uwierzytelnianie dwuetapowe

Uwierzytelnianie dwuetapowe wymaga dodatkowego potwierdzenia tożsamości poza samym hasłem.

Uwierzytelnianie dwuetapowe jako dodatkowa warstwa ochrony

Uwierzytelnianie dwuetapowe, określane także skrótem 2FA, jest sposobem zabezpieczania kont, w którym samo podanie hasła nie kończy procesu logowania. Po wpisaniu prawidłowego hasła wymagane jest jeszcze drugie potwierdzenie, zwykle związane z urządzeniem, aplikacją albo inną metodą pozostającą pod kontrolą użytkownika. Dzięki temu przejęcie samego hasła nie musi oznaczać uzyskania dostępu do poczty, bankowości internetowej, serwisów społecznościowych, sklepów internetowych czy paneli administracyjnych.

W praktyce zastosowanie tego rozwiązania oznacza rozdzielenie dwóch elementów potwierdzających tożsamość. Pierwszym jest najczęściej informacja znana użytkownikowi, czyli hasło, kod PIN albo odpowiedź na ustalone pytanie. Drugim może być przedmiot posiadany przez użytkownika, na przykład telefon z aplikacją uwierzytelniającą, klucz bezpieczeństwa lub zarejestrowana karta. Stosuje się także cechę użytkownika, taką jak odcisk palca albo rozpoznawanie twarzy. Poszczególne metody różnią się odpornością na oszustwa, wygodą oraz zależnością od dostępu do telefonu i sieci.

Warto odróżnić uwierzytelnianie dwuetapowe od samego komunikatu z dodatkowym kodem. Nazwa opisuje cały proces, a nie konkretną technologię. Kod wysłany wiadomością tekstową jest tylko jedną z możliwych metod. Inną może być kod generowany w aplikacji, zatwierdzenie powiadomienia, użycie klucza sprzętowego lub biometryczne potwierdzenie na wcześniej zaufanym urządzeniu. W niektórych usługach spotyka się również nazwę wieloskładnikowe uwierzytelnianie. Obejmuje ona procesy wykorzystujące dwa lub więcej różnych składników potwierdzających tożsamość.

Uwierzytelnianie dwuetapowe a rodzaje drugiego składnika

Najczęściej spotykaną metodą jest jednorazowy kod generowany przez aplikację. Kod zmienia się po krótkim czasie, dlatego wcześniejsze przechwycenie pojedynczego ciągu znaków nie powinno wystarczyć do późniejszego logowania. Aplikacja może działać bez połączenia z internetem, ponieważ kod jest wyliczany na podstawie wspólnego sekretu oraz aktualnego czasu. Z tego powodu trzeba zachować ostrożność podczas przenoszenia konta na nowe urządzenie. Utrata telefonu bez wcześniejszego przygotowania kopii kodów odzyskiwania może utrudnić dostęp.

Powiadomienia zatwierdzane na telefonie są wygodne, ponieważ nie wymagają ręcznego przepisywania cyfr. Po wpisaniu hasła pojawia się komunikat, a użytkownik potwierdza albo odrzuca próbę logowania. Należy jednak sprawdzać lokalizację, nazwę usługi i inne informacje widoczne w powiadomieniu. Jeżeli komunikat pojawia się bez podejmowania próby logowania, może to oznaczać, że ktoś zna hasło i próbuje wymusić akceptację. Wielokrotne wysyłanie próśb, aby użytkownik zatwierdził jedną z nich dla wygody, bywa określane jako zmęczenie powiadomieniami.

Kody otrzymywane wiadomością tekstową są prostsze w uruchomieniu i mogą być przydatne jako rozwiązanie awaryjne, ale nie zapewniają takiej ochrony jak klucz bezpieczeństwa lub właściwie skonfigurowana aplikacja. Ryzyko wiąże się między innymi z przejęciem numeru telefonu, przekierowaniem wiadomości albo oszustwem, w którym osoba atakująca nakłania operatora do wydania duplikatu karty SIM. Nie oznacza to, że każdy kod SMS jest bezużyteczny. Włączenie takiej metody zazwyczaj zwiększa bezpieczeństwo w porównaniu z logowaniem wyłącznie hasłem, szczególnie gdy hasło było używane długo albo mogło pojawić się w wycieku danych.

