Ученые и студенты Московского технического университета связи и информатики (МТУСИ) разработали веб-приложение — менеджер паролей с многофакторной аутентификацией, усиленной механизмом временных окон. Решение позволяет ограничивать возможность входа в учетную запись заданным периодом времени, снижая риск несанкционированного доступа. Об этом CNews сообщили представители МТУСИ.
Разработка выполнена студентом МТУСИ Арманом Мелкумяном под руководством доцента кафедры «Информационная безопасность» Александра Большакова.
В основе решения лежит механизм временного окна — установленного интервала, в течение которого пользователь может авторизоваться в системе. При этом временное окно не выступает самостоятельным фактором аутентификации, а используется как дополнительный механизм защиты, усиливающий многофакторную аутентификацию за счет индивидуального определения допустимого времени входа.
Особенность подхода заключается в реакции системы на неудачную попытку авторизации за пределами установленного временного интервала. Пользователь не получает информацию о том, что причиной отказа стало несоответствие времени входа. Вместо этого система не раскрывает конкретную причину неудачной авторизации, что затрудняет злоумышленнику определение механизма защиты и снижает вероятность успешной атаки.
Разработанное решение может применяться в приложениях, где требуется авторизация пользователей, в том числе для реализации ролевого управления доступом. В рамках работы на его основе создан веб-приложение — менеджер паролей.
В системе предусмотрены дополнительные механизмы защиты записей, включая временные окна и PIN-код. Еще одной особенностью разработки стало использование отечественного алгоритма шифрования ГОСТ 34.12–2015 («Кузнечик»).
Кроме многофакторной аутентификации с использованием временных окон, в разработке предусмотрены геолокационная защита и отказ от восстановления пароля по электронной почте. Эти механизмы направлены на повышение защищенности данных и учетных записей пользователей.
Веб-приложение разработано на языке программирования Python. Предложенный механизм аутентификации может использоваться в различных типах приложений, в которых требуется авторизация пользователя.
Поделиться
