Kas ir divpakāpju verifikācija un kā tā aizsargā kontu?

Lielākā daļa Latvijas e-veikalu, klientu portālu un mobilo lietotņu joprojām aizsargā kontus tikai ar paroli, taču ar to vairs nepietiek. Miljardiem paroļu jau atrodas publiskos datu noplūdes sarakstos, tāpēc katram uzņēmumam, kas glabā klienta informāciju, ir nepieciešams papildus drošības slānis. Šī iemesla dēļ arvien vairāk Latvijas uzņēmumu pievieno divpakāpju autentifikāciju kā standarta elementu saviem un klientu kontiem.

Šajā rakstā skaidrojam, kā tā darbojas, ar ko tā atšķiras no daudzpakāpju autentifikācijas un kā uzņēmums to var ieviest savā sistēmā.

Kāpēc ar paroli vairs nepietiek?

Daudzi konti tiek uzlauzti ne tāpēc, ka parole ir vāja, bet tāpēc, ka tā atrodas datu noplūdes sarakstos. Šajos sarakstos ir miljardiem e-pastu un paroļu kombināciju. Krāpnieki tās izmēģina automatizēti, tūkstošos pieteikšanās mēģinājumu sekundē, līdz kāda kombinācija nostrādā.

Šādu uzbrukuma metodi sauc par automatizētu paroļu izmēģināšanu. Krāpnieks ņem vienu vai vairākas nopludinātās e-pasta un paroles kombinācijas un izmēģina tās citās vietnēs. Tā kā cilvēki bieži lieto vienu un to pašu paroli vairākos pakalpojumos, viena noplūde var apdraudēt arī kontus, kur tiek lietota tā pati parole.

Pēc Microsoft pētījumiem 2FA aptur aptuveni 99,9% no automatizētiem mēģinājumiem piekļūt kontam, izmantojot nopludinātas paroles. Šī verifikācija ir kļuvusi par standartu finanšu pakalpojumos, e-komercijā un visās sistēmās, kuros glabājas svarīga lietotāja informācija.

Kā šī verifikācija darbojas?

Pēc tā, kad lietotājs ir ievadījis savu e-pastu un paroli, sistēma viņam nosūta vienreizēju kodu jeb OTP (one-time password) uz tālruni vai e-pastu. Šis verifikācijas kods izveido papildus aizsardzību. Pat ja parole ir nopludināta, krāpnieks nevar iekļūt kontā bez piekļuves pie lietotāja tālruņa vai e-pasta.

Tikai pēc šī koda ievadīšanas lietotājs iegūst piekļuvi savam kontam. Šāda drošības pārbaude aizņem tikai dažas sekundes.

Kādi ir autentifikācijas veidi?

Autentifikācija iedalās trīs veidos:

• Klienta iestatīta parole vai PIN kods
• Mobilā ierīce vai drošības atslēga, ko lietotājs izmanto apstiprināšanai
• Biometriskā pārbaude, piemēram, pirksta nospiedums vai sejas atpazīšana

Parole vien ir tikai viens no šiem trim veidiem. 2FA pievieno parolei vēl vienu papildu pārbaudes veidu, piemēram, kodu, ko saņem mobilajā ierīcē, vai pirksta nospiedumu. Uzņēmumiem, kuriem ar to šķiet par maz, ir iespēja izvēlēties daudzpakāpju autentifikāciju jeb MFA, kas pievieno parolei divus vai vairākus papildu pārbaudes veidus.

Kas ir daudzpakāpju autentifikācija?

Atšķirībā no divpakāpju verifikācijas, daudzpakāpju autentifikācija jeb MFA (multi-factor authentication) prasa apstiprināt identitāti ar trim vai vairāk pārbaudes veidiem, ieskaitot paroli. Pat ja krāpnieks ir ieguvis paroli un lietotāja tālruni, viņš nevar iekļūt kontā bez trešā apstiprinājuma, piemēram, pirksta nospieduma. Latvijā plaši zināms MFA piemērs ir Smart-ID, ko izmanto internetbankā un valsts pakalpojumos.

Kāda ir 2FA un MFA galvenā atšķirība?

2FA (two-factor authentication) jeb divpakāpju autentifikācija pievieno parolei vēl vienu papildu pārbaudi, savukārt MFA pievieno divas vai vairākas. Vairumam uzņēmumu 2FA pārsvarā nodrošina pietiekamu aizsardzību. MFA savukārt ir piemērots uzņēmumiem vai iestādēm, kuru uzlaušanas gadījumā sekas ir lielākas, piemēram, finanšu sistēmām, kas strādā ar lielām naudas summām, vai uzņēmumu iekšējām sistēmām ar konfidenciāliem datiem.

Kur uzņēmumi izmanto šādu aizsardzību?

Papildus pārbaudi visbiežāk izmanto šādās situācijās:

• Pieteikšanās mobilajām aplikācijām un tiešsaistes pakalpojumiem
• Pieslēgšanās internetbankai un finanšu sistēmām
• Piekļuve uzņēmuma iekšējām sistēmām
• Maksājumu apstiprināšana atbilstoši PSD2 SCA prasībām
• Paroles atjaunošanas pieprasījumi

Katrā no šiem gadījumiem risku līmenis atšķiras, taču papildus pārbaude pasargā klienta kontu arī tad, ja parole nonāk svešās rokās.

Kā ieviest divpakāpju verifikāciju savā sistēmā?

Lai uzņēmums savai sistēmai pievienotu šādu aizsardzību, jāizskata četri jautājumi pēc kārtas.

• Koda piegādes veids

Lietotājs var saņemt verifikācijas kodu vairākos veidos. Visbiežāk izmanto SMS ar vienreizēju kodu, jo tad nekas nav jāinstalē. Alternatīvas ir autentifikatora lietotnes (piemēram, Google Authenticator vai Microsoft Authenticator) un kodu piegāde caur WhatsApp, ja klientiem tas ir piemērotāks kanāls.

• Sistēmu integrācija

Uzņēmuma sistēma savienojas ar SMS platformu caur API jeb lietojumprogrammu saskarni. Kad lietotājs piesakās, sistēma ģenerē verifikācijas kodu, nosūta to lietotājam un pēc tam pārbauda atbildi.

• Tehniskie nosacījumi

Sistēmai jāsaglabā īss verifikācijas koda derīguma termiņš, piemēram, piecas minūtes, un jāatbilst datu aizsardzības prasībām. Tāpat sistēmā jāparedz iespēja lietotājam jebkurā brīdī mainīt verifikācijas metodi, piemēram, no SMS uz autentifikatora lietotni.

• Lietotāja pieredzes plānošana

Sistēmai jābūt skaidri saprotamai pirmajā lietošanas reizē, un lietotājam jāzina, kāpēc tiek pieprasīts kods. Tāpat jāparedz risinājums gadījumiem, kad lietotājs nevar piekļūt savai ierīcei, piemēram, rezerves kodi, ko lietotājs saglabā 2FA uzstādīšanas brīdī, vai konta atjaunošana caur klientu atbalsta centru. Bez šādiem risinājumiem aizsardzība var kļūt par šķērsli pašam lietotājam.

Pievienojiet papildus aizsardzību savai sistēmai

NESS palīdz uzņēmumiem pievienot 2FA un MFA savās sistēmās, izmantojot SMS platformu. Tiek nodrošināts API savienojums ar uzņēmuma sistēmu, ātra ziņu piegāde, kā arī tehniskais atbalsts. Ja vēlaties pievienot 2FA vai MFA papildus kontu drošībai, sazinieties ar mums, un mēs sagatavosim individuālu piedāvājumu jūsu sistēmai.