home.social

#аутентификация — Public Fediverse posts

Live and recent posts from across the Fediverse tagged #аутентификация, aggregated by home.social.

fetched live
  1. Требования к паролям в 2026 году: что изменилось и как теперь защищать свои аккаунты

    Придумать пароль из восьми символов, обязательно добавить заглавную букву, цифру и специальный знак, а через три месяца повторить процедуру. Еще недавно подобные требования считались нормой корпоративной безопасности. Сегодня от многих из них рекомендуют отказаться. Пока пользователи придумывали все более сложные комбинации, злоумышленники научились использовать украденные пароли, перехватывать активные сессии и создавать убедительные фишинговые страницы. К привычным инструментам атак добавились нейросети, которые помогают угадывать пароли по известным закономерностям. В результате требования к безопасности учетных записей заметно изменились. Разберемся, что рекомендуют современные стандарты, насколько опасен ИИ-перебор и почему даже очень длинного пароля иногда недостаточно. В

    habr.com/ru/companies/abp2b/ar

    #аутентификация #пароли #информационная_безопасность #менеджер_паролей #passkey

  2. Refresh прошёл, сессия сломалась: разбираем ротацию токенов

    Две вкладки обновили токены. Оба запроса вернули 200 OK , а при следующем обновлении пользователя отправило на экран входа. Такое возможно даже с транзакцией и FOR UPDATE . Разберём, как это получается, почему повтор refresh не обязательно означает потерю ответа и как новый токен может пережить отзыв всего семейства. Последнюю гонку воспроизведём в двух соединениях PostgreSQL.

    habr.com/ru/articles/1096460/

    #аутентификация #postgresql #транзакции #jwt #backend #race_condition #refresh_token #управление_сессиями #ротация_токенов #read_commited

  3. [Перевод] Разбираем, как работает Kerberos

    Ошибки в настройке Kerberos могут поставить под угрозу безопасность всего домена, поэтому специалисту по ИБ важно понимать, что происходит внутри протокола после ввода учётных данных. Разбираем путь от аутентификации и выдачи TGT до сервисных билетов и ключей Kerberos, а также смотрим, какие механизмы становятся точками интереса для атакующего. Изучить Kerberos

    habr.com/ru/companies/otus/art

    #Kerberos #Active_Directory #аутентификация #KDC #TGT #TGS #сервисные_билеты #ключи_Kerberos #Rubeus #Impacket

  4. [Перевод] Passkey Editor: расширение для Burp Suite для пентеста WebAuthn

    Пентест WebAuthn быстро упирается в трафик, который Burp показывает почти как непрозрачный набор байтов: нужные поля скрыты за CBOR и несколькими слоями кодирования. Passkey Editor снимает эти обёртки, позволяет менять данные прямо в запросе и собирать их обратно так, чтобы сервер продолжал обрабатывать процедуру. В статье речь пойдет о том, как устроен этот инструмент, какие проверки он автоматизирует и где на практике остаётся поверхность для атак на passkey-аутентификацию. Разобрать инструмент

    habr.com/ru/companies/otus/art

    #пентест #WebAuthn #ключи_доступа #Burp_Suite #аутентификация #безопасность_вебприложений #атаки_на_WebAuthn #CBOR #FIDO2

  5. [Перевод] Почему SAML ломают снова и снова: пять фатальных изъянов протокола аутентификации

    SAML больше двадцати лет обеспечивает единый вход (SSO) в корпоративной и академической среде. Но протокол прогибается под тяжестью собственной сложности, и ему пора на пенсию. Разбираемся, как SAML появился, почему его раз за разом ломают исследователи безопасности и почему на смену ему должен прийти OpenID Connect (OIDC).

    habr.com/ru/companies/cloud4y/

    #SAML #OIDC #OpenID_Connect #SSO #аутентификация #XML #XMLподпись #XSW #канонизация #C14N

