Що таке і як працюють токени аутентифікації?

Що таке і як працюють токени аутентифікації?

Аутентифікація на основі токенів — це протокол, який дозволяє користувачам підтвердити свою особу та отримати натомість унікальний маркер доступу. Протягом усього терміну дії маркера безпеки користувачі мають доступ до веб-сайту або програми, для якої був виданий маркер. Їм не потрібно повторно вводити свої облікові дані щоразу, коли вони звертаються до тієї самої веб-сторінки, програми чи ресурсу, захищених цим маркером.

Токени аутентифікації працюють як проштампований квиток. Користувач має доступ до тих пір, поки він дійсний. Як тільки користувач виходить із системи або виходить із програми, ключ стає недійсним.

Аутентифікація на основі токенів відрізняється від традиційної автентифікації на основі пароля або сервера. Токени забезпечують додатковий рівень безпеки, а адміністратори також можуть точно контролювати кожну дію та транзакцію.

Однак використання токенів вимагає певного рівня знань з програмування. Більшість розробників швидко знайомляться з предметом, але потрібно подолати крива навчання.

Розробка токенів аутентифікації

Аутентифікація та авторизація – це дві різні поняття, але вони належать до одного. До появи ключів аутентифікації використовувалися паролі та сервери. Традиційні методи забезпечували потрібним людям доступ до потрібних речей у потрібний час, але це не завжди було ефективним.

Візьмемо для прикладу паролі. Як правило, для паролів потрібно:

• Згенерувати пароль. Користувач думає про комбінацію букв, цифр і символів.

• Запам'ятати пароль. Користувач повинен запам'ятати унікальну комбінацію.

• Повторно ввести пароль. Кожен раз, коли здійснюється доступ до об’єкта, пароль потрібно вводити знову.

Оскільки більшість людей не можуть запам’ятати всі свої паролі, вони вдаються до таких інструментів, як:

Записуйте паролі. Розсипані папірці із записаними паролями — кошмар для кожного силовика.

Використовуйте паролі кілька разів. Користувачі, як правило, використовують один і той же пароль для кількох областей. Якщо це буде виявлено, можна атакувати кілька облікових записів одночасно.

Змініть паролі лише трохи. Коли користувачеві пропонується оновити свій пароль, користувачі часто змінюють лише цифру або літеру.

Аутентифікація сервера також потрібна для паролів. Кожен раз, коли користувач входить в систему, комп’ютер створює запис транзакції. Відповідно збільшується навантаження на пам'ять.

Аутентифікація на основі токенів працює інакше.

При аутентифікації на основі токенів друга служба перевіряє запит сервера. Після завершення перевірки сервер видає ключ і відповідає на запит.

Хоча користувач все ще повинен запам’ятати пароль, токен надає іншу форму доступу, що значно ускладнює викрадення пароля або порушення механізмів безпеки. Крім того, запис сеансу не займає місця на сервері.

Існує три поширені типи токенів аутентифікації:

• Підключені: ключі, диски, накопичувачі та інші фізичні пристрої підключаються до системи, забезпечуючи таким чином доступ.

• Безконтактні: пристрій знаходиться досить близько до сервера, щоб забезпечити зв’язок, але не підключений до мережі. Прикладом цього типу токена є те, що відомо як магічне кільце Microsoft.

• Відключені: пристрій може спілкуватися із сервером на великій відстані, ніколи не торкаючись іншого пристрою. Якщо ви коли-небудь проходили процес двофакторної аутентифікації за допомогою свого смартфона, ви використовували цей тип токена.

У всіх трьох випадках користувач повинен вжити заходів, щоб почати процес. Вони повинні або ввести пароль, або відповісти на запитання. Навіть після успішного виконання цих кроків, доступ можливий лише за допомогою маркера доступу.

Як працює аутентифікація за маркерами?

При використанні системи аутентифікації на основі маркерів облікові дані користувача перевіряються лише один раз. Після перевірки вони отримують маркер, який надає їм доступ на визначений вами період часу.

Ось як працює процес:

Запит: користувач запитує доступ до сервера або захищеного ресурсу. Це може включати вхід за допомогою пароля або іншого процесу, зазначеного вами.

Перевірка: сервер визначає, чи надано запитувачу доступ. Це можна зробити за допомогою відповідності пароля та імені користувача або іншого процесу, який ви визначаєте.

Маркер: сервер зв’язується з пристроєм аутентифікації, напр. B. кільце, ключ, смартфон або подібне. Після перевірки сервер видає токен і передає його користувачеві.

Зберігання: маркер знаходиться у браузері користувача, поки користувач активний.

Якщо користувач намагається отримати доступ до іншої області сервера, токен знову спілкується з сервером. Потім доступ надається або забороняється залежно від токена.

Адміністратори можуть встановлювати обмеження на токени. Одноразовий маркер знищується відразу після виходу користувача. Маркер також можна налаштувати на самознищення через певний час.