Czym jest uwierzytelnianie dwuskładnikowe i dlaczego warto je włączyć już dziś
Hasła wyciekają. Pojawiają się w wyciekach danych, są zgadywane, wyłudzane lub używane ponownie na tylu stronach, że jeden wyciekły login zamienia się w dziesięć przejętych kont. Uwierzytelnianie dwuskładnikowe (2FA) to najskuteczniejsza rzecz, jaką możesz zrobić, by skradzione hasło nie przydało się komuś innemu.
Co oznacza 2FA
Uwierzytelnianie dwuskładnikowe wymaga dwóch różnych rodzajów dowodu, zanim się zalogujesz: czegoś, co wiesz (hasło), oraz czegoś, co masz (telefon, klucz bezpieczeństwa) lub czym jesteś (odcisk palca). Nawet jeśli atakujący pozna hasło, nie wejdzie bez drugiego składnika.
To coś innego niż długie hasło czy pytanie bezpieczeństwa. Pytanie bezpieczeństwa to nadal „coś, co wiesz”, więc nie dodaje realnej ochrony. Prawdziwy drugi składnik znajduje się na osobnym urządzeniu lub w osobnej aplikacji.
Typy, od najsłabszego do najsilniejszego
- Kody SMS: wiadomość z jednorazowym kodem. Lepsze niż nic, ale podatne na SIM swapping, gdy ktoś przekona operatora do przeniesienia numeru na swoje urządzenie.
- Aplikacje uwierzytelniające: aplikacje jak Google Authenticator czy Authy generują nowy sześciocyfrowy kod co 30 sekund, na podstawie sekretu współdzielonego tylko z usługą podczas konfiguracji. Bez sygnału i operatora, więc dużo trudniej przechwycić.
- Powiadomienia push: usługa wysyła do aplikacji pytanie „Czy to Ty?”, a Ty zatwierdzasz lub odrzucasz. Wygodne, ale uważaj na ataki „MFA fatigue”, gdy ktoś zasypuje Cię prośbami, licząc, że przez pomyłkę zatwierdzisz.
- Sprzętowe klucze bezpieczeństwa: małe urządzenia fizyczne (jak YubiKey), które się wpina lub przykłada. Obecnie najsilniejsza opcja, bo klucz nie przesyła niczego, co dałoby się wyłudzić lub odtworzyć.
Dla większości osób aplikacja uwierzytelniająca to złoty środek: znacznie silniejsza niż SMS i bez dodatkowego sprzętu.
Gdzie włączyć w pierwszej kolejności
Nie musisz włączać wszędzie naraz. Zacznij od kont, których przejęcie zrobiłoby najwięcej szkód:
- Główny adres e-mail, bo zwykle jest bramą do resetowania wszystkiego innego.
- Menedżer haseł, jeśli go używasz.
- Konta bankowe i finansowe.
- Konta związane z tożsamością: media społecznościowe, chmura, konta służbowe.
Konfiguracja jest niemal zawsze taka sama: zeskanuj kod QR aplikacją uwierzytelniającą, wpisz wygenerowany sześciocyfrowy kod, by potwierdzić, i zapisz kody zapasowe w bezpiecznym miejscu: w menedżerze haseł albo wydrukowane i przechowywane offline.
Drugi składnik nie zastępuje dobrego hasła
2FA to druga warstwa, nie zamiennik pierwszej. Słabe, powtarzane hasło to nadal łatwy cel. Oba działają najlepiej razem: długie, unikalne hasło na każdej stronie plus drugi składnik na ważnych kontach. Nasz generator haseł tworzy długie, losowe, unikalne hasła w przeglądarce, bez wysyłania na serwer.