  6. От localStorage к HttpOnly Cookie. Как меняется архитектура авторизации в SPA

    В большинстве SPA-авторизация до сих пор строится вокруг JWT, localStorage и заголовка Authorization. Такой подход прост и удобен, но он заставляет клиентское приложение самостоятельно управлять credential и пользовательской сессией. В этой статье разберём, что меняется при переходе на HttpOnly Cookie и серверные сессии: как браузер хранит и отправляет Cookie, зачем нужны HttpOnly, Secure, SameSite, Domain и Path, и почему вместе с Cookie приходится по-новому смотреть на CSRF и CORS. Отдельно разберём разницу между JWT и session ID внутри Cookie, а в практической части посмотрим, как такая архитектура меняет React-приложение с Axios и MobX.

    habr.com/ru/companies/gnivc/ar

    #httponly #httponly_cookie #localstorage #spa #аутентификация #авторизация_пользователя #react #mobx #reactjs #архитектура

  7. Один Gmail = тысячи адресов для сервиса: что мы случайно нашли в админке

    Одна точка в Gmail — и для сервиса перед вами уже другой пользователь. Мы наткнулись на это случайно, а потом решили проверить, насколько далеко можно зайти.

    habr.com/ru/articles/1083948/

    #Gmail #email #нормализация_email #регистрация_пользователей #мультиаккаунты #антифрод #вебразработка #аутентификация

  8. Голос в трубке был мой. Разговаривал не я

    Матери позвонили. Мои интонация и голос, говорит сбивчиво: попал в неприятности, нужны деньги, сейчас перезвонит человек и объяснит куда. Она положила трубку и набрала меня. Я ответил. На этом всё и кончилось. Меня в этой истории зацепило не то, что кто-то собрал модель моего голоса - публичных записей хватает у любого, кто хоть раз выступал или записывал видео. Зацепило, что защитой оказалась не осведомлённость и не бдительность. Защитой оказалось то, что она набрала номер сама.

    habr.com/ru/articles/1078200/

    #социальная_инженерия #дипфейк #синтез_речи #вишинг #аутентификация

  9. «Ссылка недействительна» с первой попытки: её открыли до пользователя

    В нашем сервисе появились обращения, которые не складывались в картину: человек запрашивает сброс пароля, получает письмо, нажимает на ссылку и видит «ссылка недействительна или устарела». Запрашивает второй раз - то же самое. Пятый раз - то же самое. Первое, что я проверил, - срок жизни токена. Срок - час, время на серверах синхронизировано, при генерации токен пишется в базу с отметкой времени, при переходе она сверяется. Всё сходилось. Потом я посмотрел не на создание токена, а на его использование, и увидел, что токен уже израсходован. Израсходован за несколько секунд до того, как пользователь вообще открыл письмо.

    habr.com/ru/articles/1078134/

    #сброс_пароля #аутентификация #почтовые_шлюзы #одноразовые_ссылки #идемпотентность

  10. Пользователь придумал пароль из 100 символов. От 28 из них ваша проверка не зависит

    Тикет пришёл от разработчика, который писал импорт учёток из старой системы. Формулировка была такая: «кажется, у нас ломается верификация, но ломается она в плюс — подходят пароли, которых не было». Ломалось не у него. Так работает bcrypt, и работает уже двадцать семь лет.

    habr.com/ru/articles/1076402/

    #bcrypt #пароли #хеширование #аутентификация #php

  11. СМС за 45 рублей: как операторы придумали налог на стартапы и почему мы больше не будем его платить

    Мы посчитали, во что это выливается растущему стартапу отправка авторизационных SMS, прошлись по всей хронике повышений 2024–2026, сравнили операторов, агрегаторов и мессенджеры в трёх таблицах и нашли канал по 0,80 ₽ за подтверждение - с оплатой только за результат. Внутри: цифры со ссылками, код интеграции на Node.js и Python и пять тезисов, за которые нас закидают в комментариях.

