что такое двухэтапная аутентификация на госуслугах
Как защитить свой аккаунт на «Госуслугах»
Наши персональные данные на портале «Госуслуги» находятся под надежной защитой: их никому не передают без нашего согласия. Но к их безопасности стоит подходить серьезно, даже если вы пользуетесь ими не очень часто. Ведь иногда злоумышленники могут получить доступ к вашему почтовому ящику или даже взломать личный аккаунт. Чаще всего это происходит из-за низкого уровня защиты и неосторожных действий самого владельца учетной записи.
Однако необходимо помнить, что безопасность определяется не только уровнем защиты портала, но и уровнем защиты вашего рабочего места, с которого осуществляется доступ. И если злоумышленник получит доступ к вашему аккаунту на «Госуслугах», он сможет действовать от вашего имени не только на самом портале, но и за его пределами. Речь идет не о мелких пакостях, а об очень серьезных вещах. Например, на вас могут оформить кредит. Или зарегистрировать на ваше имя фирму, проводящую сомнительные операции. Или распорядиться вашей собственностью на свое усмотрение.
Как защитить свой аккаунт
Портал «Госуслуги» предлагает несколько инструментов для защиты вашего аккаунта. Они также позволяют вам вовремя узнать о попытке взлома.
1. Используйте уникальный пароль
«Госуслуги» требуют от вас придумать длинный и сложный пароль, чтобы его было труднее подобрать. Однако сервис никак не может проверить его уникальность. Если вы воспользуетесь тем же самым паролем, которым защитили электронную почту и еще десяток аккаунтов на других сервисах, то утечка данных с любого из них поставит ваши документы под угрозу.
Поэтому для такого важного аккаунта, как на «Госуслугах», не только рекомендуется, но и жизненно необходимо придумать уникальный пароль. А чтобы вы не боялись его забыть, есть несколько советов по составлению и запоминанию паролей. Больше идей можно найти в статье про надежные пароли. И, конечно, всегда можно подстраховаться и сохранить его в менеджере паролей.
2. Включите оповещения о входе в ваш аккаунт Госуслуг
Если вы включите оповещения, то после каждого успешного входа вам придет письмо на электронную почту. Так вы узнаете, если кто-либо, кроме вас, получит доступ к аккаунту, и сможете своевременно поменять пароль. Чтобы включить уведомления о входе:
3. Задайте контрольный вопрос
Контрольный вопрос — это дополнительная мера защиты от попыток посторонних сменить пароль от вашего аккаунта. Но стоит помнить, что контрольный вопрос не защитит вас, если ответ на него легко угадать или найти в Интернете. Важно, чтобы его знали только вы, причем могли в любой момент его вспомнить.
Чтобы задать контрольный вопрос:
4. Включите двухэтапную проверку входа
После включения двухэтапной проверки, чтобы войти в вашу учетную запись, злоумышленнику потребуется ввести не только пароль, но и одноразовый SMS-код, который придет на ваш телефон. Таким образом, вы будете в относительной безопасности, даже если ваш пароль украдут. Заодно вы вовремя узнаете о том, что пароль попал не в те руки, и сможете оперативно сменить его.
Чтобы включить двухэтапную проверку:
5. Включите вход с помощью электронной подписи
Если вы пользуетесь квалифицированной электронной подписью, можно применять ее и для входа в аккаунт. Этот метод надежнее SMS-кодов: перехватить сообщение с одноразовым кодом проще, чем подделать подпись.
Если электронной подписи у вас нет, безопаснее отказаться от этой опции: без ЭЦП она бесполезна, а включая ее, вы теряете возможность получать коды через SMS.
Что еще важно знать
Как видите, настроек безопасности на «Госуслугах» не так много, и разобраться в них совсем не сложно. Кроме этого, чтобы защитить свои данные следуйте простым рекомендациям:
Госуслуги настройка входа в личный кабинет
Продолжаем разговор о сайте госуслуги. На сегодняшний день практически у каждого из нас там есть зарегистрированный аккаунт. Так как все больше государственных услуг можно получить только с его помощью. Как правила там указанны практически все данные, начиная от паспорта и заканчивая ИНН. В связи с чем нужно позаботиться о безопасности. Так как если кто-то получить доступ к вашему кабинету, сможет от вашего имени сделать практически все. Поэтому стоить обезопасить вход в личный кабинет госуслуг, тем более сделать это достаточно просто. Например, можно включить подтверждение по СМС или электронной почте.
Как защитить свой аккаунт на сайте госуслуг
Что настроить вход в личный кабинет, нужно открыть свой профиль, в правом верхнем углу.
