Что такое уровень гарантии аутентификации (AAL)?

Что такое AAL (уровень гарантии аутентификации)?#

Уровень гарантии аутентификации (AAL) — это классификация, используемая для описания надежности и достоверности процессов аутентификации. Определенный в специальной публикации NIST SP 800-63-3, AAL помогает организациям определить соответствующий уровень безопасности для их цифровых взаимодействий.

Существует три уровня AAL:

AAL1: Базовая гарантия#

• Предлагает определенную степень уверенности в аутентификации пользователя.
• Обычно включает однофакторную аутентификацию, например, пароль или OTP-устройство.

AAL2: Высокая гарантия#

• Требует два различных фактора для аутентификации.
• Этот уровень включает дополнительные меры безопасности, такие как защита от атак повторного воспроизведения и сокращенное время повторной аутентификации.
• Синхронизируемые ключи доступа (passkeys) соответствуют AAL2.

AAL3: Очень высокая гарантия#

• Включает многофакторную аутентификацию с использованием аппаратного аутентификатора.
• Отличается строгими требованиями безопасности, включая защиту от имперсонации верификатора и защиту от компрометации верификатора.
• Ключи доступа, привязанные к устройству, соответствуют AAL3.

Каждый уровень адаптирован к различным потребностям в безопасности, от сред с низким уровнем риска на AAL1 до высоких требований к безопасности на AAL3.

---

Давайте подробнее рассмотрим уровни гарантии аутентификации и их значение:

AAL1: Доступность и риски#

• Предназначен для приложений с низким уровнем безопасности, где удобство является приоритетом.
• Уязвим для распространенных угроз безопасности из-за использования простых форм аутентификации, таких как пароли (например, фишинг, атака «человек посередине», подстановка учетных данных и т. д.)

AAL2: Усиленные меры безопасности#

• Подходит для транзакций, требующих более высокого уровня безопасности.
• Сочетает физические (например, токены безопасности) и основанные на знаниях (например, пароли) факторы для усиления безопасности.

AAL3: Высочайшие стандарты безопасности#

• Разработан для сред с высоким риском, обеспечивая максимальную безопасность.
• Использует передовые криптографические меры и аппаратную защиту от физического взлома.

Улучшения в AAL, связанные с ключами доступа (Passkeys)#

• NIST одобряет синхронизируемые ключи доступа (например, через iCloud Keychain) как соответствующие AAL2, что улучшает структуру безопасности для цифровых сущностей и открывает путь для более широкого внедрения ключей доступа.
• Ключи доступа также могут использоваться в сценариях с более высоким риском как аутентификация, соответствующая AAL3, если это ключи, привязанные к устройству, не допускающие синхронизации между устройствами, как в AAL2.

Подробнее о соответствии ключей доступа требованиям AAL читайте в этом блоге.

---

Часто задаваемые вопросы об уровне гарантии аутентификации (AAL)#

Что такое AAL1 и когда он используется?#

AAL1 обеспечивает базовую безопасность аутентификации и обычно используется в средах с низким уровнем риска, где приоритетом является удобство пользователя.

Как AAL2 улучшает безопасность по сравнению с AAL1?#

AAL2 требует два различных фактора аутентификации, что значительно снижает риск несанкционированного доступа по сравнению с AAL1.

Каковы требования для AAL3?#

AAL3 — это наивысший уровень гарантии аутентификации, включающий аппаратные аутентификаторы и строгие меры безопасности, такие как защита от имперсонации верификатора.

Как ключи доступа (Passkeys) влияют на классификацию AAL?#

Синхронизируемые ключи доступа (например, через iCloud Keychain) классифицируются как соответствующие AAL2, в то время как ключи, привязанные к устройству, соответствуют AAL3. Подробнее об этом читайте в этом блоге.

О Corbado

Corbado — это Passkey Intelligence Platform для CIAM-команд, обеспечивающих аутентификацию пользователей в крупных масштабах. Мы показываем то, что не видят логи IDP и общие инструменты аналитики: какие устройства, версии ОС, браузеры и менеджеры учётных данных поддерживают passkey, почему регистрации не превращаются в логины, где сбоит WebAuthn-поток и когда обновление ОС или браузера тихо ломает вход — всё это без замены Okta, Auth0, Ping, Cognito или вашего собственного IDP. Два продукта: Corbado Observe добавляет наблюдаемость для passkey и любых других способов входа. Corbado Connect даёт managed passkey со встроенной аналитикой (рядом с вашим IDP). VicRoads использует passkey для более чем 5 млн пользователей с Corbado (+80 % активации passkey). Поговорить с экспертом по passkey →