Technologiczne, Gadżety, Telefony Komórkowe, Pobieranie Aplikacji

Co to jest uwierzytelnianie dwuskładnikowe i dlaczego warto z niego korzystać?

Uwaga: Poniższy artykuł pomoże Ci w: Co to jest uwierzytelnianie dwuskładnikowe i dlaczego warto z niego korzystać?

Jedną z przerażających myśli w dzisiejszych czasach, gdzie dane są nową ropą naftową, jest obawa, że ​​konta internetowe zostaną naruszone lub całkowicie stracone do nich dostęp. Chociaż tę obawę można przypisać kilka czynników, najważniejszym z nich jest brak odpowiednich zabezpieczeń, który można podzielić na zaniedbania i złe praktyki w zakresie bezpieczeństwa, do których większość użytkowników niechcący/nieumyślnie stosuje się.

Jednym ze sposobów wyjścia z tej sytuacji jest włączenie 2FA (uwierzytelnianie dwuskładnikowe) na wszystkich kontach w celu wzmocnienia ich bezpieczeństwa. W ten sposób, nawet jeśli Twoje hasło zostanie ujawnione/zhakowane, Twoje konto nadal nie będzie dostępne, dopóki nie zostanie zweryfikowane za pomocą drugiego czynnika (token weryfikacyjny 2FA).

Ale jak się okazuje, wiele osób nie korzysta z 2FA lub jest nieświadomych jego istnienia. Aby uprościć sprawę, oto przewodnik po uwierzytelnianiu dwuskładnikowym z odpowiedziami na niektóre z najczęstszych pytań dotyczących 2FA.

Co to jest uwierzytelnianie dwuskładnikowe (2FA)?

Uwierzytelnianie dwuskładnikowe, czyli 2FA, to rodzaj mechanizmu uwierzytelniania wieloskładnikowego (MFA), który dodaje dodatkową warstwę zabezpieczeń do Twojego konta — drugi czynnik w przypadku 2FA — służący do uwierzytelniania Twoich danych logowania.

W idealnej sytuacji, gdy logujesz się na konto przy użyciu nazwy użytkownika i hasła, hasło służy jako pierwszy czynnik uwierzytelniający. I dopiero po zweryfikowaniu przez serwis poprawności wprowadzonego hasła, uzyskasz dostęp do swojego konta.

Jednym z problemów związanych z tym podejściem jest to, że nie jest ono najbezpieczniejsze: jeśli ktoś zdobędzie hasło do Twojego konta, będzie mógł łatwo zalogować się i korzystać z Twojego konta. Właśnie w tym miejscu pojawia się potrzeba drugiego czynnika.

Drugi czynnik, który można skonfigurować na kilka różnych sposobów, dodaje dodatkową warstwę uwierzytelniania do Twojego konta w momencie logowania. Po włączeniu tej opcji, po wprowadzeniu prawidłowego hasła do konta, wymagane jest wprowadź kod weryfikacyjny, ważny przez ograniczony czas, aby zweryfikować swoją tożsamość. Po pomyślnej weryfikacji otrzymasz dostęp do konta.

W zależności od usługi wdrażającej mechanizm, 2FA może czasami zostać zaadresowane także jako weryfikacja dwuetapowa (2SV), tak jak w przypadku Google. Jednak poza różnicą w nazwie zasada działania obu pozostaje taka sama.

Jak działa uwierzytelnianie dwuskładnikowe (2FA)?

Jak wspomniano w poprzedniej sekcji, uwierzytelnianie dwuskładnikowe polega na użyciu drugiego czynnika (oprócz pierwszego: hasła), aby zakończyć weryfikację tożsamości w momencie logowania.

Aby to osiągnąć, aplikacje i usługi wdrażające 2FA wymagają sprawdzenia przez użytkownika końcowego co najmniej dwóch z następujących czynników (lub dowodów), zanim będzie mógł się zalogować i rozpocząć korzystanie z usługi:

I. Wiedza
II. Posiadanie
iii. Obecność

Aby dać Ci lepszy pogląd na to, co stanowi te różne czynniki, w większości scenariuszy Wiedza czynnikiem może być, powiedzmy, hasło do konta lub PIN, natomiast Posiadanie czynnik może obejmować coś w rodzaju klucza zabezpieczającego USB lub breloka uwierzytelniającego oraz Obecność czynnikiem mogą być dane biometryczne: odcisk palca, siatkówka itp.

Po skonfigurowaniu i uruchomieniu 2FA na którymkolwiek ze swoich kont musisz wprowadzić jeden z dwóch czynników weryfikacyjnych, pomiędzy Posiadanie I Obecnośćdodatkowo Wiedza w celu weryfikacji Twojej tożsamości w serwisie w momencie logowania.

