Эволюция аутентификации: наш путь к биометрии

Это первая из трех частей. Здесь разбираемся, почему даже токен с PIN-кодом, казалось бы, наше всё, закрывает не совсем всё. Во второй части поговорим о биометрии вообще, в третьей — о том, как мы встроили ее в наш Рутокен.

От доверия фактору к доверию субъекту

Статистическая грусть-печаль

Взламывать систему больше не обязательно. Достаточно в нее войти.

Если коротко, это и есть главная особенность атак 2024–2025 годов. Фокус сместился с эксплуатации уязвимостей на компрометацию аутентификации. Раньше основной точкой входа были ошибки в коде и конфигурации инфраструктуры. Сегодня атака все чаще начинается с учетных данных — украденных, подобранных или выуженных фишингом.

И вот вам статистика — грамматика науки (С):

· Yandex B2B Tech: в 2025 году 54% атак начинались с подбора паролей или использования ранее скомпрометированных данных. Только за первое полугодие — более 25 тысяч попыток атак на облачные и гибридные инфраструктуры. 

· BI.ZONE: 39% киберинцидентов связаны с привилегированными учетными записями. В 57% случаев злоумышленники использовали действующие учетные данные из утечек или фишинга. То есть атакующий уже внутри доверенного контура, и обходить защитные механизмы ему не нужно. 

· Solar: в начале 2025 года число атак перебором на ИТ-системы российских организаций выросло в 2,7 раза по сравнению с IV кварталом 2024-го — до 570 тысяч. 

· Kaspersky: распространение инфостилеров напрямую ведет к массовому использованию украденных учетных данных в реальных атаках. 25,4% первичных проникновений совершаются через скомпрометированные учётные данные. 

За рубежом картина та же:

· Microsoft: сотни миллионов атак ежедневно, и подавляющее большинство нацелено на учетные записи и пароли. 

· Google: в 86% атак на инфраструктуру использовались похищенные учетные данные. 

Меняется сама природа атаки. Ну не ломают уже крепостные стены и ворота — ключи от града вручает мер; все входят через парадную дверь.

Ох уж эти факторы

Казалось бы, решение проблемы очевидно: многофакторная аутентификация. Пароля мало — добавим еще фактор. Все это знают, все так делают.

Но давайте честно: это решает проблему? Чтобы разобраться, вспомним базовую модель. Быстро, обещаю.

Фактор аутентификации — это то, чем пользователь подтверждает свою личность, когда получает доступ к чему-то там: информационной системе….. Их три:

· То, что мы знаем — секрет: пароль, PIN-код, ответ на контрольный вопрос (да-да, та самая девичья фамилия матери). 

· То, чем мы владеем — физический объект: токен, смарт-карта или смартфон, на который приходят push и СМС или который генерирует OTP. 

· То, чем мы являемся — биологическая характеристика: отпечаток пальца, лицо, голос и др. 

Выглядит стройно: разные факторы, разные механизмы защиты. Все по учебнику.

А теперь посмотрим на те же факторы глазами атакующего. Ему все равно, к какой категории относится фактор. Ему важно, как этот фактор увести. И вот тут картинка из учебника начинает расползаться.

· Секреты. Пароли и PIN-коды подсматривают, перехватывают, выуживают фишингом (ох уж та тафтология) и подбирают. Классика. 

· Факторы владения. Тут все неоднородно. Чтобы заполучить физический токен или смарт-карту — нужен «доступ к телу»: украсть или найти потерянный. А вот СМС, push и OTP с приложения на смартфоне уводятся фишингом, социальной инженерией, перехватом сессии или relay-атакой (тут замес из последовательностей, но вы поняли). Узнаете список? Ровно теми же способами атакуют и пароль (причем, да-да, любой сложности). 

· Биометрия. Тоже не абсолютна: бывают попытки подделки — слепок отпечатка, синтезированный голос. Правда, здесь нужна отдельная подготовка и свои средства. На коленке такое не делается. 

Что получается? Факторы из разных категорий на бумаге на практике ломаются одинаково.

Отсюда главный вывод. Устойчивость аутентификации определяется не числом факторов. Она определяется тем, насколько независимо и по-разному их приходится компрометировать.