В открывшемся окне слева выбрать раздел «Вход в систему». Откроется окно в котором можно включить подтверждение входа в личный кабинет с помощь СМС. Для этого вводим ваш пароль и нажимаем «Включить».
Теперь после того как вы попытаетесь войти в личный кабинет, наберете логин и пароль, система потребует подтверждения, отправив вам в СМС код который нужно буде ввести на сайте госуслуг. Без него получить доступ к личному кабинету будет невозможно.
Можно настроить вход в личный кабинет с помощью ЭЦП, электронно цифровой подписи. Но для этого вам нужно будет получить ЭЦП в удостоверяющем центре, подпись платна, на физ лицо примерно 1000 руб. Выдается такая подпись на 1 год. Так же для установки и настройки потребуется программа КриптоПро а она так же платная. Настроить сам вход в личный кабинет на компьютере с помощью ЭЦП сможет только специалист разбирающийся в этом.
В общем все это достаточно сложно и для обычного пользователя не нужно.
В принципе первого пункта будет достаточно, но можно так же включить подтверждение по электронной почте.
Есть возможность настройки контрольного вопроса. Лично я данный способ считаю не совсем актуальный и надежны.
Из всего вышеперечисленного вполне будет достаточно подтверждения по СМС.
Антивирусная прав ДА! TM
Кругозор без горизонтов
Чтобы получить доступ к сервисам проекта, войдите на сайт через аккаунт. Если у вас еще нет аккаунта, его можно создать. Подписка
Авторизация «вслепую»: о работе с мобильными приложениями, требующими входа через Госуслуги
В последнее время появляется всё больше приложений для жизненных ситуаций, в которых раньше приходилось совершать гораздо больше телодвижений, — звонить, лично посещать какие-либо инстанции и т. д. Сейчас, когда посещать публичные места для многих не только некомфортно, но и нежелательно в виду пандемии, такого ПО становится всё больше. Объединяет эти приложения, как правило, необходимость для начала работы авторизоваться через портал Госуслуг. И вот на этапе входа кроется определённый риск, о котором мы хотели бы сегодня поговорить.
Для входа через Госуслуги некоторые клиентские приложения различных сервисов просят указать логин и пароль от вашей учетной записи и нажать на соответствующую кнопку подтверждения — все совершенно привычно. Но приведёт ли это к авторизации через настоящие Госуслуги или же перед вами был, к примеру, фишинговый сайт — непонятно. А следовательно, неясна дальнейшая судьба логина и пароля от Госуслуг, которые будут введены при попытке авторизации. Если реквизиты доступа окажутся в руках мошенников, это открывает для них возможность использовать портал от имени жертвы — со всеми вытекающими последствиями.
Конечно, можно уповать на то, что приложение прежде чем появиться в маркете — будь то Google Play или AppStore — прошло проверку со стороны Google или Apple. Можно довериться приложению исходя из того, что доверие вызывает имя разработчика. Однако (и мы вынуждены регулярно писать об этом в наших новостях) злоумышленники умеют обходить подобные проверки, и в магазинах приложений под видом полезных программ продолжают появляться трояны. Практика показывает, что в случае выявления вредоносные программы удаляются из маркетов весьма оперативно, но риска скачать и запустить «полезную» программу в неудачный момент это не отменяет.
Нет никаких специфических признаков, которые однозначно указывали бы на опасность авторизации на портале Госуслуг через специальные приложения. В то же время киберпреступники на волне популярности таких приложений продолжают проявлять чудеса изобретательности. Тем не менее есть несколько рекомендаций, которые помогут уберечь ваши конфиденциальные данные.
Как работает идентификация пользователей через «Госуслуги»
Единая система идентификации и авторизации (ЕСИА) – это единственный способ верифицировать личность пользователя. Если продукт работает с деньгами, решает юридические задачи или работает с медицинскими данными, без интеграции с ЕСИА не обойтись. Рассказываем, что нужно знать, чтобы работать с этой инфраструктурой.
ЕСИА появилась в 2010 году и изначально использовалась для авторизации на Портале госуслуг. За прошедшее время возможности системы постоянно развивались, и сегодня коммерческие организации используют её, чтобы связывать учётные записи пользователя с их оффлайн-личностью.
То есть если компании нужно удостовериться, что по ту сторону экрана действительно тот человек, которым представился пользователь, ЕСИА предоставляет такую возможность. И самое главное – эта идентификация имеет юридическую значимость.
1. Клиент может подписывать юридически значимые электронные документы, получать защищённый доступ к конфиденциальной информации, медицинским данным и т.д.
2. Появляется возможность автоматически заполнять в анкетах и заявках персональные данные клиента: ФИО, данные паспорта, ИНН, информация о детях и др. При этом компания может быть уверена, что эти данные абсолютно верны и правдивы.