Najwyższy poziom ochrony przed fałszywymi stronami logowania zapewniają klucze bezpieczeństwa korzystające ze standardów kryptograficznych. Użytkownik potwierdza logowanie przez włożenie klucza, zbliżenie go do urządzenia albo użycie jego przycisku. Klucz sprawdza, dla jakiej domeny odbywa się logowanie, co utrudnia przekazanie potwierdzenia oszustowi działającemu na podobnej stronie. Przy wyborze metody warto uwzględnić także możliwość utraty urządzenia, dostęp do zapasowego sposobu logowania oraz zasady obowiązujące w danej usłudze.

Uwierzytelnianie dwuetapowe w codziennych sytuacjach

Po włączeniu dodatkowego zabezpieczenia logowanie może przebiegać według kilku scenariuszy. Na nowym komputerze wpisuje się nazwę konta i hasło, a następnie podaje kod z aplikacji lub zatwierdza powiadomienie. Na urządzeniu używanym regularnie można zaznaczyć opcję zaufania urządzeniu, jeżeli dana usługa ją oferuje. Wtedy ponowne potwierdzenie może nie być wymagane przy każdej sesji, choć zależy to od ustawień bezpieczeństwa, usunięcia plików przeglądarki, zmiany hasła albo wykrycia nietypowej aktywności.

Znaczenie ma poprawna synchronizacja czasu. Jeżeli zegar telefonu lub komputera wskazuje inną godzinę, kody generowane przez aplikację mogą być odrzucane mimo wpisania właściwych cyfr. W takiej sytuacji należy włączyć automatyczne ustawianie daty i czasu, sprawdzić strefę czasową oraz ponowić próbę po chwili. Nie powinno się wielokrotnie wpisywać przypadkowych kodów, ponieważ usługa może czasowo ograniczyć kolejne próby.

Podczas konfiguracji zwykle pojawiają się kody odzyskiwania. Są one przeznaczone na sytuację, w której telefon zostanie zgubiony, ulegnie awarii albo aplikacja zostanie usunięta. Każdy kod powinien być traktowany podobnie jak hasło, a więc nie należy przesyłać go w zwykłej wiadomości ani przechowywać w łatwo dostępnym pliku. Dobrym rozwiązaniem jest zapisanie kodów w bezpiecznym miejscu, do którego dostęp ma wyłącznie uprawniona osoba. Nie powinno się fotografować ich bez zastanowienia, zwłaszcza gdy zdjęcia są automatycznie synchronizowane z chmurą.

Przy zmianie telefonu trzeba najpierw przygotować migrację kont. Jeżeli stary telefon nadal działa, należy dodać nowe urządzenie w ustawieniach konta, sprawdzić proces logowania, a dopiero później usunąć stare urządzenie. W przypadku korzystania z klucza bezpieczeństwa warto mieć drugi, przechowywany oddzielnie klucz zapasowy. Jeżeli dostęp został utracony, należy skorzystać z oficjalnej procedury odzyskiwania konta. Osoba prosząca o kod, hasło albo zatwierdzenie logowania nie powinna być uznawana za uprawnioną tylko dlatego, że zna nazwę użytkownika lub dane kontaktowe.

Uwierzytelnianie dwuetapowe a typowe problemy techniczne

Jednym z częstych problemów jest brak kodu lub opóźnienie powiadomienia. Przyczyną może być słaby zasięg, tryb oszczędzania energii, ograniczenie pracy aplikacji w tle, nieaktualna aplikacja albo blokada powiadomień. Najpierw warto sprawdzić, czy telefon ma połączenie, czy data i godzina są ustawione automatycznie oraz czy aplikacja ma wymagane uprawnienia. W przypadku kodu wysyłanego wiadomością tekstową trzeba upewnić się, że numer telefonu jest aktualny i nie został zmieniony bez wiedzy użytkownika.

