Пароль — это одно доказательство: то, что вы знаете. Проблема в том, что всё, что вы знаете, может стать известным и кому-то другому — угадано, раскрыто в не связанной с вами утечке данных или выманено через убедительное фишинговое письмо. Двухфакторная аутентификация (2FA) не пытается сделать это единственное доказательство неуязвимым. Вместо этого она настаивает на втором, совершенно ином доказательстве — и именно эта комбинация на самом деле предотвращает большинство захватов аккаунтов.
Базовый уровень GCSE
Три официальные категории доказательства
Системы безопасности классифицируют доказательство аутентификации по трём факторам: то, что вы <strong>знаете</strong> (пароль, PIN-код), то, что у вас <strong>есть</strong> (телефон, способный получить код, физический ключ безопасности), и то, чем вы <strong>являетесь</strong> (отпечаток пальца или скан лица). Настоящая многофакторная аутентификация объединяет доказательства как минимум из двух <em>разных</em> категорий — именно поэтому пароль плюс контрольный вопрос — это не настоящая 2FA: оба остаются вещами, которые вы знаете, и оба могут быть украдены или угаданы одним и тем же способом.
Один пароль — это один фактор: то, что вы знаете, а то, что вы знаете, может утечь. 2FA добавляет второе, отличное доказательство и требует их оба вместе.
Почему объединение двух факторов настолько сильнее
Злоумышленник, укравший базу данных раскрытых паролей, теперь располагает миллионами действительных «вещей, которые вы знаете» — но почти ничем из соответствующих «вещей, которые у вас есть». Обход 2FA означает одновременную компрометацию двух совершенно разных систем: вашего пароля и, отдельно, вашего физического телефона или ключа безопасности. Это второе требование не обязано быть неуязвимым само по себе — ему нужно просто быть по-настоящему иным барьером, чтобы одна-единственная утечка или одна догадка не могли преодолеть оба одновременно.
Вопрос в формате экзамена
Веб-сайт требует от пользователей ввести пароль, а затем ответить на контрольный вопрос (например, «Девичья фамилия вашей матери?»). Объясните, почему это не является настоящей двухфакторной аутентификацией. [3 баллов]
Показать образец ответа и разбивку баллов
- Настоящая 2FA требует доказательства из двух разных категорий: то, что вы знаете, то, что у вас есть, и то, чем вы являетесь (1 балл)
- И пароль, и ответ на контрольный вопрос — это то, что пользователь знает (1 балл)
- Поскольку оба фактора относятся к одной и той же категории, злоумышленник, получивший один из них (например, через исследование или утечку данных), часто может получить и другой таким же способом, поэтому по-настоящему независимого второго барьера нет (1 балл)
На что обращает внимание экзаменатор: назовите три категории факторов и определите, что оба примера относятся к одной и той же — это и есть вся проверяемая здесь логика.
Частая ошибка: предполагать, что любая вторая информация автоматически считается «двухфакторной» — требование заключается в двух разных типах доказательств, а не просто в двух сведениях.
Где 2FA всё же может быть побеждена — и почему это не повод её пропускать
2FA не защищена от любой атаки — мошенничество с подменой SIM-карты в редких случаях может перенаправить SMS-коды, а изощрённые фишинговые страницы могут ретранслировать оба фактора злоумышленнику в реальном времени. Но такие атаки требуют гораздо больше усилий и встречаются гораздо реже, чем массовые атаки с использованием утёкших паролей, против которых одни пароли беззащитны. 2FA не обещает идеальную безопасность; она обещает, что дешёвые автоматизированные атаки, успешно работающие против одних лишь паролей, перестают работать. Если аутентификация, кибербезопасность или любая другая тема информатики требуют объяснения с реальным механизмом, а не просто советом для выполнения, именно для этого существует наше репетиторство по информатике GCSE — смотрите полный путь обучения здесь.
Часто задаваемые вопросы
Какие три официальных фактора существуют в аутентификации?
То, что вы знаете (пароль или PIN-код), то, что у вас есть (телефон, физический ключ безопасности, банковская карта), и то, чем вы являетесь (отпечаток пальца, скан лица или другие биометрические данные). Настоящая многофакторная аутентификация объединяет как минимум две из этих трёх категорий — два пароля не составляют 2FA, потому что оба являются одним и тем же фактором.
Так же ли безопасен код по SMS, как приложение-аутентификатор?
Не совсем — SMS-коды в редких, но реальных случаях могут быть перехвачены с помощью атаки «подмены SIM-карты», когда кто-то обманом заставляет оператора связи перенести ваш номер на свою SIM-карту. Приложения-аутентификаторы генерируют коды локально на вашем устройстве, не завися от телефонной сети, что закрывает этот конкретный путь атаки, хотя оба варианта гораздо безопаснее одного пароля.
Почему некоторые сервисы сейчас так активно продвигают 2FA, хотя раньше этого не делали?
Потому что массовые утечки паролей из не связанных друг с другом взломов сейчас стали обычным явлением, и многие люди повторно используют пароли на нескольких сайтах, что означает, что раскрытый пароль может скомпрометировать несколько аккаунтов. 2FA стала приоритетом, как только сервисы осознали, что раскрытый пароль — это уже не редкое событие, а то, что рано или поздно произойдёт с большинством аккаунтов.
Оценки и отзывы читателей
Оцените эту статью по нескольким критериям — ваше мнение помогает другим читателям и помогает нам становиться лучше.
Была ли эта статья полезной?
Расскажите, что вы думаете — исправление, вопрос, оставшийся без ответа, или тема, которую вы хотели бы увидеть далее.
Хотите обсудить голосом? Запишитесь на бесплатный видеозвонок в удобное время: 15 минут для короткого вопроса, 30 — для всего остального. Время показывается в вашем часовом поясе.
Об авторе
Sudershan Soni
Основатель и главный преподаватель в Mostak Services — репетитор по математике, естественным наукам, информатике и STEM со степенью магистра и более чем 20-летним профессиональным опытом, преподаёт ученикам от уровня 11+ и GCSE до A-Level и выше, онлайн по всему миру.
Читать полный профиль