Посмотрим, сколько просмотров даст немного кликбейтный заголовок :)

И второе интервью сегодня подъехало с Кодом Безопасности, выдержанное, апрельского разлива. Будто сговорились с AM.

Павел на обложке чем-то недоволен.

Это ещё не всё. Если действовать по инструкции, то из туалета не выйти.

Привет! Скоро буду публиковать что-то помимо фоточек с мероприятий. Но нужно немного потерпеть, потому что фоточки с мероприятий пока не закончились.

На завершении прошедшей недели поучаствовал в конференции Keep IT Safe, которую проводил Softline. Выступил с докладом про все продукты Аванпоста. Впервые особенно подробно рассказал про развитие продуктового портфеля линейки Avanpost FAM на 2025-2026 годы, что вызывало оживлённый интерес. Так что участники данного мероприятия, кто не ушёл на время доклада курить или покушать ананасы с рябчиками в лобби отеля - услышали из первых рук прогноз, куда будет двигаться рынок Identity & Access Management в России.

FIDO Passkeys - прекрасный кроссплатформерный механизм аутентификации, который в настоящее время активно развивается в различных пользовательских сервисах, поддерживается практически во всех ОС и на всех относительно современных устройствах в различных программно-аппаратных исполнениях, включая всякие Face ID, Touch ID и т.д. Не за горами активное применение данного механизма в корпоративном сегменте - потребность ощущается уже сегодня. Дело за малым: нужна наработанная практика и понятные сценарии использования в масштабе организации.

Но сейчас речь не столько про сам FIDO, сколько про то, как он работает в реальных сервисах.

FIDO предполагает использование по меньшей мере двух ключей (не важно, аппаратных или программно-аппаратных, встроенных в смартфон/ноутбук или куда-либо ещё) для каждого аккаунта. Один ключ можно потерять, а второй остается минимально-необходимым резервом. Часто целесообразно использование даже 3 ключей на аккаунт. Один – основной, второй – резервный, третий – спрятанный далеко и глубоко на "чёрный день" (например, в сейфе).

Как обычно, дьявол кроется в деталях. По описанной причине пользовательские сервисы позволяют регистрировать несколько ключей. При этом, пока технология Passkeys не стала по-настоящему "народной", сервисы предлагают одновременное использование различных вариантов аутентификации. И хотя Passkeys выступает в качестве "надёжной альтернативы", большинство сервисов с Passkeys не позволяют отключить прочие способы аутентификации.

Иными словами, злоумышленник, который скомпрометировал один из "устаревших" методов аутентификации – узнал пароль, смог добыть OTP-код из SMS и т.д. – совершенно спокойно берёт свой любимый Yubikey и привязывает к аккаунту жертвы. Затем называет токен сообразно остальным (достаточно просто скопировать наименование, соответствующее наименованию ранее привязанных пользователем ключей) и получает безлимитный и бесконтрольный доступ по "надёжному методу аутентификации" без всех этих ваших пушей, SMS-оповещений, оповещений о входе в почту и так далее.

При этом выявление причины проблемы с последующей нейтрализацией «зловредного» ключа злоумышленника может занимать многие дни, а при особой “дотошности” и “квалифицированности” жертвы – недели и месяцы. В конце концов, заметив, что кто-то заходил в аккаунт, человек может сменить пароль, не понимая, что ситуации это не поможет примерно никак.

Конкретные примеры и варианты противодействия разберём в последующих постах.

#fido #passkeys