Когда речь идет об использовании интернет-сервисов, аутентификация — это подтверждение личности пользователя. Системе необходимо знать, что за логином находится подлинный владелец аккаунта, а не злоумышленник. Чем больше процессов — в том числе связанных с платежами и личными данными человека — переходит в онлайн, тем важнее становится надёжность аутентификация.
Скажи мне свой пароль, и я скажу тебе, кто ты
Сегодня существуют и используются несколько способов распознать пользователя. Расскажем о некоторых из них.
Имя пользователя и многоразовый пароль
Самый простой и по-прежнему очень распространённый вариант. Устроен он очень просто: пользователь вводит свои имя и пароль — некую информацию, которая в идеале должна быть известна только ему. Если пароль совпадает с тем, который записан в системе, то аутентификация прошла успешно.
Для дополнительной безопасности пароль можно передавать с использованием шифрования, а также использовать хеш-функции. В таком случае система хранит не сам пароль, а его преобразованный по определенному алгоритму образ. Когда пользователь вводит пароль, система преобразует его по тому же алгоритму. Если результат совпадает, то пароль признается верным.
Такой способ популярен в первую очередь благодаря своей простоте. Однако у него по-прежнему много минусов. Проблема в том, что пароли крайне легко попадают в чужие руки — благодаря уязвимостям на других сайтах, забывчивости пользователей (оставляющих пароли записанными на видном месте) и другим факторам. А так как многие используют один и тот же пароль на разных сайтах, то злоумышленникам часто достаточно знать один пароль для доступа на разные сайты.
Двухфакторная аутентификация
Двухфакторная аутентификация подразумевает проверку пользователя через сочетания двух различных компонентов. Чаще всего это пароль и уникальный одноразовый цифровой код, который пользователю присылают на мобильный телефон.
Такой способ надежнее и не требует отдельных устройств: как правило, мобильный телефон всегда под рукой. Однако он может быть неудобен, когда не работает мобильная связь, а потеря телефона делает систему уязвимой. Кроме того, одноразовые коды также могут быть перехвачены злоумышленниками.
Аутентификация через подключенное устройство
Этот способ проверяет личность пользователя через подключение другого устройства — то, которое уже идентифицировало пользователя. Например, пользователь может подключить к компьютеру телефон, который разблокирует отпечатком пальца — таким образом пользователю не надо вводить свой пароль на компьютере.
К сожалению, такой способ неудобен в современном интернете, к которому все подключаются с именно мобильных устройств — во многих странах смартфон является самым распространённым способом выхода в сеть.
Вход через идентификацию на другом сайте
В этом случае вход в сервис или приложение осуществляется через сторонний сайт. Чаще всего это популярные соцсети — Facebook, LinkedIn или Vkontakte. Также часто есть возможность зайти через сервисы Google.
Как правило, такой способ аутентификации не используется в качестве основного — не всегда у пользователя есть аккаунт на этих сервисах. Кроме того, необходимость заходить на сторонние сайты неудобна в тех случаях, когда у пользователя заблокирована возможность подключаться к ним — например, в офисах часто заблокированы социальные сети, необходимые для аутентификации.
Встречайте — Сбер ID
Сбер ID — это бесплатный сервис аутентификации и автоматического заполнения, который позволяет аутентифицировать клиента экосистемы Сбера и партнёров и предоставить быстрый доступ к услугам. Пользоваться сервисом могут как клиенты СберБанка, так и те, кто ими не является. Партнеры же могут подключить Сбер ID и пользоваться им для аутентификации клиентов.
Как сервис работает с точки зрения пользователя?
Для пользователя процесс использования Сбер ID максимально прост. Зарегистрировать его по номеру телефона можно на любом сайте, где есть сервис (или кнопка входа). Клиенты банка могут зайти на сайт Сбера или партнеров, подтвердив вход в мобильном приложении.
Пользователю не нужно запоминать пароли от разных сайтов. Сервис не только помогает быстро заходить на сайты Сбера и партнёров, но и автозаполнять формы, экономя время пользователя.
Партнёру же надо зарегистрировать свое приложение в системах Сбера, подписать договор, получить Client ID и Client Secret в личном кабинете, получить сертификаты безопасности. После этого можно интегрировать Сбер ID в свои сервисы.
В чем плюсы Сбер ID?
- Безопасность данных пользователя
Экосистема Сбера постоянно работает над защитой данных пользователей, внимательно следит за появлением новых уязвимостей и является одной из самых надежных. Таким образом, пользовательские данные будут защищены надежно, но самому бизнесу не придется тратить ресурсы на создание собственных систем защиты.
Для того, чтобы установить Сбер ID, партнеру не обязательно владеть навыками программирования. Команда Сбер ID подготовила готовые модули для популярных CMS (Bitrix, Joomla, Drupal, WordPress) и модули SDK (java, pyton, готовый модуль для ios и android). После того, как партнер оставил заявку на сайте, с ним свяжутся представители сервиса и помогут подключить его к сайту или приложению.