Поэтому «пароль + СМС» или «пароль + push» держатся заметно хуже, чем «PIN + аппаратный токен». Хотя в обоих комбинациях есть физический элемент, в первой паре он не в фокусе атакующего. Здесь оба фактора добываются одинаковыми приемами — фишингом и социальной инженерией (да, да, да техническая реализация более сложная, чем в парольном случае, но хорошо отработана и цель оправдывает средства (С)). Во второй – атакующему придется сочетать разные действия, и одно из них — физический доступ к токену. А это уже совсем другой уровень хлопот.

ГОСТ Р 58833-2020

Если довести эту логику до конца, приходим к строгой аутентификации. Ее формализует ГОСТ Р 58833-2020, и определение там такое:

Аутентификация с применением только метода многофакторной взаимной аутентификации и использованием криптографических протоколов аутентификации.

В переводе с языка стандарта: два и более фактора, криптографически защищенный протокол и взаимная аутентификация сторон.

На практике это чаще всего знакомая связка — токен или смарт-карта с PIN-кодом:

· устройство — фактор владения, 

· PIN-код — фактор знания, 

· операции с закрытым ключом выполняются внутри защищенного PIN-кодом устройства. 

Технически процесс получается крайне устойчивым. Смотрите сами:

· стороны проверяют друг друга: система убеждается в подлинности пользователя, а пользователь — в подлинности системы, 

· доверие к участникам держится на инфраструктуре открытых ключей (PKI) и доверенной третьей стороне — центре сертификации, 

· работают криптографические протоколы обмена (challenge–response), и аутентификационные данные в явном виде не передаются, 

· от перехвата и воспроизведения защищают одноразовые значения, временные метки и ограниченное время жизни. 

Итого: технически это одна из самых надежных моделей. Криптография на базе PKI и challenge–response дает взаимную аутентификацию и защиту канала. PIN-код добавляет второй фактор: он защищает доступ к закрытому ключу внутри крипточипа и сильно усложняет компрометацию всей модели.

Звучит как счастливый финал. Но закрывает ли эта строгая аутентификация все возможные сценарии атак?

Почему мы пошли в биометрию?

Техническая основа этой модели действительно очень хороша: надежна и удобна в эксплуатации (возражения на возражения о последнем достойны раскрытия в отдельном опусе). Проблема не в криптографии. Проблема в том, что модель опирается на двойное и зачастую неоправданное доверие: к пользователю и к среде.

Допущение первое: пользователя не всегда оправданно считают, скажем так, достаточно организованным или добросовестным — он действует по регламентированной модели поведения. Допущение второе: после успешной аутентификации доверие становится полным. Всё, что происходит дальше, система считает инициированным и контролируемым именно им и больше ничего не проверяет.

На практике эти допущения нередко не подтверждают. Доверие, построенное на них, ломается в реальной эксплуатации — и двухфакторная аутентификация «токен + PIN» становится уязвимой. Вот как это выглядит в жизни.

1. Осознанная передача аутентификатора

Это не исключение, а устойчивый организационный паттерн. Так «делегируют» полномочия, ускоряют процессы и обходят недостатки модели разграничения доступа. С паролями и двухфакторной аутентификацией такая передача остаётся возможной. Более того, она часто масштабируется — внутри команд, у подрядчиков, по управленческой вертикали. В итоге размываются границы того, кто на самом деле действует, и доверие теряется.

Узнаваемые ситуации:

· Надо подменить коллегу. На час, день, неделю — из-за высокой загрузки, отпуска, отгула. И, как водится, срочно.

· У подрядчика сменился исполнитель. Бывает это довольно часто. С паролями учётки просто шарились внутри команды, и состав исполнителей бесконтрольно меняется и растет. С двухфакторной аутентификацией осталась возможность передать токен другому специалисту: при ротации команды или когда подключили нового сотрудника, например более квалифицированного. 

