5 sposobów uwierzytelniania dwuskładnikowego, ich zalety i wady

2024 Autor: Malcolm Clapton | [email protected]. Ostatnio zmodyfikowany: 2023-12-17 04:07

Coraz więcej osób myśli o korzystaniu z uwierzytelniania dwuskładnikowego, aby niezawodnie chronić swoje dane w sieci. Wielu powstrzymuje złożoność i niezrozumiałość technologii, co nie jest zaskakujące, ponieważ istnieje kilka opcji jej wdrożenia. Omówimy je wszystkie, wyszczególniając zalety i wady każdego z nich.

Uwierzytelnianie dwuskładnikowe opiera się na wykorzystaniu nie tylko tradycyjnego linku „login-hasło”, ale także dodatkowego poziomu ochrony – tzw. drugiego czynnika, którego posiadanie należy potwierdzić, aby uzyskać dostęp do konto lub inne dane.

Najprostszym przykładem uwierzytelniania dwuskładnikowego, z którym każdy z nas stale się spotyka, jest wypłacanie gotówki z bankomatu. Aby otrzymać pieniądze, potrzebujesz karty, którą posiadasz tylko Ty oraz kodu PIN, który tylko Ty znasz. Po uzyskaniu Twojej karty atakujący nie będzie mógł wypłacić gotówki bez znajomości kodu PIN, podobnie jak nie będzie mógł otrzymać pieniędzy znając go, ale nie mając karty.

Ta sama zasada uwierzytelniania dwuskładnikowego jest używana do uzyskiwania dostępu do kont mediów społecznościowych, poczty i innych usług. Pierwszy czynnik to kombinacja loginu i hasła, a 5 poniższych rzeczy może pełnić rolę drugiego.

Kody SMS

Weryfikacja za pomocą kodów SMS jest bardzo prosta. Jak zwykle wpisujesz swoją nazwę użytkownika i hasło, po czym na Twój numer telefonu przychodzi SMS z kodem, który należy wprowadzić, aby wejść na konto. To wszystko. Przy kolejnym logowaniu wysyłany jest kolejny kod SMS, który jest ważny tylko na obecną sesję.

Zalety

• Generowanie nowych kodów przy każdym wpisie. Jeśli atakujący przechwyci Twoją nazwę użytkownika i hasło, nie będą w stanie nic zrobić bez kodu.
• Powiązanie z numerem telefonu. Logowanie nie jest możliwe bez telefonu.

niedogodności

• Jeśli nie ma sygnału komórkowego, nie będziesz mógł się zalogować.
• Istnieje teoretyczne prawdopodobieństwo zmiany numeru poprzez obsługę operatora lub pracowników salonów komunikacyjnych.
• Jeśli zalogujesz się i otrzymasz kody na tym samym urządzeniu (na przykład smartfonie), ochrona przestaje być dwuskładnikowa.

Aplikacje uwierzytelniające

Ta opcja jest pod wieloma względami podobna do poprzedniej, z tą tylko różnicą, że zamiast otrzymywać kody SMS-em, są one generowane na urządzeniu za pomocą specjalnej aplikacji (,). Podczas instalacji otrzymujesz klucz podstawowy (najczęściej w postaci kodu QR), na podstawie którego generowane są hasła jednorazowe za pomocą algorytmów kryptograficznych o okresie ważności od 30 do 60 sekund. Nawet jeśli założymy, że atakujący będą w stanie przechwycić 10, 100, a nawet 1000 haseł, po prostu nie da się przewidzieć, jakie będzie następne hasło z ich pomocą.

Zalety

• Program uwierzytelniający nie potrzebuje sygnału komórkowego, wystarczy połączenie z Internetem podczas początkowej konfiguracji.
• Obsługa wielu kont w jednym uwierzytelniaczu.

niedogodności

• Jeśli atakujący uzyskają dostęp do klucza podstawowego na Twoim urządzeniu lub włamią się na serwer, mogą wygenerować przyszłe hasła.
• Jeśli korzystasz z tokena uwierzytelniającego na tym samym urządzeniu, z którego się logujesz, tracisz dwa czynniki.

Weryfikacja logowania za pomocą aplikacji mobilnych

Ten rodzaj uwierzytelniania można nazwać mieszanką wszystkich poprzednich. W takim przypadku zamiast prosić o kody lub hasła jednorazowe należy potwierdzić logowanie z urządzenia mobilnego z zainstalowaną aplikacją serwisową. Na urządzeniu przechowywany jest klucz prywatny, który jest weryfikowany przy każdym logowaniu. Działa to na Twitterze, Snapchacie i różnych grach online. Na przykład, gdy logujesz się na swoje konto na Twitterze w wersji internetowej, wpisujesz swoją nazwę użytkownika i hasło, wtedy na smartfona przychodzi powiadomienie z prośbą o zalogowanie, po potwierdzeniu, który kanał otwiera się w przeglądarce.

Zalety

• Nie musisz nic wpisywać podczas logowania.
• Niezależność komórkowa.
• Obsługa wielu kont w jednej aplikacji.

niedogodności

• Jeśli atakujący przechwyci klucz prywatny, może podszywać się pod Ciebie.
• W przypadku korzystania z tego samego urządzenia logowania znaczenie uwierzytelniania dwuskładnikowego zostaje utracone.

Tokeny sprzętowe

Tokeny fizyczne (lub sprzętowe) są najbezpieczniejszą metodą uwierzytelniania dwuskładnikowego. Jako oddzielne urządzenia tokeny sprzętowe, w przeciwieństwie do wszystkich metod wymienionych powyżej, w żadnych okolicznościach nie stracą swojego składnika dwuskładnikowego. Najczęściej są one prezentowane w postaci kluczy USB z własnym procesorem generującym klucze kryptograficzne, które są automatycznie wprowadzane po podłączeniu do komputera. Wybór klucza zależy od konkretnej usługi. Google używa na przykład tokenów FIDO U2F, których ceny zaczynają się od 6 USD bez kosztów wysyłki.

Zalety

• Brak SMS-ów i aplikacji.
• Nie potrzebujesz urządzenia mobilnego.
• Jest to całkowicie niezależne urządzenie.

niedogodności

• Należy zakupić osobno.
• Nieobsługiwane we wszystkich usługach.
• Korzystając z wielu kont, musisz mieć przy sobie całą masę tokenów.

Klawisze zapasowe

W rzeczywistości nie jest to osobna metoda, ale opcja kopii zapasowej na wypadek zgubienia lub kradzieży smartfona, która otrzymuje jednorazowe hasła lub kody potwierdzające. Po skonfigurowaniu uwierzytelniania dwuskładnikowego w każdej usłudze otrzymujesz kilka kluczy zapasowych do użytku w sytuacjach awaryjnych. Z ich pomocą możesz zalogować się na swoje konto, odłączyć skonfigurowane urządzenia i dodać nowe. Trzymaj te klucze w bezpiecznym miejscu, a nie jako zrzut ekranu na smartfonie lub plik tekstowy na komputerze.

Jak widać, istnieją pewne niuanse w korzystaniu z uwierzytelniania dwuskładnikowego, ale wydają się one skomplikowane tylko na pierwszy rzut oka. Jaka powinna być idealna równowaga ochrony i wygody, każdy sam decyduje. W każdym razie wszystkie kłopoty są więcej niż uzasadnione, jeśli chodzi o bezpieczeństwo danych płatniczych lub danych osobowych, które nie są przeznaczone dla wścibskich oczu.

Gdzie możesz i powinieneś włączyć uwierzytelnianie dwuskładnikowe, a także jakie usługi je obsługują, możesz przeczytać.