3. Страховые компании и банки могут продавать через приложение свои продукты. И никаких расходов, которые связаны с традиционными, оффлайновыми каналами продаж – не нужно собирать документы, приглашать человека в офис, достаточно разработать скрипт для колл-центра.
4. Для пользователя верификация с ЕСИА повышает доверие к сервису и делает саму процедуру удобнее – не нужно помнить дополнительные пароли, просто нажимаешь знакомую кнопку и всё.
В наших проектах интеграция ЕСИА активно используется в продуктах страховых компаний. Это позволяет клиентам покупать полисы ОСАГО, отправлять извещения о ДТП при оформлении заявок на урегулирование убытков. Это критически важная функция для сценариев заявления о страховых случаях по ОСАГО, когда пользователь не является клиентом данной страховой компании.
Хотя сейчас к ЕСИА могут подключиться не все организации, можно ожидать, что такая авторизация скоро станет де-факто стандартом для пользовательских сервисов. Просто потому, что это надёжно и удобно для клиентов – вместо отдельной учётной записи для каждого ресурса можно использовать единый аккаунт «Госуслуг» и бесшовно пользоваться любыми нужными услугами. Поэтому задумываться об интеграции стоит всем компаниям.
ЕСИА является прослойкой между стандартным содержанием приложения и его защищёнными данными. Если пользователю не требуются услуги, которые требуют верификации личности, он может не проходить дополнительную авторизацию. Когда же он захочет попасть в этот раздел, приложение переадресует его на Портал госуслуг, а после успешной авторизации – вернёт обратно.
Технически процесс выглядит так:
1. Пользователь обращается к защищённому ресурсу информационной системы (например, при онлайн-покупке полиса ОСАГО).
2. Информационная система направляет в ЕСИА запрос на аутентификацию.
3. ЕСИА проверяет, есть ли у пользователя открытая сессия, т.е. авторизовался ли он уже ранее. Если такой сессии нет, ЕСИА направляет пользователя на веб-страницу, чтобы он ввёл свой логин и пароль.
4. После успешной аутентификации ЕСИА передаёт в информационную систему пакет с идентификационными данными пользователя, информацию об уровне его учётной записи и контексте аутентификации.
5. На основании этой информации система открывает пользователю доступ.
Процедура подключения занимает около месяца. Это время включает регистрацию необходимых аккаунтов, получение данных от Минцифры, работы по интеграции ИС.
1. Зарегистрируйте руководителя организации на Портале госуслуг. Регистрировать компании в ЕСИА могут только те их представители, которые вправе действовать без доверенности. Им понадобится подтверждённая учётная запись физического лица – т.е. нужно будет не только указать свои данные, но и обратиться в банк или МФЦ для верификации. В последнее время многие банки позволяют сделать это онлайн, через их приложения.
2. Зарегистрируйте вашу организацию.
a. Получите квалифицированную электронную подпись (КЭП) на руководителя организации.
b. Зарегистрируйте юридическое лицо в профиле ЕСИА.
c. Оформите КЭП для юридического лица.
Оформлением КЭП занимаются аккредитованные удостоверяющие центры. Подробная инструкция по этому процессу здесь.
3. Зарегистрируйте информационную систему в ЕСИА.
Регистрация системы происходит через технологический портал. Доступ к нему может получить один из сотрудников компании – действовать через аккаунт представителя уже не обязательно. Этот процесс подробно расписан в Руководстве пользователя технологического портала ЕСИА. В результате регистрации информационная система заносится в реестр ИС и получает мнемонический буквенно-цифровой код.
4. Доработайте систему для обмена данными с ЕСИА.
Аутентификация пользователей в ЕСИА происходит по OAuth 2.0 и OpenID Connect 1.0. Компании необходимо сгенерировать закрытый ключ и сертификат открытого ключа, зарегистрировать его на технологическом портале. Стоит отметить, что ЕСИА поддерживает только российские алгоритмы шифрования ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012.
Стоит отдельно отметить, что если в компании уже используются средства верификации пользователей посредством Single Sign-On, то особых технических трудностей при подключении к ЕСИА не будет.
5. Подключитесь к тестовой среде ЕСИА
На этом этапе нужно отправить на адрес sd@sc.minsvyaz.ru заявку по форме, которая приводится в Регламенте взаимодействия заявителей с операторами ЕСИА. Когда администраторы откроют доступ, компании нужно подключить свою систему к ЕСИА, чтобы она могла принимать и отправлять запросы. Для этого используются специальные коннекторы, и Минцифры не даст разрешение на полноценный запуск, пока коннекторы не заработают стабильно в тестовом режиме.
6. Подключитесь к промышленной среде ЕСИА