· Бизнес-процесс «оптимизировали». Там, где действие должны подтверждать несколько сотрудников (скажем, подпись банковских платёжек), токены порой собираются у одного человека. Это полностью разрушает двойной контроль — принцип «четырёх глаз», который защищает от социальной инженерии и технически сложных атак, компрометации рабочей станции и вредоносного ПО: а у семи нянек дитя без…..(С)

2. Теневые и неконтролируемые операции от имени пользователя

Формально пользователь остаётся легитимным субъектом. Фактически действия выполняются без его контроля, а то и без его ведома.

Как так? После первичной аутентификации доступ к криптографическим операциям и защищённым ресурсам может сохраняться внутри сессии — при активном кешировании PIN-кода. И воспользоваться им может любой процесс на рабочей станции.

Ломается ключевое допущение модели: что каждое действие инициирует и контролирует пользователь. Появляется «теневой» контур операций. Выглядит он так:

·  вредоносное ПО или скомпрометированные процессы в фоне используют криптографические ключи — подписывают документы, аутентифицируются в SSH, VPN, получают доступ к защищённым ресурсам. Без участия пользователя и без всякого уведомления; 

·  долгоживущие сессии позволяют процессам на рабочей станции действовать от его имени долго — часами или днями. 

Для привилегированных пользователей и операций это особенно критично.

3. Целевые длительные атаки

Атаковать инфраструктуру, защищённую двухфакторной аутентификацией, сложно само по себе. Нужны хорошо спланированные действия: скомпрометировать PIN-код и получить временный доступ к аппаратному токену.

И вот тонкий момент. Компрометация PIN-кода почти не выявляется. А пропажа физического элемента (токена) становится заметна быстро. Это должно запустить процесс его отзыва с автоматическим отзывом сертификата — ну если этот процесс регламентирован и автоматизирован.

Но и тогда остаётся окно, в котором атакующий может действовать. Его ширину определяет время публикации списка отозванных сертификатов. Практика показывает: иногда такие сценарии признают реализуемыми, а риски — неприемлемыми. И тогда двухфакторную модель аутентификации приходится усиливать.

Все три класса угроз закрывает один шаг — введение третьего фактора, биометрического (других не осталось). Он привязывает аутентификацию и все последующие действия к самому субъекту.

·  Передача. Токен и PIN-код можно отдать. Палец — нет (в большинстве случаев). В отличие от них, биометрия неотчуждаема и не «шарится» внутри команды. Поэтому передача и «коллективное использование» становятся невозможными на уровне модели. 

·  Теневые операции. Аутентификация перестаёт быть разовым событием и становится управляемым процессом. Подтверждение может требоваться не только при входе, но и при выполнении значимых операций. «Теневой» контур исчезает: фоново использовать ключи без участия пользователя вредоносное ПО уже не может. 

·  Целевые атаки. Третий фактор сильно усложняет их реализацию: каждый фактор требует своего, независимого метода компрометации (и тут еще раз вспоминаем, что фактор владения по учебнику и реальности такие разные). А биометрию по самой её природе нельзя ни незаметно скомпрометировать, ни использовать в отложенном режиме. 

Итог: биометрический фактор не просто усиливает существующую модель. Он закрывает системные допущения, на которых держатся уязвимости двухфакторной аутентификации.

Если отойти на шаг назад, меняется сама логика. Аутентификация перестаёт быть разовой проверкой факторов. Она становится частью более широкого процесса, в котором формируется доверие. И важно уже не только то, чем пользователь аутентифицировался, но и как, когда и в каком контексте он выполняет действие.

Доверие смещается с факта предъявления аутентификаторов на совокупность признаков: субъект участвует, процесс контролируем, каждая выполняемая операция подтверждена.

Знакомо? Это и есть Zero Trust: отказ от априорного доверия, постоянная проверка и привязка каждого действия к конкретному пользователю и его контексту. Аутентификация — уже не дверь, через которую прошёл один раз. Это непрерывный механизм подтверждения доверия. И ключевую роль в нём играет не фактор сам по себе, а гарантированная связь между субъектом, процессом и выполняемым действием.

========================================================================== 

В следующей части — про биометрию вообще: какие методы бывают, как мы выбирали подходящий для токена, как работает распознавание отпечатка и что на самом деле значат FAR, FRR и EER.