brak wieloskładnikowego logowania (2FA)

Brak wieloskładnikowego logowania (2FA) to luka bezpieczeństwa zwiększająca ryzyko nieautoryzowanego dostępu do konta.

Na czym polega brak wieloskładnikowego logowania

Brak wieloskładnikowego logowania, określanego skrótem 2FA od angielskiego terminu two-factor authentication, oznacza sytuację, w której dostęp do konta jest chroniony wyłącznie jednym składnikiem uwierzytelniania. Najczęściej jest nim hasło, czasem połączone z nazwą użytkownika lub adresem poczty elektronicznej. Jeżeli hasło zostanie odgadnięte, wyłudzone na stronie phishingowej, przejęte z zainfekowanego urządzenia albo ujawnione wskutek wycieku z serwisu internetowego, napastnik może uzyskać dostęp bez dodatkowej kontroli.

Uwierzytelnianie wieloskładnikowe wymaga użycia co najmniej dwóch niezależnych rodzajów potwierdzenia tożsamości. Pierwszym jest coś znanego użytkownikowi, na przykład hasło lub kod PIN. Drugim może być coś posiadanego, takiego jak telefon z aplikacją uwierzytelniającą, klucz sprzętowy FIDO2 albo karta kryptograficzna. Trzecią grupę stanowi cecha użytkownika, na przykład odcisk palca lub rozpoznawanie twarzy. Samo wpisanie hasła nie spełnia warunku wieloskładnikowego logowania, nawet jeśli hasło jest długie i unikalne.

Jakie zagrożenia powstają po przejęciu samego hasła

Gdy konto nie ma 2FA, wyciek hasła może wystarczyć do przejęcia poczty, profilu zakupowego, konta w chmurze albo dostępu do aplikacji używanej na laptopie. Szczególnie niebezpieczne jest ponowne używanie tego samego hasła w wielu serwisach. Napastnik może zastosować credential stuffing, czyli automatyczne sprawdzanie ujawnionych par login–hasło w kolejnych usługach. W takim scenariuszu użytkownik nie musi popełnić błędu podczas bieżącego logowania, aby utracić dostęp do konta.

Brak dodatkowego składnika ułatwia także skutki phishingu. Fałszywa wiadomość lub strona internetowa może nakłonić do wpisania hasła, a następnie przekazać je napastnikowi. Wieloskładnikowe logowanie nie usuwa całkowicie tego ryzyka, ponieważ niektóre ataki próbują przechwycić również jednorazowy kod albo nakłonić użytkownika do zatwierdzenia nieoczekiwanej próby logowania. Mimo to dodatkowe potwierdzenie ogranicza wartość samego hasła. W przypadku aplikacji generujących kody czasowe kod jest zwykle ważny krótko i zmienia się cyklicznie, dlatego nie powinien być traktowany jako stałe hasło.

Znaczenie ma również sposób odzyskiwania konta. Jeżeli procedura resetowania hasła pozwala ominąć drugi składnik przez łatwo dostępny adres e-mail, nieaktualny numer telefonu lub słabe pytanie pomocnicze, ochrona może zostać osłabiona. Konfiguracja 2FA powinna obejmować sprawdzenie metod zapasowych, zapisanie kodów odzyskiwania w bezpiecznym miejscu oraz usunięcie nieużywanych urządzeń z listy zaufanych sesji.

Metody drugiego składnika i ich ograniczenia

Najczęściej spotykanym rozwiązaniem jest kod jednorazowy generowany przez aplikację uwierzytelniającą zgodną z mechanizmem TOTP, czyli Time-based One-Time Password. Aplikacja tworzy kod na podstawie wspólnego sekretu oraz bieżącego czasu. Sekret jest zapisywany podczas konfiguracji konta, dlatego nie powinien być udostępniany ani przechowywany w przypadkowym miejscu. Przy zmianie telefonu konieczne jest przeniesienie konfiguracji albo wcześniejsze dodanie nowej metody logowania.

Kody przesyłane wiadomością SMS również mogą działać jako drugi etap, ale są zależne od numeru telefonu i operatora. Ryzyko wiąże się między innymi z przejęciem numeru przez nieuprawnione przeniesienie karty SIM, przekierowaniem wiadomości lub dostępem do zablokowanego telefonu. Z tego powodu, jeżeli usługa obsługuje aplikację uwierzytelniającą albo klucz bezpieczeństwa, warto rozważyć rozwiązanie niezależne od sieci komórkowej. Klucze FIDO2 i mechanizmy WebAuthn potwierdzają obecność fizycznego urządzenia oraz są projektowane tak, aby ograniczać użycie poświadczeń na innej domenie niż właściwa strona logowania.

Powiadomienia typu push, w których użytkownik zatwierdza próbę na telefonie, są wygodne, ale wymagają kontroli szczegółów: nazwy usługi, lokalizacji, czasu i urządzenia. Wielokrotne, nieoczekiwane komunikaty nie powinny być zatwierdzane automatycznie. Biometria, taka jak odcisk palca, zwykle odblokowuje lokalny klucz lub aplikację i nie zastępuje samodzielnie całego procesu uwierzytelniania. Jej zastosowanie zależy od systemu operacyjnego, sprzętu oraz konfiguracji konkretnej usługi.

Sprawdzenie konfiguracji na laptopie lub komputerze PC

Ocena problemu powinna rozpocząć się od ustalenia, czy konto rzeczywiście ma włączony drugi składnik, czy tylko wysyła ostrzeżenia o logowaniu. W ustawieniach bezpieczeństwa usługi należy sprawdzić aktywne metody uwierzytelniania, zarejestrowane telefony i klucze, kody odzyskiwania, aktywne sesje oraz urządzenia oznaczone jako zaufane. Warto wykonać test logowania w prywatnym oknie przeglądarki albo na innym urządzeniu, aby potwierdzić, że po podaniu hasła wymagane jest dodatkowe potwierdzenie.

Na komputerze należy zwrócić uwagę na aktualność systemu operacyjnego, przeglądarki i aplikacji używanej do logowania. Złośliwe oprogramowanie może przechwytywać wpisywane dane, modyfikować zawartość przeglądarki lub utrudniać wyświetlenie prawidłowej domeny. Istotne jest także sprawdzenie rozszerzeń przeglądarki, automatycznie zapamiętanych sesji i zapisanych haseł. Samo włączenie 2FA nie zastępuje aktualizacji, ochrony urządzenia ani rozpoznawania fałszywych stron.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku problemów z działaniem systemu, przeglądarki lub urządzenia używanego do logowania można rozpocząć od sprawdzenia stanu technicznego komputera. Diagnostyka pozwala oddzielić problem sprzętowy lub systemowy od błędnej konfiguracji samego konta. Kody, hasła i klucze odzyskiwania nie powinny być przekazywane osobom postronnym; podczas każdej kontroli należy zachować możliwość samodzielnego zatwierdzania operacji bezpieczeństwa.