МЕТОД ДВУХФАКТОРНОЙ АУТЕНТИФИКАЦИИ НА ОСНОВЕ МОБИЛЬНОГО ПРИЛОЖЕНИЯ

Современная цифровизация государственных и коммерческих организаций и переход многих процессов в онлайн-среду повышают требования к информационной безопасности. Традиционно основным способом защиты ресурсов являлась парольная аутентификация, однако развитие киберугроз привело к распространению целевого фишинга, социальной инженерии, перехвата СМС и SIM-свопинга [2, с. 20–31]. Организационные требования к паролям не всегда предотвращают компрометацию учетных записей, поскольку атаки часто направлены непосредственно на пользователя [1, с. 100–120]. В связи с этим возникает необходимость совершенствования механизмов подтверждения личности и применения дополнительных средств защиты. Одним из перспективных решений является использование мобильных приложений для двухфакторной аутентификации, обеспечивающих дополнительный уровень контроля при входе в систему [4, с. 100–110].

Анализ современного спектра киберугроз позволяет выделить три ключевых направления атак, направленных на системы аутентификации. Каждое из них характеризуется собственными механизмами воздействия и требует применения соответствующих средств защиты на уровне информационной инфраструктуры организации.

Одним из основных направлений развития современных систем защиты является применение решений класса Identity and Access Management (IAM) в сочетании с механизмами контекстной аутентификации [3, с. 150–170]. Мобильные приложения, используемые для подтверждения личности, могут учитывать не только введенный одноразовый пароль, но и дополнительные параметры запроса. В частности, пользователю может предлагаться подтверждение с помощью сопоставления чисел (Number Matching), выполняться проверка местоположения мобильного устройства или запрашиваться локальная биометрическая верификация (Face ID/Touch ID) перед предоставлением доступа к токену. Использование таких механизмов снижает зависимость безопасности от действий пользователя и позволяет противостоять атакам типа MFA Fatigue. Вместе с тем реализация подобных подходов требует достаточных вычислительных возможностей корпоративных систем и эффективного управления мобильными устройствами средствами MDM.

Одним из основных направлений развития современных систем защиты является применение решений класса Identity and Access Management (IAM) в сочетании с механизмами контекстной аутентификации [3, с. 150–170]. Мобильные приложения, используемые для подтверждения личности, могут учитывать не только введенный одноразовый пароль, но и дополнительные параметры запроса: сопоставление чисел (Number Matching), местоположение мобильного устройства и локальную биометрическую верификацию (Face ID/Touch ID) перед предоставлением доступа к токену. Использование таких механизмов снижает зависимость безопасности от действий пользователя и позволяет противостоять атакам типа MFA Fatigue, однако требует достаточных вычислительных возможностей корпоративных систем и эффективного управления мобильными устройствами средствами MDM.

Проведенный анализ современных подходов к реализации двухфакторной аутентификации позволяет сформулировать следующие основные выводы:

1. Применение отдельных технических средств не обеспечивает полной защиты учетных записей. Использование СМС в качестве второго фактора позволяет повысить устойчивость к массовым автоматизированным атакам, однако не обеспечивает достаточного уровня безопасности при целенаправленном перехвате сообщений и использовании методов социальной инженерии. Для повышения надежности аутентификации целесообразно использовать мобильные аутентификаторы, основанные на криптографических механизмах защиты [5, с. 45–55].

2. Использование контекстной и биометрической проверки является одним из перспективных направлений развития аутентификации. Существенным фактором риска остается возможность воздействия на пользователя посредством социальной инженерии или его невнимательности при подтверждении подозрительных запросов. Снижение данного риска возможно за счет применения интеллектуальной Push-верификации и механизмов локальной биометрической защиты, реализованных непосредственно в мобильном приложении.