Запобігання видаванню себе за іншу особу за допомогою Face Check і перевірки ідентичності високого рівня довіри

By Mirko Peters · 2026-08-13

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft Entra Verified ID - Simply Explained

Ласкаво просимо назад до нашого тривалого поглибленого огляду безпеки ідентичності, продуктивності та мінливого ландшафту цифрової довіри. Якщо ви керуєте користувачами, налаштовуєте політики безпечного доступу або виконуєте адміністративні завдання в хмарі, ви вже знаєте, що традиційних периметральних захистів більше недостатньо. Паролі, застосунки-автентифікатори та навіть стійкі до фішингу паскеї насамперед відповідають на одне фундаментальне питання: чи контролює людина за клавіатурою призначений спосіб входу? Це важливо, але лишає величезну сліпу зону. Знання того, що хтось має дійсний пароль або пристрій, не доводить його реальну особу і не гарантує, що він має право на доступ до цінних корпоративних ресурсів.

Оскільки кіберзлочинці використовують просунутий штучний інтелект, діпфейки та витончені кампанії соціальної інженерії, ставки в перевірці особи ніколи не були такими високими. Віддалена робота та бізнес-моделі, орієнтовані на цифрові канали, вимагають, щоб організації з абсолютною впевненістю перевіряли, хто по той бік екрана. Саме тут на допомогу приходять просунуті системи перевірки ідентичності. У цьому дописі ми розвиваємо наші недавні дискусії й досліджуємо, як передові технології, зокрема Face Check, інтегрований в архітектури децентралізованої ідентичності, змінюють правила гри. Якщо вам сподобався цей поглиблений огляд, обов’язково послухайте пов’язаний епізод подкасту Microsoft Entra Verified ID - Simply Explained, де ці основні концепції розібрано в аудіоформаті.

Вступ до сучасних викликів перевірки ідентичності

Упродовж десятиліть організації покладалися на фізичні документи, копії, водійські посвідчення та сканування паспортів для перевірки особи під час онбордингу або відновлення облікового запису. У віддаленій чи гібридній моделі роботи така залежність від статичних документів створює значні вразливості. Співробітники, підрядники та партнери часто надсилають чутливі PDF-файли електронною поштою або завантажують високоякісні скани через незахищені канали. Щойно ці документи передаються мережею або зберігаються у звичайних базах даних, вони стають головною мішенню для витоків даних і викрадення ідентичності.

Крім того, ручна перевірка документів надзвичайно повільна і схильна до людських помилок. Втомлений технік служби підтримки чи фахівець з кадрів може легко пропустити тонку підробку, змінений текст або маніпульовані фото на поданому посвідченні. Зловмисники це знають і регулярно використовують труднощі віддаленого онбордингу. Вони створюють синтетичні ідентичності або видають себе за легітимних працівників, щоб отримати первинний доступ до корпоративних мереж. Потрапивши всередину, вони підвищують привілеї, перехоплюють фінансові транзакції або викрадають чутливу інтелектуальну власність. Традиційна багатофакторна автентифікація не може зупинити такі атаки, адже зловмисник успішно проходить первинну перевірку облікових даних, викравши пристрій або маніпулювавши людиною-верифікатором. Сучасна безпека вимагає відмови від статичних паперових документів на користь криптографічної цифрової перевірки ідентичності високого рівня довіри.

Розуміння Microsoft Entra Verified ID та моделі довіри

Щоб вирішити притаманні традиційній перевірці особи недоліки, галузь перейшла до стандартів децентралізованої ідентичності. Microsoft Entra Verified ID є значним кроком уперед у цій сфері: він дає змогу організаціям видавати, зберігати й перевіряти цифрові посвідчення на основі відкритих стандартів. Замість роботи з фізичними документами чи небезпечними файловими вкладеннями довірені організації видають цифрово підписані посвідчення, які особи безпечно зберігають у своїх цифрових гаманцях, зазвичай у застосунку Microsoft Authenticator.

Кожна екосистема Verified ID працює на основі надійної тристоронньої моделі довіри, яка складається з емітента, власника та верифікатора:

Емітент: довірена сторона, наприклад роботодавець, навчальний заклад або державна установа, яка перевіряє твердження та криптографічно підписує цифрове посвідчення.
Власник: особа, яка отримує, зберігає і контролює своє цифрове посвідчення в захищеному застосунку-гаманці на мобільному пристрої.
Верифікатор: організація, яка запитує у власника конкретні цільові твердження, щоб ухвалити бізнес-рішення, наприклад надати доступ до застосунку, схвалити транзакцію або підтвердити особу під час відновлення облікового запису.

