Chroń swoje konta dzięki uwierzytelnianiu dwuskładnikowemu (2FA)

Wiele lat temu włamano się na pocztę mojego znajomego i zacząłem otrzymywać fałszywe e-maile, że utknął za granicą i pilnie potrzebuje pieniędzy. Skłoniło mnie to do refleksji: sam dostęp do poczty pozwoliłby uzyskać poufne informacje, a przez wiadomości także dostęp do innych witryn. Można pośrednio resetować hasła do aplikacji i witryn innych niż Google, wysyłając je na adres e-mail, oraz uzyskiwać dostęp do aplikacji używających konta Google do logowania pośredniego. To naprawdę trochę przerażające.

Wtedy naprawdę poznałem uwierzytelnianie 2-składnikowe (2FA). Bezpieczeństwo 2FA opiera się na 2 rzeczach: czymś, co znasz, czyli nazwie użytkownika i haśle, oraz czymś, co masz, zwykle kodzie wysłanym na powiązaną pocztę, SMS-em na powiązany numer telefonu lub w aplikacji uwierzytelniającej na urządzeniu, generującej kody o ograniczonej ważności.

Aplikacja generuje w czasie rzeczywistym kod o ograniczonej ważności dla Twojego konta. System jest bardzo podobny do bardziej komercyjnych i biznesowych tokenów RSA, używanych przez wiele przedsiębiorstw do uwierzytelniania 2-etapowego. Pozwala tworzyć kody dla wielu kont, aplikacji i witryn; do najpopularniejszych należą Google Accounts, Microsoft Accounts, Paypal, Dropbox, Evernote, Twitter i Reddit.

Aplikacja uwierzytelniająca tworzy 6-cyfrowy kod zmieniający się co 30 sekund. Nawet gdy hasło zostanie ujawnione, potencjalny złodziej nadal musi zdobyć telefon i aplikację uwierzytelniającą, aby przejąć konto. Nawet keyloggery mogą przechwycić tylko nazwę użytkownika i hasło, ale nie użyteczny kod, ponieważ wprowadzony kod weryfikacyjny jest ważny tylko przez 30 sekund.

Istnieje wiele aplikacji uwierzytelniających, w tym wersje Microsoft i Google jednak osobiście wybieram Authy ponieważ ma kilka zalet w porównaniu z innymi rozwiązaniami, np. łatwo działa na wielu urządzeniach i można ją przenieść na nowe urządzenie po wycofaniu starego.

Wpisywanie kodu przy każdym logowaniu do witryny może wydawać się uciążliwe, ale wiele witryn i aplikacji pozwala zachować potwierdzenie przez 30 dni lub dłużej na tym samym urządzeniu. Jednak za każdym razem, gdy ktoś, w tym Ty, uzyskuje dostęp z nowego urządzenia lub nowej przeglądarki, trzeba podać nowy kod uwierzytelniający.

Na publicznym komputerze NIE używaj opcji wielodniowej ważności ani zapamiętywania urządzenia. Wtedy kolejna osoba logująca się na tym komputerze, nawet jeśli w historii znajdzie Twoje konto, nazwę użytkownika i hasło, będzie musiała wpisać nowy aktualny kod weryfikacyjny, do którego nie ma dostępu.

Dobrym przykładem jest to, że używam GL.iNet Goodcloud do zarządzania wieloma urządzeniami. Wyobraź sobie, że haker zdobywa moją nazwę użytkownika i hasło Goodcloud i może zarządzać oraz manipulować urządzeniami. Na szczęście witryna obsługuje 2FA.

Oto początkowy ekran logowania: coś, co znam, czyli nazwa użytkownika i hasło.

Teraz potrzebne jest coś, co mam: kod 2FA z aplikacji uwierzytelniającej na urządzeniu powiązanym z kontem Goodcloud.

Oto ta rzecz: moja aplikacja uwierzytelniająca Authy w wersji komputerowej dostarcza kod ważny przez 30 sekund. Uwaga: powyższy kod jest ważny tylko przez kolejne 15 sekund. Warto zaznaczyć, że moja aplikacja Authy jest też chroniona odciskiem palca.

Jeśli wpiszesz błędny kod lub przekroczysz 30-sekundowy limit ważności, Ty albo haker nie uzyskacie dostępu.

Kod Authy zmienia się 15 sekund później. Właśnie ten kod musiałbym wpisać, gdybym pomylił się za pierwszym razem lub przekroczył limit czasu.

Poprawny kod: jestem w Goodcloud.

Pamiętaj więc: ochrona dostępu do kont, aplikacji i innych informacji jest równie ważna, a nawet ważniejsza niż ochrona transmisji danych przy użyciu takich rozwiązań jak VPN.

Jeśli możesz chronić konta dowolną formą 2FA, przez e-mail, SMS lub aplikację, skorzystaj z tego. Ta dodatkowa warstwa może ochronić dane albo sprawić, że haker przejdzie do następnego, łatwiejszego do przejęcia, niezabezpieczonego konta.

Konfiguracja i używanie wymagają nieco więcej pracy, ale dla mnie dodatkowy czas jest wart większego poczucia bezpieczeństwa.