    habr.com/ru/articles/1077448/

    #sms #верификация #аутентификация #авторизация #подтверждение_номера #стартапы #telegram #max #whatsapp #мессенджеры

  12. Apple меняет домен Private Relay: почему Sign in with Apple нельзя строить вокруг email

    Apple меняет домен новых Private Relay адресов для Sign in with Apple. Внешне это похоже на небольшую правку allowlist, но на практике быстро выявляет хрупкую архитектуру, где email участвует в поиске аккаунта. На примере собственного аудита разбираю, чем sub из проверенного токена отличается от email, как пережить смену домена без дублей и какие проверки нужны на сервере.

    habr.com/ru/articles/1076028/

    #sign_in_with_apple #private_relay #аутентификация #oauth #openid_connect #backend #ios

  13. SSO под другим углом

    SSO принято считать системой единого входа: она проверяет пользователя и выдаёт токен. Но в этой же точке можно собирать подтверждённые данные, применять внешние политики, запускать обязательные действия и уведомлять другие системы о новой сессии. Разберём, как SSO формирует единый пользовательский контекст и как Claims Providers, AuthZEN, SSF/CAEP и Script Runner расширяют его роль — от системы входа до платформы управления корпоративной идентичностью.

    habr.com/ru/articles/1074438/

    #SSO #IAM #OpenID_Connect #AuthZEN #SSF #CAEP #claims #аутентификация #управление_доступом #архитектура

  14. Совместное применение 802.1x и NAC. Как контролировать неуправляемые устройства в корпоративной сети

    Я Станислав Калабин, инженер-архитектор компании Axel PRO. Если постараться найти открытую информацию про 802.1x на популярных видеохостингах, презентациях или рекламных материалах, то все выглядит идеально, но в реальной корпоративной сети все обычно устроено сложнее. Помимо ноутбуков и рабочих станций, в инфраструктуре присутствуют десятки типов устройств. Большинство из них относятся к классу IoT (Internet of Things, «интернет вещей») и специализированного оборудования, хотя сюда также входят принтеры, МФУ, IP-телефоны и другие корпоративные устройства, которые не умеют проходить стандартную аутентификацию 802.1x В статье разберемся, как контролировать устройства, которые не поддерживают полноценную аутентификацию по 802.1x?

    habr.com/ru/companies/axel_pro

    #информационная_безопасность #иб #cybersecurity #сетевая_безопасность #8021x #nac #iot #аутентификация #корпоративные_сети #сегментация

  15. 4 пьесы про время жизни токена доступа

    Токен доступа живёт ограниченное время. Сколько именно — решают трое: пользователь хочет подольше, безопасность покороче, серверы — подешевле. Когда коллеги объясняли, какие бывают ситуации с токенами, в моей голове развернулся перевод с айтишного на театральный.

    habr.com/ru/articles/1068804/

    #токен_доступа #время_жизни_сессий #аутентификация #интроспекция

  16. Подключил 18 провайдеров входа и понял, что стандарт OAuth не соблюдает почти никто

    Есть спецификация OAuth 2.0. Есть OpenID Connect поверх неё. Обеим много лет, по ним написаны десятки библиотек. Казалось бы, подключить кнопку «Войти через» — дело на полчаса. Так это выглядит ровно до второго провайдера. Я собрал единую точку входа на 18 провайдеров и 26 способов авторизации — от VK и Сбера до Telegram и Steam. 18 провайдеров, 26 способов входа. И почти каждый соблюдает стандарт по-своему. VK требует device_id и state в теле обмена токена — в спецификации их нет. Сбер хочет уникальный заголовок RqUID в каждом запросе. Яндекс работает не по OIDC и использует заголовок OAuth вместо Bearer. Apple выдаёт вместо client_secret самоподписанный JWT со сроком жизни в полгода. Steam до сих пор на OpenID 2.0 — протоколе, который устарел десять лет назад. А ЕСИА вообще требует ГОСТ-подпись и CryptoPro. Отдельная глава — Telegram. Это три несовместимых механизма под одним именем: OIDC, Login Widget с HMAC-проверкой и Mini App с двойным HMAC. Свести их так, чтобы один человек оставался одним пользователем независимо от способа входа, оказалось самой муторной частью проекта. Внутри: полный каталог отклонений от стандарта по всем провайдерам, разбор того, где живёт нестандартность (спойлер: чем ближе к банку или государству, тем дальше от стандарта), и чеклист, если будете подключать больше двух-трёх провайдеров сами.

