ავთენტიფიკატორი აპლიკაცია, SMS თუ passkey: 2FA-ს რომელი მეთოდი აირჩიოთ?

ორფაქტორიანი ავთენტიფიკაცია ერთი კონკრეტული რამ არ არის. ექვსნიშნა კოდიანი SMS, კოდი ავთენტიფიკატორ აპლიკაციაში, შეკითხვა „ეს თქვენ იყავით?“ და passkey (წვდომის გასაღები) — ყველა მეორე ფაქტორად ითვლება, მაგრამ სრულიად განსხვავებული შეტევებისგან გიცავთ. ვნახოთ, როგორ განსხვავდება გავრცელებული მეთოდები ერთმანეთისგან და რომელი რომელ ანგარიშს შეეფერება.

შეტევები, რომლებსაც მნიშვნელობა აქვს

ანგარიშის მიტაცება უმეტესად სამიდან ერთ-ერთით იწყება:

• ერთი პაროლის ხელახლა გამოყენება. ერთი საიტიდან გაჟონილ პაროლს ყველა სხვა საიტზე ცდიან. ამას ნებისმიერი მეორე ფაქტორი თავისთავად აჩერებს.
• ფიშინგი. ყალბი შესვლის გვერდი აგროვებს თქვენს პაროლს, სულ უფრო ხშირად კი ერთჯერად კოდსაც, და წამებში ორივეს ნამდვილ საიტზე იყენებს.
• SIM swap. თავდამსხმელი მობილურ ოპერატორს არწმუნებს, რომ თქვენი ნომერი მის ხელში არსებულ SIM ბარათზე გადაიტანოს. ამის შემდეგ თქვენი SMS-ები და ზარები მასთან მიდის.

კარგმა მეორე ფაქტორმა ბოლო ორსაც უნდა გაუძლოს. სწორედ აქ იწყება მეთოდებს შორის განსხვავება.

SMS კოდები

სერვისი კოდს SMS-ით გიგზავნით, თქვენ კი მას შეიყვანთ.

• დადებითი მხარე: მუშაობს ნებისმიერ ტელეფონზე, არაფრის დაყენება არ არის საჭირო და ადვილად რჩება, როცა ახალ ტელეფონს იმავე ნომრით იძენთ.
• უარყოფითი მხარე: დაუცველია SIM swap-ისა და ნომრის სხვა ოპერატორთან გადატანის მიმართ, კოდები შეიძლება ჩაკეტილ ეკრანზე შეტყობინების გადახედვაში გამოჩნდეს და მათი ფიშინგით მოპარვა ისეთივე ადვილია, როგორც პაროლისა. საზღვარგარეთ ან სიგნალის გარეშე SMS შეიძლება საერთოდ ვერ მოვიდეს.

ამ რისკების გამო NIST-ის ციფრული იდენტობის სახელმძღვანელო SMS-სა და ხმოვან ზარს შეზღუდულ (restricted) ავთენტიფიკატორად მიიჩნევს (SP 800-63B). SMS მაინც ბევრად სჯობს მხოლოდ პაროლს, ზოგ ბანკში კი ერთადერთი ვარიანტია. თუ მას ეყრდნობით, ჰკითხეთ ოპერატორს, შეუძლია თუ არა ანგარიშზე PIN-კოდის ან ნომრის გადატანისგან დაცვის დამატება.

ელფოსტის კოდები

კოდი ან „ჯადოსნური ბმული“, რომელიც თქვენს საფოსტო ყუთში მოდის.

• დადებითი მხარე: უნივერსალური და ყველასთვის ნაცნობია.
• უარყოფითი მხარე: ზუსტად ისეთივე ძლიერია, როგორც თქვენი ელფოსტის ანგარიში, და თავად ამ ელფოსტისთვის მეორე ფაქტორად უსარგებლოა. ვინც თქვენს საფოსტო ყუთში შეაღწევს, ყველა იმ საიტის კოდს მიიღებს, რომელიც მას ეყრდნობა.

იგივე NIST-ის სახელმძღვანელო ამბობს, რომ ელფოსტა არ უნდა იქნეს გამოყენებული ალტერნატიული არხით (out-of-band) ავთენტიფიკაციისთვის, რადგან ის არ ადასტურებს, რომ კონკრეტული მოწყობილობა თქვენ გეკუთვნით. ელფოსტის კოდები აღდგენის არხად განიხილეთ და არა ნამდვილ 2FA-დ.

