Какие знаешь виды аутентификации?

Виды аутентификации

Как BA я сталкиваюсь с аутентификацией на уровне требований к системе. Рассмотрю основные виды, их особенности и применение в бизнес-контексте.

1. Базовая аутентификация (Basic Auth)

Один из самых простых методов, где пользователь передаёт логин и пароль в формате Base64. Характеристики:

• Плюсы: простота реализации, универсальность
• Минусы: уязвимость при передаче по незащищённому каналу (всегда требует HTTPS), пароль кодируется, но не шифруется
• Применение: внутренние системы, API для доверенных клиентов

2. OAuth 2.0

Индустриальный стандарт делегированной аутентификации. Позволяет пользователям давать доступ приложениям без передачи пароля.

• Механизм: пользователь перенаправляется на сервис авторизации, получает токен
• Плюсы: безопасность, минимальное раскрытие данных, поддержка социальных сетей
• Типы потоков: Authorization Code, Implicit, Client Credentials, Resource Owner Password
• Применение: веб-приложения, мобильные приложения, интеграции с внешними сервисами (Google, Facebook, GitHub)

3. JWT (JSON Web Token)

Токен-based аутентификация, часто используется вместе с OAuth 2.0.

• Структура: Header.Payload.Signature
• Плюсы: stateless, масштабируемость, возможность передачи данных в токене
• Минусы: токен нельзя отозвать мгновенно, требует управления временем жизни (expiration)
• Применение: REST API, микросервисы, SPА-приложения

4. Двухфакторная аутентификация (2FA)

Добавляет второй уровень защиты после пароля:

• SMS-коды: отправка кода на номер телефона
• TOTP (Time-based One-Time Password): приложения типа Google Authenticator, Authy
• Биометрия: отпечаток пальца, распознавание лица
• Аппаратные ключи: USB-ключи, FIDO2

Применение: критичные операции (банкинг, e-commerce), корпоративные системы

5. SAML (Security Assertion Markup Language)

Стандарт для корпоративной SSO (Single Sign-On).

• Основан на XML: обмен информацией о пользователе между сервисом и провайдером идентификации
• Поток: пользователь → приложение → SAML-провайдер → подтверждение → доступ
• Применение: корпоративные экосистемы, интеграция с Active Directory

6. Session-based аутентификация (Traditional)

Сервер создаёт сессию и отправляет клиенту cookie с session ID.

• Плюсы: простота, стандарт для веб-приложений
• Минусы: требует хранилища сессий на сервере, сложнее масштабировать
• Применение: традиционные веб-приложения, монолитные системы

7. Биометрическая аутентификация

Использование уникальных биологических параметров:

• Отпечатки пальцев
• Распознавание лица
• Сканирование сетчатки
• Голосовая аутентификация

Применение: мобильные приложения, аэропорты, финансовые учреждения

Выбор метода: бизнес-критерии

Как BA я рекомендую анализировать:

• Уровень безопасности: банки и госсистемы требуют 2FA/3FA
• Пользовательский опыт: OAuth с социальными сетями снижает friction
• Масштабируемость: JWT и OAuth лучше для распределённых систем
• Интеграции: SAML для корпоративных клиентов, OAuth для публичных
• Соответствие регуляции: GDPR, PCI-DSS требуют конкретных методов

Я всегда рекомендую комбинировать методы: базовая аутентификация + 2FA для критичных операций, OAuth для упрощения регистрации, JWT для API.