İki faktorlu autentifikasiya nədir və tətbiqinizə nə üçün lazımdır

Parollar tez-tez ələ keçir və bunun səbəbi nadir hallarda onların çox qısa olmasıdır. Əsl səbəb başqadır: insanlar eyni parolu onlarla saytda təkrar istifadə edir, inandırıcı saxta giriş səhifəsi vasitəsilə fişinqin qurbanı olur, yaxud parol tamamilə əlaqəsiz başqa bir xidmətdə baş verən məlumat sızması zamanı üzə çıxır. İki faktorlu autentifikasiya məhz oğurlanmış parolu təkbaşına hücumçu üçün yararsız etmək üçün mövcuddur.

Əsas ideya

İki faktorlu autentifikasiya (2FA) şəxsiyyətinizi bir yox, iki müxtəlif növ sübutla təsdiqləməyi tələb edir. Təhlükəsizlikdə adətən üç mümkün faktordan danışılır: bildiyiniz bir şey (parol), sahib olduğunuz bir şey (telefon, aparat açarı) və özünüz olduğunuz bir şey (barmaq izi, üzünüz). Təkcə parol yalnız bir faktordur. 2FA başqa kateqoriyadan ikinci faktoru əlavə edir — beləliklə, parolunuzu oğurlayan hücumçu yenə də daxil ola bilmir, çünki telefonunuz onda deyil.

2FA-nın geniş yayılmış formaları və onların müqayisəsi

• SMS kodları. Telefonunuza mesajla göndərilən birdəfəlik kod. İstifadəsi sadədir və heç nə olmamasından qat-qat yaxşıdır, lakin geniş yayılmış variantlar arasında ən zəifidir — SIM-swap hücumlarına qarşı həssasdır: bu zaman hücumçu mobil operatorunuzu nömrənizi onun nəzarətində olan cihaza köçürməyə inandırır.
• Autentifikator tətbiqləri. Hesabınızla tətbiq arasında bir dəfə qurulan ortaq məxfi açar əsasında hər 30 saniyədən bir yeni altırəqəmli kod yaradan tətbiqlər. SMS-dən xeyli təhlükəsizdir, çünki zəncirdə aldadıla biləcək mobil operator yoxdur; bu gün ən çox tövsiyə olunan baza variantı da məhz budur.
• Push-bildirişlər. Tətbiq daxil ediləcək kod əvəzinə «Bu siz idiniz?» sualı ilə təsdiq sorğusu göndərir. Rahatdır, lakin «sorğu yorğunluğu» (prompt fatigue) adlı məlum risk yaradır — hücumçular yorğun istifadəçinin nə vaxtsa refleks olaraq birini təsdiqləyəcəyinə ümid edərək təkrar-təkrar giriş cəhdləri göndərirlər.
• Aparat təhlükəsizlik açarları. Qoşduğunuz və ya toxunduğunuz fiziki cihaz. Geniş əlçatan variantlar arasında ən güclüsüdür və fişinqə qarşı faktiki olaraq davamlıdır, çünki açar ümumiyyətlə cavab verməzdən əvvəl həqiqi veb-saytla əlaqə saxladığını yoxlayır — saxta giriş səhifəsi bu mübadiləni sadəcə tamamlaya bilmir.

2FA əslində nədən qoruyur

2FA-nın nəzərdə tutulduğu ssenari real həyatda son dərəcə tez-tez rast gəlinir: istifadəçinin parolu məhsulunuzla heç bir əlaqəsi olmayan bir yerdə sızır — başqa şirkətdə baş verən məlumat sızması, fişinq məktubu, kompüterindəki zərərli proqram — və həmin parol sizin platformanızda da istifadə olunur. 2FA olmadan hücumçu bu parolu sınadığı an hesab dərhal ələ keçirilir. 2FA qoşulubsa, oğurlanmış parol təkbaşına kifayət etmir və hesabı ələ keçirmək cəhdi uğursuz alınır.

İstifadəçi təcrübəsini korlamadan necə qurmalı

2FA-ya qarşı ən çox səslənən etiraz onun əlavə əngəl yaratmasıdır və pis qurulduqda bu, haqlı narahatlıqdır. Onu rahat saxlayan bir neçə praktik yanaşma:

• Etibarlı cihazları yadda saxlayın. İstifadəçi cihazı bir dəfə təsdiqlədikdən sonra həmin cihazdan hər girişdə ikinci faktor tələb etməyin — yalnız nəsə dəyişəndə, məsələn, yeni cihaz və ya yeni məkan olduqda.
• Həssas əməliyyatlar üçün məcburi, digər hallarda isə könüllü (lakin qətiyyətlə tövsiyə olunan) edin. Bəzi məhsullar 2FA-nı yalnız admin hesabları və ya parolun, yaxud ödəniş məlumatlarının dəyişdirilməsi kimi yüksək riskli əməliyyatlar üçün tələb edir, qalan hamı üçün isə əlçatan, lakin könüllü saxlayır — risk səviyyəsi aşağı olan istehlakçı məhsulları üçün ağlabatan orta yol.
• Real ehtiyat yol təqdim edin. Quraşdırma zamanı yaradılan ehtiyat kodlar sayəsində telefonunu itirən istifadəçi öz hesabına girişi həmişəlik itirmir. 2FA-ya girişi itirib heç bir bərpa yolunun olmaması dəstək komandası üçün ciddi yükdür; bərpa prosesinin özü hücumçunun sui-istifadə edə biləcəyi qədər asan olduqda isə bu, real riskə çevrilir.

Bu, əslində kimə lazımdır

Tətbiqiniz istifadəçinin itirmək istəməyəcəyi hər hansı bir şeyi — şəxsi məlumatları, ödəniş məlumatlarını, biznes sənədlərini — saxlayırsa, 2FA artıq «olsa yaxşıdır» səviyyəsində deyil; o, demək olar ki, baza gözləntisidir və korporativ müştərilər, xüsusən söhbət SOC 2 kimi uyğunluq tələblərinə gəlib çatanda, müqavilə imzalamazdan əvvəl bu barədə getdikcə daha çox birbaşa soruşurlar.

2FA-nın düzgün qurulması — istifadəçiləriniz üçün uyğun faktor variantları, ağlabatan standart parametrlər və rahat, lakin özü təhlükəsizlik boşluğuna çevrilməyən bərpa yolu — Burncode-un daha geniş tətbiq təhlükəsizliyi auditi çərçivəsində gördüyü autentifikasiyanın möhkəmləndirilməsi işlərinin standart hissəsidir.