Устойчивая к фишингу аутентификация
Определение
Устойчивая к фишингу аутентификация — вход по криптографическому протоколу, который привязывает ответ к имени настоящего сервиса или к каналу связи с ним. Пароль, введённый вручную код OTP и секрет из другого канала такой привязки не дают: их можно передать поддельному сайту.
Также ищут: Phishing-resistant authentication · phishing-resistant MFA · устойчивый к фишингу вход
Зачем это знать
Фишинговая страница может переслать пароль и OTP в реальном времени. Криптографическая привязка к каналу или имени сервиса делает такой перехват бесполезным.
Карта понятия
Сравнить
Связано
Что подтверждено
NIST требует криптографический протокол с привязкой к каналу или имени проверяющей стороны, чтобы считать аутентификацию устойчивой к фишингу.
Граница применимости: Требования к устойчивости против фишинга в NIST SP 800-63B-4.
Пароли, вводимые вручную OTP и секреты из отдельного канала не считаются устойчивыми к фишингу, потому что их можно передать поддельной проверяющей стороне.
Граница применимости: Классификация аутентификаторов NIST.
Что проверить
- Проверьте криптографическую привязку к настоящему сервису.
- Убедитесь, что перехваченный ответ нельзя использовать повторно.
- Проверьте, не ослабляет ли восстановление доступа основной способ входа.
Первоисточники
- Authentication and Authenticator Management
Задаёт authentication factors, authenticator lifecycle, MFA и phishing-resistant authentication requirements.
- Web Authentication: An API for accessing Public Key Credentials — Level 3
Определяет RP-scoped public-key credentials, user presence/verification и discoverable credentials, называемые passkeys.