Uwierzytelnianie dwuskładnikowe (2FA) — wyjaśnienie: czym jest i dlaczego jedno hasło nie wystarczy

Hasło to sekret, który znajduje się w większej liczbie miejsc, niż większość osób zdaje sobie sprawę. Wpisuje się je na stronach internetowych, używa ponownie na różnych kontach, a czasem zostaje ujawnione w wyniku wycieku danych u kogoś innego. Dlatego samo hasło to słaba ochrona czegokolwiek wartościowego.

Uwierzytelnianie dwuskładnikowe dodaje drugi, inny rodzaj potwierdzenia, dzięki czemu skradzione hasło samo w sobie nie wystarczy. Wyjaśniamy, czym jest 2FA, jakie są najczęstsze rodzaje drugiego składnika, dlaczego uwierzytelnianie dwuskładnikowe pomaga i czego nie zapewnia.

Czym jest uwierzytelnianie dwuskładnikowe

Uwierzytelnianie dwuskładnikowe, zwykle określane skrótem 2FA, polega na potwierdzeniu swojej tożsamości za pomocą dwóch różnych rodzajów dowodów. Wytyczne NIST dotyczące tożsamości cyfrowej wyróżniają trzy rodzaje składników uwierzytelniania: coś, co znasz, na przykład hasło; coś, co masz, na przykład telefon lub klucz bezpieczeństwa; oraz coś, czym jesteś, na przykład odcisk palca.

Te dwa składniki muszą być różnego rodzaju. NIST zwraca uwagę, że hasło i PIN nie liczą się jako dwa składniki, ponieważ oba należą do kategorii „coś, co znasz”. Możesz też spotkać się z nazwami uwierzytelnianie wieloskładnikowe (MFA) lub weryfikacja dwuetapowa. CISA traktuje te określenia jako równoważne w codziennym użyciu: oznaczają one dodatkowy krok, który potwierdza, że naprawdę jesteś osobą, za którą się podajesz.

Najczęstsze rodzaje drugiego składnika

Najbardziej znanym drugim składnikiem jest jednorazowy kod, wysyłany SMS-em lub generowany przez aplikację uwierzytelniającą na telefonie. Innym rozwiązaniem jest fizyczny klucz bezpieczeństwa lub klucz dostępu (passkey), który wykorzystuje kryptografię wbudowaną w urządzenie. Rolę drugiego składnika może pełnić także odcisk palca lub skan twarzy, ale NIST podaje, że dane biometryczne liczą się jako część uwierzytelniania wieloskładnikowego wyłącznie w połączeniu z urządzeniem fizycznym.

Te metody nie zapewniają takiego samego poziomu bezpieczeństwa. Według CISA uwierzytelnianie oparte na standardach FIDO, takie jak klucze bezpieczeństwa i klucze dostępu, jest najbezpieczniejsze i odporne na phishing. Kody z aplikacji uwierzytelniającej są lepsze niż SMS-y, ale nadal można je wyłudzić. SMS-y są najsłabszym z popularnych rozwiązań. Szczegółowe porównanie tych metod to osobny temat.

Dlaczego jedno hasło nie wystarczy

CISA wyjaśnia, że hasło — czyli coś, co znasz — może być używane ponownie, łatwiej złamane lub skradzione. Jeśli to samo hasło jest używane na kilku kontach, jeden wyciek może narazić je wszystkie. Gdy korzystasz z drugiego składnika, atakujący, który zdobył hasło, nadal potrzebuje drugiego elementu. Jak podaje CISA, znacznie zmniejsza to prawdopodobieństwo włamania na konto.

CISA zaleca włączenie uwierzytelniania wieloskładnikowego wszędzie tam, gdzie jest dostępne, zaczynając od najważniejszych kont: najpierw poczta e-mail, potem usługi finansowe, a następnie media społecznościowe i sklepy internetowe. Zaleca też używanie silnych, unikalnych haseł oraz menedżera haseł, ponieważ te zabezpieczenia wzajemnie się uzupełniają.

Czego nie zapewnia uwierzytelnianie dwuskładnikowe

Drugi składnik utrudnia przejęcie konta, ale nie czyni go niemożliwym do zhakowania. Przekonująca, fałszywa strona logowania może przechwycić kod i natychmiast go wykorzystać, a wiadomość SMS można przechwycić lub przekierować, na przykład w wyniku podmiany karty SIM. Dlatego ważny jest wybór metody, a sprawdzenie, czy jesteś na prawdziwej stronie, zanim wpiszesz kod, również stanowi część ochrony.

2FA nie chroni też wszystkiego. Zabezpiecza konto, do którego logujesz się w ramach usługi, ale nie może chronić klucza prywatnego ani frazy seed portfela kryptowalutowego, ponieważ nie są one kontami. Nie zastępuje również silnego, unikalnego hasła ani bezpiecznego sposobu odzyskania dostępu w przypadku utraty telefonu.

Przypomnienie WEEX: włącz 2FA i chroń kody

WEEX przypomina użytkownikom, aby włączali uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest dostępne, zaczynając od poczty e-mail i kont finansowych. Przechowuj kody zapasowe lub odzyskiwania w bezpiecznym miejscu, poza siecią, i sprawdzaj adres strony przed wpisaniem kodu. Nigdy nie udostępniaj nikomu jednorazowego kodu ani frazy seed, również osobom podającym się za pracowników pomocy technicznej — prawdziwa usługa nigdy nie będzie potrzebować żadnego z nich.

Podsumowanie

Uwierzytelnianie dwuskładnikowe wymaga dwóch różnych rodzajów potwierdzenia, dlatego samo skradzione hasło nie wystarczy, aby uzyskać dostęp. Poszczególne rodzaje drugiego składnika różnią się poziomem bezpieczeństwa: klucze bezpieczeństwa i klucze dostępu są najskuteczniejsze, a SMS-y — najmniej. Żadna z tych metod nie zastępuje dobrych haseł, ostrożnego postępowania ani ochrony kluczy prywatnych portfela. Włączenie 2FA to jeden z najprostszych sposobów na utrudnienie przejęcia konta.

FAQ

1. Czym jest uwierzytelnianie dwuskładnikowe?
To sposób logowania, który wymaga dwóch różnych rodzajów potwierdzenia, na przykład hasła i kodu z telefonu, zamiast samego hasła.

2. Czy 2FA to to samo co MFA i weryfikacja dwuetapowa?
W codziennym użyciu te nazwy oznaczają mniej więcej to samo. Mówiąc ściśle, MFA oznacza więcej niż jeden odrębny rodzaj składnika, a 2FA — dokładnie dwa.

3. Czy uwierzytelnianie dwuskładnikowe sprawia, że nie da się zhakować konta?
Nie. Utrudnia przejęcie konta, ale fałszywa strona logowania może przechwycić kod, a wiadomości SMS można przechwycić. Dlatego znaczenie mają zarówno wybrana metoda, jak i Twoje nawyki.

4. Czy hasło i PIN to uwierzytelnianie dwuskładnikowe?
Nie. Oba należą do kategorii „coś, co znasz”, więc zgodnie z wytycznymi NIST liczą się jako jeden składnik.

5. Na których kontach najpierw włączyć uwierzytelnianie dwuskładnikowe?
CISA sugeruje, aby zacząć od poczty e-mail, następnie zabezpieczyć usługi finansowe, a potem media społecznościowe i sklepy internetowe. Poczta e-mail jest najważniejsza, ponieważ często służy do resetowania haseł do innych kont.