Ця децентралізована архітектура змінює підхід до приватності даних. Замість того щоб передавати весь документ, що посвідчує особу й містить чутливі персональні дані, як-от домашні адреси, дати народження чи номери соціального страхування, власник може вибірково розкривати лише ті твердження, які потрібні для конкретної взаємодії. Водночас верифікатори можуть криптографічно перевірити автентичність облікових даних, підтвердити, що їх видав довірений видавець, перевірити терміни дії та миттєво з’ясувати статус відкликання, без ручних телефонних дзвінків чи надсиланих листів для підтвердження.

Детальний огляд технології Face Check

Цифрові облікові дані надають надійний криптографічний доказ того, що їх видано конкретній особі, але сценарії високого ризику потребують додаткового рівня впевненості. Як верифікатор може бути певним, що людина, яка пред’являє облікові дані на своєму телефоні, справді є їх власником, а не зловмисником, який отримав доступ до пристрою? Саме тут технологія Face Check у складі Microsoft Entra Verified ID стає справжнім проривом.

Face Check створено, щоб подолати розрив між цифровими обліковими даними та біометричною ідентичністю в реальному світі. Коли користувач пред’являє підтверджені облікові дані в чутливому процесі, система пропонує зробити живе селфі за допомогою камери пристрою. Далі Face Check безпечно порівнює в захищеному й таких, що зберігають приватність, режимі нове живе селфі з довіреним фото, яке вже зберігається в підтверджених цифрових облікових даних.

Важливо, що приватність закладено в цей процес із самого початку. Біометричне співставлення виконується безпечно, а система оцінює геометрію обличчя, щоб визначити рівень упевненості в збігу, не відкриваючи необроблених біометричних шаблонів і не зберігаючи зайвих зображень. Якщо живе селфі збігається з фото, вбудованим у криптографічно підписані облікові дані, видані довіреним органом, система надає верифікацію з високим рівнем довіри. Якщо збігу немає або виявлено підозрілі аномалії, система миттєво блокує транзакцію, зупиняючи несанкціонований доступ ще до його початку.

Протидія дипфейкам і соціальній інженерії в сценаріях високого ризику

Із поширенням інструментів штучного інтелекту кіберзлочинці дедалі частіше використовують дипфейки та складні методи соціальної інженерії, щоб обійти стандартні засоби захисту. Клонування голосу, дипфейк-відеодзвінки під час віддалених співбесід і підроблені біометричні перевірки стають усе поширенішими загрозами для віддалених організацій. Зловмисники регулярно намагаються ввести в оману співробітників служби підтримки під час відновлення облікових записів, видаючи себе за керівників або адміністраторів системи з високими привілеями.

Face Check є потужним захистом від таких витончених загроз. Традиційну перевірку за відео чи фото легко підробити: зловмисник може показати роздруковане фото або програти перед веб-камерою заздалегідь записане відео жертви. Face Check використовує розширені можливості виявлення живості разом із криптографічною опорою у вигляді довірених облікових даних, виданих урядом або підприємством.

Оскільки порівняння виконується з безпечним фото, закріпленим у криптографічно підписаних облікових даних, а не з нещодавно завантаженим неперевіреним селфі, зловмисники не можуть просто вставити синтетичне зображення в потік автентифікації. Якщо зловмисник намагається скористатися дипфейком або викраденим пристроєм, невідповідність між живим знімком і офіційним фото з облікових даних позначає аномалію. Так ефективно нейтралізуються атаки соціальної інженерії, які покладаються на маніпулювання персоналом служби підтримки, щоб скинути облікові дані або надати доступ без ретельної перевірки.

Практичне застосування для віддаленого онбордингу та відновлення облікових записів

Організації мають захищати критично важливі процеси, не створюючи зайвих труднощів для легітимних користувачів. Висока верифікація особи найбільш доречна там, де ризики безпеки надзвичайно високі, а традиційні методи автентифікації не справляються. У сучасному корпоративному середовищі виділяються два основні сценарії використання: віддалений онбординг співробітників і відновлення привілейованих облікових записів.

