logowanie zabezpieczone

Logowanie zabezpieczone to uwierzytelnianie z użyciem szyfrowanego połączenia i dodatkowych mechanizmów ochronnych.

Jak działa logowanie zabezpieczone

Logowanie zabezpieczone to sposób uwierzytelniania, w którym dane przesyłane między urządzeniem a usługą są chronione przed odczytaniem i modyfikacją. W praktyce przeglądarka internetowa lub aplikacja łączy się z serwerem za pomocą szyfrowanego protokołu TLS, najczęściej poprzez adres rozpoczynający się od HTTPS. TLS tworzy bezpieczny kanał komunikacji, sprawdza tożsamość serwera na podstawie certyfikatu oraz szyfruje przesyłane informacje. Dzięki temu hasło wpisywane w formularzu nie powinno być przesyłane otwartym tekstem przez sieć.

Samo szyfrowanie połączenia nie oznacza jeszcze, że całe logowanie jest odporne na wszystkie zagrożenia. Bezpieczny proces obejmuje również prawidłowe przechowywanie haseł po stronie usługi, kontrolę sesji, ograniczanie liczby prób oraz ochronę przed podszywaniem się pod stronę logowania. Serwer nie powinien przechowywać haseł w postaci jawnej. Zamiast tego przechowuje ich wartości skrótu obliczone za pomocą funkcji przeznaczonej do ochrony haseł, na przykład Argon2id, bcrypt albo scrypt, wraz z unikalną wartością salt.

Hasło, sesja i dodatkowe potwierdzenie tożsamości

Najprostszym mechanizmem jest uwierzytelnianie jednoskładnikowe, w którym wymagane jest hasło. Hasło powinno być długie, unikalne dla danej usługi i nieużywane ponownie w innych serwisach. Menedżer haseł może wygenerować oraz przechowywać losowe dane logowania, dzięki czemu ogranicza ryzyko wynikające z powtarzania tego samego hasła. Weryfikacja hasła powinna odbywać się po stronie serwera przez porównanie bezpiecznego skrótu, a nie przez odszyfrowanie przechowywanej wartości.

Dodatkowe zabezpieczenie może polegać na uwierzytelnianiu wieloskładnikowym. Oprócz hasła usługa może wymagać kodu z aplikacji uwierzytelniającej, klucza sprzętowego albo potwierdzenia na wcześniej zarejestrowanym urządzeniu. Jednorazowe kody czasowe TOTP są wyliczane na podstawie wspólnego sekretu i bieżącego czasu, dlatego kod zmienia się cyklicznie. Odmianą odporną na wiele ataków phishingowych są passkeys, wykorzystujące mechanizmy WebAuthn i kryptografię klucza publicznego. Klucz prywatny pozostaje na urządzeniu, a serwis otrzymuje jedynie dane potrzebne do zweryfikowania podpisu.

Ochrona połączenia i kontrola aktywnej sesji

Podczas sprawdzania logowania należy zwrócić uwagę na poprawny certyfikat TLS, nazwę domeny oraz brak ostrzeżeń przeglądarki dotyczących niezaufanego połączenia. Ikona kłódki informuje przede wszystkim o szyfrowaniu połączenia z określoną domeną; nie potwierdza, że sama strona jest uczciwa ani że użytkownik nie trafił na fałszywy adres. Atakujący może przygotować stronę wyglądającą podobnie do oryginalnej, dlatego adres trzeba weryfikować niezależnie od wyglądu formularza.

Po pomyślnym uwierzytelnieniu serwis zwykle tworzy sesję identyfikowaną przez losowy token zapisany w przeglądarce. Plik cookie sesji powinien mieć atrybuty Secure, HttpOnly oraz odpowiednio dobrany SameSite. Secure ogranicza wysyłanie cookie do połączeń szyfrowanych, HttpOnly utrudnia odczyt tokenu przez skrypt działający w stronie, a SameSite ogranicza automatyczne przesyłanie cookie między różnymi witrynami. Serwer powinien unieważniać sesję po wylogowaniu, reagować na zmianę hasła oraz umożliwiać przegląd aktywnych sesji i ich ręczne zakończenie.

Rozpoznawanie problemów z bezpiecznym logowaniem

Objawem problemu może być ostrzeżenie o certyfikacie, przekierowanie do nieznanej domeny, wielokrotne wylogowywanie, żądanie kodu uwierzytelniającego bez wcześniejszej próby logowania albo informacja o logowaniu z nierozpoznanego urządzenia. Warto sprawdzić datę i godzinę systemową, ponieważ duże odchylenie zegara może powodować odrzucanie certyfikatów TLS oraz kodów TOTP. Należy także zweryfikować, czy przeglądarka jest aktualna, czy rozszerzenia nie zmieniają formularzy oraz czy połączenie nie jest przechwytywane przez nieprawidłowo skonfigurowane oprogramowanie zabezpieczające.

Jeżeli istnieje podejrzenie przejęcia danych logowania, hasło należy zmienić na urządzeniu, któremu można zaufać, a następnie zakończyć wszystkie aktywne sesje i ponownie skonfigurować dodatkowy składnik uwierzytelniania. Nie należy zatwierdzać nieoczekiwanych powiadomień logowania ani przekazywać kodów jednorazowych innej osobie. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z oprogramowaniem, przeglądarką internetową oraz konfiguracją mechanizmów logowania na urządzeniu użytkownika.