Скрытая двухэтапная аутентификация
Протоколам аутентификации и идентификации в кибермире все чаще требуется дополнительный уровень безопасности поверх пароля. Этот подход называется двухступенчатой аутентификацией: то есть на втором шаге требуется, чтобы пользователь выполнил дополнительное действие, например ввел секретный код или нажал кнопку на постороннем устройстве, не участвующем в остальном процессе аутентификации. Обратите внимание на небольшое отличие от двухфакторной аутентификации, которая применяется для предотвращения доступа злоумышленника к учетной записи с украденными учетными данными.
Секретный код (второй шаг аутентификации) может быть рандомизирован с помощью программных приложений, но обычно он всякий раз генерируется с использованием одной и той же процедуры. К сожалению, ее негибкость дает злоумышленникам возможность обойти защиту двухэтапной аутентификации. Например, обычно код для двухэтапной аутентификации отправляется в виде незащищенного текста или сообщения, которое может быть перехвачено путем клонирования SIM-карты телефона. В этом случае пользователь, который получает код 12345 и вводит его в поле, непреднамеренно сообщает его злоумышленнику. Устройство, применяемое для аутентификации (часто это телефон), может быть украдено, взломано с помощью переадресации звонков, клонировано и использовано злоумышленником. И стороннее устройство, применяемое для двухэтапной аутентификации, тоже может быть украдено и использовано для аутентификации и кражи кодов.
Двухэтапный код, дважды запечатанный с помощью техники татисугури исугури, позволяет сгладить недостатки, присущие процедурам аутентификации. У каждого пользователя должен быть заранее заданный идентификатор, который для этого пользователя уникален и имеет определенное значение. Например, предположим, что пользователю устно или другим безопасным способом было дано указание поменять местами цифры на цифровой клавиатуре относительно цифры 5. Тогда 1 становится 9, 2 становится 8 и т. д., но применять эту технику следует только в случаях, когда код отображается красным шрифтом, а не зеленым.
Смена цвета - это тот самый безмолвный жест из татисугури исугури, срабатывающий, когда система по каким-то своим критериям считает запрос аутентификации подозрительным: это может быть нестандартное время входа, нераспознанное устройство, незнакомый IP-адрес или другие критерии (чтобы скрыть этот протокол от злоумышленников, которые могут наблюдать за процедурой аутентификации, следует использовать его нечасто). Теперь, когда свой получит красный код 12345, он будет знать, что ввести нужно 98765, а злоумышленник, укравший учетные данные пользователя, об этом скрытом правиле не знает и введет 12345. Процесс аутентификации остановится, учетная запись будет временно отключена, а сеанс получит ошибку двухэтапной аутентификации. Затем двухэтапный аутентификатор отправит подсказку вида «Используйте протокол аутентификатора № 5», а вместе с ней еще один красный код, например 64831, на который пользователь должен ответить, введя 46279. Еще один неправильный ответ может вызвать повторное предупреждение или полную блокировку учетной записи.
