Блокировка выдачи себя за другого с помощью Face Check и проверки личности с высоким уровнем доверия

By Mirko Peters · 2026-08-13

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft Entra Verified ID - Simply Explained

Добро пожаловать в очередной разбор современной безопасности идентификации, продуктивности и меняющегося ландшафта цифрового доверия. Если вы управляете пользователями, настраиваете политики безопасного доступа или занимаетесь администрированием в облаке, вы уже знаете, что традиционной периметровой защиты недостаточно. Пароли, приложения-аутентификаторы и даже устойчивые к фишингу passkey отвечают в первую очередь на один фундаментальный вопрос: контролирует ли человек за клавиатурой назначенный способ входа? Это необходимо, но остаётся огромное слепое пятно. Знание того, что у кого-то есть действительный пароль или устройство, не доказывает его реальную личность и не гарантирует, что он вправе получать доступ к ценным корпоративным ресурсам.

По мере того как киберпреступники используют передовой искусственный интеллект, дипфейки и изощрённые кампании социальной инженерии, ставки в проверке личности никогда не были выше. Удалённая работа и цифровые модели бизнеса требуют, чтобы организации с абсолютной уверенностью знали, кто находится по другую сторону экрана. Именно здесь на помощь приходят продвинутые системы проверки личности. В этом посте мы развиваем наши недавние обсуждения и разбираем, как такие передовые технологии, как Face Check, интегрированный в архитектуры децентрализованной идентификации, меняют правила игры. Если этот разбор вам понравился, обязательно послушайте наш связанный подкаст Microsoft Entra Verified ID - Simply Explained, где основные концепции разобраны в аудиоформате.

Введение в современные проблемы проверки личности

На протяжении десятилетий организации полагались на бумажные документы, копии, водительские удостоверения и сканы паспортов при приёме сотрудников на работу и восстановлении доступа к учётным записям. В условиях удалённой и гибридной модели работы такая зависимость от статичных документов создаёт серьёзные уязвимости. Сотрудники, подрядчики и партнёры часто отправляют конфиденциальные PDF-файлы по электронной почте или загружают высококачественные сканы через незащищённые каналы. Как только эти документы оказываются в пути или хранятся в обычных базах данных, они становятся главной мишенью для утечек данных и кражи личности.

Более того, ручная проверка документов известна своей медлительностью и подверженностью человеческим ошибкам. Уставший специалист техподдержки или сотрудник отдела кадров легко может пропустить едва заметные подделки, изменённый текст или отредактированные фотографии в представленном удостоверении. Злоумышленники знают об этом и регулярно используют трудности удалённого приёма на работу. Они создают синтетические личности или выдают себя за легитимных сотрудников, чтобы получить первичный плацдарм внутри корпоративных сетей. Оказавшись внутри, они повышают привилегии, перехватывают финансовые операции или выводят конфиденциальную интеллектуальную собственность. Традиционная многофакторная аутентификация не может остановить такие атаки, поскольку злоумышленник успешно проходит первичную проверку учётных данных, украв устройство или обманув человека-проверяющего. Современная безопасность требует отказа от статичной бумажной документации в пользу криптографически надёжной цифровой проверки личности с высоким уровнем доверия.

Microsoft Entra Verified ID и модель доверия

Чтобы решить присущие традиционной проверке личности недостатки, отрасль перешла к стандартам децентрализованной идентификации. Microsoft Entra Verified ID представляет собой крупный шаг вперёд в этой области: он позволяет организациям выпускать, хранить и проверять цифровые учётные данные на основе открытых стандартов. Вместо работы с физическими документами или небезопасными вложениями доверенные организации выпускают цифровым образом подписанные учётные данные, которые люди надёжно хранят в своих цифровых кошельках, как правило, в приложении Microsoft Authenticator.

Каждая экосистема Verified ID работает на основе надёжной трёхсторонней модели доверия, включающей эмитента, владельца и проверяющего:

Эмитент: доверенная сторона, например работодатель, учебное заведение или государственное ведомство, которая подтверждает утверждения и криптографически подписывает цифровые учётные данные.
Владелец: человек, который получает, хранит и контролирует свои цифровые учётные данные в защищённом приложении-кошельке на мобильном устройстве.
Верификатор: организация, которая запрашивает у владельца конкретные, целевые утверждения (claims) для принятия бизнес-решения, например для предоставления доступа к приложению, одобрения транзакции или проверки личности при восстановлении учетной записи.

