9.4. Autentifikatsiya qurilmalari va ko'p omilli autentifikatsiya

Egalik omili, ya'ni «menda bor» omili maxsus qurilmalar orqali amalga oshiriladi. Ularning umumiy vazifasi bitta: foydalanuvchida faqat unga tegishli bo'lgan jismoniy buyum borligini isbotlash. Amalda bir necha turdagi qurilma qo'llaniladi (9.7-rasm).

Smart-karta. Bu ichida mikrosxema joylashgan karta bo'lib, u kalit yoki sertifikatni o'z ichida saqlaydi. Muhim xususiyati shundaki, maxfiy kalit karta ichidan tashqariga chiqmaydi: kriptografik amal kartaning o'zida bajariladi. Smart-kartalar ko'pincha kompaniya ID-kartasi bilan birlashtiriladi, ya'ni bitta karta ham jismoniy kirish, ham tizimga kirish uchun ishlatiladi.

USB-token. Bu kompyuterning USB portiga ulanadigan kichik qurilma. U ham smart-karta kabi ishlaydi, biroq alohida o'quvchi talab qilmaydi. VIII-bobda ko'rilganidek, elektron raqamli imzo kaliti aynan shunday qurilmada saqlanadi, chunki bunda kalit kompyuter xotirasiga tushmaydi.

Bir martali parol tokeni (OTP-token). Bu qurilma ekranida vaqti-vaqti bilan yangilanadigan raqamli kod ko'rsatadi. Kod maxfiy urug' qiymati va joriy vaqt asosida hisoblanadi, shuning uchun u har safar boshqacha bo'ladi va qisqa muddat amal qiladi. Bunday kodni ushlab olishning foydasi yo'q, chunki u tez orada eskiradi.

Smartfon ilovasi. Zamonaviy amaliyotda alohida qurilma o'rniga ko'pincha foydalanuvchining smartfoni ishlatiladi. Maxsus autentifikator ilova OTP-token bilan bir xil tamoyilda kod hosil qiladi yoki kirishni tasdiqlash so'rovini ko'rsatadi. Bu usul qulay va qo'shimcha xarajat talab qilmaydi.

Qurilmalarning umumiy zaifligi ham bor: ular yo'qolishi yoki o'g'irlanishi mumkin. Shu sababli qurilma odatda yakka o'zi emas, boshqa omil bilan birga ishlatiladi. Bundan tashqari, ayrim qurilma turlari nusxalanishga zaif: VII-bobda ko'rilganidek, oddiy passiv yaqinlik kartalari maxsus o'quvchi bilan nusxalanishi mumkin. Shu bois muhim tizimlarda kriptografik amal bajaradigan qurilmalar afzal ko'riladi.

Yuqorida ko'rilgan har bir omilning o'z zaifligi bor: parolni bilib olish, qurilmani o'g'irlash, biometrik belgini soxtalashtirish mumkin. Ko'p omilli autentifikatsiya (MFA) g'oyasi shundan iboratki, kirish uchun kamida ikki xil omil talab qilinadi. Muhim shart: omillar turli guruhga tegishli bo'lishi kerak. Ikki xil parol so'rash ko'p omilli autentifikatsiya hisoblanmaydi, chunki ikkalasi ham bilim omiliga tegishli va bir xil hujumga zaif.

Jarayonning ishlash tartibi quyidagicha kechadi (9.8-rasm). Foydalanuvchi avval login va parolni kiritadi, ya'ni birinchi omilni ko'rsatadi. Tizim parolni tekshirgach, darhol kirish bermaydi, balki ikkinchi omilni so'raydi: foydalanuvchining qurilmasiga kod yuboriladi yoki ilovada tasdiqlash so'raladi. Faqat ikkala omil ham tasdiqlanganda kirishga ruxsat beriladi.

Bu sxemaning kuchi shundaki, u bitta omilning buzilishini boshqasi bilan qoplaydi. Tajovuzkor fishing yoki ijtimoiy injiniring orqali parolni bilib olsa ham, foydalanuvchining smartfoniga ega bo'lmagani uchun tizimga kira olmaydi. VII-bobdagi kirish voqeasida tavsiflangan soxta telefon qo'ng'irog'i ham ko'p omilli autentifikatsiya joriy etilgan tizimda samarasiz bo'lardi.

Ayni paytda ko'p omilli autentifikatsiya ham mutlaq himoya emas. Tajovuzkorlar unga qarshi maxsus usullar ishlab chiqqan: masalan, foydalanuvchini soxta saytga jalb qilib, undan bir vaqtning o'zida parolni ham, kodni ham so'rash yoki tasdiqlash so'rovlarini ko'p marta yuborib, foydalanuvchini charchatib qo'yish. Shu sababli eng ishonchli yechim sifatida soxta saytga bardoshli, kriptografik kalitlarga asoslangan zamonaviy usullar tavsiya etiladi.

Amaliy joriy etishda muhim tashkiliy masala, ya'ni qamrov va zaxira yo'li ham hal qilinishi kerak. Agar foydalanuvchi telefonini yo'qotsa yoki u ishlamay qolsa, u tizimga qanday kiradi? Bunda odatda zaxira kodlar oldindan beriladi yoki tiklash tartibi belgilanadi. Biroq bu tartibning o'zi zaif bo'lsa, butun himoya shu orqali chetlab o'tiladi. Shu sababli tiklash jarayoni asosiy kirish yo'lidan kam himoyalangan bo'lmasligi kerak.