Uwierzytelnianie dwuskładnikowe: dlaczego warto je włączyć

Samo hasło to pojedynczy punkt awarii. Jeśli zostanie odgadnięte, użyte ponownie w serwisie, w którym później dojdzie do wycieku, albo wpisane na przekonującej fałszywej stronie logowania, każdy, kto je zna, może zalogować się jako ty. Uwierzytelnianie dwuskładnikowe, zwykle skracane do 2FA, dodaje drugą kontrolę, która nie ma nic wspólnego z tym, co wiesz: coś, co masz, na przykład telefon lub fizyczny klucz, albo coś, czym jesteś, na przykład odcisk palca.

W efekcie skradzione hasło przestaje wystarczać. Atakujący, który zna twoje hasło, nadal potrzebuje kodu z twojej aplikacji uwierzytelniającej, dotknięcia klucza bezpieczeństwa lub zatwierdzenia na zaufanym urządzeniu. Wiele ataków na zwykłe konta jest zautomatyzowanych i okazjonalnych, więc ten dodatkowy krok wyprowadza cię z grupy łatwych celów i znacznie utrudnia przejęcie konta.

2FA nie zastępuje dobrego hasła. Działa najlepiej razem z unikalnym, długim hasłem przechowywanym w menedżerze haseł. Razem uzupełniają swoje słabości: unikalne hasło ogranicza skutki wycieków gdzie indziej, a drugi składnik chroni cię, gdy hasło mimo to wycieknie.

Aplikacje uwierzytelniające generują świeży krótki kod, zwykle sześciocyfrowy i zwykle co 30 sekund, z sekretu, który serwis przekazuje aplikacji po zeskanowaniu kodu QR. Działają offline, zazwyczaj są bezpłatne i obsługuje je większość dużych platform, co czyni je rozsądnym wyborem domyślnym dla większości osób.

Sprzętowe klucze bezpieczeństwa to małe urządzenia USB, NFC lub Bluetooth, które dotykasz lub wkładasz podczas logowania. Klucze dostępu (passkeys) działają na podobnej zasadzie, ale znajdują się w telefonie lub komputerze i odblokowuje się je odciskiem palca, twarzą lub kodem PIN urządzenia. Jedne i drugie są powiązane z prawdziwym adresem strony, więc nie zareagują na stronę phishingową podszywającą się pod oryginał. To najsilniejsze opcje dostępne dla zwykłych użytkowników.

Powiadomienia push proszą o zatwierdzenie logowania na urządzeniu, na którym konto jest już otwarte. Kody SMS i głosowe wysyłają jednorazowy kod na twój numer telefonu. Kody zapasowe to lista kodów jednorazowych przeznaczonych na sytuacje awaryjne, gdy zwykła metoda jest niedostępna. Większość serwisów pozwala włączyć więcej niż jedną metodę i warto to zrobić: jedna metoda główna i co najmniej jedna zapasowa.

Kody wysyłane SMS-em są znacznie lepsze niż brak drugiego składnika, ale zależą od twojego numeru telefonu, a ten nie jest w pełni pod twoją kontrolą. Przy wymianie karty SIM (SIM swap) przestępca przekonuje lub przekupuje pracownika operatora komórkowego, by przeniósł twój numer na kartę SIM, którą on posiada. Od tej chwili każdy kod przeznaczony dla ciebie trafia na jego telefon.

Kody SMS można też wyłudzić tak samo jak hasła: fałszywa strona logowania prosi o kod, a atakujący przekazuje go prawdziwemu serwisowi w ciągu kilku sekund. Dostęp można stracić także w bardziej prozaiczny sposób, na przykład gdy podróżujesz bez roamingu, zmieniasz operatora albo pozwalasz wygasnąć numerowi z karty prepaid, który później zostaje przydzielony komuś innemu.

Jeśli serwis oferuje aplikację uwierzytelniającą, klucz bezpieczeństwa lub klucz dostępu, przejdź na jedno z nich i zostaw SMS tylko jako metodę zapasową albo usuń go całkowicie, jeśli serwis na to pozwala. Gdy SMS jest jedyną opcją, chroń sam numer: wielu operatorów pozwala ustawić PIN do konta lub blokadę przeniesienia, które utrudniają nieuprawnione przenoszenie numeru.

Zacznij od kont, które otwierają wszystkie pozostałe. Na pierwszym miejscu stoi główny adres e-mail, bo trafiają na niego linki do resetowania haseł, potem konto Apple, Google lub Microsoft, menedżer haseł i każde konto, które przechowuje pieniądze lub cenne dane. Gdy te są chronione, przejdź do sieci społecznościowych, komunikatorów takich jak Telegram i Discord oraz reszty.