Такая децентрализованная архитектура меняет подход к конфиденциальности данных. Вместо передачи всего удостоверяющего документа, содержащего чувствительные персональные данные, такие как домашний адрес, дата рождения или номер социального страхования, владелец может выборочно раскрывать только те утверждения, которые необходимы для конкретного взаимодействия. При этом верификаторы могут криптографически проверить подлинность учетных данных, убедиться, что они выданы доверенным издателем, проверить срок действия и мгновенно подтвердить статус отзыва, не прибегая к ручным телефонным звонкам или отправке писем с подтверждением.

Подробно о технологии Face Check

Цифровые учетные данные обеспечивают надежное криптографическое подтверждение того, что они выданы конкретному человеку, однако сценарии повышенного риска требуют дополнительного уровня гарантий. Как верификатору понять, что человек, предъявляющий учетные данные со своего телефона, действительно является их владельцем, а не посторонним пользователем, получившим доступ к устройству? Именно здесь технология Face Check в составе Microsoft Entra Verified ID становится по-настоящему прорывной.

Face Check призвана связать цифровые учетные данные с биометрической идентификацией в реальном мире. Когда пользователь предъявляет подтвержденные учетные данные в ходе чувствительного процесса, система предлагает ему сделать селфи в реальном времени с помощью камеры устройства. Затем Face Check выполняет безопасное сравнение биометрических данных с соблюдением конфиденциальности: новое живое селфи сопоставляется с доверенным фото, которое уже надежно хранится внутри подтвержденных цифровых учетных данных.

Важно, что этот процесс изначально построен с учетом конфиденциальности. Сопоставление биометрических данных выполняется в защищенной среде, а система оценивает геометрию лица, чтобы определить показатель достоверности совпадения, не раскрывая необработанные биометрические шаблоны и не сохраняя лишних изображений. Если живое селфи совпадает с фото, встроенным в криптографически подписанные учетные данные, выпущенные доверенным органом, система предоставляет подтверждение личности с высоким уровнем гарантий. Если совпадение не найдено или обнаружены подозрительные аномалии, система мгновенно блокирует транзакцию и останавливает несанкционированный доступ еще до его начала.

Противодействие дипфейкам и социальной инженерии в сценариях повышенного риска

По мере того как инструменты искусственного интеллекта становятся доступнее, киберпреступники используют дипфейки и продвинутые методы социальной инженерии, чтобы обходить стандартные средства защиты. Клонирование голоса, дипфейк-видеозвонки во время виртуальных собеседований и поддельные биометрические проверки становятся все более распространенными угрозами для удаленных организаций. Злоумышленники регулярно пытаются обмануть службы поддержки при восстановлении учетных записей, выдавая себя за легитимных руководителей или администраторов с высокими привилегиями.

Технология Face Check эффективно защищает от этих изощренных угроз. Традиционную проверку по видео или фото легко обмануть: злоумышленник может поднести к веб-камере распечатанную фотографию или воспроизвести заранее записанное видео жертвы. Face Check использует продвинутые возможности проверки живости (liveness detection) в сочетании с криптографической привязкой к доверенным учетным данным, выпущенным государственной структурой или организацией.

Поскольку сравнение выполняется с защищенным фото, привязанным к криптографически подписанным учетным данным, а не с недавно загруженным, непроверенным селфи, злоумышленники не могут просто внедрить синтетические изображения в процесс аутентификации. Если злоумышленник пытается использовать дипфейк или украденное устройство, несовпадение биометрических данных между живым снимком и эталонным фото из учетных данных сигнализирует об аномалии. Это эффективно нейтрализует атаки социальной инженерии, которые опираются на манипулирование сотрудниками службы поддержки с целью сброса учетных данных или предоставления доступа без тщательной проверки.

Практическое применение: удаленное онбординг-подключение и восстановление учетных записей

Организациям необходимо защищать критически важные процессы, не создавая лишних препятствий для легитимных пользователей. Проверка личности с высоким уровнем гарантий наиболее эффективна в сценариях, где риски безопасности исключительно высоки, а традиционные методы аутентификации оказываются недостаточными. В современной корпоративной среде выделяются два основных сценария использования: удаленное подключение новых сотрудников (онбординг) и восстановление привилегированных учетных записей.

