Hasło przez wiele lat było podstawowym zabezpieczeniem konta internetowego. Dziś jednak coraz częściej okazuje się niewystarczające. Wycieki danych, fałszywe strony logowania, phishing i automatyczne próby przejmowania kont sprawiają, że nawet dobre hasło nie zawsze chroni użytkownika przed utratą dostępu do poczty, bankowości, mediów społecznościowych czy danych firmowych.
Dlatego coraz więcej serwisów zachęca do korzystania z uwierzytelniania dwuskładnikowego, nazywanego również 2FA – Two-Factor Authentication.
To jedna z najprostszych metod znacznego zwiększenia bezpieczeństwa konta, a jej konfiguracja zwykle zajmuje tylko kilka minut.
Czym jest uwierzytelnianie dwuskładnikowe?
Uwierzytelnianie dwuskładnikowe polega na potwierdzeniu swojej tożsamości za pomocą dwóch niezależnych elementów.
Pierwszym jest zazwyczaj coś, co znamy – na przykład:
- hasło,
- kod PIN.
Drugim składnikiem może być coś, co posiadamy lub czym jesteśmy, na przykład:
- kod wygenerowany w aplikacji,
- powiadomienie na smartfonie,
- fizyczny klucz bezpieczeństwa,
- odcisk palca,
- rozpoznawanie twarzy.
Dzięki temu samo poznanie hasła przez osobę trzecią nie musi wystarczyć do zalogowania się na konto.
Prosty przykład
Logujemy się do poczty elektronicznej.
Najpierw podajemy adres e-mail i hasło. Następnie serwis prosi o dodatkowe potwierdzenie logowania, np. kod z aplikacji uwierzytelniającej.
Dopiero po poprawnym wykonaniu obu kroków otrzymujemy dostęp do konta.
To właśnie uwierzytelnianie dwuskładnikowe.
Dlaczego samo hasło może być niewystarczające?
Największy problem z hasłami polega na tym, że mogą zostać przejęte bez wiedzy użytkownika.
Może do tego dojść między innymi poprzez:
- fałszywą stronę logowania,
- złośliwe oprogramowanie,
- wyciek bazy danych z serwisu internetowego,
- używanie tego samego hasła w wielu miejscach,
- zapisanie hasła na niezabezpieczonym urządzeniu,
- socjotechnikę.
Jeżeli przestępca zna login i hasło, w przypadku konta pozbawionego dodatkowego zabezpieczenia może od razu spróbować się zalogować.
Przy aktywnym 2FA potrzebuje jeszcze drugiego elementu uwierzytelnienia.
Jakie rodzaje 2FA spotykamy najczęściej?
Nie wszystkie metody dodatkowego uwierzytelniania zapewniają taki sam poziom ochrony.
Kod SMS
Po wpisaniu hasła użytkownik otrzymuje jednorazowy kod SMS.
To rozwiązanie jest wygodne i zdecydowanie lepsze niż korzystanie wyłącznie z hasła. Nie jest jednak uważane za najmocniejszą metodę zabezpieczenia.
Numer telefonu może w pewnych sytuacjach zostać przejęty, a użytkownika można również nakłonić do podania kodu na fałszywej stronie.
Jeżeli jednak serwis oferuje tylko SMS jako drugi składnik, nadal warto z niego korzystać.
Aplikacja uwierzytelniająca
Bardzo popularnym rozwiązaniem są aplikacje generujące jednorazowe kody logowania.
Najczęściej kod zmienia się co kilkadziesiąt sekund i jest tworzony bezpośrednio na urządzeniu użytkownika.
Takie rozwiązanie jest zwykle bezpieczniejsze od klasycznych kodów SMS.
Powiadomienie na smartfonie
Niektóre usługi wysyłają na telefon pytanie w rodzaju:
„Czy to Ty próbujesz się zalogować?”
Użytkownik zatwierdza lub odrzuca próbę logowania.
Jest to wygodne rozwiązanie, ale należy uważnie czytać powiadomienia. Nie należy zatwierdzać logowania, którego sami nie rozpoczęliśmy.
Klucz bezpieczeństwa
Jeszcze wyższy poziom ochrony mogą zapewnić fizyczne klucze bezpieczeństwa.
Są to niewielkie urządzenia komunikujące się z komputerem lub smartfonem przez USB, NFC albo inne obsługiwane rozwiązanie.
Ich dużą zaletą jest odporność na wiele klasycznych ataków phishingowych.
Biometria
W określonych systemach dodatkowym elementem uwierzytelnienia może być:
- odcisk palca,
- rozpoznawanie twarzy,
- inne dane biometryczne.
Biometria jest szczególnie popularna na smartfonach oraz nowoczesnych komputerach.
2FA i MFA – czy to to samo?
Pojęcia są podobne, ale nie identyczne.
2FA oznacza uwierzytelnianie przy użyciu dokładnie dwóch składników.
MFA – Multi-Factor Authentication oznacza uwierzytelnianie wieloskładnikowe i może wykorzystywać dwa lub więcej niezależnych mechanizmów.
W praktyce użytkownicy bardzo często spotykają właśnie 2FA, dlatego ta nazwa stała się najbardziej rozpoznawalna.
Gdzie warto włączyć uwierzytelnianie dwuskładnikowe?
