| Дата премьеры системы: | 2017 |
| Технологии: | ИБ - Аутентификация |
Как известно, SMS-сообщения уже достаточно давно считаются ненадежным способом двухфакторной аутентификации. Еще в 2016 году Национальный Институт стандартов и технологий США (The National Institute of Standards and Technology, NIST) представил документ[1], согласно которому, использование SMS-сообщений для осуществления двухфакторной аутентификации в будущем поощряться не будет. Специалисты NIST вообще назвали эту практику «недопустимой» и «небезопасной»[2].
Наиболее распространенной альтернативой SMS-сообщениям и голосовым звонкам являются аппаратные токены (наподобие известных YubiKey). Но специалисты из международного университета Флориды, совместно с Bloomberg, представили осенью 2017 года (PDF) альтернативное решение: систему Pixie. Разработчики утверждают, что Pixie надежнее даже аппаратных решений.
Работает Pixie предельно просто. Пользователю понадобится выбрать как-либо предмет, который и станет «ключом» для осуществления двухфакторной аутентификации. Затем Pixie попросит сделать несколько фотографий выбранного объекта. После этого, каждый раз, когда пользователю нужно где-то авторизоваться, он должен будет сделать еще одну фотографию ключевого предмета, которое Pixie сравнит с предыдущими.
Разработчики поясняют, что только сам пользователь знает, что именно является ключевым предметом, а значит, скомпрометировать процесс двухфакторной аутентификации в данном случае практически невозможно. Здесь не получится обойтись перехватом SMS-сообщений или эксплуатацией уязвимостей в протоколе SS7. К тому же пользователь может сделать «ключом» фотографию абсолютно предмета, использовать фото под определенным углом или фотографию какой-то определенной части объекта.
При этом Pixie демонстрирует крайне низкое количество ложноположительных срабатываний. Так, из 14,3 млн попыток брутфорса ложноположительные срабатывания произошли только в 0,09% случаев. Еще один несомненный плюс – Pixie не передает пользовательские данные на удаленные серверы, все аутентификационные процессы происходят непосредственно на самом устройстве.
Примечания
Подрядчики-лидеры по количеству проектов
Индид, Indeed (ранее Indeed ID) (64) Инфосистемы Джет (51) ДиалогНаука (40) Softline (Софтлайн) (39) Информзащита (36) Другие (913) Индид, Indeed (ранее Indeed ID) (9) Сканпорт АйДи (Scanport) (6) Инфосистемы Джет (4) Banks Soft Systems, BSS (Бэнкс Софт Системс, БСС) (3) Уральский центр систем безопасности (УЦСБ) (3) Другие (48) Уральский центр систем безопасности (УЦСБ) (6) Инфосистемы Джет (4) Индид, Indeed (ранее Indeed ID) (4) Сканпорт АйДи (Scanport) (3) SafeTech Group (СэйфТек) (2) Другие (56) Индид, Indeed (ранее Indeed ID) (7) ОКТРОН (5) Viant (Виант) (4) SafeTech Group (СэйфТек) (3) Softline (Софтлайн) (3) Другие (79)Данные не найдены
Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
Индид, Indeed (ранее Indeed ID) (6, 65) SafeTech Group (СэйфТек) (4, 39) Аладдин Р.Д. (Aladdin R.D.) (20, 27) Visa International (2, 26) Avanpost (Аванпост) (10, 23) Другие (498, 248) Индид, Indeed (ранее Indeed ID) (2, 9) Shenzhen Chainway Information Technology (1, 6) SafeTech Group (СэйфТек) (1, 4) Аладдин Р.Д. (Aladdin R.D.) (4, 3) IT-Lite (АйТи Лайт) (1, 1) Другие (1, 1) Индид, Indeed (ранее Indeed ID) (2, 4) Shenzhen Chainway Information Technology (1, 3) SafeTech Group (СэйфТек) (1, 3) Мобильные ТелеСистемы (МТС) (1, 2) 1IDM (АйТи Солюшнз, Один Айдиэм) (1, 1) Другие (10, 10) Shenzhen Chainway Information Technology (1, 8) Индид, Indeed (ранее Indeed ID) (2, 7) SafeTech Group (СэйфТек) (2, 3) RooX Solutions (Рукс Солюшенс) (1, 2) Солар (Solar) (1, 2) Другие (13, 15)Данные не найдены
Распределение систем по количеству проектов, не включая партнерские решения
Indeed Access Manager (Indeed AM) - 47 SafeTech: PayControl - 24 3-D Secure (3D-Secure) - 23 Shenzhen Chainway C-серия RFID-считывателей - 21 Avanpost IDM Access System - 20 Другие 298 Indeed Access Manager (Indeed AM) - 7 Shenzhen Chainway C-серия RFID-считывателей - 6 SafeTech: PayControl - 4 Indeed PAM - Indeed Privileged Access Manager - 3 Aladdin 2FA - 3 Другие 6 SafeTech: PayControl - 3 Indeed PAM - Indeed Privileged Access Manager - 3 Shenzhen Chainway C-серия RFID-считывателей - 3 Indeed Access Manager (Indeed AM) - 2 МТС ID - 2 Другие 11 Shenzhen Chainway C-серия RFID-считывателей - 8 Indeed PAM - Indeed Privileged Access Manager - 6 Indeed Access Manager (Indeed AM) - 2 SafeTech CA (Certificate Authority) - 2 Multifactor Сервис многофакторной аутентификации - 2 Другие 18 
