SMS alebo autentifikátor: porovnanie druhých faktorov

Pri otázke, či zvoliť SMS alebo autentifikátor, treba vedieť, že spôsoby druhého faktora nie sú rovnocenné. Líšia sa tým, čo musí útočník urobiť, aby ich obišiel, a tým, čo musíte urobiť vy, aby ste ich používali každý deň. Pre účty s vyššou hodnotou preto rozhodnutie nie je zbytočný detail.

Nasledujúce porovnanie je kvalitatívne a nehodnotí konkrétne produkty. Všeobecnejší úvod k téme nájdete v sekcii Autentifikátory.

SMS kódy

SMS je najjednoduchšia možnosť. Nepotrebuje inštaláciu, funguje aj na starších telefónoch a väčšina ľudí ju pochopí okamžite. Slabinou je, že správa prechádza cez telekomunikačnú infraštruktúru a viaže sa na telefónne číslo, ktoré sa dá zneužiť pri takzvanom SIM swappingu, keď útočník presvedčí operátora, aby číslo preniesol na jeho SIM.

SMS je zároveň zraniteľná voči phishingu, pretože kód si môže vypýtať falošná stránka. Ak je to jediná dostupná možnosť, použite ju, ale preferujte niečo silnejšie, keď je to možné.

Autentifikačná aplikácia a push potvrdenia

Aplikácia generuje kódy lokálne, takže odpadá odchytávanie správ aj SIM swapping. Útočník musí získať samotné zariadenie alebo tajný kľúč. Zostáva však phishing v reálnom čase, pri ktorom obeť kód zadá na falošnej stránke.

Push potvrdenia, kde iba odkliknete „schváliť“, sú pohodlné, no vystavujú vás takzvanej únave z potvrdení. Útočník, ktorý pozná heslo, posiela opakované žiadosti, až kým ich obeť z nepozornosti nepotvrdí. Pomáha, ak aplikácia vyžaduje aj zadanie čísla zobrazeného na prihlasovacej stránke.

Hardvérové bezpečnostné kľúče

Fyzický kľúč podľa štandardov FIDO overuje aj doménu, na ktorej sa prihlasujete. Falošná stránka s inou adresou preto od kľúča nedostane použiteľnú odpoveď, a to ani vtedy, ak ste na nej heslo zadali. Táto vlastnosť robí z kľúčov najodolnejšiu voľbu proti phishingu.

Cenou je nutnosť mať kľúč poruke a ideálne aj záložný. Viac o type zariadení a prístupoch nájdete v sekcii Bezpečnostné kľúče.

Ako sa rozhodnúť

Pri e-maile, správcovi hesiel a finančných účtoch sa oplatí zvoliť najsilnejšiu dostupnú možnosť a mať aspoň jednu zálohu. Pri bežných službách väčšinou postačí aplikácia. SMS nechajte ako poslednú možnosť alebo ako zálohu tam, kde nič iné nie je.

Pri všetkých variantoch platí rovnaké pravidlo: druhý faktor je užitočný iba vtedy, ak viete, ako sa dostanete k účtu pri strate zariadenia. Plán obnovy si preto premyslite vopred, nie v deň, keď sa niečo pokazí.

Praktický príklad rozhodnutia

Predstavte si používateľa s e-mailom, kryptoburzou a niekoľkými sociálnymi sieťami. Pre e-mail a burzu, kde je škoda najvyššia, má zmysel zvoliť hardvérový kľúč alebo aspoň aplikáciu so zálohovanými kódmi. Pri sociálnych sieťach postačí aplikácia, aj keď druhý faktor cez SMS je stále lepší než nič.

Pri správe kryptomien platí osobitne, že straty sú zvyčajne nevratné, takže ochrana prístupu k účtu a plán obnovy majú vyššiu váhu než pohodlie. Pripomíname, že kryptomeny nesú vysoké riziko straty a tento text nie je investičnou radou.

Pri porovnávaní nezabudnite aj na takzvané prístupové kľúče (passkeys). Sú postavené na rovnakej technológii ako hardvérové kľúče, ale súkromný kľúč je uložený v zariadení alebo v správcovi hesiel a odomyká sa biometriou či PIN. Ponúkajú podobnú odolnosť voči phishingu bez nutnosti kupovať samostatný prístroj.

Ich nevýhodou môže byť nejednotná podpora medzi službami a nejasná správa zálohy pri zmene ekosystému. Pred prechodom si preto overte, kde sa kľúče ukladajú a ako ich prenesiete. Základný prehľad pojmov nájdete v slovníku.