| Дата премьеры системы: | 2017 |
| Технологии: | ИБ - Аутентификация |
Как известно, SMS-сообщения уже достаточно давно считаются ненадежным способом двухфакторной аутентификации. Еще в 2016 году Национальный Институт стандартов и технологий США (The National Institute of Standards and Technology, NIST) представил документ[1], согласно которому, использование SMS-сообщений для осуществления двухфакторной аутентификации в будущем поощряться не будет. Специалисты NIST вообще назвали эту практику «недопустимой» и «небезопасной»[2].
Наиболее распространенной альтернативой SMS-сообщениям и голосовым звонкам являются аппаратные токены (наподобие известных YubiKey). Но специалисты из международного университета Флориды, совместно с Bloomberg, представили осенью 2017 года (PDF) альтернативное решение: систему Pixie. Разработчики утверждают, что Pixie надежнее даже аппаратных решений.
Работает Pixie предельно просто. Пользователю понадобится выбрать как-либо предмет, который и станет «ключом» для осуществления двухфакторной аутентификации. Затем Pixie попросит сделать несколько фотографий выбранного объекта. После этого, каждый раз, когда пользователю нужно где-то авторизоваться, он должен будет сделать еще одну фотографию ключевого предмета, которое Pixie сравнит с предыдущими.
Разработчики поясняют, что только сам пользователь знает, что именно является ключевым предметом, а значит, скомпрометировать процесс двухфакторной аутентификации в данном случае практически невозможно. Здесь не получится обойтись перехватом SMS-сообщений или эксплуатацией уязвимостей в протоколе SS7. К тому же пользователь может сделать «ключом» фотографию абсолютно предмета, использовать фото под определенным углом или фотографию какой-то определенной части объекта.
При этом Pixie демонстрирует крайне низкое количество ложноположительных срабатываний. Так, из 14,3 млн попыток брутфорса ложноположительные срабатывания произошли только в 0,09% случаев. Еще один несомненный плюс – Pixie не передает пользовательские данные на удаленные серверы, все аутентификационные процессы происходят непосредственно на самом устройстве.
Примечания
Подрядчики-лидеры по количеству проектов
Индид, Indeed (ранее Indeed ID) (54) Инфосистемы Джет (48) ДиалогНаука (37) Softline (Софтлайн) (36) Информзащита (32) Другие (825) Card Security (Кард Сек) (4) Национальный аттестационный центр (НАЦ) (4) Инфосистемы Джет (3) Softline (Софтлайн) (3) СэйфТек (SafeTech) (3) Другие (53) Индид, Indeed (ранее Indeed ID) (8) Солар (ранее Ростелеком-Солар) (2) Информзащита (2) Deiteriy (Дейтерий) (2) Softline (Софтлайн) (2) Другие (34)Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
Индид, Indeed (ранее Indeed ID) (5, 55) FalconGaze (Фалконгейз) (1, 38) СэйфТек (SafeTech) (6, 37) Аладдин Р.Д. (Aladdin R.D.) (19, 27) Visa International (2, 26) Другие (459, 219) СэйфТек (SafeTech) (1, 3) МегаФон (1, 2) Konica Minolta (Коника Минолта) (1, 1) Shenzhen Chainway Information Technology (1, 1) ГК ОТР (1, 1) Другие (3, 3) Индид, Indeed (ранее Indeed ID) (3, 8) Avanpost (Аванпост) (1, 1) Солар (ранее Ростелеком-Солар) (1, 1) СэйфТек (SafeTech) (1, 1) Другие (0, 0) Индид, Indeed (ранее Indeed ID) (2, 9) Shenzhen Chainway Information Technology (1, 6) СэйфТек (SafeTech) (1, 4) Аладдин Р.Д. (Aladdin R.D.) (4, 3) RooX Solutions (Рукс Солюшенс) (1, 1) Другие (1, 1) Shenzhen Chainway Information Technology (1, 2) СэйфТек (SafeTech) (1, 2) 1IDM (АйТи Солюшнз) (1, 1) Мультифактор (Multifactor) (1, 1) Right line (Райт лайн) (1, 1) Другие (1, 1)Распределение базовых систем по количеству проектов, включая партнерские решения (проекты, партнерские проекты)
Indeed Access Manager (Indeed AM) - 44 (44, 0) FalconGaze SecureTower - 38 (38, 0) 3-D Secure (3D-Secure) - 26 (23, 3) PayControl - 25 (22, 3) Avanpost IDM Access System - 20 (20, 0) Другие 209 PayControl - 3 (3, 0) МегаФон Мобильный ID - 2 (2, 0) ОТР.Опора - 1 (1, 0) Shenzhen Chainway C-серия RFID-считывателей - 1 (1, 0) Multifactor Сервис многофакторной аутентификации - 1 (1, 0) Другие 2 Indeed Access Manager (Indeed AM) - 6 (6, 0) Indeed PAM - Indeed Privileged Access Manager - 2 (2, 0) Indeed CM - Indeed Certificate Manager (ранее Indeed Card Manager, Indeed Card Management) - 2 (2, 0) Avanpost IDM Access System - 1 (1, 0) PayControl - 1 (1, 0) Другие 0 Indeed Access Manager (Indeed AM) - 7 (7, 0) Shenzhen Chainway C-серия RFID-считывателей - 6 (6, 0) PayControl - 4 (4, 0) Aladdin 2FA - 3 (3, 0) Indeed PAM - Indeed Privileged Access Manager - 3 (3, 0) Другие 3 Shenzhen Chainway C-серия RFID-считывателей - 2 (2, 0) PayControl - 2 (2, 0) 1IDM - Управление учетными записями и правами доступа - 1 (1, 0) Right line 3DS SDK - 1 (1, 0) Multifactor Сервис многофакторной аутентификации - 1 (1, 0) Другие 0 
