Как работает многофакторная аутентификация в современных веб-сервисах

Многофакторная аутентификация (MFA) в современных веб-сервисах работает путём объединения нескольких факторов: 2

1. Фактор знания. 1 Аутентификация опирается на то, что известно пользователю. 1 Подтвердить принадлежность учётной записи можно путём предоставления связанной с ней приватной информации — например, пароля, ПИН-кода или кодового слова. 1
2. Фактор владения. 1 Аутентификация удостоверяет личность на основании физического носителя данных, которым обладает пользователь. 1 В качестве уникального предмета может выступать USB-ключ (токен), пропуск со встроенным чипом, другой контактный или бесконтактный идентификатор, связанный с учётной записью. 1
3. Фактор свойства. 1 Биометрическая проверка подтверждает наличие у пользователя уникальных свойств. 1 Аутентификация может производиться через систему распознавания лиц, считывания отпечатков пальцев или рисунка радужной оболочки глаза и пр.. 1

Существует два типа многофакторной аутентификации: 1

1. In-Band. 1 Для передачи данных в процессе реализации первого и последующих факторов проверки используется один и тот же канал. 1 Например, для доступа к веб-сервису через рабочий компьютер пользователь сначала вводит логин и пароль, а затем на этом же ПК набирает одноразовый числовой код, поступивший ему в СМС. 1
2. Out-of-Band. 1 Реализовывается таким образом, что данные для проверки первого и последующих факторов передаются по отдельным каналам связи. 1 Например, в качестве первичного фактора аутентификации в веб-сервисе пользователь вводит логин и пароль со своего компьютера, а затем сервер предлагает ему подтвердить свою личность путём наведения камеры смартфона на QR-код. 1 В этом случае в аутентификации участвуют два пользовательских устройства. 1

Многофакторную аутентификацию Out-of-Band считают более безопасной, так как чтобы провести кибератаку в этом случае, злоумышленник должен добиться контроля сразу над несколькими каналами связи и устройствами, что гораздо сложнее, чем контролировать один канал и одно клиентское устройство. 1