Ключи доступа и пароли: в чем разница?

Ключи доступа и другие методы аутентификации: в чем разница?

Вы все еще используете тот же пароль, что и в школе? Добро пожаловать в клуб: до 51% of passwords используются повторно. И хотя вы можете думать, что хакеры не смогут расшифровать комбинацию от вашего школьного шкафчика или угадать кличку вашего первого питомца, скорее всего, ваши учетные данные довольно предсказуемы.

В то время как слабые пароли становятся причиной более чем , эти незначительные вариации ваших и клиентских многолетних учетных данных подвергают риску всю вашу организацию.

К счастью, мы больше не в школе, и методы беспарольной аутентификации доступны уже довольно давно. Ключи доступа, метод без использования паролей, который исключает зависимость от повторяющихся комбинаций учетных данных, сейчас набирают популярность. Вот что вам нужно знать об аутентификации с помощью ключей доступа и паролей.

Различные методы аутентификации

Практически каждая сеть, организация, сервер, система и веб-сайт в мире теперь требуют для доступа ту или иную форму аутентификации, например пароль. Хотя эти методы были разработаны для защиты ресурсов и конфиденциальных данных, исследование HYPR 2024 State of Passwordless Identity Assurance показало, что 69% of companies в конечном итоге были скомпрометированы через процессы аутентификации за двенадцать месяцев, предшествовавших составлению отчета.

По мере развития технологий и мошеннических схем эксперты искали новые средства аутентификации, способные защитить как потребителей, так и корпорации. Сегодня вы можете найти несколько процессов беспарольной аутентификации, призванных обеспечить более безопасный доступ.

Взгляните на самые популярные методы аутентификации и на то, как они эволюционировали с течением времени.

Пароли и PIN-коды

Пароли и персональные идентификационные номера (PIN-коды) — это самые старые и наиболее часто используемые методы аутентификации, но они далеко не самые безопасные и надежные. Пароли, относящиеся к типу аутентификации на основе знаний, требуют, чтобы пользователи запоминали определенную комбинацию букв, цифр и символов, а также свои уникальные имена пользователей для получения доступа.

Несмотря на свою распространенность, пароли известны своими проблемами. связаны с паролями, главным образом потому, что потребители часто забывают комбинации символов. Кроме того, пароли легко угадать или взломать, они уязвимы для фишинга и других мошеннических действий.

Поэтому неудивительно, что за последние несколько лет популярность методов беспарольной аутентификации возросла. Беспарольные методы были разработаны для замены традиционной аутентификации на основе знаний методами проверки на основе владения, что повышает безопасность пользователей и корпораций за счет использования новых технологий для доступа к аутентификации.

Аутентификация на основе токенов

Аутентификация на основе токенов (TBA) — это тип беспарольной аутентификации на основе единого входа (SSO), который позволяет пользователям входить в учетные записи с помощью физического устройства, такого как смартфон, ноутбук или смарт-карта. Пользователи подтверждают набор учетных данных для входа, таких как имя пользователя и пароль, у поставщика удостоверений (IdP), а IdP выдает токен безопасности для предоставления доступа к авторизованным ресурсам.

При аутентификации на основе токенов пользователи проверяют свои учетные данные один раз в течение заданного периода времени, например 24 часа, чтобы они могли входить в свою учетную запись без постоянного ввода пароля или PIN-кода.

Токены затрудняют хакерам несанкционированный доступ к учетным записям пользователей, поскольку им потребуется как физический доступ к токену, так и уникальные учетные данные пользователя для аутентификации. Однако пользователи также должны нести ответственность за сохранность своих токенов, иначе они рискуют потерять доступ к своим учетным записям.

Сертификатная аутентификация

Сертификатная аутентификация (CBA) похожа на TBA, но вместо токенов она использует цифровые сертификаты для подтверждения учетных данных пользователя. Цифровые сертификаты — это электронные документы, созданные с помощью криптографии или закодированной информации. Они хранят так называемые закрытые ключи, которые математически связаны с открытыми ключами, хранящимися на сервере учетной записи, для предоставления пользователю доступа.

