Самая надежная защита от фишинга
Google перевел всех своих сотрудников на аппаратные токены. За год ни у одного из них не украли аккаунт..
Корпорация Google в начале 2017 года перевела всех своих сотрудников (а их больше 85 тысяч человек) на аппаратные токены - небольшие устройства, которые позволяют дополнительно защитить аккаунт пользователя от злоумышленников. С тех пор, рассказали представители компании американскому журналисту Брайану Кребсу, не было зафиксировано ни одной успешной кражи аккаунтов сотрудников.
Аппаратные токены обычно похожи на USB-флешки или брелоки. Они хранят в себе зашифрованную информацию и используются как замена других методов двухэтапной аутентификации.
Двухэтапная аутентификация предполагает, что пользователь сначала вводит пароль, который он знает, а затем код, который он получает альтернативным способом - например, по SMS или в приложении Google Authentificator (где новый код генерируется каждую минуту). В таком случае, даже если злоумышленник подсмотрит или украдет пароль пользователя, он не сможет войти в его аккаунт - потребуется еще доступ к телефону.
Тем не менее, у этих методов есть свои минусы. У инфраструктуры, на которой работают почти все сотовые телефоны, есть уязвимость, позволяющая хакерам перехватывать SMS-сообщения. К тому же сотрудники спецслужб и злоумышленники могут получать доступ к сообщениям через сотовых операторов - так, вероятно, в апреле 2016 года были взломаны аккаунты в Telegram российских активистов.
Использование приложений вроде Google Authentificator безопаснее - код не передается по сети, а генерируется на устройстве. Но и у этого метода есть свои минусы: злоумышленник может перехватить код на этапе настройки приложения или использовать социальную инженерию, чтобы заставить пользователя перейти на фишинговый сайт, похожий на настоящий - и ввести там как пароль, так и сгенерированный код.
Аппаратные токены лишены этих недостатков. Чтобы войти в свой аккаунт с нового устройства, пользователь должен ввести пароль, а затем вставить в USB-порт токен и нажать кнопку на нем (для телефонов и планшетов продаются версии с поддержкой Bluetooth). При этом токен отслеживает адрес сайта и вводит код только там, где должен - по всей видимости, именно это в первую очередь повлияло на то, что никому не удалось украсть аккаунты сотрудников Google.
Корпорация считает аппаратные ключи самым надежным способом защитить данные пользователей - например, это единственный метод двухфакторной аутентификации, используемый в программе «Дополнительная защита» (Advanced Protection Program) для журналистов и политиков ( здесь официальная информация от Google).
Простые пользователи тоже могут настроить защиту с помощью аппаратного токена. Для этого им понадобится само устройство - оно стоит несколько десятков долларов. Google опубликовал пошаговую инструкцию для пользователей компьютеров и телефонов; токены поддерживают и десятки других сервисов, включая Facebook, Twitter и компьютеры под управлением Windows и macOS (в них можно входить при помощи токена).
Брайан Кребс, узнавший об успешном внедрении физических ключей в корпорации Google, отмечает, что у токенов есть свой недостаток - пока они полноценно поддерживаются только браузерами Chrome и Opera. В Firefox поддержку можно включить на странице конфигурации, в браузере Edge от Microsoft она появится позже. Появится ли она когда-нибудь в Safari, неизвестно.
