Объясняем на енотах, что к чему и зачем нужна двухфакторная аутентификация.
Каждый день мы идентифицируемся, аутентифицируемся и авторизуемся в разных системах. Но многие при этом путают значение этих слов и часто употребляют их невпопад.
Ничего ужасного в этом нет: пока идет бытовое общение, и все понимают, о чем идет речь. Но неплохо бы понимать значение употребляемых слов, а то рано или поздно нарвешься на зануду-специалиста, который вынет всю душу за «авторизацию» вместо «аутентификации», кофе среднего рода и такое душевное, но неуместное в серьезной беседе слово «ихний».
Серьезные определения
Что же значит «идентификация», «аутентификация» и «авторизация»? Для начала проконсультируемся с «Википедией»:
- Идентификация — это процедура, в результате выполнения которой для субъекта идентификации выявляется его идентификатор, однозначно определяющий этого субъекта в информационной системе.
- Аутентификация — процедура проверки подлинности, например проверка подлинности пользователя путем сравнения введенного им пароля с паролем, сохраненным в базе данных.
- Авторизация — предоставление определенному лицу или группе лиц прав на выполнение определенных действий.
Объясняем на енотах
А теперь давайте упростим все эти умные слова до конкретных примеров. Скажем, пользователь хочет войти в свой аккаунт Google. Google подходит лучше всего, потому что там процедура входа явным образом разбита на несколько простейших этапов. Вот что при этом происходит:
- Система запрашивает логин, пользователь его указывает, и его можно распознать его как существующий — это идентификация.
- После этого Google просит ввести пароль, пользователь его вводит, тут система соглашается, что пользователь, похоже, настоящий, раз пароль совпал, — это аутентификация.
- Скорее всего, Google дополнительно спросит еще и одноразовый код из SMS/ приложения. Если все правильно, то система согласится с тем, что он владелец аккаунта, — это двухфакторная аутентификация.
- После этого система предоставит пользователю право читать письма в его почтовом ящике и все в таком духе — это авторизация.
Аутентификация без предварительной идентификации лишена смысла — пока система не поймет, подлинность чего надо проверять, совершенно бессмысленно начинать проверку. Для начала надо представиться.
Идентификация без аутентификации — глупость. Кто угодно может ввести существующий логин! Системе надо удостовериться, что этот кто-то знает пароль. Но пароль могли украсть или подобрать, поэтому подстраховаться не помешает, и система спрашивает что-то, что известно только данному пользователю: например, одноразовый код для подтверждения входа.
Авторизация без идентификации и аутентификации вполне возможна. В Google Документах можно публиковать файл так, чтобы он был доступен всем. В этом случае вы как владелец увидите сверху надпись, гласящую, что его читает неопознанный енот. Хотя енот совершенно неопознанный, система его авторизовала, т. е. выдала право прочитать этот документ.
Если вы откроете документ только определенным пользователям, еноту придется 1. идентифицироваться (ввести логин), 2. аутентифицироваться (ввести пароль и одноразовый код) и только потом он 3. авторизуется, т.е. получит право на чтение документа.
Если речь идет о содержимом вашей почты, Google никогда и ни за что не авторизует неопознанного енота на чтение переписки — если, конечно, он не идентифицируется с вашим логином и не аутентифицируется с вашим паролем. Но тогда это уже не будет неопознанный енот, поскольку Google однозначно определит этого енота как вас.
Важно понимать, что аутентификация — самый важный из этих процессов с точки зрения безопасности. Если вы на этапе аутентификации выбрали слабый пароль, то какой-нибудь енот может ваш аккаунт угнать. Поэтому:
- Если испытываете трудности с их запоминанием — вам всегда придет на помощь менеджер паролей. Он же поможет их сгенерировать.
- Обязательно включите двухфакторную аутентификацию: одноразовые коды в SMS или приложении во всех сервисах, которые это позволяют. Иначе неопознанный енот, заполучив ваш пароль, сможет прочитать вашу тайную переписку или сделать что-то еще более неприятное.