Сертификатная аутентификация используется правительственными учреждениями и другими организациями с высоким уровнем безопасности на протяжении десятилетий, так как она весьма устойчива к фишингу и упрощает временный сетевой доступ для таких пользователей, как внештатные подрядчики. Тем не менее, ее развертывание может быть дорогостоящим и трудоемким.

Двухфакторная и многофакторная аутентификация

Двухфакторная аутентификация (2FA) появилась в 1995 году, когда она была изобретена и запатентована компанией AT&T для защиты учетных записей пользователей. Как следует из названия, 2FA требует от пользователей предоставления хотя бы одного дополнительного фактора аутентификации помимо стандартного пароля или PIN-кода.

Многофакторная аутентификация (MFA) похожа на 2FA, но требует двух или более факторов. Дополнительные факторы часто включают внеполосную аутентификацию, которая требует, чтобы второй фактор находился на другом канале по сравнению с исходным устройством. Например, подтверждение входа со смартфона с помощью ноутбука.

Наиболее распространенные дополнительные факторы аутентификации включают одноразовый пароль (OTP) или волшебную ссылку (magic link), отправленную пользователю по SMS или электронной почте (подробнее об этом ниже). Хотя эти методы помогают снизить успешность фишинговых атак, ни один из них не защищен от хакеров и может создавать неудобства для пользователей.

SMS OTP

Служба коротких сообщений, более известная как SMS-сообщения, является одним из ведущих методов беспарольной аутентификации. Для подтверждения доступа к учетной записи служба отправляет одноразовый пароль (OTP) или одноразовые учетные данные по SMS, с помощью которых пользователь может войти в систему. В некоторых случаях пользователю предлагается сгенерировать OTP с помощью внеполосного метода, например приложения для смартфона.

SMS OTP является основным беспарольным методом на протяжении десятилетий, и на то есть веские причины: это единственная по-настоящему повсеместная форма 2FA. В конце концов, подавляющее большинство американцев (97%, to be exact) сегодня владеют сотовыми телефонами, что делает SMS OTP простым методом проверки учетных записей. Тем не менее, OTP, доставляемые по SMS, уязвимы для кибератак, включая фишинг, замену SIM-карт и перехват сообщений.

OTP по электронной почте и волшебные ссылки

Как и SMS OTP, одноразовые пароли также могут доставляться по электронной почте. Помимо OTP, многие отрасли используют электронную почту для отправки волшебных ссылок. Волшебные ссылки — это тип метода беспарольной аутентификации, который позволяет пользователям войти в систему, введя адрес электронной почты, который они использовали для

OTP по электронной почте и волшебные ссылки упрощают доступ к учетным записям для пользователей и могут использоваться в качестве метода 2FA или MFA для лучшей защиты информации пользователей. Однако, хотя многие отрасли полагаются на аутентификацию на основе электронной почты, она также подвержена кибератакам и взламывается гораздо проще, чем другие методы.

Биометрическая аутентификация

Биометрическая аутентификация относится к автоматическому распознаванию и проверке пользователей по уникальным физическим признакам, таким как отпечатки пальцев, структура лица или характеристики глаз. Например, Apple использует Face ID и Touch ID, два типа биометрической аутентификации, для идентификации пользователей.

Биометрическая аутентификация часто работает намного быстрее, так как не требует от пользователей запоминания пароля или выполнения множества шагов для получения OTP. Злоумышленникам также сложнее (но не невозможно) подделать такие данные.

Что такое passkey?

Все эти разговоры об аутентификации без паролей подводят нас к истинному чемпиону доступа к аккаунтам без PIN-кодов: passkeys. Passkeys были разработаны в рамках Web Authentication (WebAuthn), API управления учетными данными с открытым исходным кодом, созданного консорциумом World Wide Web Consortium (W3C) и альянсом Fast Identity Online (FIDO) в качестве лучшей альтернативы для защиты конфиденциальной информации в Интернете.

