Двуфакторна автентикация в онлайн магазина: защита на админ панела и клиентските профили

Двуфакторната автентикация (2FA) добавя второ потвърждение на самоличността към паролата. За онлайн магазина тя има две различни приложения. При админ панела и служебните акаунти водеща е сигурността, докато при клиентските профили защитата трябва да се съчетае с удобен процес на пазаруване. 

Затова изборът между SMS код, приложение за автентикация и хардуерен ключ зависи най-вече от това какъв достъп се защитава.

Какво представлява двуфакторната автентикация?

При стандартния вход паролата е единственото доказателство, че човекът зад екрана е собственикът на акаунта. При 2FA към нея се добавя втори фактор от различна категория. Най-често използваните фактори са:

• нещо, което знаете – парола или ПИН код;
• нещо, което притежавате – телефон, приложение за автентикация или хардуерен ключ;
• нещо, което сте – пръстов отпечатък, лицево разпознаване или друг биометричен белег.

Така открадната или отгатната парола сама по себе си не е достатъчна за вход. Необходимо е да бъде премината и втората проверка.

Защо паролата не е достатъчна?

Паролите могат да попаднат в чужди ръце по различни начини. Един от тях е credential stuffing – автоматизирано изпробване на вече изтекли комбинации от потребителски имена и пароли в други сайтове. Рискът е по-висок при хора, които използват една и съща парола за няколко услуги.

Фишингът е друг сценарий, при който потребителят може сам да предостави данните си на фалшива страница за вход. Съществуват и автоматизирани опити за отгатване на слаби или широко използвани пароли.

2FA ограничава последствията при компрометирана парола, защото за успешен вход е необходимо още едно доказателство за самоличност.

Кой метод за 2FA е по-надежден?

SMS кодът, приложението за автентикация и хардуерният ключ не осигуряват еднаква защита. Разликите са особено важни за акаунти, чрез които могат да се управляват поръчки, настройки и клиентски данни.

SMS код

При този метод еднократният код се изпраща на регистрирания телефонен номер. Основното му предимство е лесното използване, тъй като не изисква отделно приложение или устройство.

Недостатъкът е зависимостта от мобилната мрежа и телефонния номер.

Приложение за автентикация

Приложенията за автентикация могат да генерират еднократни кодове директно на регистрираното устройство. Кодът не се получава чрез SMS, затова този подход не зависи по същия начин от мобилния номер.

Това го прави подходящ вариант за служебни и административни акаунти, при които е необходима по-строга защита, без да се използва отделен физически ключ.

Хардуерен ключ

Хардуерният ключ е физическо устройство, използвано при вход в акаунта. При стандарти като FIDO2/WebAuthn автентикацията е обвързана с конкретната услуга, което осигурява силна защита срещу фишинг.

Сравнение на трите метода

Разликите между трите подхода могат да се обобщят така:

Таблицата показва защо един метод не е подходящ за всички потребители. Хардуерният ключ е логичен избор за чувствителен административен достъп, докато при клиентските профили трябва да се отчита и допълнителното усилие при вход.

Как да защитите админ панела и акаунтите на екипите?

Компрометиран административен акаунт може да даде достъп до настройки на магазина, поръчки и клиентска информация. Затова за хората с административни права вторият фактор е разумно да бъде задължителен, а не оставен като опционална настройка.

Практическите мерки могат да бъдат подредени според приоритета им:

1. Задължителна 2FA за административните акаунти

Всеки служител с достъп до админ панела трябва да използва втори фактор. Изключенията създават акаунти, през които защитата може да бъде заобиколена.

2. Предпочитание към устойчив на фишинг метод

За акаунти с широки права най-силна защита осигуряват FIDO2/WebAuthn хардуерни ключове или други phishing-resistant методи.

3. Отделни профили за всеки служител

Споделеният администраторски профил затруднява проследяването кой е извършил дадено действие. Индивидуалните акаунти позволяват достъпът на конкретен човек да бъде прекратен, без това да засяга останалата част от екипа.

4. Бързо отнемане на ненужния достъп

При промяна на длъжност или напускане служебният акаунт и свързаните с него методи за вход трябва да бъдат деактивирани своевременно.

Тук удобството не бива да е за сметка на защитата. Административните профили са ограничен брой и контролирането на начина, по който служителите влизат в тях, е значително по-лесно отколкото при хиляди клиентски акаунти. 

Когато 2FA и разделянето на права се заложат още при изработката на онлайн магазина, контролът на достъпа става част от самата архитектура, а не последваща добавка.

Как да използвате 2FA при клиентските профили?

При клиентите подходът е различен, защото всяка допълнителна стъпка при вход може да създаде затруднение по пътя към покупката. Това не означава да се пропуска вторият фактор, а да се използва според риска.

2FA например може да се предлага като доброволна настройка за стандартен вход, а допълнително потвърждение да се изисква при чувствителни промени по профила. Такива могат да бъдат смяна на паролата, промяна на основни данни или друго действие, което би имало по-сериозни последствия при чужд достъп.

За по-добър баланс между сигурност и удобство могат да се приложат няколко принципа:

• предлагайте активиране на 2FA с кратко и конкретно обяснение за ползата;
• не изисквайте допълнителна проверка без основание при всяко действие;
• предвиждайте по-строго потвърждение за чувствителни промени;
• осигурете ясен начин за възстановяване на достъпа;
• информирайте потребителя при промяна на настройките за сигурност.

Така клиентският профил получава допълнителна защита, без административният модел за сигурност да се пренася механично върху процеса на пазаруване.

Какво става при загубен телефон?

2FA трябва да бъде планирана и за ситуация, в която потребителят няма достъп до основния си втори фактор. Ако телефонът бъде изгубен, повреден или заменен, възстановяването на акаунта не бива да зависи единствено от него.

Един от вариантите са предварително генерирани резервни кодове. Те позволяват достъп при липса на основния автентикатор и трябва да се пазят отделно от устройството, което заместват.

При работа с резервни кодове са полезни няколко правила:

1. Запазете кодовете при активиране на 2FA

Не разчитайте, че ще можете да ги получите от телефона, ако именно той е изгубен.

2. Съхранявайте ги отделно

Подходящо е защитено място, до което има контролиран достъп. Кодове, записани единствено на същото устройство, не решават проблема при неговата загуба.

3. Подменете компрометирания фактор

След възстановяване на акаунта старото устройство трябва да бъде премахнато от настройките, а новото да бъде регистрирано.

Добре проектираният процес за възстановяване е част от самата защита. Ако възстановяването е прекалено лесно, то може да се превърне в начин за заобикаляне на 2FA. В случай че е прекалено сложно, реалният собственик рискува да остане без достъп до профила си.

Защитата на достъпа е толкова надеждна, колкото е най-слабото звено в процеса на вход. Затова добрата практика не е просто да се „включи 2FA“, а да се избере метод според стойността и риска на конкретния акаунт. За онлайн магазина това означава по-строг контрол там, където един чужд вход може да засегне целия бизнес, и премерена защита там, където всяка допълнителна стъпка влияе върху клиентското изживяване. 

По този начин двуфакторната автентикация се превръща от допълнителна настройка в реално работещ механизъм за контрол на достъпа. 

Създайте своя дигитален проект с WebBuild