Что такое аутентификация (Authentication)

Определение

Аутентификация это процесс, который подтверждает личность пользователя, устройства или системы, прежде чем пустить их внутрь. Система проверяет доказательство, которое предъявляет пользователь, и оно бывает трех видов: то, что вы знаете (пароль или PIN-код), то, что у вас есть (телефон или ключ безопасности), и то, что вы есть (отпечаток пальца или лицо). Двухфакторная аутентификация (2FA) и, шире, многофакторная (MFA) сочетают факторы разных видов, поэтому одного украденного пароля мало. Проверка не всегда сводится к сравнению пароля с записью в базе: passkey (ключ доступа) подтверждает личность криптографической подписью, которую создает ваше устройство, а вход «через Google» передает проверку поставщику учетных записей, это единый вход (SSO). Так вам не нужно хранить пароли, но захват аккаунта у поставщика становится путем и в ваш аккаунт. Аутентификация отвечает на вопрос «кто вы?». Авторизация, следующий шаг, отвечает на вопрос «что вам можно?». В обычной речи вход на сайт часто называют авторизацией, но строго говоря это аутентификация.

Почему это важно

Актуальный американский стандарт NIST SP 800-63B-4 (июль 2025 года) опровергает многие привычные правила: он запрещает требовать смешивать разные типы символов и запрещает обязательную периодическую смену пароля, если нет признаков взлома. Вместо этого он требует длину, не меньше 15 символов, когда пароль единственный фактор, и не меньше 8 внутри многофакторной аутентификации, а также проверку по списку распространенных или утекших паролей. Коды по SMS или звонку он относит к методам с ограничениями, поэтому приложение-аутентификатор или passkey надежнее, хотя код по SMS все равно лучше одного пароля. FIDO Alliance называет passkey защищенными от фишинга и безопасными по самому своему устройству. В Израиле руководство Национального киберуправления для малого бизнеса 2018 года включает двухэтапную проверку в десять базовых рекомендаций. Это совет, а не требование закона.

Напрямую связано: Сервер (Server), База данных (Database), Клиент (Client).

Советы по улучшению

• Сегодня же включите двухэтапную проверку в Google- или Microsoft-аккаунте бизнеса, в Meta Business, у регистратора домена, в банке и в бухгалтерской программе.
• Выбирайте приложение-аутентификатор или passkey, а не коды по SMS, и оставляйте SMS только там, где ничего лучше нет.
• Просите длинные пароли и проверку по списку утекших паролей, а не правила про символы и заглавные буквы.
• Используйте встроенный вход платформы или известный сервис входа, а не вход, который разработчик пишет с нуля.
• Дайте каждому сотруднику свою учетную запись и закрывайте ее в день его ухода.

Частые ошибки

• Хранить пароли открытым текстом или со слабым хэшированием.
• Требовать спецсимволы и ежемесячную смену пароля, из-за чего люди выбирают предсказуемые пароли и пишут их на стикерах.
• Путать аутентификацию (кто вы) с авторизацией (что вам можно).
• Разрешать неограниченное число попыток входа, что приглашает автоматический подбор.