    habr.com/ru/articles/1061682/

    #OAuth #OpenID_Connect #авторизация #VK_ID #Telegram_Login #Сбер_ID #аутентификация #single_signon #API #российские_сервисы

  17. Почему не подключается FortiClient VPN

    Привет. Это снова Саша Басун. Я работаю в «Петрович-Тех» инженером направления пользовательских ИТ-сервисов. Моя предыдущая статья про FortiClient VPN нашла отклик, потому я решил рассказать о самых распространённых ошибках при установке или запуске FortiClient VPN. Итак, обычный будний день. Админу приходит заявка от пользователя, который жалуется, что FortiClient не подключается к серверу. При этом шквала подобных заявок не наблюдается, из-за чего админ делает вывод, что проблема у пользователя локальная. Он подключается на удалённый компьютер, чтобы провести диагностику. Открыв логи программы, админ понимает, что помимо бутылки тут может потребоваться ещё и тонометр. Всплывающие окна с предупреждениями выглядят хотя бы немного понятнее. О них я вам и расскажу.

    habr.com/ru/companies/petrovic

    #FortiClient_VPN #ошибки_подключения #диагностика_VPN #Fortinet #системное_администрирование #сетевые_ошибки #аутентификация #настройка_VPN #устранение_неполадок #TLS

  18. Архитектура под замену: чему нас научил переход с OIDC на Kerberos

    Нужно было заменить OIDC на Kerberos при внедрении платформы в облако заказчика. Простая замена не сработала: пользовательский контекст и межсервисные вызовы оказались плотно завязаны на OIDC. В статье рассказываю, как мы искали компромиссное решение, пересматривали границы между бизнес-логикой и инфраструктурой и довели проект до приемки без полной переработки платформы. Что пошло не так

    habr.com/ru/companies/cloud_ru

    #Kerberos #OIDC #JWT #IAM #микросервисы #аутентификация #токены #архитектура #облако

  19. Почему кнопка «Войти через VK» заняла три дня. Кейс

    На первый взгляд, Social Login — одна из самых простых функций современного веб-приложения. Добавить кнопку «Войти через VK». Добавить кнопку «Войти через Яндекс». OAuth 2.0 давно стандартизирован, OpenID Connect тоже. Документации и библиотек полно. Да и AI сегодня умеет писать интеграции быстрее человека. Поэтому, когда я решил добавить VK ID и Яндекс ID в Авторизу, честно рассчитывал уложиться в один рабочий день: Свою систему знаю. OIDC знаю. Подобные интеграции раньше проектировал. Под рукой ChatGPT, Claude и AI-агенты. Что вообще может пойти не так? Спойлер: получилось почти три дня. И самой сложной частью оказался не OAuth. День первый. Самоуверенность

    habr.com/ru/articles/1065576/

    #Авторизация #Аутентификация #OAuth #openidconnect #social_login #vk_api #yandex_api #vk_id