ავთენტიფიკატორი აპლიკაციები (TOTP)

ტელეფონზე დაყენებული აპლიკაცია ყოველ 30 წამში ახალ კოდს ქმნის საიდუმლოსგან, რომელიც მას სერვისთან აქვს გაზიარებული და, როგორც წესი, QR კოდით გადმოეცემა. ალგორითმი ღია სტანდარტია — TOTP, ამიტომ ერთი აპლიკაცია ათასობით სერვისთან მუშაობს. თუ ჯერ არ დაგიყენებიათ, ჩვენი 2FA-ს ნაბიჯ-ნაბიჯ ჩართვის სახელმძღვანელო მთელ პროცესს აგიხსნით.

• დადებითი მხარე: SIM swap მასზე გავლენას ვერ ახდენს, მუშაობს ინტერნეტის გარეშე, უფასოა და მხარდაჭერილია თითქმის ყველგან, სადაც 2FA არის.
• უარყოფითი მხარე: დამაჯერებელ ყალბ საიტს მაინც შეუძლია კოდი მოგთხოვოთ და რეალურ დროში გადასცეს, ხოლო თუ საიდუმლოები მხოლოდ ერთ ტელეფონზეა, მისი დაკარგვა ანგარიშის აღდგენის პროცედურის გავლას ნიშნავს.

Ring-ის მსგავსი აპლიკაცია საიდუმლოებს დაშიფრულად ინახავს თქვენს iPhone-ზე და კოდებს ქსელთან კავშირის გარეშე ქმნის, ამიტომ გადაცემისას ჩასაჭრელი არაფერია და არაფერია მიბმული თქვენს ტელეფონის ნომერზე. თუმცა ფიშინგისგან სრულად ვერ დაგიცავთ: კოდის შეყვანამდე მისამართის ზოლი შეამოწმეთ.

Push-დადასტურებები

კოდის ნაცვლად სერვისი აპლიკაციაში ან ანგარიშზე შესულ მოწყობილობაზე მოთხოვნას გიგზავნით, თქვენ კი „დადასტურებას“ (Approve) აჭერთ.

• დადებითი მხარე: ძალიან მოსახერხებელია, კარგად შექმნილი სისტემები კი გაჩვენებთ, საიდან ხდება შესვლის მცდელობა.
• უარყოფითი მხარე: თითოეული push-სისტემა, როგორც წესი, მხოლოდ საკუთარი მომწოდებლის ანგარიშებთან მუშაობს, თავდამსხმელები კი მას „MFA-დაღლილობით“ (MFA fatigue) ბოროტად იყენებენ: მოთხოვნას მოთხოვნაზე აგზავნიან, სანამ ადამიანი „დადასტურებას“ უბრალოდ იმისთვის არ დააჭერს, რომ შეწყდეს.

რიცხვის შედარება (number matching), როცა შესვლის ეკრანზე ნაჩვენებ რიცხვს მოთხოვნაში შეიყვანთ, ბრმა დადასტურებას ბევრად ართულებს. ნებისმიერ შემთხვევაში, წესი მარტივია: არასოდეს დაადასტუროთ მოთხოვნა, რომელიც თავად არ წამოგიწყიათ.

აპარატული უსაფრთხოების გასაღებები

პატარა USB ან NFC გასაღები, რომელსაც მოწყობილობაში აერთებთ ან ტელეფონს მიადებთ. თანამედროვე გასაღებები FIDO2 და WebAuthn სტანდარტებს იყენებს.

• დადებითი მხარე: მდგრადია ფიშინგის მიმართ. გასაღები ხელს აწერს გამოწვევას (challenge), რომელიც ნამდვილი საიტის დომენზეა მიბმული, ამიტომ ყალბი საიტი ვერაფერს იღებს, რისი ხელახლა გამოყენებაც შეეძლება. არაფრის აკრეფა არ გიწევთ, არც ბატარეაა საჭირო და არც ქსელი.
• უარყოფითი მხარე: ფასიანია, სულ მცირე ორი გჭირდებათ, რომ ერთი სათადარიგო იყოს, და ყველა სერვისი მათ არ უჭერს მხარს. თუ ორივეს დაკარგავთ, ისევ ანგარიშის აღდგენა მოგიწევთ.

CISA-ს რეკომენდაციები FIDO/WebAuthn-ს ფიშინგისადმი მდგრადი MFA-ს ფართოდ ხელმისაწვდომ ფორმად ასახელებს და ორგანიზაციებს მისკენ გადასვლისკენ მოუწოდებს (CISA-ს საინფორმაციო ფურცელი).

Passkey (წვდომის გასაღებები)

Passkey იმავე FIDO სტანდარტებს ეფუძნება, რასაც უსაფრთხოების გასაღებები, მაგრამ ავტორიზაციის მონაცემი თქვენს ტელეფონში ან პაროლების მენეჯერში ინახება და Face ID-ით, Touch ID-ით ან მოწყობილობის კოდით იხსნება. ბევრ საიტზე ის მეორე ნაბიჯის დამატების ნაცვლად პაროლს მთლიანად ცვლის (FIDO Alliance).