OBRAZ: Imperwa

Następnie, w zależności od tego, co chcesz chronić i usługi, z której korzystasz, masz dwie możliwości wyboru preferowanego drugiego mechanizmu uwierzytelniania. Możesz użyć Posiadanie: . Lub możesz na nim polegać Obecność: , oferowane obecnie przez niektóre usługi, jako drugi czynnik weryfikacji bezpieczeństwa Twojego konta.

Czy uwierzytelnianie dwuskładnikowe jest niezawodne? Czy są jakieś wady korzystania z 2FA?

Teraz, gdy już wiesz, czym jest uwierzytelnianie dwuskładnikowe i jak działa, przyjrzyjmy się bliżej jego implementacji i wadom (jeśli występują) korzystania z niego na swoim koncie.

OBRAZ: Hack3rScr0lls

Zacznijmy od tego, że choć konsensus co do stosowania uwierzytelniania dwuskładnikowego wśród większości ekspertów jest zasadniczo pozytywny i prowokuje ludzi do włączania 2FA na swoich kontach, z pewnością istnieje kilka niedociągnięć we wdrażaniu mechanizmu, które sprawiają, że nie jest to niezawodne rozwiązanie.

Te niedociągnięcia (a raczej luki) wynikają głównie ze złego wdrożenia 2FA przez korzystające z nich usługi, co samo w sobie może być wadliwe na różnych poziomach.

Aby dać ci wyobrażenie o słabej (czytaj nieskutecznej) implementacji 2FA, rozważ scenariusz, w którym masz włączoną funkcję 2FA na swoim koncie przy użyciu numeru telefonu komórkowego. W tej konfiguracji usługa wysyła hasło jednorazowe przez SMS, którego musisz użyć do zweryfikowania swojej tożsamości. Ponieważ jednak w tej sytuacji drugi czynnik jest przesyłany przez przewoźnika, jest on narażony na różnego rodzaju ataki i dlatego sam w sobie nie jest bezpieczny. W rezultacie taka implementacja nie może być tak skuteczna w ochronie Twojego konta, jak powinna.

Oprócz powyższego scenariusza istnieje kilka innych sytuacji, w których 2FA może być podatny na wszelkiego rodzaju ataki. Niektóre z tych sytuacji obejmują przypadki, gdy witryna/aplikacja zawierająca mechanizm: ma zniekształconą implementację weryfikacji tokena; brakuje limitu szybkości, który mógłby pozwolić komuś włamać się na konto; umożliwia wielokrotne wysyłanie tego samego hasła jednorazowego; polega m.in. na niewłaściwej kontroli dostępu do kodów zapasowych. Wszystko to może prowadzić do luk w zabezpieczeniach, które mogą pozwolić komuś – z odpowiednią wiedzą i zestawem umiejętności – obejść słabo zaimplementowany mechanizm 2FA i uzyskać dostęp do docelowego konta.

OBRAZ: All Things Auth

Podobnie innym scenariuszem, w którym 2FA może być problematyczne, jest niedbałe użycie go. Na przykład, jeśli masz włączone uwierzytelnianie dwuskładnikowe na koncie za pomocą aplikacji do generowania kodów i zdecydujesz się przełączyć na nowe urządzenie, ale zapomnisz przenieść aplikację uwierzytelniającą na nowy telefon, możesz całkowicie utracić dostęp do swojego konta. Z kolei możesz znaleźć się w sytuacji, w której odzyskanie dostępu do takich kont może być trudne.

Jeszcze jedna sytuacja, w której 2FA może czasami Ci zaszkodzić, to użycie SMS-a w celu uzyskania tokenu 2FA. W takim przypadku, jeśli podróżujesz i przeprowadzasz się do miejsca o słabej łączności, możesz nie otrzymać jednorazowego tokena w wiadomości SMS, co może spowodować chwilową niedostępność Twojego konta. Nie wspominając o tym, że zmieniasz operatora i nadal masz stary numer telefonu komórkowego powiązany z różnymi kontami 2FA.

Jednakże biorąc pod uwagę to wszystko, w grę wchodzi jeden kluczowy czynnik, a mianowicie fakt, że ponieważ większość z nas to przeciętni użytkownicy Internetu i nie używamy naszych kont do wątpliwych celów, jest mało prawdopodobne, aby haker zaatakował nasze konta jako potencjalne ataki. Jedną z oczywistych przyczyn jest to, że konto przeciętnego użytkownika nie jest wystarczająco przynętą i nie oferuje zbyt wiele do zyskania, gdyby ktoś poświęcił swój czas i energię na przeprowadzenie ataku.

W takim scenariuszu można w pełni wykorzystać bezpieczeństwo 2FA, zamiast natrafiać na jego skrajne wady, jak wspomniano wcześniej. Krótko mówiąc, dla większości użytkowników zalety 2FA przeważają nad wadami – pod warunkiem, że używasz go ostrożnie.

Dlaczego warto korzystać z uwierzytelniania dwuskładnikowego (2FA)?

