Uwierzytelnianie dwuskładnikowe

10.05.2021 r.

 

Uwierzytelnianie dwuskładnikowe – czarno na białym

 

Coraz więcej czasu spędzamy przed komputerem. W czasie pandemii wiele prac odbywa się online. Tak samo odbywa się nauka. Ale też rozrywkę, zakupy czy załatwianie spraw urzędowych przenieśliśmy do przestrzeni internetowej.

Zwracamy uwagę na stabilność i prędkość internetu, który pozwoli nam z tego wszystkiego korzystać.
Wybieramy taki, który będzie odpowiadał naszym potrzebom.

Ale czy równie uważnie sprawdzamy nasze hasła i pilnujemy, żeby nasza praca i rozrywka w internecie przebiegała sprawnie i bez strat?

Krok pierwszy: Wybierz hasło

Konto bankowe, konto e-mail, Zoom, Microsoft Teams, media społecznościowe… wszystkie te przestrzenie wykorzystywane do pracy i kontaktów tak zawodowych, jak i prywatnych, wymagają od nas logowania. Najczęściej login i hasło wybieramy na szybko i nie zastanawiamy się nam ich poziomem zabezpieczenia. A proste hasło to otwarta furtka dla hakera, który dotrze do naszych danych. Prowadzić to może do utraty tych danych, dostępu do potrzebnych funkcji czy nawet pieniędzy.

Niestety często wybieramy najprostsze hasło, by łatwo je było zapamiętać. Ale im łatwiejsze do zapamiętania, tym łatwiejsze do rozszyfrowania dla hakera. Następujące po sobie cyfry jak „1234” lub litery w kolejności klawiaturowej „qwerty” nie wymagają szczególnych umiejętności informatycznych, by je poznać.

Trochę  bardziej zaawansowane hasła to te, które wykorzystują imiona członków rodziny, daty urodzenia czy imienia pupila. Ale nadal nie są to hasła, które nie dają się sforsować.

Bezpieczne hasło powinno być losowym ciągiem znaków zawierającym wielkie i małe litery, cyfry oraz znaki specjalne. Przy czym warto zerwać z działaniami rutynowymi, w których wielka jest pierwsza litera, cyfra następuje po literach i jest to 1, a znak specjalny to !.

Używanie tego samego hasła do wszystkich kont to kolejny błąd popełniany przez wiele osób. Taki sam ciąg znaków w haśle e-mail, bankowości internetowej i mediów społecznościowych, to proszenie się o kłopoty. W takim wypadku wyciek danych z jednego miejsca otwiera drogę przestępcą do wszystkich naszych kont.

Po wybraniu odpowiedniego hasła czy też haseł do różnych kont, warto pomyśleć o jeszcze lepszym zabezpieczeniu. A jest nim uwierzytelnianiem dwuskładnikowe.

Krok drugi: Uwierzytelnianie dwuskładnikowe

Uwierzytelnienie dwuskładnikowe z ang. Two Factor Authenticaton - 2FA pomaga chronić konta internetowe. Nawet w przypadku, gdy hasło zostanie rozszyfrowane lub skradzione. Wynika to z podwójnego sprawdzania, czy osoba logująca się do danego konta naprawdę jest osobą, do której konto należy. I może wykonywać na nim operacje. Taka możliwość dostępna jest przy wielu usługach online – bankowości, poczcie e-mail, mediach społecznościowych.

Najprostsza jest sprawa z bankami, gdyż one mają prawny obowiązek stosowania uwierzytelniania co najmniej dwuskładnikowego. W przypadku bankowości internetowej do konta logujemy się PIN-em lub hasłem, ale wszelkie transakcje potwierdzane są specjalnym kodem cyfrowym. Obecnie najczęściej jest to kod przysyłany na numer telefonu podany przy zakładaniu konta.
 
Ale specjaliści zalecają stosowanie 2FA  także do innych kont. Szczególnie takich, do których wykradzenie haseł spowodowałoby dla nas najwięcej strat. Takim przykładem mogą być konta e-mail. Nie tylko dlatego, że tracąc dostęp do swojego konta – tracimy możliwość kontaktu z wieloma osobami czy instytucjami, z którymi korespondujemy w danego adresu. Także z uwagi na to, że jeśli hakerzy dostaną się na nasze konto e-mail, mogą wykorzystać je do resetowania haseł na innych kontach.

Niektóre z usług internetowych mają od razu włączone 2FA (jak bankowość internetowa), ale w wielu przypadkach nie jest to automatyczne. Trzeba samemu zadbać o dodatkową ochronę.

Czasem wystarczy tylko sprawdzić, czy opcja takiego uwierzytelniania w danej usłudze jest dostępna i ją włączyć. Szukać należy jej w ustawieniach zabezpieczenia konta. Może być nazwana „weryfikacją dwuetapową”.

Podczas ustawiania tego zabezpieczenia trzeba będzie podać „drugi składnik”, który znamy tylko my. Mogą to być różnorakie zabezpieczenia.

Drugi składki w 2FA

W większości przypadków drugi składnik jest wiadomością SMS. Podczas instalacji czy zakładania konta podaje się numer telefonu. Na niego właśnie usługa przysyła kod weryfikacyjny do użycia przy logowaniu czy wykonywaniu różnych czynności na koncie. W niektórych przypadkach możliwe jest także wysyłanie kodu poprzez wiadomość głosową.

Na smartfonach czy tabletach dostępne są również aplikacje typu Authenticator, które stanowią inną formę zabezpieczenia podobną do wiadomości tekstowych. Takimi aplikacjami są Google Authenticator czy Microsoft Authenticator. Jednak decydując się na taką formę zabezpieczenia należy pamiętać, by aplikacje pobierać tylko z zaufanych miejsc jakimi są Google Play i Appstore. W przeciwnym wypadku starając się podnieść bezpieczeństwo swojego konta, możemy nieświadomie wystawić się na atak.

Po zainstalowaniu aplikacji można wykorzystywać ją do konfigurowanie 2FA na różnych kontach, które posiadają taką opcję. Dzięki aplikacji weryfikacja przebiega też szybciej, bo nie trzeba czekać na wiadomość tekstową z wygenerowanym kodem (czasem trwa to nawet kilka minut, jeśli system jest przeciążony).

W przypadku niektórych kont dostępna jest lista kodów do uwierzytelniania dwuskładnikowego. Wtedy w momencie weryfikacji należy podać odpowiedni kod z listy. Każdy kod może być użyty tylko jeden raz. Po zużyciu wszystkich kodów należy wygenerować kolejną listę.

To rozwiązanie jest przydatne wtedy, gdy czasem musimy zalogować się bez użycia telefonu. Jednak taką wygenerowaną listę kodów należy przechowywać w bezpiecznym miejscu i w razie logowania mieć przy sobie.

Chociaż uwierzytelnianie dwuskładnikowe obecnie jest już dostępne dla wielu usług, to nadal nie wszystkie posiadają taka możliwość. W przypadku ważnego konta takiego jak e-mail można zmienić je na takie, które oferuje możliwość 2FA. Jeśli takie rozwiązanie nie wchodzi w grę, pozostaje upewnić się, że hasło do konta jest naprawdę unikatowe i silne. Nie zaszkodzi także od czasu do czasu go zmienić. Oczywiście na hasło o takim samym poziomie zabezpieczenia.