СРАВНИТЕЛЬНЫЙ АНАЛИЗ МЕТОДОВ МНОГОФАКТОРНОЙ АУТЕНТИФИКАЦИИ: НАДЁЖНОСТЬ И УДОБСТВО

COMPARATIVE ANALYSIS OF MULTI-FACTOR AUTHENTICATION METHODS: SECURITY AND USABILITY

Kudryashov Daniil Antonovich

student, Department of Computer Engineering and Information Security, Ufa University of Science and Technology,

Russia, Ufa

Chanysheva Venera Akhsanovna

scientific supervisor, Candidate of Sciences in Engineering, Associate Professor, Ufa University of Science and Technology,

Russia, Ufa

АННОТАЦИЯ

В статье сравниваются методы многофакторной аутентификации: коды в SMS, приложения TOTP, push-подтверждения, аппаратные ключи FIDO2, ключи доступа (passkeys) и биометрия. Методы оценены по устойчивости к фишингу и перехвату, удобству и стоимости внедрения. Показано, что наибольшую защищённость при сохранении удобства обеспечивают методы на основе криптографии с открытым ключом.

ABSTRACT

The article compares multi-factor authentication methods: SMS codes, TOTP apps, push confirmations, FIDO2 hardware keys, passkeys and biometrics. The methods are evaluated by resistance to phishing and interception, usability and implementation cost. It is shown that methods based on public key cryptography provide the highest security while remaining convenient.

Ключевые слова: аутентификация; многофакторная аутентификация; одноразовый пароль; TOTP; FIDO2; WebAuthn; ключи доступа; фишинг; подмена SIM-карты; информационная безопасность.

Keywords: authentication; multi-factor authentication; one-time password; TOTP; FIDO2; WebAuthn; passkeys; phishing; SIM swapping; information security.

Пароль остаётся самым распространённым способом подтверждения личности, однако он легко попадает к злоумышленникам. По данным Банка России, в 2025 г. объём операций, совершённых без согласия клиентов, составил более 29 млрд руб., что на 6,4 % больше, чем годом ранее, причём основным способом хищений остаётся социальная инженерия [1]. Поэтому всё шире применяется многофакторная аутентификация (МФА) – проверка с помощью двух и более независимых факторов. Цель статьи – сравнить методы МФА по надёжности и удобству и сформулировать рекомендации по выбору.

ГОСТ Р 58833-2020 выделяет три категории факторов аутентификации: знание (пароль, PIN-код), владение (телефон, токен) и неотъемлемое свойство (биометрия) [2]. Требования к аутентификации закреплены в составе мер группы ИАФ «Идентификация и аутентификация», утверждённом приказом ФСТЭК России № 21 для информационных систем персональных данных [3], а для финансовых организаций – в ГОСТ Р 57580.1 – 2017 [4].

Коды в SMS – самый массовый способ: их используют банки и портал Госуслуг. Код может быть перехвачен через уязвимости сети SS7, вредоносную программу или повторный выпуск SIM-карты по поддельным документам. Но главная угроза – социальная инженерия: пользователь сам диктует код мошеннику, представившемуся сотрудником банка или «службы безопасности». Именно такие сценарии преобладают в обзорах Банка России [1] и аналитике Positive Technologies [5].

Приложения-аутентификаторы вычисляют код по алгоритму TOTP [6] из секретного ключа и текущего времени, поэтому подмена SIM-карты атакующему не помогает. Но от фишинга в реальном времени TOTP не защищает: сайт-посредник получает пароль и код и сразу использует их.

Push-подтверждение удобно, но уязвимо для атаки «усталости от МФА»: злоумышленник многократно инициирует вход, пока пользователь не одобрит запрос. Защитой служит сопоставление чисел, при котором пользователь вводит в приложение число со страницы входа.

Аппаратные ключи и ключи доступа (passkeys) на основе стандарта WebAuthn [7] используют асимметричную криптографию: закрытый ключ не покидает устройство, а подпись привязана к домену сайта. На фишинговом домене ключ не сработает, а секрет не передаётся по сети. Тот же принцип лежит в основе электронной подписи [8]; в российских организациях ключи хранятся на USB-токенах и смарт-картах, а требования к применяемым средствам криптографической защиты при обработке персональных данных установлены ФСБ России [9].

Биометрические данные невозможно сменить после утечки. В России удалённая биометрическая аутентификация осуществляется через Единую биометрическую систему в порядке, установленном Федеральным законом № 572-ФЗ [10]. Наиболее безопасно применять биометрию локально – для разблокировки ключа на устройстве. Результаты сравнения методов приведены в таблице 1.

Таблица 1.

Сравнение методов многофакторной аутентификации

Составлено автором на основе [1; 2; 6; 7]

SMS-коды удобны, но наименее защищены. Наилучшее сочетание характеристик у ключей доступа, а аппаратные ключи из-за стоимости оправданы прежде всего для привилегированных учётных записей.

Рекомендуется: выполнять требования ФСТЭК России и ГОСТ Р 57580.1 – 2017 к мерам аутентификации; не использовать SMS как единственный второй фактор в критичных системах; применять аппаратные ключи для администраторов; внедрять ключи доступа в массовых сервисах; обучать пользователей, так как ни один метод не защитит, если человек сам передаёт код злоумышленнику.

Таким образом, методы МФА не равноценны: коды в SMS и TOTP уязвимы для фишинга, тогда как ключи FIDO2 и passkeys устраняют этот класс атак без потери удобства.

Список литературы:

1. Обзор операций, совершённых без согласия клиентов финансовых организаций [Электронный ресурс]. // Банк России. – URL: https://www.cbr.ru/analytics/ib/ (дата обращения: 22.10.2026).
2. ГОСТ Р 58833-2020. Защита информации. Идентификация и аутентификация. Общие положения. – М.: Стандартинформ, 2020.
3. Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных: приказ ФСТЭК России от 18.02.2013 № 21 [Электронный ресурс]. – Доступ из справ.-правовой системы «КонсультантПлюс».
4. ГОСТ Р 57580.1⁠–⁠2017. Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. – М.: Стандартинформ, 2017.
5. Актуальные киберугрозы для организаций в СНГ: H2 2024 – Q3 2025 [Электронный ресурс]. // Positive Technologies. – URL: https://ptsecurity.com/research/analytics/cis-cyberthreat-landscape-h2-2024-q3-2025/ (дата обращения: 22.10.2026).
6. M’Raihi D., Machani S., Pei M., Rydell J. RFC 6238. TOTP: Time-Based One-Time Password Algorithm [Электронный ресурс]. – IETF. – 2011. – URL: https://www.rfc-editor.org/rfc/rfc6238 (дата обращения: 22.10.2026).
7. Web Authentication: An API for accessing Public Key Credentials. Level 2. W3C Recommendation [Электронный ресурс]. – 2021. – URL: https://www.w3.org/TR/webauthn-2/ (дата обращения: 22.10.2026).
8. Об электронной подписи: федер. закон от 06.04.2011-ФЗ [Электронный ресурс]. – Доступ из справ.-правовой системы «КонсультантПлюс». – № 63.
9. Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности: приказ ФСБ России от 10.07.2014 № 378 [Электронный ресурс]. – Доступ из справ.-правовой системы «КонсультантПлюс».
10. Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации: федер. закон от 29.12.2022-ФЗ [Электронный ресурс]. – Доступ из справ.-правовой системы «КонсультантПлюс». // КонсультантПлюс. – № 572.