При удалённом онбординге организациям приходится проверять, что новый сотрудник действительно тот, за кого себя выдаёт, ещё до отправки дорогостоящего оборудования или выдачи доступа к внутренним системам. Используя Microsoft Entra Verified ID в сочетании с Face Check, процесс онбординга становится бесшовным и при этом очень защищённым. Новый сотрудник получает подтверждённое цифровое удостоверение от доверенного органа проверки, предъявляет его во время цифрового онбординга, проходит быструю проверку селфи в режиме реального времени и мгновенно подтверждает свою личность без пересылки конфиденциальных бумаг по почте.

Аналогично, восстановление учётной записи — один из самых уязвимых моментов в жизненном цикле безопасности любой организации. Когда сотрудник теряет устройство, забывает пароль или его учётные данные скомпрометированы, службы поддержки ИТ-отделов испытывают сильное давление, чтобы быстро восстановить доступ. К сожалению, злоумышленники используют эту спешку, выдавая себя за пользователей по телефону или в чате поддержки. Требование проверки Face Check при восстановлении учётной записи позволяет техническим специалистам службы поддержки криптографически и биометрически подтвердить личность пользователя перед сбросом учётных данных, что эффективно закрывает один из самых распространённых каналов несанкционированного доступа к корпоративным ресурсам.

Интеграция Face Check в стратегию безопасности Zero Trust

Внедрение проверки личности с высоким уровнем гарантии — важный элемент зрелой архитектуры безопасности Zero Trust. Базовые принципы Zero Trust очевидны: явная проверка, доступ с минимальными привилегиями и предположение о возможном взломе. Традиционные системы управления идентификацией сосредоточены на проверке запросов доступа по сетевым расположениям и состоянию устройств, но часто упускают из виду реальность: за сеансом стоит конкретный человек.

Интеграция Face Check и Microsoft Entra Verified ID в вашу стратегию безопасности позволяет организациям применять решения политик на основе подтверждённых деловых фактов и биометрического доверия в реальном времени. Например, доступ к особо чувствительным финансовым приложениям, административным плоскостям управления или репозиториям интеллектуальной собственности может зависеть не только от многофакторной аутентификации, но и от успешного прохождения проверки Face Check с высоким уровнем гарантии.

Чтобы успешно создать такую возможность, требуется стратегическое планирование. Организациям следует начать с определения процессов повышенного риска, которые сейчас опираются на ручную проверку документов или уязвимые процедуры подтверждения личности через службу поддержки. Затем руководители ИТ и безопасности могут установить доверительные отношения с издателями учётных данных, определить чёткие жизненные циклы удостоверений, задать подходящие политики истечения срока действия и отзыва, а также спроектировать удобные для пользователей процессы регистрации. Поэтапный подход позволит компаниям масштабировать стратегию цифровой идентичности, существенно снижая административные издержки и повышая общую устойчивость.

Заключение

Современная безопасность идентификации требует выходить далеко за рамки простых паролей и базовой многофакторной аутентификации. По мере того как киберугрозы эволюционируют, включая изощрённые дипфейки, синтетические идентификаторы и целенаправленный социальный инжиниринг, организациям необходимо внедрять превентивные меры, чтобы подтверждать реальную личность каждого пользователя, получающего доступ к критически важным ресурсам. Такие технологии, как Microsoft Entra Verified ID и Face Check, обеспечивают безопасный, сохраняющий конфиденциальность и масштабируемый способ связать цифровой вход в систему с доверенной физической личностью.

Используя децентрализованные учётные данные и биометрическое сопоставление, команды безопасности могут упростить удалённый онбординг, защитить восстановление привилегированных учётных записей и применять принципы Zero Trust, не жертвуя конфиденциальностью пользователей. Чтобы глубже разобраться в этих концепциях и услышать практичное, простое объяснение того, как эти технологии работают на практике, обязательно послушайте наш связанный выпуск Microsoft Entra Verified ID - Simply Explained. Внедрение этих продвинутых инструментов проверки личности — уже не просто обновление ИТ-инфраструктуры, а базовое требование для защиты будущего работы.