Вместо имени пользователя и пароля WebAuthn использует криптографию на основе открытых ключей для проверки личности пользователей. Итак, как работает passkey? Сначала устройство пользователя создает уникальную пару математически связанных ключей для доступа к сервису, аналогично CBA. Один из них называется открытым ключом и хранится на сервере сервиса, а другой называется закрытым ключом.

Закрытые ключи надежно хранятся на устройствах пользователей. Когда пользователь пытается войти в этот сервис (или связанный с ним сервис, использующий независимую программную систему), сервис использует открытый ключ, привязанный к аккаунту пользователя, и проверяет его с помощью закрытого ключа, хранящегося на устройстве. К закрытому ключу обычно получают доступ с помощью биометрической аутентификации, например распознавания лиц, или PIN-кода.

Поскольку passkeys позволяют сервисам и устройствам проверять личность пользователей без передачи конфиденциальных данных или учетных данных, у фишеров и киберпреступников нет данных для кражи. Даже если хакеры получат доступ к открытому ключу, они не смогут получить доступ к аккаунту без закрытого ключа.

С помощью passkeys пользователям не нужно создавать новые учетные данные для каждого сервиса или нового устройства. Скорее, passkeys пользователя доступны в любое время, когда они ему нужны, даже при замене устройства. В настоящее время passkeys используются крупными игроками в сфере технологий, включая Adobe, Amazon, Apple, Google, Meta, Microsoft и др. По данным FIDO, использование passkeys приводит к тому, что вход в систему становится up to 75% быстрее.

Passkey против пароля: основные различия

Passkeys часто считаются ответом на будущее без паролей. Но каковы основные различия между passkeys и традиционными учетными данными с паролем?

• Более высокая безопасность: Passkeys снижают риск фишинга по сравнению с паролями (или паролями в сочетании со вторым фактором, таким как SMS OTP). По сравнению с паролями, passkeys более устойчивы к атакам методом подбора учетных данных (credential stuffing) и другим удаленным атакам, а также в целом обеспечивают большую безопасность для потребителей и компаний.

Более высокая безопасность: Passkeys снижают риск фишинга по сравнению с паролями (или паролями в сочетании со вторым фактором, таким как SMS OTP). По сравнению с паролями, passkeys более устойчивы к атакам методом подбора учетных данных (credential stuffing) и другим удаленным атакам, а также в целом обеспечивают большую безопасность для потребителей и компаний.

• Лучший пользовательский опыт: Passkeys предлагают пользовательский опыт, с которым большинство потребителей уже знакомы и используют его несколько раз в день, например использование распознавания лиц для подтверждения своей личности. Внедрение метода без паролей, который узнают потребители, позволяет улучшить пользовательский опыт и повысить доверие к вашему бизнесу.

Лучший пользовательский опыт: Passkeys предлагают пользовательский опыт, с которым большинство потребителей уже знакомы и используют его несколько раз в день, например использование распознавания лиц для подтверждения своей личности. Внедрение метода без паролей, который узнают потребители, позволяет улучшить пользовательский опыт и повысить доверие к вашему бизнесу.

• Простое управление: Passkeys позволяют поставщикам услуг отказаться от зависимости от паролей для входа в систему и восстановления учетной записи, используя вместо этого более доступные методы, такие как SMS OTP. Поскольку пользователям не нужно запоминать учетные данные пароля для доступа, поставщикам приходится реже обрабатывать сброс паролей и восстановление учетных записей.

Простое управление: Passkeys позволяют поставщикам услуг отказаться от зависимости от паролей для входа в систему и восстановления учетной записи, используя вместо этого более доступные методы, такие как SMS OTP. Поскольку пользователям не нужно запоминать учетные данные пароля для доступа, поставщикам приходится реже обрабатывать сброс паролей и восстановление учетных записей.

• Расширяемая масштабируемость: Passkeys не требуют от пользователей создания нового набора учетных данных для каждого нового сервиса, платформы или приложения, в то время как для первоначального входа в систему обычно требуются пароли. Поскольку пользователь может сохранять один закрытый ключ для нескольких аккаунтов, ему проще взаимодействовать со связанными сервисами или системами поставщика.

