Навколо цього терміна одразу два джерела плутанини: як його писати — через «в» чи «у» — і чим він відрізняється від суміжних понять. Розберемо обидва питання по суті. Як улаштована сама перевірка особи, ми пояснили у статті Автентифікація: що це.
«Аутентифікація» чи «автентифікація»: як правильно
Обидві форми трапляються в текстах, але рекомендоване написання — через «в». Корінь походить від грецького authentikos — «справжній, достеменний», а грецьке сполучення au українська традиційно передає як «ав»: автентичний, автограф, автономія. Варіант через «ау» — транслітераційна калька з технічних перекладів. За значенням форми тотожні, тож непорозуміння не виникне, але для стандартів, документів і фахових текстів коректніша та, що з «ав».
Плутанину підживлює сусідство зі словами, які справді пишуть через «ау»: аудит, аутсайдер, аутсорсинг. Вони прийшли з латини та англійської, де це сполучення не грецьке, тож правило на них не поширюється. Найпростіший спосіб не помилятися — перевірити спорідненість зі словом «автентичний»: якщо корінь той самий, пишемо через «в».
Те саме стосується похідних: двоетапна аутентифікація і двоетапна перевірка входу — одне поняття, різниця лише в написанні кореня та в звичках автора.
Три різні кроки: ідентифікація, перевірка, авторизація
Ці поняття йдуть послідовно — саме тому їх і плутають:
- Ідентифікація — ви заявляєте, хто ви: вводите ім'я користувача або адресу пошти. Сервіс отримує ідентифікатор, але ще не знає, чи він справді ваш.
- Автентифікація — ви доводите, що цей ідентифікатор ваш: паролем, одноразовим кодом, відбитком пальця.
- Авторизація — сервіс вирішує, що вам дозволено: звичайний користувач бачить свій профіль, адміністратор — панель керування.
Аналогія з офісом: назвати прізвище на рецепції — перший крок; показати перепустку — другий; перелік дверей, які ця перепустка відчиняє, — третій. Побутові назви на кшталт «верифікації» ми розібрали окремо: синоніми, які вживають для входу з двома кроками.
Найкраще межу видно на єдиному вході (SSO) у компаніях: працівник один раз називає себе й один раз підтверджує особу, а далі кожен застосунок лише запитує в центрального постачальника, які права має цей працівник. Крок перевірки один — наборів прав десятки. Змішати ці речі в налаштуванні означає або видати зайве, або заблокувати роботу.
Після успішної перевірки сервіс не питає пароль щохвилини: він видає маркер сеансу з обмеженим часом життя. Тому «вийти з усіх пристроїв» — це не зміна пароля, а відкликання виданих маркерів. І звільнення працівника закривають не зміною пароля, а вимкненням облікового запису й відкликанням прав.
Три кроки на практиці: банк, робочий ноутбук, турнікет
- Банківський застосунок. Перший крок відбувається непомітно: сервіс упізнає прив'язаний пристрій. Ви лише підтверджуєте особу — відбитком чи кодом. А те, що вам показують саме ваші рахунки й певний ліміт переказу, — уже рішення про права.
- Робочий ноутбук. Ім'я користувача в домені — це перший крок; пароль або смарт-картка — доказ; те, які мережеві теки відкриються, — авторизація.
- Турнікет в офісі. Картка одночасно називає вас і доводить, що це ви, а перелік поверхів, куди вона пускає, — це вже права доступу.
Чому «двофакторна ідентифікація» — неточна назва
У пошуку часто трапляється саме така назва. Але другий фактор додають не до першого кроку, а до перевірки: назвати себе достатньо один раз, а от доказів сервіс просить два. Тому коректний термін — двофакторна автентифікація.
Є й тонша різниця, про яку майже не пишуть:
- два етапи — це два кроки, які можуть належати до одного типу: пароль, а потім відповідь на секретне запитання (і те, і те — «те, що ви знаєте»);
- два фактори — це докази різних типів: пароль плюс код із застосунку, тобто «знаю» плюс «маю».
Якщо автентифікація двофакторна, зловмиснику потрібні обидва докази, а зберігаються вони в різних місцях. Два кроки одного типу такої переваги не дають: витік бази з паролями та відповідями на секретні запитання відкриває їх разом. Тому дивитися варто не на назву в інтерфейсі, а на те, чим саме ви підтверджуєте вхід — порівняння других факторів.
Аутентифікація за ключем: коли доказом є не пароль
Окремий випадок — вхід за криптографічною парою. Доказом слугує не рядок, який можна підгледіти чи виманити, а математичний підпис: закритий ключ лишається на вашому пристрої, відкритий — у сервісі. Під час входу сервер надсилає випадковий запит, пристрій підписує його своєю половиною пари, а сервер перевіряє підпис. Секрет каналом зв'язку не передається взагалі.
Такий вхід легко відкликати централізовано: адміністратор видаляє відкриту половину пари зі списку дозволених — і пристрій більше не заходить, міняти паролі всім не потрібно. Так працюють доступ до серверів за SSH, апаратні токени стандарту FIDO2 і вхід за passkeys. Головна перевага — стійкість до фішингу: підроблений сайт не отримає нічого корисного, бо підпис прив'язаний до адреси справжнього ресурсу.
Секретну половину пари сучасні пристрої тримають в апаратному сховищі (TPM, Secure Enclave), звідки її не витягти навіть за наявності шкідливого програмного забезпечення. Зворотний бік — прив'язка до пристрою: якщо він загубився, потрібен заздалегідь налаштований запасний спосіб входу, інакше доступ буде втрачено.
Ідентифікація в інформаційній безпеці: навіщо розмежування
Плутанина в термінах — не питання стилю, а джерело помилок у налаштуванні доступу:
- ідентифікатор має бути персональним — інакше в журналах подій не видно, хто саме виконав дію; спільний обліковий запис «admin» знищує підзвітність;
- перевірка має бути пропорційною ризику — для критичних систем самого пароля замало;
- права мають відповідати принципу найменших привілеїв — рівно стільки доступу, скільки потрібно для роботи;
- спільні технічні записи мають мати власника — інакше пароль до них не змінюють роками, зокрема й після звільнення людини, яка його знала.
Стандарт ISO/IEC 27001 розводить ці речі й на рівні заходів: керування ідентичністю, дані для перевірки особи та контроль доступу — це окремі контролі Додатка А (розбір контролів). У системі управління ІБ послідовність та сама: спершу впізнати, потім перевірити, і лише тоді надати права.
Як зробити автентифікацію надійною
Мінімальний набір, який працює і вдома, і в компанії:
- Унікальний довгий пароль для кожного сервісу — і менеджер паролів, щоб не тримати їх у голові.
- Другий фактор скрізь, де він доступний; почніть із пошти — як увімкнути 2FA.
- Вхід за криптографічною парою там, де сервіс це підтримує: SSH, FIDO2, passkeys.
- Обмеження кількості спроб входу і сповіщення про вхід із нового пристрою.
- Окремий запис для адміністративних дій — щоденна робота під звичайними правами.
Цей набір закриває більшість побутових сценаріїв злому: від автоматичного підбору до повторного використання одного й того самого секрету на десятках сайтів.