• დადებითი მხარე: ფიშინგის მიმართ ისევე მდგრადია, როგორც აპარატული გასაღები, არაფრის დამახსოვრება ან აკრეფა არ გიწევთ, სინქრონიზებული passkey კი ავტორიზაციის მონაცემების მენეჯერის მეშვეობით ახალ მოწყობილობაზეც გადმოგყვებათ.
• უარყოფითი მხარე: სერვისების მხარდაჭერა ჯერ კიდევ არათანაბარია, თქვენი უსაფრთხოება იმ ანგარიშზეა დამოკიდებული, რომელიც მათ სინქრონიზებს, ხოლო სხვადასხვა პლატფორმასა და ბრაუზერში გამოყენება შეიძლება დამაბნეველი იყოს.

თუ საიტი passkey-ს გთავაზობთ და ავტორიზაციის მონაცემების ისეთ მენეჯერს იყენებთ, რომელსაც ენდობით, ეს დღეს არსებულ მოსახერხებელ ვარიანტებს შორის ყველაზე ძლიერია.

რომელი მეთოდი რომელი ანგარიშისთვის

გამოიყენეთ ყველაზე ძლიერი მეთოდი, რომელსაც თითოეული სერვისი გთავაზობთ, მაგრამ იდეალურის ძიებამ კარგს ხელი არ შეუშალოს:

• მთავარი ელფოსტა, პაროლების მენეჯერი, Apple Account ან Google Account. მათი მეშვეობით ყველაფრის აღდგენაა შესაძლებელი. სადაც მხარდაჭერილია, გამოიყენეთ passkey ან უსაფრთხოების გასაღებები, სარეზერვოდ კი შეინახეთ აღდგენის კოდები ან მეორე მეთოდი.
• სამუშაო ანგარიშები. დაიცავით დამსაქმებლის პოლიტიკა. ბევრი ორგანიზაცია ახლა უსაფრთხოების გასაღებებს ან passkey-ს ითხოვს.
• კრიპტობირჟები და საბროკერო პლატფორმები. ავთენტიფიკატორი აპლიკაცია ან უსაფრთხოების გასაღები. სადაც არჩევანი გაქვთ, SMS-ს მოერიდეთ.
• ბანკები. ბევრი მხოლოდ SMS-ს ან საკუთარ აპლიკაციას გთავაზობთ. თუ ბანკს აპლიკაცია აქვს, ის გამოიყენეთ, ტელეფონის ნომერი კი ოპერატორთან დაიცავით.
• სოციალური ქსელები, დეველოპერული ხელსაწყოები, ღრუბლოვანი საცავი, ონლაინ შოპინგი. აქ ავთენტიფიკატორი აპლიკაცია ოპტიმალური არჩევანია.
• ყველაფერი, სადაც მხოლოდ SMS-ია. მაინც ჩართეთ. ის პაროლის ხელახლა გამოყენებაზე დაფუძნებულ შეტევებს მაინც აჩერებს.

რატომ არის ავთენტიფიკატორი აპლიკაცია პრაქტიკული ნაგულისხმევი არჩევანი

Passkey და აპარატული გასაღებები ფიშინგს უკეთ უძლებს და ყველაზე მნიშვნელოვან ანგარიშებზე, სადაც ხელმისაწვდომია, სწორედ ისინი უნდა გამოიყენოთ. მაგრამ მეთოდი, რომლის ჩართვაც თითქმის ყველგან შეგიძლიათ — უფასოდ, აპარატურის ყიდვისა და ერთ პლატფორმაზე მიბმის გარეშე — მაინც TOTP-ია. ის SMS-ისთვის დამახასიათებელ SIM swap-ის რისკს გამორიცხავს, საფოსტო ყუთზე არ არის დამოკიდებული და ინტერნეტის გარეშე მუშაობს.

ერთადერთი, რაც წინასწარ უნდა გაითვალისწინოთ, მოწყობილობის დაკარგვაა. შეინახეთ აღდგენის კოდები ყველა ანგარიშისთვის, მნიშვნელოვანებზე მეორე მეთოდი დაამატეთ და წაიკითხეთ, რა უნდა გააკეთოთ, თუ 2FA კოდებიანი ტელეფონი დაკარგეთ, სანამ ეს დაგჭირდებათ. ვერცერთი მეთოდი ანგარიშს შეუღწევადს ვერ გახდის, მაგრამ კარგად შერჩეული მეორე ფაქტორი თქვენს ანგარიშს გაცილებით რთულ სამიზნედ აქცევს, ვიდრე სხვისას.