Najprostsza odpowiedź brzmi: wszędzie tam, gdzie przejęcie konta mogłoby spowodować realne problemy.
W pierwszej kolejności warto zabezpieczyć:
- pocztę elektroniczną,
- konto Google, Apple lub Microsoft,
- bankowość internetową,
- media społecznościowe,
- sklepy internetowe,
- serwisy płatnicze,
- konta administratorów stron WWW,
- panele hostingowe,
- systemy firmowe,
- komunikatory,
- chmurę z dokumentami i zdjęciami.
Szczególnie ważna jest poczta elektroniczna.
Dlaczego?
Ponieważ właśnie na e-mail często wysyłane są linki służące do resetowania haseł w innych usługach. Jeżeli ktoś przejmie skrzynkę pocztową, może próbować odzyskać dostęp również do kolejnych kont.
2FA w firmie jest jeszcze ważniejsze
W przypadku przedsiębiorstwa przejęcie konta może prowadzić do znacznie poważniejszych konsekwencji niż w przypadku prywatnego profilu społecznościowego.
Atakujący może uzyskać dostęp między innymi do:
- poczty firmowej,
- danych klientów,
- faktur,
- dokumentów,
- panelu sklepu internetowego,
- strony WWW,
- kont reklamowych,
- serwisów społecznościowych firmy,
- usług chmurowych.
Dlatego 2FA powinno być standardem przede wszystkim na kontach administratorów oraz osób posiadających dostęp do wrażliwych danych.
Czy 2FA całkowicie chroni przed atakiem?
Nie.
Nie istnieje pojedyncze zabezpieczenie, które zapewnia stuprocentową ochronę.
Uwierzytelnianie dwuskładnikowe znacząco zwiększa bezpieczeństwo, ale nadal należy zachować ostrożność.
Oszuści mogą próbować przejąć również drugi składnik logowania. Przykładem są strony phishingowe, które proszą jednocześnie o hasło i kod z aplikacji albo wiadomości SMS.
Dlatego kodu 2FA nie należy podawać nikomu, kto prosi o niego przez telefon, komunikator czy wiadomość e-mail.
Kod zapasowy – mały element, o którym łatwo zapomnieć
Podczas konfiguracji 2FA wiele usług umożliwia pobranie kodów awaryjnych.
Warto je zapisać.
Mogą uratować sytuację, gdy:
- zgubimy telefon,
- smartfon ulegnie awarii,
- aplikacja uwierzytelniająca zostanie usunięta,
- stracimy dostęp do numeru telefonu.
Kodów zapasowych nie należy jednak przechowywać w tym samym miejscu co hasło.
Najlepsze zabezpieczenie to kilka warstw ochrony
Samo włączenie 2FA to bardzo dobry krok, ale warto połączyć je z innymi zasadami bezpieczeństwa.
Najlepszy efekt daje połączenie:
silnego i unikalnego hasła + menedżera haseł + 2FA + aktualnego systemu + ostrożności użytkownika.
Takie podejście sprawia, że przejęcie jednego elementu nie oznacza automatycznie utraty całego konta.
Czy warto używać 2FA?
Zdecydowanie tak.
Zwłaszcza że w wielu usługach dodatkowe uwierzytelnianie jest dostępne bezpłatnie i można je uruchomić w kilka minut.
Największą zaletą 2FA jest bardzo prosty mechanizm: nawet jeśli ktoś zdobędzie nasze hasło, nadal musi pokonać dodatkową barierę.
To niewielka zmiana w codziennym korzystaniu z internetu, która może mieć bardzo duży wpływ na bezpieczeństwo.
Podsumowanie
Uwierzytelnianie dwuskładnikowe powinno być obecnie traktowane nie jako opcjonalny dodatek, ale jako jeden z podstawowych elementów zabezpieczenia konta.
W pierwszej kolejności warto włączyć je na poczcie elektronicznej, kontach Google, Apple lub Microsoft, w bankowości, mediach społecznościowych oraz wszystkich usługach związanych z działalnością firmy.
Kilka dodatkowych sekund podczas logowania może ochronić dostęp do danych, dokumentów, zdjęć, pieniędzy i całej cyfrowej tożsamości.
Źródła i materiały:
- NIST – Digital Identity Guidelines: Authentication and Authenticator Management, SP 800-63B-4
Aktualne wytyczne National Institute of Standards and Technology dotyczące uwierzytelniania, metod weryfikacji tożsamości oraz bezpieczeństwa mechanizmów logowania. - CISA – More Than a Password / Multifactor Authentication
Materiały amerykańskiej Cybersecurity and Infrastructure Security Agency dotyczące MFA, ochrony kont oraz metod uwierzytelniania odpornych na phishing. - Microsoft Support – What is Multifactor Authentication?
Oficjalne materiały Microsoftu wyjaśniające działanie MFA oraz podział składników uwierzytelniania na: coś, co użytkownik wie, coś, co posiada oraz cechy użytkownika, np. dane biometryczne. - Google Account Help – Weryfikacja dwuetapowa i klucze bezpieczeństwa
Oficjalna dokumentacja Google dotycząca weryfikacji dwuetapowej, kluczy bezpieczeństwa oraz dodatkowego zabezpieczania konta.