Сбер ID работает с соблюдением всех законов РФ, в том числе закона о сборе персональных данных. Так, пользователю необходимо подтвердить свое согласие на сбор всех данных, а собранная информация хранится в течение 5 лет.
Сбер ID помогает пользователю быстро настроить профиль и заполнить данные: ФИО, телефон, email, дату рождения, пол и адрес доставки.
Кто уже пользуется этим сервисом?
Партнерами Сбер ID уже стали сервисы Delivery Club, 2GIS, Mi-Shop, Mos.ru, «Уральские авиалинии», Ситимобил и другие компании.
Как стать партнером Сбер ID?
Чтобы подключить Сбер ID, достаточно оставить заявку на сайте сервиса.
Фото на обложке: Happy Stock Photo / Shutterstock
Источник: rb.ru
Регистрация по СберБизнес ID
Зарегистрировать учетную запись в облачной платформе Cloud можно с использованием СберБизнес ID (идентификатор учетной записи в СберБизнес). При таком способе данные об организации передаются из СберБизнес в Cloud.
Регистрировать учетную запись в личном кабинете облачной платформы Cloud должен представитель компании-клиента, у которого есть доступ в СберБизнес ID. Регистрация — единоразовая процедура, во время которой владелец учетной записи СберБизнес авторизуется в СберБизнес. Это необходимо для автоматической верификации данных об организации. Обмен данными между СберБизнес и облачной платформой Cloud происходит автоматически.
При регистрации необходимо указать адрес электронной почты технического специалиста, который будет администратором организации . В дальнейшем настройку организации выполняет технический специалист.
Владелец учетной записи в личном кабинете облачной платформой Cloud не имеет доступа к учетной записи СберБизнес. Функции управления финансами организации в СберБизнес и управления организацией в Cloud разделены и изолированы друг от друга.
Источник: cloud.ru
Сбер ID — новая угроза
Смешение банковских услуг и сторонних сервисов — новые возможности для мошенников. А использование Сбер ID так же опасно, как использование банкомата в окружении сомнительных личностей.
Конференцию Сбера я еще не смотрел. Но зайдя в Сбербанк онлайн обнаружил обновленный дизайн. Полазив по различным сервисам попал в Сбер экосистему — количество сервисов поражает воображение. Собственно не выходя из банка можно родиться, сдать анализы, найти работу и уйти на пенсию, похрустывая поп-корном из соседней лавки.
Так же возник вопрос — как уместить все приложения от Сбера и партнеров в одном смартфоне? Не логичнее одно приложение — нажал одну кнопку и вызвал такси, нажал вторую — еду привезли, нажал третью — осаго купил. При этом, даже если сейчас пользователь не использует, например, Аренду недвижимости — то, при возникновении данной потребности, ему не нужно вспоминать, что есть такое приложение от Сбера, ему не нужно его искать и устанавливать.
А теперь самый главный вопрос — зачем? Зачем смешивать покупку пиццы и все свои накопления, поездку в такси и деньги на черный день?
В общем, опасная, на мой взгляд инновация, которая принесет много бед — СберID. Как и гугл и эппл и вк, Сбер решил опуститься с серьезного уровня финансовой организации до интернет портала, введя одну авторизацию на всех сервисах. Кроме того, он готов подключать новых партнеров. А это значит мы, как пользователи, ожидаем встретить СберID где угодно. Как именно выглядит процесс входа через него, не совсем ясно — он только через сканирование QR кода работает, или можно ввести логин и пароль от сбербанк онлайн, и ты зарегистрирован?
Именно это и дает шанс мошенникам — создаешь сайтик, косишь под какой-нибудь сервис, делаешь заманчивые цены, льешь траффик. Далее человек регистрируется, что бы получить плюшки задешево — вводит почту, пароль, каптчу.
А каптча не проходит (и никогда не подойдет — так задумано специально) после нескольких попыток регистрации он видит заветную кнопку — войти через Сбер — открывается окно, идентичное сайту Сбера (адресная строка обычно скрыта в таких мини окнах). В общем пользователь вводит логин пароль, потом приходит смс от самого сбербанка о входе в Сбербанк онлайн. И вуаля — вы залогинились на сайте, а мошенники в вашем онлайн — банке. Откуда же вам знать, что этот сайт не партнер банка, если 5 плойка со скидкой 70% туманит мозг?
Даже если сберID предусматривает вход только через сканирование QR кода приложением в телефоне, все равно найдутся те кто этого не знают. Мне так и не ясно как работает Сбер ID, так как конференцию я не смотрел(таких большинство) и нигде четко не написан процесс авторизации через него.
- Информационная безопасность
- Финансы в IT
Источник: habr.com
