Современный человек не представляет свою жизнь без доступа к Интернету. Сотни страниц мы просматриваем ежедневно. Покупки, оплата услуг, социальные сети, развлечения - вот только малая часть того, что мы делаем в сети. Многие сайты, мобильные приложения и онлайн-сервисы регулярно собирают сведения о посетителях. С одной стороны, это практично — сайты запоминают логины, пароли и автоматически вводят их для входа в личный кабинет, хранят ссылки, которые вы раньше открывали. С другой стороны, мошенники могут взломать ваш аккаунт и получить доступ к почте или банковской карте. Однако нередко бывает, что персональная информация утекает в сеть по вине пользователей. Как избежать утечки данных и защитить личную информацию вы узнаете на этом уроке!
Правила безопасности в сети Интернет:
Пароли - это главный способ защитить себя в сети, поэтому к созданию и хранению паролей важно отнестись очень внимательно.
- Не используйте следующую информацию для создания паролей: дата рождения, номер телефона, адрес, имена и фамилии близких людей. Эти данные злоумышленники могут отыскать самостоятельно в интернете и разгадать ваш пароль.
- Все пароли лучше выписать в яркий блокнот, который нужно хранить в сухом и труднодоступном месте. Также можно установить специальную программу «Менеджер паролей», в которой данные будут надежно сохранены. Не создавайте файлы с паролями на ноутбуке или в телефоне, мошенники могут взломать систему и получить нужные данные.
- Настройте двухэтапную аутентификацию, чтобы защитить свои аккаунты. Проверяйте сообщения на почте и смс — в случае если придет подозрительное письмо, вы успеете отреагировать и пресечь попытку взлома.
СТОП! Что это за слово такое! АУТЕНТИФИКАЦИЯ?
Давайте разберемся в «словах» и в том, что скрывается за «аутентификацией». И начать лучше с примеров, часто вызывающих путаницу:
- Идентификация – процедура распознавания субъекта.
- Аутентификация – процесс подтверждения того, что субъект соответствует характеристикам и обладает доказательствами, подтверждающими личность.
А вот авторизация уже помогает определить, какие права доступа выданы субъекту, закончившему аутентификацию, и какие функции разблокируются после.
Например, заходя в социальные сети можно пройти аутентификацию по логину и паролю. Предполагается, что никто не передаёт свой пароль другому человеку, и если кто-то ввёл логин и пароль Васи — он и есть Вася (потому что этот пароль знает только Вася).
Есть и другие варианты. Например, когда звонит телефон и на нём высвечивается надпись «Мама», мы предполагаем, что, ответив на звонок, мы будем разговаривать с мамой. Это аутентификация по номеру звонящего. Но окончательно мы в этом убедимся, только когда услышим её голос в трубке. Это аутентификация по голосу.
Раньше для разблокировки телефона нужно было вводить код, пароль или рисовать узор на экране — это тоже способы аутентификации, чтобы доказать телефону, что вы его владелец. С появлением датчика отпечатка пальца и распознавания лица мы перешли на биометрическую аутентификацию.
Многофакторная аутентификация
Многофакторная аутентификация подразумевает предъявление более чем одного «доказательства» способа аутентификации для доступа к данным.
Такими «доказательствами» могут быть:
- Определенное знание — информация, которой владеет пользователь (пин-код, пароль, кодовое слово).
- Владение — предмет, который есть у субъекта (флеш-память, электронный пропуск, магнитная банковская карточка, токен).
- Свойство — качество, присущее исключительно субъекту — сюда относят данные биометрии и персональные отличия: форма лица, индивидуальные особенности радужной и сетчатой оболочки глаза, отпечатков пальцев.
Одной из разновидностей многофакторной аутентификации является двухфакторная аутентификация (также называется двухэтапной или двойной). Такой способ подразумевает под собой проверку данных пользователя на основании двух отличных друг от друга компонентов.