  20. Как мы проектировали идеальный пользовательский опыт для OTP-поля

    Почему ввод кода из смс раздражает, хотя занимает всего несколько секунд? Казалось бы, OTP-поле — простой элемент интерфейса, но именно на этом этапе пользователи часто сталкиваются с мелкими, на первый взгляд, проблемами: не срабатывает автоподстановка, неудобно вставляется код, теряется фокус, приходится заново вводить символы после ошибки. Каждая из этих деталей сама по себе кажется незначительной, но вместе они замедляют авторизацию, увеличивают количество ошибок и ухудшают пользовательский опыт. Меня зовут Антонина, я дизайнер интерфейсов ЮMoney. Мы изучили десятки исследований — от Baymard Institute до Google web.dev . Единого документа с лучшими практиками не нашлось: источники противоречили друг другу или оказывались слишком общими. Тогда мы провели собственное исследование: сопоставили авторитетные материалы, разобрали реальные кейсы и сформулировали практические рекомендации. В этой статье разберём самые распространённые проблемы проектирования OTP-полей — от базовых до менее очевидных, — объясним, почему те или иные решения работают и к чему приводят ошибки. А в конце соберём все рекомендации в удобный чек-лист, который поможет быстро проверить ваше решение.

    habr.com/ru/companies/yoomoney

    #otp #ux #ui #пользовательский_опыт #авторизация #аутентификация #accessibility #формы_ввода #вебдизайн #usability

  21. Чек‑лист внедрения аутентификации Manticore в продакшн

    В проде подход «включил и готово» почти никогда не работает. Для автономного узла техническая последовательность короткая: включить auth , перезапустить Manticore, создать администратора и обновить клиентов. В топологии с распределёнными таблицами или репликационными кластерами нужна дополнительная подготовка, потому что узлам тоже приходится аутентифицироваться друг у друга. Относитесь к внедрению как к небольшому релизу. Сначала инвентаризируйте клиентов и узлы, подготовьте данные аутентификации и отрепетируйте процедуру для своей топологии. Затем переключайтесь. Репетиция выявит сбои до технологического окна. Этот чек‑лист написан для пользователей, которые планируют включить аутентификацию и хотят сделать это максимально безопасно для текущей системы. Помните, что аутентификация отключена, пока вы не настроите auth ; после переключения клиенты, которые по‑прежнему не передают учётные данные будут получать отказ. Выберите процедуру по топологии:

    habr.com/ru/articles/1064226/

    #auth #authentication #authorization #аутентификация #авторизация #информационная_безопасность #production #продакшн #продакшен

  22. Как защитить Manticore Search с помощью встроенной аутентификации и авторизации

    Поиск нередко считают просто инфраструктурой. Но в продакшене он фактически работает как API приложения: принимает пользовательский трафик, отдаёт бизнес‑данные, обслуживает дашборды и нередко стоит рядом с записями, которые не должны быть доступны каждому клиенту в сети. В Manticore Search теперь (с релиза 27.1.5 ) есть встроенная аутентификация и авторизация — для SQL по протоколу MySQL, для HTTP/HTTPS‑эндпоинтов и для операций, связанных с репликацией. Аутентификация отвечает на вопрос «кто делает запрос?». Авторизация — «что этому пользователю разрешено делать?». Пользователи, которые уже используют Manticore могут подключить новую функциональность, сохранив привычные способы работы с Manticore. Существующие SQL и HTTP‑клиенты сохраняют свои обычные паттерны подключения. В приложениях требуются минимальные изменения.

    habr.com/ru/articles/1063744/

    #аутентификация #авторизация #mysql #sql #логирование #управление_правами_доступа #защищенный_режим #auth #authentication #authorization

  23. [Перевод] Книга аутентификации

    Это моя личная книга по аутентификации. Она представляет собой сборник руководств, рекомендаций и примеров по внедрению аутентификации в веб-приложениях, основанный на моем личном опыте. Книга совершенно бесплатна и не содержит рекламы. Надеюсь, она будет полезна всем, кто хочет узнать больше об аутентификации, безопасности и веб-технологиях в целом. Как следует из названия, эта книга в значительной степени посвящена системе аутентификации и авторизации для веб-приложений. Более общие вопросы безопасности см. в серии “Шпаргалки OWASP” . Если у вас возникнут какие-либо вопросы, не стесняйтесь задавать их на сервере Discord или в обсуждениях на GitHub . Разработано и поддерживается Pilcrow . Исходный код доступен на GitHub .

