Меня достало, что компании всё чаще используют двухфакторную аутентификацию только через фирменное приложение

Аннотация

В статье рассматривается проблема возрастающего количества приложений для аутентификации в том или ином сервиса. В виду того, что (не) каждый сервис старается завести своё эксклюзивное для него приложение-аутентификатор, пользователю приходится устанавливать такой «ключ» просто потому, что другого способа нет, пусть даже у юзера и есть подходящее приложение, поддерживающее TOTP. В статье изложение проблематика, причины такого явления, его недальновидные плюсы и более актуальные минусы, опубликован компромиссный вариант решения проблемы с учетом технической подкованности аудитории сервиса Хабр.

Ведение

Мультифакторная аутентификация подразумевает, что существует несколько независимых факторов, с помощью которых повышается вероятность, что именно у данного аутентифицируемого субъекта есть подходящие права использовать возможности той или иной системы, так? Мысль взята из головы, и не подразумевает ответа внутреннего голоса. С помощью более популярного подвида этого способа аутентификации — OTP (One-Time-Passcode). Его суть в следующем:
После ввода пароля вы вводите также одноразовый код, который генерируется по какой-либо функции (заранее обговорённой между сервисом и производителем токена-фактора), и возможно, синхронизируемый с сервисом по времени. Или отсчитывающий секунды от 1970 года (TOTP вроде так работает, см. RFC 6238). Грубо говоря, в банду OTP можно вписать и SMS, и телефонный звонок с кодом, и хардварные токены (коим может быть и знаменитый Flipper Zero), и маятник Фуко, и фаза Луны, если вы считаете гелиоцентрическую солнечную систему за нечто надёжное… до первого пролёта Нибиру.

Но мы имеем в виду именно классический TOTP, реализованный программно в виде приложения. Да, те самые шесть циферок, которые мы вводим в форму аутентификации или, упаси Б-же, авторизации. Наверняка у некоторых людей стоит приложение, в котором собраны токены к нескольким (сотням) сервисов. Таким приложением может быть KeePass (туториал), Microsoft Authenticator или Authy.

Проблема

Беда в том, что такое приложение… не одно. Таких приложений на вашем экране будет всё больше, и их нельзя будет заменить одним универсальным. Каждый сервис норовит выпустить свой «эксклюзив». Каждый раз при заходе в раздел «Безопасность» в дашборде, вы натыкаетесь на рекламу их чудо-юдо-мега-аппа, которое решит все ваши проблемы, а генерируемые числа в их элитном аутентификаторе можно чуть ли не вывести себе на карту.

Вы подумаете, что: «Ну, вот, в данном приложении есть какие то эксклюзивные функции, которых нет в открытых аналогах? Круто же!», — и будете неправы. Ну, почти. Вы, возможно, перейдете на страницу документации и посмотрите возможности этого приложения, в частности, на каком особенном таком алгоритме оно работает. Под простыней текста, рекламирующего преимущества и функциоанал этого приложения, в кратком FAQ серым шрифтом 8pt на дисплее с 1488ppi и кастомным 146% масштабом вы найдёте… всё тот же TOTP. Вы начнёте вопрошать: «Но как же?! Наверняка это приложение должно быть каким то особенным, ведь не зря какой-нибудь русский Яндекс славится своей математической школой, ведь так? Они должны были придумать особый алгоритм для особого приложения! Не зря ведь в Контур сделал своё приложение — может, в нём действительно используются какие-то особые ФСБ-approved bottle-алгоритмы, устойчивые к атакам ребят с американским светлокожим геномом?».

И будете неправы. Нет в этом особенном эксклюзивном приложении ни фига. Оно реализует простейший TOTP. Разрабы тупо юзнули библиотеку, реализующую данную методику и RFC, и импортировали в приложение. Опять же, сужу по себе, никого не обвиняя.

Казалось бы, ничего страшного. «Раз практически любое 2FA-приложение из магазина поддерживает TOTP, то я могу подцепить двухфакторку к этому строптивому сервису, сующему своё фирменное приложение!» — и, опять же, будете неправы как минимум в половине случаев. Дело в том, что 2FA можно включить… лишь установив их фирменное приложение и залогинившись в их аккаунт. Я смотрю на тебя, Яндекс! Как так было позволено менджменту дорваться до вендор-лока открытого и весьма недевственного стандарта?

Кого казнить?

Данная проблема встречается всё чаще. Держите «расстрельный список» тех, кто безальтернативно перевел метод аутентификации в свой сервис через собственное приложение:

— Яндекс
— Контур
— Authy
— Blizzard
— Steam
— Binance*
— Whatsapp*
— Telegram*
— Discord*
_{* процесс аутентификации встроен в основное приложение}

И список сервисов, которые живут в XXI веке и толерантно относятся к TOTP, который можно привязать к стороннему приложению:

— Госулуги (вот вам смешно, но так и есть… _{простите за ссылку на ТГ})
— VK.com
— Экстремисты из ФБ*
— Террористы из Messenger*
— Просто не очень натуралы из Google
— Нормальные индийские ребята из Microsoft
— Dungeon main’ы из их же дочернего GitHub
— PayPal, Interkassa и т. д.
— Adobe (и Figma)
— Amazon
— Angel list
— Atlassian
— Autodesk
— Reddit
— DigitalOcean
— Dropbox
— Docker Hub
— EA, Ubisoft, EGS и прочие игровые платформы
— Практически любой VDS/VPS-провайдер
_{* являются анально опущенными Роскомнадзором}

И так далее, и тому подобное. В общем, список выйдет очень длинный, мне лень писать весь, лучше смотрите актуальный здесь.

Несмотря на то, что сервисов, которые позволяют подключить любое TOTP-совместимое приложение, намного больше тех, что вендор-локнули реализацию стандарта, очевидно и то, что тенденция залочивать реализацию, что называется, «под себя» — есть, и никто её отрицать не будет.

Не всё так плохо (спойлер: нет)?

Справедливости ради, есть некоторый смысл ограничивать пользователя в способе аутентификации. Обычно подобные инициативы инициализируются, собственно, ради пресловутого «всеобщего блага на благо всего общего»:

 — Почти всегда добавляется поддержка Push-уведомлений в приложение-ключ. В процессе аутентификации пользователю достаточно приложить палец на кнопку «Утвердить вход», и затем, как правило, приложить какой-либо из

Сейчас всего лишь десяток приложений, но дальше ком начнёт расти, и, возможно, минимум 50% приложений в смартфоне и на ПК будут эти самые фирменные «ключи». Пугает, правда?

Выводы и заключение

В статье приведен компромиссный вариант в параграфе «Что предлагаем?» по решению проблемы расплодившихся эксклюзиных аутентификаторов. Проблема не решится, если никто не будет обращать на неё внимание, как, впрочем, если и обращать — тоже… Но первый шаг этому положен!

Мем