Примером двухэтапной аутентификации являются сервисы от Google и Microsoft. При попытке авторизации с нового устройства, помимо логина и пароля, необходимо также ввести код, который состоит из шести (Google) или восьми (Microsoft) знаков. Получить его можно одним из перечисленных способов:
- SMS-сообщение на мобильный телефон;
- голосовой вызов на телефон;
- реестр одноразовых кодов;
- программа-аутентификатор для мобильного или ПК.
Выбрать способ подтверждения можно в личном кабинете вашей учетной записи.
Основными преимуществами двойной аутентификации является удобство (смартфон всегда под рукой) и безопасность (постоянное изменение кода подтверждения).
Данный метод также имеет определенные недостатки. Проблемы с мобильной сетью могут стать помехой для получения кода подтверждения, а само смс-сообщение может быть перехвачено злоумышленниками. Существует также некоторая задержка при получении SMS, которая связана с процедурой проверки подлинности.
Способы аутентификации
Все способы аутентификации можно расположить по возрастанию их сложности.
Базовая аутентификация
При использовании этого вида аутентификации логин пользователя и пароль входят в состав веб-запроса. Любой перехватчик пакета информации без труда узнает засекреченные данные.
Поэтому базовую аутентификацию не рекомендуется использовать даже в тех ситуациях, когда засекреченные данные не несут существенной информации ни для пользователя, ни для интернет-ресурса.
Опасность состоит в том, что похищенные данные могут быть использованы для доступа к другим системам. Так, по данным Sophos (компания-производитель средств информационной безопасности), 41% интернет-пользователей используют один и тот же пароль для регистрации на различных платформах, будь то банковская страница или форум, посвященный их любимому хобби. В этом случае похищенный пароль от соцсети может помочь мошенникам вывести деньги с вашей карты.
Дайджест-аутентификация
Подразумевает передачу пользовательских паролей в хешированном состоянии. На первый взгляд может показаться, что уровень защиты в данном случае немногим отличается от базовой проверки. На деле это не так: к каждому паролю добавляется произвольная строка, состоящая из символов (хэш), которая генерируется отдельно на каждый новый веб-запрос. Постоянное обновление хеша не дает злоумышленнику возможности расшифровать пакет данных — каждое новое подключение образует другое значение пароля.
На основе данного метода аутентификации работает большинство интернет-браузеров (Mozilla, Google Chrome, Opera).
HTTPS
Этот протокол дает возможность шифрования не только логина и пароля пользователя, но и всех остальных данных, передаваемых между интернет-клиентом и сервером.
Протокол используется для ввода личной информации:
- адреса;
- телефона;
- реквизитов кредитной карточки;
- других банковских данных.
У протокола есть один существенный недостаток — он значительно замедляет скорость соединения.
Аутентификация с предъявлением цифрового сертификата
Такой способ подразумевает использование протоколов с запросом и соответствующим ответом на него.
Страница аутентификации направляет к пользователю определенный набор символов («адрес»). Ответом является запрос сервера, который подписан при помощи персонального ключа.
Аутентификация по открытому ключу применяется в качестве защитного механизма в следующих протоколах:
- SSL;
- Kerberos;
- RADIUS.
Аутентификация с использованием cookies
Куки — небольшой массив данных, который отправляется интернет-сервером и хранится на ПК пользователя. Браузер при каждой попытке подключения к данному ресурсу посылает cookies как одну из составных частей HTTP-запроса.
Как средство аутентификации куки используются для систем безопасности чатов, форумов и различных интернет-игр. Cookies обладают низкой степенью защиты — если сессия плохо фильтруется, то похитить их не составит труда. Поэтому дополнительно применяется привязка по IP-адресу, с которого пользователь вошел в систему.
Механизмы обеспечения приватности
- Безопасное соединение с Интернетом
- Использование безопасного браузера
- Посещение безопасных HTTPS сайтов
- Использование надежных мессенджеров