    habr.com/ru/articles/1063760/

    #javascript #js #go #golang #auth #authentication #authorization #passkey #basic_auth #аутентификация

  24. Персональная цифровая устойчивость

    Пару лет назад я потерял доступ к аккаунту Facebook. Второй фактор был основан на SMS с кодом. Я логинился, ждал, пробовал на следующий день — ничего. Стало понятно: сообщения от Facebook на мой российский номер больше не приходят. Если бы мне тогда было очень надо, восстановить доступ было можно — поддержка предлагала прислать селфи с паспортом. Я тогда решил, что это того не стоит. Это был не самый важный для меня сервис. Но ситуация заставляет ощутить, насколько незащищенными мы можем оказаться в нашей зависимости от цифровой экосистемы. Ведь почти все процессы повседневности так или иначе уже завязаны на цифровые решения: работа, личные дела, финансы, здоровье, коммуникации, поездки, спорт, развлечения. И когда хотя бы один из сервисов прекращает работу, для нас перестает работать не столько приложение или сайт, сколько реальный процесс, который на нем основан. В этой статье я попробую разобраться, как сделать свою цифровую инфраструктуру устойчивее, не превращая её поддержку в отдельный проект.

    habr.com/ru/articles/1063012/

    #информационная_безопасность #аккаунт #доступ #сервисы #инфраструктура #цифровая_устойчивость #аутентификация #мультифактор

  25. С июля за вход через Google и Apple штраф до 700 тысяч рублей. Кого это касается

    Несколько лет назад в закон «Об информации...» (149-ФЗ) добавили требования к способам авторизации пользователей. Многие тогда обратили внимание на новость, но практических последствий почти не было — ответственности за нарушение не существовало. Если не штрафуют, значит скорость +19,9 км/ч разрешена ;) Теперь ситуация изменилась - с июля 2026 года появилась административная ответственность, а штраф для юридических лиц 700 000 рублей . Почитал новости, комментарии, пообщался с коллегами - оказалось, что не все до сих пор разобрались. Например мы обсуждали:

    habr.com/ru/articles/1059538/

    #149фз #аутентификация #закон

  26. redb.Identity: OAuth 2.1 / OpenID сервер на .NET, где протокол отделён от транспорта, по шине или вообще без сети

    Есть три привычных способа сделать OAuth/OIDC в .NET, и каждый чем-то неудобен. Первый — ASP.NET -привязанные решения (Duende IdentityServer, ASP.NET Identity, сэмплы OpenIddict). Мощно, но каждый эндпоинт — это HTTP-middleware. Захотелось дёрнуть token из воркера или из консьюмера шины? Поднимай HTTP-листенер и ходи через loopback. Хочешь протестировать конвейер выдачи токена в изоляции? Готовь WebApplicationFactory . Второй — готовые IAM-платформы (Keycloak, Auth0, Okta). Богато по фичам, но это отдельный сервис со своим рантаймом, своей админкой, своей базой, своей моделью конфигурации и своим деплоем. Мультиарендно — да, встраиваемо — нет. Третий — написать своё . И в третий раз за десятилетие переизобрести Code+PKCE, ротацию refresh-токенов, хранение согласий, отзыв сессий, защиту от replay в MFA, ротацию JWKS, шаринг ключей между репликами и backchannel-logout по RFC 8417.

    habr.com/ru/articles/1058700/

    #OAuth_21 #OpenID_Connect #identity_server #аутентификация #SSO #OpenIddict #NET #C# #SCIM #MFA

