомогою дерев'яного клею та фотошопу.

Що таке багатофакторна авторизація ((БФА)? 

Багатофакторна автентифікація (БФА) - це засіб безпеки, який підвищує рівень захисту, вимагаючи для входу в систему два або більше факторів перевірки. Наприклад, щоб увійти до Gmail з увімкненою функцією БФА, потрібно спочатку ввести своє ім'я користувача та пароль, а потім ввести одноразовий пароль (OTP), надісланий на телефон. Додатковий захист знижує ризик успішної кібератаки, оскільки для отримання доступу зловмисникам потрібно подолати відразу кілька факторів автентифікації.

БФА схожа на безпарольну автентифікацію, оскільки вона може використовувати біометричні та ідентифікаційні фактори, але БФА все одно вимагає введення імені користувача та пароля. Безпарольний доступ часто швидший і зручніший, ніж БФА , оскільки не вимагає запам'ятовування пароля.

Безпарольний БФА поєднує безпарольний доступ з декількома іншими методами, забезпечуючи найвищий рівень безпеки.

Як здійснити безпарольний вхід у Windows 10 або 11? 

Ви можете використовувати свій обліковий запис Microsoft для входу в Windows без пароля за допомогою наступних підходів:

1. Windows Hello (PIN-код, розпізнавання обличчя або відбиток пальця) 
2. Ключ безпеки, сумісний з FIDO 2 (USB-ключ або пристрій NFC, наприклад, смартфон) 
3. Додаток Microsoft Authenticator

Майбутнє без паролів вже майже настало, оскільки всі основні виробники браузерів, Apple, Microsoft і Google, погодилися підтримувати стандартизований метод безпарольного входу. Тепер користувачі мають змогу входити в систему так само, як розблоковують телефон за допомогою відбитка пальця, обличчя або PIN-коду. Безпарольна автентифікація швидко розвивається як найбезпечніший і найзручніший підхід, тож скористайтеся нею вже сьогодні.