Čo je dvojfaktorové overenie a prečo samotné heslo nestačí

Čo je dvojfaktorové overenie, najlepšie vysvetlí slabina hesla: dnes je najčastejšie jediná bariéra medzi útočníkom a vaším účtom. Pritom sa dá uhádnuť, odpozorovať, ukradnúť pomocou phishingu alebo získať z úniku databázy inej služby. Dvojfaktorové overenie preto vyžaduje ešte jeden dôkaz, že ste to skutočne vy.

Princíp je jednoduchý, no v praxi existuje viac variantov, ktoré sa líšia odolnosťou. Pomôže vám pochopiť, prečo sa odporúča konkrétny spôsob, a nie iba „akékoľvek 2FA“. Súvisiace pojmy nájdete v slovníku.

Tri typy faktorov

Bezpečnostné štandardy rozlišujú tri kategórie. Prvou je znalosť, teda heslo alebo PIN. Druhou je vlastníctvo, napríklad telefón s aplikáciou alebo fyzický kľúč. Treťou je vlastnosť, teda odtlačok prsta alebo tvár.

Skutočné dvojfaktorové overenie kombinuje aspoň dve rôzne kategórie. Dve heslá alebo heslo a bezpečnostná otázka sú stále jeden faktor, pretože oboje je znalosť, ktorú útočník môže získať rovnakým spôsobom.

Ako fungujú jednorazové kódy

Pri časovo založených kódoch (TOTP) vznikne pri nastavení spoločné tajomstvo medzi službou a aplikáciou. Z neho a z aktuálneho času sa pravidelne vypočíta krátky kód. Server urobí rovnaký výpočet a porovná výsledok, takže kód sa po krátkom čase stáva nepoužiteľným.

Pri SMS kódoch je tajomstvo na strane služby a kód sa doručí cez sieť operátora. Funguje to aj na jednoduchom telefóne, no správa prechádza cez systémy, ktoré môžu byť napadnuté alebo zneužité, napríklad pri presmerovaní čísla.

Kedy druhý faktor pomôže a kedy nie

Najlepšie funguje proti útokom, pri ktorých útočník pozná iba heslo. Ak vaše heslo uniklo pri úniku dát z nejakej služby a vy ho používate aj inde, druhý faktor mu zabráni vstúpiť. To je najčastejší scenár, v ktorom 2FA ochráni bežného používateľa.

Menej pomáha pri cielenom phishingu v reálnom čase. Útočník vytvorí falošnú prihlasovaciu stránku, vy zadáte heslo aj kód a on ich okamžite použije na skutočnej službe. Proti tomu sú odolnejšie bezpečnostné kľúče, ktoré overujú doménu stránky.

Biometria a jej miesto

Odtlačok prsta alebo rozpoznanie tváre sa na telefónoch zvyčajne používajú na odomknutie lokálneho kľúča, nie ako samostatné heslo do služby. Biometrický údaj sa neposiela na server, iba potvrdí, že zariadenie používate vy. Ak sa údaj skompromituje, nedá sa zmeniť ako heslo, preto sa jeho ochrana rieši v samotnom zariadení.

V praxi sa teda biometria vyplatí ako pohodlná vrstva nad zariadením, no samotná nenahrádza heslá ani druhý faktor pri vzdialených službách.

Najčastejšie otázky začiatočníkov

Začiatočníci sa často pýtajú, či druhý faktor spomalí každodenné používanie. V praxi zvyčajne nie: väčšina služieb si pamätá dôveryhodné zariadenie na určitý čas a druhý faktor vyžiada iba pri novom prihlásení alebo pri citlivej operácii. Nepohodlie je teda menšie, než sa očakáva.

Ďalšia obava sa týka toho, či služba druhý faktor vyžaduje pri každom použití. Nastavenia sa líšia, ale k dispozícii býva aj voľba dôveryhodného zariadenia. Pri verejných alebo cudzích počítačoch túto voľbu nepoužívajte. Viac o bežných chybách pri zálohách nájdete v sekcii Ochrana účtov.

Dôležité je aj to, že rôzne služby používajú rôzne názvy: dvojstupňové overenie, dvojfaktorové prihlásenie, overenie v dvoch krokoch. Ide o rovnaký princíp. Pri hľadaní v nastaveniach sa preto neriaďte presným názvom, ale slovami „zabezpečenie“ alebo „prihlásenie“.

Pri firemných účtoch býva druhý faktor vynútený politikou organizácie. Aj tam platí, že voľba metódy má význam: administrátorské a finančné účty by mali používať najodolnejšiu dostupnú formu.