  27. [Перевод] Аутентификация в MCP в 2026: как было, как есть и как будет

    Пару лет назад мы масштабно столкнулись с совершенно новой технологией, которая пришла вместе с развитием агентов и LLM — MCP. Она заточена на то, чтобы дать модели интерфейс для общения с какой‑либо системой, программой или сервером. Изначально MCP были локальными и скромными: «запусти калькулятор», «проверь календарь», «удали лишние фоточки из галереи». Но очень быстро они доросли до remote‑серверов: вставляешь в Claude адрес своего MCP, и он сразу понимает, что сервер умеет, куда подключаться и как с ним общаться. Большое спасибо за это протоколу , который в ноябре 2024 придумали в Anthropic. И как только MCP стал remote, аутентификация перестала быть опциональной. Именно про это сегодня и пойдет речь.

    habr.com/ru/articles/1056538/

    #MCP #OAuth_21 #аутентификация #авторизация #RFC_9728 #PKCE #LLM #Model_Context_Protocol #resource_server #aiагенты

  28. Рунет без Google Login: что теперь делать с авторизацией

    В России снова обсуждают вход на сайты через Google, Apple ID, GitHub и другие иностранные аккаунты. Повод — подписанный закон № 199-ФЗ от 26.06.2026 , который добавил в КоАП штрафы за нарушение правил авторизации пользователей. Но сам запрет появился не сейчас. Базовая норма пришла ещё с 406-ФЗ от 31.07.2023 и с 1 декабря 2023 года живёт в ч. 10 ст. 8 закона № 149-ФЗ «Об информации» . Новость 2026 года в том, что теперь за нарушение есть отдельная статья КоАП — 13.55 : для граждан 10–20 тысяч рублей, для должностных лиц 30–50 тысяч, для юрлиц 500–700 тысяч. Обычного пользователя за аккаунт Gmail или Apple ID штрафовать не собираются (возможно, тут надо бы добавить слово «пока»), штрафы адресованы владельцу сайта, приложения или информационной системы, если он даёт пользователю из России войти способом, который закон теперь не считает допустимым. Снаружи всё выглядит как борьба с иностранными кнопками входа. На деле это спор о том, кто держит ключ от аккаунта пользователя.

    habr.com/ru/articles/1053664/

    #авторизация #аутентификация #OAuth_20 #OpenID_Connect #SSO #passkey #149ФЗ #КоАП_1355 #российский_IdP #SIM_swap

  29. Безопасное хранение паролей: соли, перцы и выбор алгоритма

    Выбираете алгоритм хеширования паролей — берёте bcrypt, потому что все берут bcrypt, ставите rounds=10, потому что так в туториале, и идёте дальше. Разбираем, почему это может быть ошибкой, чем отличаются Argon2, scrypt и PBKDF2, и как правильно настроить каждый из них.

    habr.com/ru/articles/1051800/

    #хеширование_паролей #bcrypt #argon2 #криптография #информационная_безопасность #аутентификация #rainbow_tables #соль #PBKDF2 #scrypt

  30. Аналитический доклад: Развитие технологии аутентификации по клавиатурному почерку

    Введение
    Технология аутентификации по клавиатурному почерку, которая анализирует особенности набора текста (скорость печати, ритм, частоту ошибок и другие параметры), набирает популярность в сфере информационной безопасности. Внедрение таких технологий может значительно улучшить уровень защиты в цифровом пространстве, являясь важным элементом многослойной системы безопасности.

    Прогресс в области
    Система, разработанная в РТУ МИРЭА, использует уникальные параметры клавиатурного почерка для подтверждения личности пользователя. Данные системы обновляются автоматически при изменении манеры печати, что позволяет повысить безопасность доступа без необходимости использования дополнительного оборудования. Такая технология не только отвечает требованиям современных систем аутентификации, но и значительно снижает вероятность несанкционированного доступа.
    Кроме того, аналогичные разработки ведутся в других учебных заведениях, таких как Санкт-Петербургский политехнический университет Петра Великого и Кубанский государственный технологический университет, где исследуются комбинированные системы аутентификации, которые могут учитывать дополнительные параметры, например, походку пользователя.

