| Дата премьеры системы: | 2017 |
| Технологии: | ИБ - Аутентификация |
Как известно, SMS-сообщения уже достаточно давно считаются ненадежным способом двухфакторной аутентификации. Еще в 2016 году Национальный Институт стандартов и технологий США (The National Institute of Standards and Technology, NIST) представил документ[1], согласно которому, использование SMS-сообщений для осуществления двухфакторной аутентификации в будущем поощряться не будет. Специалисты NIST вообще назвали эту практику «недопустимой» и «небезопасной»[2].
Наиболее распространенной альтернативой SMS-сообщениям и голосовым звонкам являются аппаратные токены (наподобие известных YubiKey). Но специалисты из международного университета Флориды, совместно с Bloomberg, представили осенью 2017 года (PDF) альтернативное решение: систему Pixie. Разработчики утверждают, что Pixie надежнее даже аппаратных решений.
Работает Pixie предельно просто. Пользователю понадобится выбрать как-либо предмет, который и станет «ключом» для осуществления двухфакторной аутентификации. Затем Pixie попросит сделать несколько фотографий выбранного объекта. После этого, каждый раз, когда пользователю нужно где-то авторизоваться, он должен будет сделать еще одну фотографию ключевого предмета, которое Pixie сравнит с предыдущими.
Разработчики поясняют, что только сам пользователь знает, что именно является ключевым предметом, а значит, скомпрометировать процесс двухфакторной аутентификации в данном случае практически невозможно. Здесь не получится обойтись перехватом SMS-сообщений или эксплуатацией уязвимостей в протоколе SS7. К тому же пользователь может сделать «ключом» фотографию абсолютно предмета, использовать фото под определенным углом или фотографию какой-то определенной части объекта.
При этом Pixie демонстрирует крайне низкое количество ложноположительных срабатываний. Так, из 14,3 млн попыток брутфорса ложноположительные срабатывания произошли только в 0,09% случаев. Еще один несомненный плюс – Pixie не передает пользовательские данные на удаленные серверы, все аутентификационные процессы происходят непосредственно на самом устройстве.
Примечания
Подрядчики-лидеры по количеству проектов
Индид, Indeed (ранее Indeed ID) (57) Инфосистемы Джет (50) ДиалогНаука (38) Softline (Софтлайн) (38) Информзащита (36) Другие (873) Индид, Indeed (ранее Indeed ID) (8) Информзащита (2) Deiteriy (Дейтерий) (2) Softline (Софтлайн) (2) Национальный аттестационный центр (НАЦ) (2) Другие (33) Индид, Indeed (ранее Indeed ID) (9) Сканпорт АйДи (Scanport) (6) Инфосистемы Джет (4) Banks Soft Systems, BSS (Бэнкс Софт Системс, БСС) (3) Уральский центр систем безопасности (УЦСБ) (3) Другие (49)Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
Индид, Indeed (ранее Indeed ID) (5, 58) СэйфТек (SafeTech) (6, 39) FalconGaze (Фалконгейз) (1, 38) Аладдин Р.Д. (Aladdin R.D.) (20, 27) Visa International (2, 26) Другие (477, 236) Индид, Indeed (ранее Indeed ID) (3, 8) СэйфТек (SafeTech) (1, 1) Avanpost (Аванпост) (1, 1) Солар (ранее Ростелеком-Солар) (1, 1) Другие (0, 0) Индид, Indeed (ранее Indeed ID) (2, 9) Shenzhen Chainway Information Technology (1, 6) СэйфТек (SafeTech) (1, 4) Аладдин Р.Д. (Aladdin R.D.) (4, 3) Т-Банк (Тинькофф Банк) (1, 1) Другие (1, 1) Индид, Indeed (ранее Indeed ID) (2, 4) Shenzhen Chainway Information Technology (1, 3) СэйфТек (SafeTech) (1, 3) Мобильные ТелеСистемы (МТС) (1, 2) Спейсбит (Spacebit) (1, 1) Другие (9, 9) RooX Solutions (Рукс Солюшенс) (1, 1) Газпром (1, 1) IT Expertise (ИТ-Экспертиза) (1, 1) X5 Group (1, 1) Другие (0, 0)Распределение базовых систем по количеству проектов, включая партнерские решения (проекты, партнерские проекты)
Indeed Access Manager (Indeed AM) - 45 (45, 0) FalconGaze SecureTower - 38 (38, 0) PayControl - 26 (23, 3) 3-D Secure (3D-Secure) - 26 (23, 3) Avanpost IDM Access System - 20 (20, 0) Другие 230 Indeed Access Manager (Indeed AM) - 6 (6, 0) Indeed CM - Indeed Certificate Manager (ранее Indeed Card Manager, Indeed Card Management) - 2 (2, 0) Indeed PAM - Indeed Privileged Access Manager - 2 (2, 0) PayControl - 1 (1, 0) Solar webProxy Шлюз веб-безопасности - 1 (1, 0) Другие 0 Indeed Access Manager (Indeed AM) - 7 (7, 0) Shenzhen Chainway C-серия RFID-считывателей - 6 (6, 0) PayControl - 4 (4, 0) JaCarta - 3 (0, 3) Indeed PAM - Indeed Privileged Access Manager - 3 (3, 0) Другие 3 Shenzhen Chainway C-серия RFID-считывателей - 3 (3, 0) PayControl - 3 (3, 0) Indeed PAM - Indeed Privileged Access Manager - 3 (3, 0) Indeed Access Manager (Indeed AM) - 2 (2, 0) МТС ID - 2 (2, 0) Другие 9 ИТ-Экспертиза: Сакура Комплекс информационной безопасности - 1 (1, 0) Газпром Бизнес ID - 1 (1, 0) Х5 Ключ - 1 (1, 0) Другие 0 
