Аутентификация в вебе. История развития

👨‍💻 О себе

1. 👨 Алексей Авдеев (https://twitter.com/avdeev_alexey)
2. 👔 CTO, руковожу разработкой
3. 🏙️ Из Нижнего Новгорода, работаю в Москве
4. 🌐 Mish
5. 👴 Программирую с 2002 года

Пароли уязвимы

1960

Простой пароль — слабая защита

Сложный пароль — сложно запомнить

Много паролей

Парольные фразы

Менеджеры
паролей

Менеджеры паролей

• Все пароли в одном месте
• Простой мастер-пароль
• Потеря мастер-пароля
• Взлом устройства
• Утечки

Пароли мертвы
(с) Билл Гейтс, 2004

Многофакторная
аутентификация
(MFA)

Факторы аутентификации

• Фактор знания
• Фактор владения
• Фактор свойства
• Фактор местоположения

Одноразовый
пароль
(OTP)

SMS

SMS

• Не приходят

SMS

• Не приходят
• Стоят денег
• Можно подглядеть
• Можно подменить/перевыпустить SIM-карту
• Можно перехватить (SS7 Attack)

Push Notifications

Push Notifications

• Не приходят
• Стоят денег (меньше)
• Можно подглядеть
• Можно подменить/перевыпустить SIM-карту
• Можно перехватить

Authenticator app

Authenticator app

• Секреты хранятся программно
• Энергозависимы
• Уязвимы для фишинга

Биометрия

Биометрия

• Дорого
• Не точно
• Нельзя поменять
• Отслеживание и данные
• Уязвимы для фишинга

Токен
(кроссплатформенный аутентификатор)

Стандарты и сертификаты

• FIPS 140
• ГОСТ Р 34.10-2012
• ГОСТ Р 34.11-2012
• Сертификат ФСБ
• Сертификат ФСТЭК

Токены без подключения (OTP)

Беспроводные
токены

Токены с подключением

Платформенный аутентификатор

Криптопроцессор

Сканер

Модель зрелости надежности аутентификации

Правила компьютерной безопасности

• не используйте компьютер
• не включайте компьютер
• не владейте компьютером

Fast IDentity Online
(FIDO)

Universal Authentication Framework
(UAF, 2014)

Universal 2nd Factor
(U2F)

Client to Authenticator Protocol
(CTAP)

FIDO 1.0 (2015)

FIDO 2.0 (2017)

Web Authentication
API
(WebAuthn)

Доступные методы

			navigator.credentials.create()
			navigator.credentials.get()
        

Демо

Что дальше

Заботьтесь о пользователях

👏 Спасибо!

• 👨 Алексей Авдеев
• 🌐 github.com/avdeev
• 🌐 twitter.com/avdeev_alexey
• 🌐 alexey-avdeev.com/usb-tokens
• 🌐 Mish