Как компьютер узнаёт, что это вы?

AAA, пароли, MFA, passkeys и восстановление доступа.

Один аккаунт — несколько разных задач.

План пары

Время	Тема
00–12	AAA и повседневные примеры
12–22	Wi-Fi, сайты, GitHub, вход через провайдера
22–52	Пароли, хеши, соль, перебор, менеджеры
52–65	Многофакторная аутентификация
65–79	Passkeys и WebAuthn
79–90	Потеря устройства и восстановление

Три разных вопроса: AAA

Authentication	Authorization	Accounting
Кто вы? Пароль, ключ или passkey.	Что вам разрешено? Роль и права.	Что произошло? Журнал действий.

Успешный вход даёт право менять чужие оценки?

Идентификация — ещё до входа

Этап	Пример в электронном журнале
Идентификация	«Я — студент Иванов»: ввод логина.
Аутентификация	«Докажи»: пароль или криптографический ключ.
Авторизация	«Можно ли открыть этот журнал?»
Учёт	«Иванов изменил запись в 14:30».

Упрощённо: 401 — вход не подтверждён; 403 — доступ запрещён.

Аутентификация — не только сайты

Где	Как проверяют
Публичный Wi-Fi	Открытая сеть, общий пароль или captive portal.
Почта и соцсети	Пароль, 2FA, passkey.
Админка	Личность плюс роль доступа.
GitHub	Веб-вход, SSH-ключи и токены.
Банк	Вход и отдельное подтверждение операций.
Корпоративный сервис	SSO: единая точка входа.

Общий пароль не создаёт личный аккаунт

Открытая сеть	WPA2/WPA3-Personal	Captive portal
Подключение без личной проверки.	Общий секрет для подключения не определяет личность.	Дополнительная страница входа или принятия условий.

HTTPS защищает обмен с сайтом и в открытом Wi-Fi.

«Войти через Google»: кто хранит пароль?

Приложение	Провайдер идентификации	Приложение
Перенаправляет к провайдеру.	Проверяет пользователя.	Получает результат и назначает свои права.

OpenID Connect — вход; OAuth 2.0 — делегирование доступа.

Почему нельзя один пароль для всего?

Интернет-магазин	Почта	Злоумышленник
База с паролями утекла.	Пользователь повторил тот же пароль.	Пробует украденные данные на почте.

Это credential stuffing: безопасность почты зависит и от утечки на другом сайте.

Хеш — не зашифрованный пароль

Операция	Что происходит
Шифрование	Данные можно восстановить с нужным ключом.
Хеширование	Нет обратной операции с ключом.
Проверка пароля	Сравнивают результат функции для введённого пароля с сохранённым.
Угроза	Пароль угадывают и сравнивают результат.

Для хранения паролей нужен специальный алгоритм, а не просто быстрый хеш.

Почему MD5 не годится для паролей?

Утечка базы	Словарь	GPU
Атакующий получает хеши.	Пробует частые пароли и сочетания.	Быстро проверяет много кандидатов офлайн.

Это не значит, что любой длинный случайный пароль раскрывается за секунду.

Один пароль — одинаковый быстрый хеш

Пользователь	Пароль	Хеш без соли
Иванов	`qwerty123`	`HASH_A`
Петров	`qwerty123`	`HASH_A`
Сидоров	`qwerty123`	`HASH_A`

Что видно атакующему, даже если пароль ещё не раскрыт?

Соль — случайное значение для каждого пароля

Пользователь	Вход алгоритма	Результат
Иванов	пароль + `salt_A`	`HASH_X`
Петров	пароль + `salt_B`	`HASH_Y`
Сидоров	пароль + `salt_C`	`HASH_Z`

Соль может быть открытой. Она не заменяет стойкий KDF.

Argon2id делает перебор дорогим

Время	Память	Параллелизм
Число проходов вычисления.	Объём RAM на одну попытку.	Степень параллельной работы.

Легитимный вход остаётся удобным, массовый перебор становится дороже.

Онлайн-подбор и офлайн-подбор

Онлайн	Офлайн	Фишинг
Попытки через форму входа: ограничение частоты и мониторинг.	Украденная база: соль, Argon2id, сильный пароль.	Ввод пароля на поддельном сайте.

Второй фактор помогает, но фишинг-устойчивые ключи защищают лучше.

Сто паролей без запоминания

Менеджер паролей помогает использовать уникальные секреты.

Генерация	Хранилище	Автозаполнение
Длинный пароль для каждого сайта.	Секреты в зашифрованной базе.	Меньше ручного ввода и повторов.

Примеры: 1Password, Bitwarden, KeePassXC.

Мастер-пароль и хранилище

Компонент	Роль
Мастер-пароль	Пользователь запоминает его и не повторяет на сайтах.
Вывод ключа	Из секрета получают материал для шифрования.
Хранилище	Логины, пароли и резервные коды.
Резерв	Безопасная копия и план восстановления.

Если потерян единственный способ расшифровать базу, доступ может быть утрачен.

Что делать при утечке?

Шаг	Действие
1	Сменить пароль на скомпрометированном сервисе.
2	Сменить совпадающие пароли на других сайтах.
3	Проверить основную почту и её 2FA.
4	Проверить активные сеансы и признаки постороннего доступа.

Уникальный пароль ограничивает последствия чужой ошибки.

Три категории доказательств

Знание	Владение	Биометрия
Пароль или PIN.	Устройство, аппаратный ключ или TOTP.	Отпечаток или лицо, часто для локальной разблокировки.

Два разных пароля остаются одним типом фактора.

Сравним способы подтверждения

Метод	Удобство и риск
SMS	Зависит от номера и сети; возможна подмена SIM.
TOTP	Работает без сотовой сети; код можно выманить.
Push	Удобен; возможна усталость от запросов.
FIDO2	Криптографически привязан к сайту.

Почему второй фактор тоже может оказаться недоступен?

Passkey: пароль можно не передавать

Этап	Что происходит
Регистрация	Устройство создаёт пару ключей.
Сервер	Хранит открытый ключ.
Вход	Присылает одноразовый запрос — challenge.
Подтверждение	Устройство подписывает данные; сервер проверяет.

Face ID обычно разблокирует ключ локально, лицо не отправляется сайту.

Почему поддельный сайт не получает тот же вход?

Настоящий сайт	Поддельный сайт	Устройство
`example.com` просит подтвердить вход.	`examp1e.com` имеет другой origin.	Не использует passkey исходного сайта для чужого origin.

WebAuthn связывает учётные данные с сайтом и защищает от обычного фишинга страницы входа.

Телефон потерян за границей

SMS не приходят, резервный код хранится в том же телефоне.

Проблема	Риск	Что подготовить
Почта, 2FA и менеджер на одном устройстве.	Система блокирует настоящего владельца.	Резервные методы, запасной ключ, офлайн-коды.

Как восстановить доступ без простого обхода защиты для мошенника?

Спроектируйте вход в учебный сервис

Вопрос	Что решить
Вход	Пароль + 2FA или passkey?
Хранение	Где пароль, хеш, соль и ключ?
Права	Студент, преподаватель, администратор.
Журнал	Какие события учитывать?
Восстановление	Что делать при потере телефона?

Защита и доступность

AAA: кто вошёл, что разрешено, что произошло?
Пароли: почему они должны быть уникальными и длинными?
Хранение: зачем соль и Argon2id?
2FA: почему TOTP-код можно выманить?
Passkeys: что хранится на сервере?

Безопасный вход включает план восстановления.

← → листать · F полный экран