Opcja zwykle znajduje się w ustawieniach zabezpieczeń konta pod nazwą w rodzaju weryfikacja dwuetapowa, uwierzytelnianie dwuskładnikowe lub weryfikacja logowania. Wybierz aplikację uwierzytelniającą lub klucz bezpieczeństwa, zeskanuj kod QR aplikacją i wpisz pokazany kod, aby potwierdzić, że wszystko działa. Jeśli serwis obsługuje klucze dostępu, dodanie jednego w telefonie i na komputerze daje metodę logowania wygodną i odporną na phishing.

Zanim zamkniesz stronę ustawień, zapisz kody zapasowe, w miarę możliwości dodaj drugą metodę i sprawdź, czy adres e-mail i numer telefonu do odzyskiwania są aktualne i należą do ciebie. Potem wyloguj się i zaloguj ponownie, aby wiedzieć, jak wygląda monit, zanim naprawdę będziesz od niego zależeć.

Kody zapasowe to twoja droga powrotna, gdy telefon zostanie zgubiony, zepsuty lub zresetowany. Każdy kod działa tylko raz, a w wielu serwisach wygenerowanie nowego zestawu unieważnia stary. Traktuj je jak zapasowy klucz do domu: niezbędny, gdy go potrzebujesz, bezużyteczny, jeśli nie możesz go znaleźć, i niebezpieczny, jeśli może go znaleźć obca osoba.

Dobre miejsca do ich przechowywania to wydrukowana kopia trzymana razem z ważnymi dokumentami albo zaszyfrowana notatka w menedżerze haseł, którą możesz otworzyć bez telefonu z aplikacją uwierzytelniającą. Złe miejsca to skrzynka e-mail, odblokowana aplikacja z notatkami, zrzut ekranu w galerii zdjęć albo plik na tym samym urządzeniu, które generuje kody, bo utrata tego jednego urządzenia całkowicie by cię wtedy zablokowała.

Skreślaj każdy użyty kod i generuj nowy zestaw, gdy zaczyna ich brakować. Jeśli podejrzewasz, że ktoś widział twoje kody, wygeneruj je ponownie od razu, aby stara lista przestała działać.

Jeśli otrzymujesz konto od kogoś innego, czy to od współpracownika przekazującego konto projektu, czy z zakupu na marketplace produktów cyfrowych, załóż, że poprzedni posiadacz może nadal mieć dostęp. Celem jest to, aby zalogować się do konta mogła tylko jedna osoba: ty. Zawsze korzystaj z konta zgodnie z warunkami korzystania danej marki.

Działaj w tej kolejności: zmień hasło na nowe, unikalne, zaktualizuj adres e-mail i telefon do odzyskiwania na te, które kontrolujesz, usuń każdą aplikację uwierzytelniającą, klucz bezpieczeństwa lub zaufane urządzenie, których nie rozpoznajesz, potem włącz 2FA z własną aplikacją i wygeneruj nowe kody zapasowe. Na końcu przejrzyj aktywne sesje i wyloguj każde urządzenie oprócz swojego.

W rStock dostarczona zawartość pojawia się na twojej stronie zamówienia jako zapis dostawy powiązany z zamówieniem, więc możesz skopiować dane stamtąd prosto do menedżera haseł. Twoje środki są wstrzymane, a nie od razu przekazywane sklepowi, i jeśli dostarczone konto nie działa zgodnie z opisem, możesz otworzyć spór w ograniczonym czasie po dostawie. Najpierw odpowiada sklep, a jeśli nie możecie się porozumieć, można wezwać moderatora. Zabezpieczenie i sprawdzenie konta bez zwłoki pomaga zauważyć problem, dopóki możesz jeszcze otworzyć spór. rStock nie jest powiązany z żadną marką wymienioną w tym artykule.

Zatwierdzenie powiadomienia push, którego nie wywołało twoje logowanie, to dobrze znany sposób, w jaki 2FA zawodzi. Jeśli prośba pojawia się w chwili, gdy nie logujesz się do konta, odrzuć ją i zmień hasło, bo ktoś już je zna. To samo dotyczy każdego, kto dzwoni lub pisze z prośbą o podanie kodu: prawdziwe serwisy nie potrzebują, żebyś komukolwiek podawał kod jednorazowy.

Kolejny błąd to chronienie konta za pomocą 2FA przy pozostawieniu starej, słabej drogi odzyskiwania, na przykład porzuconego adresu e-mail lub numeru telefonu, którego już nie używasz. Atakujący omijają najsilniejsze drzwi, jeśli słabsze są otwarte, więc przeglądaj opcje odzyskiwania za każdym razem, gdy zmieniasz telefon lub dostawcę poczty.

Wreszcie nie czekaj z planowaniem migracji do chwili, gdy dotrze nowy telefon. Zanim wymienisz lub zresetujesz urządzenie, przenieś kody z aplikacji uwierzytelniającej, potwierdź, że działają na nowym urządzeniu, i dopiero wtedy wymaż dane na starym urządzeniu. Kilka minut przygotowań może zaoszczędzić godziny odzyskiwania kont.