    Выводы
    Технология на основе клавиатурного почерка является перспективным направлением в области безопасности. Она может значительно повысить надежность идентификации пользователя, а также снизить риски, связанные с потерей паролей или фишингом.
    Отсутствие необходимости в дополнительном оборудовании делает технологию удобной и доступной. Для внедрения системы достаточно иметь стандартные устройства ввода, такие как клавиатуры, что снижает затраты на ее реализацию и обслуживанием.
    Адаптация системы к индивидуальному стилю пользователя делает процесс аутентификации более точным и надежным. Технология автоматически обновляет шаблоны и адаптируется к изменениям в манере печати, что исключает возможность подделки.
    Комплексность и высокая степень детализации параметров. Для эффективной работы технологии необходимо учитывать индивидуальные особенности каждого пользователя, что представляет собой вызов для реализации в массовом масштабе. Необходимы дальнейшие исследования для определения ключевых параметров, которые максимально точно характеризуют «клавиатурный почерк» пользователей.

    Прогноз
    В ближайшие 3–5 лет технология аутентификации по клавиатурному почерку станет важной частью системы многофакторной аутентификации. Её распространение будет ускоряться за счет популяризации облачных сервисов, которые требуют новых методов защиты. Возможно, появятся совместимые решения для мобильных устройств, что сделает технологию еще более универсальной.

    Однако, существует риск того, что с развитием технологий злоумышленники смогут адаптировать свои методы атаки, пытаясь манипулировать данными, например, через использование обученных моделей для имитации стиля набора текста. Таким образом, будет важно сочетать этот метод с другими средствами защиты.

    Влияние на безопасность
    Увеличение уровня безопасности: Введение аутентификации по клавиатурному почерку позволит существенно повысить защиту от фишинга, так как даже в случае кражи пароля злоумышленник не сможет подделать манеру печати.

    Противодействие утечкам данных: Клавиатурный почерк может служить дополнительным барьером на пути утечек данных, особенно в случаях, когда злоумышленники пытаются использовать украденные устройства для получения доступа к личной информации.

    Новые угрозы: С появлением новых технологий также могут возникать новые угрозы. Например, возможно развитие технологий, которые смогут подделывать уникальные черты «клавиатурного почерка», что потребует усиленной защиты и адаптации самой технологии.

    Защита от угроз
    Для защиты от угроз, связанных с использованием технологии аутентификации по клавиатурному почерку, следует учитывать следующие меры:
    Многофакторная аутентификация: Внедрение системы на основе клавиатурного почерка не должно заменять другие методы защиты, такие как двухфакторная аутентификация с использованием паролей и биометрии.
    Периодическое обновление шаблонов и данных: Регулярное обновление шаблонов и анализ изменений в манере печати поможет сохранить высокую степень точности и предотвратить возможные атаки с использованием устаревших данных.

    Обучение пользователей: Для минимизации рисков необходимо обучить пользователей правильным методам защиты их данных и пояснить значимость использования сложных паролей и защитных систем на основе «клавиатурного почерка».

    Заключение
    Технология аутентификации по клавиатурному почерку представляет собой важный шаг в развитии цифровой безопасности. Она сочетает в себе удобство использования, высокую степень защиты и отсутствие необходимости в дополнительном оборудовании, что делает её привлекательной для широкого применения. Однако для максимальной эффективности системы важно её интегрировать в рамках многофакторной аутентификации и постоянно адаптировать к новым угрозам.

    Библиография
    Naked Science. Ученые научились распознавать пользователей по «клавиатурному почерку». naked-science.ru/article/tech/
    3dnews.kz. В России придумали, как идентифицировать человека по клавиатурному почерку. 3dnews.kz
    elib.spbstu.ru. Система аутентификации по клавиатурному почерку. elib.spbstu.ru
    m24.ru. Научные исследования в области аутентификации. m24.ru

    Хэштеги
    #КлавиатурныйПочерк #Аутентификация #Безопасность #МногофакторнаяАутентификация #Технологии #ИнформационнаяБезопасность #ИдентификацияПользователей

Share on Mastodon

Enter the server where you have an account.