W miarę korzystania z coraz większej liczby usług online w pewnym sensie zwiększamy ryzyko naruszenia bezpieczeństwa naszych kont. O ile oczywiście nie zostaną wprowadzone kontrole bezpieczeństwa zapewniające bezpieczeństwo tych kont i powstrzymujące zagrożenia.

W ciągu ostatnich kilku lat naruszenia bezpieczeństwa danych w niektórych popularnych usługach (z ogromną bazą użytkowników) doprowadziły do ​​wycieku ton danych uwierzytelniających użytkowników (adresów e-mail i haseł) online, co zagroziło bezpieczeństwu milionów użytkowników na całym świecie, umożliwiając hakerowi (lub dowolnej osobie posiadającej wiedzę) do korzystania z ujawnionych danych uwierzytelniających w celu uzyskania dostępu do tych kont.

Chociaż samo to jest poważnym problemem, sytuacja pogarsza się, gdy konta te nie mają wdrożonego uwierzytelniania dwuskładnikowego, ponieważ dzięki temu cały proces jest prosty i nieskomplikowany dla hakera. Pozwala to na łatwe przejęcie.

Jeśli jednak zastosujesz uwierzytelnianie dwuskładnikowe na swoim koncie, uzyskasz dodatkową warstwę zabezpieczeń, którą trudno ominąć, ponieważ wykorzystuje ona Posiadanie współczynnik () ——aby zweryfikować Twoją tożsamość.

W rzeczywistości konta wymagające dodatkowego kroku, aby się do nich dostać, zwykle nie są kontami na radarze atakujących (szczególnie w przypadku ataków na dużą skalę) i dlatego są stosunkowo bezpieczniejsze niż te, które nie korzystają z 2FA. To powiedziawszy, nie można zaprzeczyć, że uwierzytelnianie dwuskładnikowe faktycznie dodaje dodatkowy krok w momencie logowania. Jednakże bezpieczeństwo i spokój ducha, które otrzymujesz w zamian, są bez wątpienia warte tego wysiłku.

Powyższy scenariusz to tylko jeden z wielu różnych przypadków, w których włączenie 2FA na Twoim koncie może okazać się korzystne. Ale powiedziawszy to, warto jeszcze raz wspomnieć, że chociaż 2FA zwiększa bezpieczeństwo Twojego konta, nie jest to również niezawodne rozwiązanie i dlatego musi zostać poprawnie wdrożone przez usługę; nie wspominając o właściwej konfiguracji po stronie użytkownika, którą należy przeprowadzić ostrożnie (wykonując kopię zapasową wszystkich kodów odzyskiwania), aby usługa działała na Twoją korzyść.

Jak wdrożyć uwierzytelnianie dwuskładnikowe (2FA)?

W zależności od konta, które chcesz zabezpieczyć uwierzytelnianiem dwuskładnikowym, musisz wykonać szereg kroków, aby włączyć 2FA na swoim koncie. Czy to niektóre z popularnych serwisów społecznościowych, takich jak Twitter, FacebookI Instagram; usługi przesyłania wiadomości, takie jak WhatsApp; lub nawet Twoje konto e-mail; usługi te oferują możliwość włączenia 2FA w celu poprawy bezpieczeństwa konta.

Naszym zdaniem, chociaż używanie silnych i unikalnych haseł do wszystkich różnych kont jest podstawową sprawą, nie powinieneś ignorować uwierzytelniania dwuskładnikowego, ale raczej z niego skorzystać, jeśli usługa zapewnia taką funkcjonalność – szczególnie w przypadku Twojego konta Google, które jest powiązane z większości pozostałych kont jako opcję odzyskiwania.

Mówiąc o najlepszej metodzie umożliwienia uwierzytelniania dwuskładnikowego, jednym z najbezpieczniejszych sposobów jest użycie klucza sprzętowego, który generuje kod w ustalonych odstępach czasu. Jednak dla przeciętnego użytkownika aplikacje do generowania kodów, takie jak Google, LastPass i Authy, również powinny działać doskonale. Co więcej, obecnie dostępne są menedżery haseł, które oferują zarówno skarbiec, jak i generator tokenów, co dla niektórych jest jeszcze wygodniejsze.

Chociaż większość usług wymaga podobnego zestawu kroków, aby włączyć uwierzytelnianie dwuskładnikowe, możesz zapoznać się z naszym przewodnikiem, jak włączyć funkcję 2FA na swoim koncie Google i w innych witrynach mediów społecznościowych, aby dowiedzieć się, jak prawidłowo skonfigurować zabezpieczenia uwierzytelniania dwuskładnikowego na Twoje konto. Robiąc to, upewnij się, że masz kopię wszystkich kodów zapasowych, aby nie utracić dostępu do konta w przypadku nieotrzymania tokenów lub utraty dostępu do generatora tokenów.