Inny problem pojawia się wtedy, gdy kod jest odrzucany za każdym razem. Może to wynikać z nieprawidłowej synchronizacji czasu, użycia kodu z innego konta albo próby wpisania kodu po upływie jego ważności. Należy sprawdzić, czy wybrano właściwy wpis w aplikacji uwierzytelniającej, a następnie wpisać świeżo wygenerowany kod. Nie powinno się przekazywać go osobie oferującej pomoc przez telefon, komunikator lub wiadomość e-mail. Prawdziwa pomoc techniczna nie wymaga poznania jednorazowego kodu.

Ryzyko stanowią również fałszywe strony logowania. Mogą one wyświetlać ekran bardzo podobny do strony prawdziwej, a po wpisaniu hasła prosić o kod z aplikacji. Jeżeli kod zostanie podany oszustowi, może on wykorzystać go natychmiast. Przed zatwierdzeniem logowania należy sprawdzić adres strony, certyfikat, nazwę usługi i powód pojawienia się prośby. Sam fakt, że strona wygląda profesjonalnie, nie jest dowodem jej autentyczności.

Dodatkowe zabezpieczenie nie zastępuje dobrych praktyk. Hasło powinno być długie, unikalne dla danego konta i przechowywane w zaufanym menedżerze haseł. Nie należy używać tego samego hasła do poczty, zakupów i usług związanych z pracą. Trzeba także aktualizować system, przeglądarkę i aplikacje, ponieważ podatność urządzenia może umożliwić przejęcie sesji niezależnie od sposobu logowania. Należy regularnie sprawdzać listę aktywnych urządzeń i kończyć sesje, których pochodzenia nie można wyjaśnić.

Uwierzytelnianie dwuetapowe i przygotowanie do bezpiecznego używania

Najbezpieczniej rozpocząć od włączenia 2FA na głównym koncie pocztowym, ponieważ skrzynka często służy do odzyskiwania dostępu do innych usług. Następnie można zabezpieczyć konta związane z finansami, zakupami, komunikacją i przechowywaniem plików. Podczas konfiguracji trzeba zapisać kody odzyskiwania, dodać zapasową metodę zgodną z zasadami usługi oraz przeprowadzić test na urządzeniu, z którego korzysta się na co dzień. Samo włączenie funkcji bez sprawdzenia odzyskiwania może doprowadzić do problemu przy awarii telefonu.

Przed przekazaniem urządzenia do naprawy albo przed jego sprzedażą należy rozważyć wylogowanie kont i usunięcie zaufania do danego urządzenia. Jeżeli telefon jest potrzebny do potwierdzania logowania, nie powinno się go resetować przed przeniesieniem aplikacji uwierzytelniającej lub przygotowaniem kodów awaryjnych. Warto także zapisać, które konta korzystają z danego numeru telefonu, ponieważ późniejsza zmiana numeru może wymagać osobnego potwierdzenia w wielu usługach.

Gdy problem z logowaniem wynika z awarii komputera, uszkodzonego systemu, niedziałającej aplikacji uwierzytelniającej albo utraty dostępu do ustawień, pomoc może wymagać sprawdzenia urządzenia oraz uporządkowania bezpiecznej procedury odzyskania konta. Zgłoszenie do serwisu powinno zawierać opis objawów, nazwę usługi oraz informację, czy dostęp do telefonu i kodów odzyskiwania nadal istnieje. Nie należy przekazywać hasła ani jednorazowych kodów. W Warszawie takie kwestie można omówić z firmą Warszawskie Pogotowie Komputerowe 24/7, przedstawiając wyłącznie informacje potrzebne do rozpoznania problemu technicznego.