401 meetup уже завтра

Напоминаю, что митап состоится уже завтра (27 мая). Всех, кто зарегистрировался и получил подтверждение (это важно!), ждем:

🕐 В 18:00
📍Москва, ул. Льва Толстого 16 (БЦ Морозов), подъезд 4, 1 этаж, зал Мулен Руж

Если вы еще не зарегистрировались и думаете, есть последний шанс. Завтра утром регистрацию закроется, и карета превратится в тыкву.

Программа:

18:00 – 18:30 - Регистрация участников
18:30 – 18:35 - Открытие
18:35 – 19:15 - Использование развёрнутого контекста устройства и сессии в корпоративном IAM на базе приложения-аутентификатора, Дмитрий Грудинин
19:15 – 19:55 - Разработка своего IAM в схемах и мемах, Сергей Ипатов
19:55 – 20:15 - Перерыв
20:15 – 20:55 - Политики-ограничения в Yandex Cloud IAM, Антон Дедов
21:00 – 23:00 - Афтепати и нетворкинг

Также сообщу приятную новость: чтобы информация воспринималась лучше, а общение шло легче, на площадке будет предусмотрен перекус и напитки 😉


#announce

Нынешнее становление idtalk'а личным инстаграмом и бордой анонсов ежегодных ивентов - это невероятно скучно для меня. Подозреваю, что и для вас. Хватит это терпеть!

Адаптируя интервью Егора Летова - "Зачем люди ведут телеграм-канал? Ради праздника. Потому что если праздника нет, то этот канал (мат) не нужен."

Итак, пришло время радикально пересмотреть контентную часть idtalk.

Уверен, что имеющийся состав участников может поучаствовать в профессиональном кастдеве. Бахнем?

Исходная идея idtalk - рыночный нейтралитет* с претензией на максимально возможную объективность в интересах заказчиков.

Пора вернуться к истокам.

На нашем уютненьком рынке Identity Security и Identity & Access Management достаточно много маркетинговых и рекламных публикаций. Мы каждый год выпускаем диковинные ноу-хау, стараясь не отставать от зарубежных коллег в нашей тематике. И кажется, что кто найдёт в Gartner'е и на западном рынке какую-то новую заморскую серебряную пулю - тот и выиграет конкуренцию на рынке. Но судьбу серебряных пуль предсказал давным-давно Фредерик Брукс.

При этом на нашем рынке катастрофически не хватает нейтральных технических, архитектурных и технологических публикаций, дискуссий и всякого такого.

Это колоссальный GAP, который практически все участники рынка, увлёкшись маркетинговым и пиар-планом - совершенно не хотят замечать. А он есть, как тот самый суслик, которого не видишь.

* По причине конфликта интересов разбор кейсов, публикаций и продуктов компании Аванпост за моим авторством - табу. Для меня, не для остальных, само собой.

Но я уверен, что конкуренты на нашем тесном и уютненьком рынке с радостью восполнят этот пробел. Либо в комментариях, либо через предложку с обязательным указанием авторства. Анонимных публикаций не будет, только полный деанон, только хардкор. Материал должен быть максимально объективен и экспертен.

В связи с последними изменениями правил платформы и по требованию правообладателя, в настоящее время мы вынуждены отключить аутентификацию для действующих пользователей MULTIFACTOR через мессенджер MAX. Изменения вступят в силу 26.06.2026.

Что нужно сделать:

1. Настройте альтернативный метод двухфакторной аутентификации для пользователей MAX до 26.06.2026.

2. Если у вас возникнут трудности с перерегистрацией – наша служба поддержки готова помочь. Просто напишите на почту support@multifactor.ru

Новость дня от коллег из Мультифактора.

Мессенджер MAX стал настолько суверенным, что запрещает производителям коммерческих решений для аутентификации отправлять OTP-коды и пуш-запросы?

А что взамен? Вход в корпоративные системы через ЕСИА, Цифровой ID Max и VK?

Вопросики, вопросики.

Коллеги из компании Рутокен выкатили white paper про 117 приказ. Для тех, для кого чтение 117 приказа, как и у меня - вызвало стойкое ощущение, что в приказе ничего не изменилось - советую ознакомиться тут - https://117.rutoken.ru (с регистрацией, но без СМС).

Из того, с чем я не согласен - это с тезисами про "Обязательное внЕДРение EDR-решений" и "Пора покупать EDR". Так-то согласно пункту 41 оно плавает, крякает и действительно похоже на EDR. Но в тексте нет ни слова про EDR. Потому что под эти критерии может зайти и антивирус, подключенный к централизованной консольке. Или вообще может быть заказчик захочет поставить замечательный Avanpost Authenticator, который после обновления сертификата ФСТЭК возьмёт и закроет ряд мер, связанных с контролем устройства и происходящего на устройстве.

Утром коллеги переслали мне пост из канала компании Мультифактор о том, что Мультифактор занял первое место в рейтинге решений MFA некоего SecRadar на основе открытой методики оценки.

Конечно, это событие не могло пройти мимо меня. Нет, не первое место Мультифактора. К их баттл-картам, которые ходят по рукам заказчиков, я привык ещё аж с 2021 года, как к отдельному жанру.

Но вот открытая методика оценки на российском рынке аутентификации - это что-то новенькое.

Итак, барабанная дробь - вашему вниманию представляется открытая методика оценки SecRadar в целых 10 пунктов (в полном объёме, с сайта SecRadar):

• Одноразовые коды - TOTP или HOTP в приложении либо аппаратном генераторе
• Push-подтверждение - Подтверждение входа нажатием в мобильном приложении
• Аппаратные ключи и FIDO2 - USB-токены, смарт-карты, WebAuthn / FIDO2
• Биометрия - Отпечаток, лицо или иной биометрический фактор
• Беспарольный вход - Сценарий входа без пароля как штатный режим
• Каталоги и RADIUS - Интеграция с AD / LDAP и поддержка RADIUS
• Защита удалённого доступа - Второй фактор при подключении по VPN или шлюзу
• Вход в операционную систему - Второй фактор при входе в Windows или Linux
• Адаптивная аутентификация - Требование фактора по уровню риска
• Самообслуживание - Самостоятельная регистрация фактора пользователем

Это вся детализация критериев сравнения. И есть ешё некий показатель "комплаенс", который никак не раскрыт.

И всё? Да, всё. Вот такая вот открытая методика.

А заметку хотелось бы завершить известной цитатой басни Ивана Крылова:

За что же, не боясь греха,
Кукушка хвалит Петуха?
За то, что хвалит он Кукушку.

Ну и где там шуточки про 3 сентября? Надоело ждать 00:01 с ликом Шуфутинского?

Давайте проведём мысленный эксперимент.

Если постоянно вручную переворачивать календарь (отключив NTP), то скоропостижный рассинхрон времени приведёт к неработоспособности Google Authenticator, Яндекс.Ключ, Microsoft Authenticator и множества других, порой неожиданных функций аутентификации на вашем личном устройстве (да-да, TOTP внутри много где).

Если этот же переворот календаря методично и настойчиво выполнять на корпоративном сервере системы аутентификации - то про 3 сентября в скором времени узнают все ваши коллеги. И всё, что было у вас всерьёз 2 сентября (как минимум по SSH) - станет "ну как же так".

Поэтому - переворачивайте свои календари безопасно.