Під час віддаленого онбордингу організації стикаються з проблемою: потрібно переконатися, що новий співробітник — це саме та людина, за яку себе видає, ще до відправлення дорогого обладнання чи надання доступу до внутрішніх систем. Завдяки поєднанню Microsoft Entra Verified ID і Face Check процес онбордингу стає безшовним і водночас дуже безпечним. Новий співробітник отримує перевірене цифрове посвідчення від довіреного органу перевірки, пред'являє його під час цифрового онбордингу, проходить швидку перевірку за живим селфі і миттєво підтверджує свою особу, не надсилаючи конфіденційних паперів поштою.

Так само відновлення облікового запису є одним із найуразливіших моментів у життєвому циклі безпеки будь-якої організації. Коли співробітник втрачає пристрій, забуває пароль або його облікові дані скомпрометовано, служби підтримки ІТ відчувають сильний тиск, щоб швидко повернути доступ. На жаль, зловмисники використовують цю терміновість, видаючи себе за користувачів по телефону або в чаті підтримки. Вимога перевірки через Face Check під час відновлення облікового запису дає змогу фахівцям служби підтримки криптографічно та біометрично підтвердити особу користувача ще до скидання облікових даних. Так вдається ефективно закрити один із найпоширеніших шляхів несанкціонованого доступу до корпоративних ресурсів.

Інтеграція Face Check у стратегію безпеки на основі Zero Trust

Впровадження перевірки особи з високим рівнем гарантій є важливою складовою зрілої архітектури безпеки Zero Trust. Базові принципи Zero Trust зрозумілі: перевіряти явно, надавати найменші необхідні привілеї та виходити з припущення, що злом уже стався. Традиційні системи управління ідентифікацією зосереджуються переважно на перевірці запитів доступу за мережевим розташуванням і станом пристрою, але часто не враховують, хто саме стоїть за сеансом.

Інтеграція Face Check і Microsoft Entra Verified ID у вашу стратегію безпеки дає змогу організаціям ухвалювати політичні рішення на основі перевірених бізнес-фактів і довіри, підтвердженої біометрією в реальному часі. Наприклад, доступ до особливо чутливих фінансових застосунків, площин адміністрування або репозиторіїв інтелектуальної власності можна обумовлювати не лише багатофакторною автентифікацією, а й успішним проходженням перевірки Face Check з високим рівнем гарантій.

Щоб створити таку можливість, потрібне стратегічне планування. Організаціям варто почати з визначення процесів високого ризику, які зараз покладаються на ручну перевірку документів або вразливі процедури верифікації через службу підтримки. Далі ІТ- і керівники з безпеки можуть налагодити довірені відносини з видавцями посвідчень, визначити чіткі життєві цикли облікових даних, встановити відповідні політики строків дії та відкликання і спроєктувати зручні процеси реєстрації. Поступовий підхід дає змогу масштабувати стратегію цифрової ідентифікації, водночас значно знижуючи адміністративні витрати та підвищуючи загальну стійкість.

Висновок

Сучасна безпека ідентифікації вимагає виходити далеко за межі простих паролів і базової багатофакторної автентифікації. Оскільки кіберзагрози охоплюють дипфейки, синтетичні ідентичності та цілеспрямовану соціальну інженерію, організації мають впроваджувати проактивні заходи, щоб перевіряти реальну особу кожного користувача, який отримує доступ до критично важливих ресурсів. Такі технології, як Microsoft Entra Verified ID і Face Check, забезпечують безпечний, такий, що зберігає конфіденційність, і масштабований спосіб подолати розрив між цифровими входами в систему та довіреними фізичними посвідченнями.

Використовуючи децентралізовані облікові дані та біометричне зіставлення, команди безпеки можуть спростити віддалений онбординг, захистити відновлення привілейованих облікових записів і впроваджувати принципи Zero Trust без шкоди для конфіденційності користувачів. Щоб детальніше розібратися в цих концепціях і почути практичний, зрозумілий пояснення того, як ці технології працюють у реальному житті, обов'язково послухайте наш відповідний епізод: Microsoft Entra Verified ID - Simply Explained. Впровадження цих інструментів перевірки ідентичності більше не є просто оновленням ІТ — це базова вимога для захисту майбутнього роботи.