Аутентификация: пароли, факторы и токены

Ты уже знаешь разницу между хешированием и шифрованием: хеш нельзя превратить обратно во вход, шифрование можно. Именно поэтому сайт хранит хеш пароля, а не сам пароль. Чего тот урок не покрывал — той части, от которой зависит, защищает ли сохранённый хеш кого-нибудь на практике. Этот урок про неё и про всё, что происходит вокруг поля с паролем. Всё вышесказанное предполагает, что атакующий снаружи. Неудобная часть урока в том, что самый частый способ войти — действительный аккаунт, которым пользуется не тот, кто должен, или действительный пароль, введённый на странице, которая не была настоящей. Поэтому и меры, которые выглядят непарадно, — менеджер паролей, второй фактор, короткий срок жизни сессии, — на практике делают больше работы, чем любая остроумная криптографическая схема.

SHA-256 — неподходящий инструмент для паролей, и не потому, что он слабый. Он слаб здесь потому, что он быстрый. Современная видеокарта перебирает порядка 10^11 хешей SHA-256 в секунду, поэтому любой восьмисимвольный пароль падает за секунды. Хешу пароля нужно обратное свойство: он обязан быть медленным нарочно и медленным так, чтобы это нельзя было откупить дополнительным железом. Именно это делают scrypt и argon2id. Параметры стоимости здесь не украшение, а вся защита, и их приходится поднимать по мере роста скорости железа.

GPU, single card, offline guessing against a leaked dump

algorithm        cost setting        guesses/sec     one 8-char password
---------------  -----------------  --------------  ---------------------
SHA-256          plain               10^11           seconds
MD5              plain               10^11           seconds
bcrypt           cost 12             10^3            ~ 30 years
scrypt           N=2^15, r=8, p=1  10^2            ~ 300 years
argon2id         m=64 MiB, t=3       10^1            ~ 3000 yearsГрубые порядки величины для офлайн-перебора по утёкшему дампу на одной современной видеокарте. Считай эти числа формой, а не догмой: точные скорости меняются каждый год, разрывы между строками — нет.

Многофакторная аутентификация означает доказать две вещи разной природы: то, что ты знаешь, то, что у тебя есть, или то, чем ты являешься. Пароль плюс секретный вопрос — это один фактор, спрошенный дважды. На практике важнее более узкий вопрос, чем «сколько у тебя факторов»: может ли атакующий, разговаривающий с тобой прямо сейчас, передать твой второй фактор настоящему сайту, пока тот ещё действителен? Коды передать можно. Ключи — нельзя. Практическое различие — не абстрактная стойкость, а наличие короткоживущего секрета, который атакующий может переслать дальше.

После входа серверу нужно это помнить. Он может хранить непрозрачный случайный токен и искать его при каждом запросе, а может выдать тебе подписанный набор утверждений и проверять подпись вместо базы. Второе — это JWT, и он популярен по настоящей причине: любой сервер в парке может проверить его, не обращаясь к общему хранилищу. Цену называют реже. JWT действителен до истечения срока, потому что сервер умеет только проверять подпись, а подпись не знает, что ты нажал «выйти». Досрочный отзыв означает список отозванных, то есть ровно то состояние, от которого ты пытался уйти. Компромисс в одной таблице. JWT — не лучший токен сессии; это токен сессии, который купил отсутствие состояния ценой возможности отзыва. «Запомнить меня» — не галочка удобства, а решение о сроке жизни, принятое за пользователя. Долгоживущий токен, переживающий закрытие браузера, — это учётные данные на устройстве, которое ты не контролируешь, и обращаться с ним надо соответственно: привязать к устройству, дать возможность отозвать со страницы аккаунта и обнулять при смене пароля. Честная версия этой функции держит сессию долгой, но снова спрашивает пароль перед любым разрушительным действием. Нечестная версия держит вечный токен, который не убивает ничто, кроме сброса пароля, и о нём никто не вспоминает до продажи ноутбука. OAuth отвечает на вопрос, не имеющий отношения к тому, кто ты: как позволить одному сервису действовать от моего имени в другом сервисе, не отдавая ему свой пароль? Ты отправляешь пользователя к провайдеру, провайдер просит одобрить конкретный набор разрешений и возвращает код, который обменять на токен может только запрашивающее приложение. Токен несёт область действия и срок. Чего OAuth намеренно не определяет — как доказать личность, поэтому поверх него существует OpenID Connect как тонкий слой идентичности. Следствие стоит запомнить: сервис, который пускает тебя по голому токену OAuth и больше ни по чему, принимает решение об аутентификации на основе механизма авторизации.