Расширяемая масштабируемость: Passkeys не требуют от пользователей создания нового набора учетных данных для каждого нового сервиса, платформы или приложения, в то время как для первоначального входа в систему обычно требуются пароли. Поскольку пользователь может сохранять один закрытый ключ для нескольких аккаунтов, ему проще взаимодействовать со связанными сервисами или системами поставщика.

• Различная реализация: Пароли можно генерировать и использовать бесплатно в приложениях, в то время как passkeys требуют от поставщиков услуг привлечения разработчиков для реализации. Для бизнеса часто эффективнее выбрать аутентификацию без паролей через такие API, как Twilio Verify, которые проверяют пользователей по нескольким каналам в масштабном режиме.

Различная реализация: Пароли можно генерировать и использовать бесплатно в приложениях, в то время как passkeys требуют от поставщиков услуг привлечения разработчиков для реализации. Для бизнеса часто эффективнее выбрать аутентификацию без паролей через такие API, как Twilio Verify, которые проверяют пользователей по нескольким каналам в масштабном режиме.

Преимущества аутентификации без паролей для бизнеса

При сравнении passkey и аутентификации по паролю невозможно не упомянуть очевидные преимущества, которые сопровождают аутентификацию без паролей, такую как passkeys. Passkeys исключают повторное использование паролей, помогая снизить риск фишинга, подбора учетных данных и последующих утечек данных.

Также было доказано, что passkeys повышают скорость и простоту аутентификации сотрудников и потребителей, что приводит к оптимизации внутренних рабочих процессов и превосходному клиентскому опыту. Примерно 47% of consumers бросили онлайн-покупку и 60% отказались от доступа к онлайн-сервису, потому что забыли свой пароль. Passkeys устраняют эту проблему.

Более быстрый, безопасный и успешный вход в систему обеспечивает более качественное предоставление услуг и меньшее количество процедур восстановления учетной записи. Это может объяснить, почему считают, что подход без паролей обеспечивает наивысший уровень безопасности, и passkeys поддерживают этот путь для компаний по всему миру.

Не говоря уже о том, что любой может внедрить passkeys, так как они имеют открытый исходный код. А с помощью таких решений, как Twilio Verify, компании могут создавать passkeys с возможностью переключения на другие каналы — например, SMS, электронную почту и WhatsApp. Поэтому в случае сбоя passkey пользователи по-прежнему могут использовать SMS OTP для доступа к аккаунту. С помощью Twilio Verify внедрить аутентификацию без паролей для беспрепятственного взаимодействия стало проще, чем когда-либо.

Недостатки аутентификации без паролей

У аутентификации без пароля очень мало недостатков, особенно по сравнению с традиционными паролями. Тем не менее, существует несколько уникальных проблем. Например, хотя ключи доступа имеют открытый исходный код, их синхронизация между операционными системами может вызывать затруднения. Именно поэтому для управления многоканальной аутентификацией в больших масштабах лучше всего использовать API, такой как Twilio Verify.

Кроме того, у аутентификации без пароля могут быть недостатки, специфичные для конкретных каналов. Так, отправка SMS-сообщений обходится дороже. Кроме того, у пользователя может не быть подходящего мобильного тарифного плана для приема SMS-сообщений. Благодаря такому решению, как Twilio Verify, провайдеры могут выбирать из нескольких каналов — включая электронную почту и WhatsApp — для беспрепятственной аутентификации пользователей.

Включите аутентификацию без пароля с помощью Twilio Verify Passkeys

Попрощайтесь с устаревшими учетными данными и трудоемкими процессами входа в систему. С помощью Twilio Verify вы можете обеспечить защиту аутентификации пользователей на будущее с помощью нескольких каналов на одной платформе, начиная с SMS и электронной почты и переходя к более продвинутым каналам — таким как WhatsApp и push-уведомления — когда будете готовы.