Что энтропия говорит о стойкости к перебору
Энтропия зависит от способа генерации. Если независимо выбрать 18 символов из алфавита из 62 символов, получится около 107 бит. Пароль такой же длины, придуманный человеком, может оказаться гораздо предсказуемее.
Перебор через форму входа зависит от ограничений числа попыток. При офлайн-переборе важны алгоритм хеширования или выработки ключа и ресурсы атакующего.
Что защищает фраза Diceware
В длинном списке EFF 7776 слов. Шесть независимо выбранных случайных слов дают около 77,5 бита. Скопированный пример или придуманную фразу по этой формуле оценивать нельзя.
Фразу можно перехватить при вводе или копировании. Вредоносная программа также может украсть уже открытую сессию браузера.
Что происходит, если код входа приходит на почту
Доступ к уже открытой почте может дать атакующему код входа или восстановления. NIST не допускает почту как отдельный канал аутентификации и рассматривает восстановление отдельно.
TOTP на отдельном устройстве может уменьшить риск при заражении компьютера. Фишинговая страница всё равно может передать введённый пользователем код настоящему сервису.
Как passkeys и ключи безопасности защищают от фишинга
WebAuthn привязывает ключ к сервису. Сайт-двойник не может использовать ключ, выданный для настоящего сайта, чтобы войти в аккаунт на нём.
Некоторые passkeys синхронизируются между устройствами. Они могут соответствовать AAL2 при выполнении требований NIST. Для AAL3 нужен неэкспортируемый закрытый ключ и выполнение остальных требований. Подходящий аппаратный ключ может использоваться в такой конфигурации. Кража открытой сессии остаётся отдельной угрозой.
Сравнение способов входа по уровням NIST
| Способ входа | Устойчивость к фишингу | При краже сессии браузера | NIST SP 800-63B-4 |
|---|---|---|---|
| Только пароль | Пароль можно перехватить | Сессию можно использовать повторно | Может соответствовать AAL1 |
| Пароль + код на почту | Код можно перехватить | Сессию можно использовать повторно | Почта не допускается как отдельный канал аутентификации |
| Пароль + SMS-код | Код можно переслать | Сессию можно использовать повторно | Метод с ограничениями, возможен AAL2 при выполнении условий |
| Пароль + TOTP | Код можно переслать | Сессию можно использовать повторно | Возможен AAL2 при выполнении условий |
| Синхронизируемый passkey | Вход устойчив к фишингу | Сессию можно использовать повторно | Возможен AAL2 при выполнении условий |
| FIDO2 с неэкспортируемым ключом | Вход устойчив к фишингу | Сессию можно использовать повторно | Возможен AAL3 при выполнении всех требований |
Как выбрать способ входа для каждого аккаунта
Для администраторов отдавайте предпочтение входу, устойчивому к фишингу. Проверьте и сам ключ, и настройки сервиса. Заранее испытайте запасной способ входа.
Запишите порядок восстановления и отзыва сессий при потере устройства. Там, где passkeys недоступны, TOTP добавляет второй фактор с описанными выше ограничениями.
