32 220 35 21
biuro@omegasoft.pl
Pojęcie 2FA wydaje się dosyć enigmatyczne i w sumie niewiele mówiące większości użytkowników internetu. W praktyce jednak niemal każdy, kto na co dzień korzysta z bankowości online, miał z nim styczność. Z języka angielskiego rozwinięcie skrótu brzmi: two-factor authentication, czyli dwuskładnikowa weryfikacja logowania. Wykorzystywana jest w dziesiątkach różnych serwisów internetowych. Zarówno tych wielkich gigantów technologicznych, jak Facebook czy Google, ale także banków czy innych instytucji. Generalnie wszędzie tam, gdzie są przechowywane ważne dane, tam również występuje minimum dwuskładnikowa weryfikacja. Z czym to się je? Jak działa? I jakie są jej wady i zalety? Na te i wiele więcej pytań postaram się odpowiedzieć w poniższym artykule.
Czym jest 2FA?
Zacznijmy od samego początku, czyli czym tak właściwie jest 2FA i jak działa? Ze wstępu już wiesz, że jest to nic innego jak dwuetapowe uwierzytelnienie. Wykorzystuje je się przede wszystkim w różnego rodzaju serwisach internetowych w celu zwiększenia bezpieczeństwa dostępu do platformy.
Standardowo, gdy tworzymy konto na zewnętrznym serwisie internetowym, do późniejszego logowania potrzebujemy naszego loginu i hasła. W przypadku nazwy użytkownika może być to zarówno nasz pesel, adres e-mail, jak i jakiś wymyślony pseudonim itd. Opcji jest dużo i w zależności od serwisu te dane dostępowe mogą się różnić.
W przypadku hasła sprawa jest również prosta. Zakładając konto proszeni jesteśmy o stworzenie trudnego i najlepiej unikalnego hasła. Zdarza się, że serwisy internetowe wysyłają jednorazowe hasło, które ma za zadanie zabezpieczenie podczas pierwszego logowania. Później jesteśmy proszeni o szybką zmianę hasła na to nasze, bezpieczne.
Wydawać by się mogło, że takie zabezpieczenie powinno nam wystarczyć, by nasze dane nie zostały wykradzione. Niestety sprawa nie jest taka prosta. Hakerzy na różne sposoby mogą dostać się do hasła, czy to przez atak bezpośrednio na serwis, gdzie są przechowywane Twoje dane, czy to atakiem brute force, gdzie specjalny program sprawdza możliwe hasła dostępowe jeden po drugim.
Również dużym „powodzeniem” wśród hakerów cieszą się ataki phishingowe, gdzie sam użytkownik zupełnie nieświadomie podaje wszelkie niezbędne dane do logowania. Gdy haker zdobędzie nasz login (ta część to najprostsze co może być do zdobycia), a także hasło, wówczas przy standardowym jednoskładnikowym uwierzytelnieniu tracimy dostęp do naszego konta. Dlatego też chroniąc się przed zewnętrznymi atakami, programiści wpadli na pomysł zastosowania dodatkowego uwierzytelnienia, czyli właśnie kolejnej, drugiej warstwy bezpieczeństwa.
Drugi poziom bezpieczeństwa może być różny – SMS, aplikacja, e-mail, token czy inne urządzenie. Najczęściej sami jesteśmy w stanie wybrać spośród kilku różnych opcji w zależności od serwisu.
Jakie są rodzaje 2FA?
Tutaj, w zależności od samego serwisu, opcji jest co najmniej kilka:
- SMS – to chyba najbardziej popularne rozwiązanie. Użytkownik otrzymuje po prostu SMSa z kodem do przepisania. Proste rozwiązanie choć od czasu do czasu potrafi szwankować, ze względu na to, że nie zawsze przychodzą SMSy na czas, albo mamy jakąś awarię sieci itd. Jednak mimo wszystko jest to jedno z najpopularniejszych wersji 2FA.
- fizyczny token – to rozwiązanie, które do tej pory praktykują banki i dodatkowo można się w nie wyposażyć korzystając np.: z Battle.net od Blizzarda. Na niewielkim urządzeniu wielkości pendrive’a wyświetlany jest przez kilkadziesiąt sekund kod, który musimy wpisać do aplikacji czy strony www. To rozwiązanie bezpieczniejsze niż SMS, bo zdalny dostęp do tokena jest niemożliwy, problem pojawia się jednak wtedy, gdy go zgubimy lub zostanie uszkodzony.
- aplikacja – którą należy zainstalować ze sklepu Google Play czy Apple App Store. Na samym początku w kilku krokach ją konfigurujemy. Następnie podpinamy ją do danego serwisu i przepisujemy kod, który pojawia się w programie w miejscu logowania. Całość jest niezwykle prosta w konfiguracji i nie wymaga od nas żadnej specjalistycznej wiedzy.
- e-mail – to rozwiązanie, które rzadziej się stosuje, bowiem wydaje się być nie tak bezpieczne, jak pozostałe. Najczęściej polega na podaniu adresu e-mail, na który ma zostać wysłany kod. Już samo to zdanie brzmi niebezpiecznie, szczególnie że w ostatnich czasach włamania na konta pocztowe stanowią duży odsetek przestępstw w sieci.
- drugie urządzenie – polega na tym, że korzystając z poczty czy social mediów na jednym urządzeniu np.: na smartfonie, podczas próby logowania na ten sam serwis na nowym urządzeniu, np.: komputerze, na pierwszym z nich pojawi się prośba o zatwierdzenie tej próby logowania. To taka dodatkowa weryfikacja, czy na pewno to Ty próbujesz się dostać na swoje konto.
- klucze U2F – to rozwiązanie to najwyższy możliwy stopień bezpieczeństwa, jaki możemy uzyskać w przypadku dwustopniowej weryfikacji. Polega na wykorzystaniu urządzenia, mniej więcej, pokroju niewielkiego pendrive. Przy pierwszym podejściu wymagana jest odpowiednia konfiguracja, dzięki której dane urządzenie czy portal/serwis będzie widział konkretny klucz. Zasada działania jest banalnie prosta – przy logowaniu podajemy standardowo wszystkie dane do logowania, czyli email i hasło, a następnie w drugim etapie jesteśmy proszeni o podłączenie urządzenia do komputera. A można to zrobić na kilka sposobów. Np.: przy pomocy bezprzewodowego protokołu zbliżamy klucz do urządzenia (tutaj korzystamy z NFC lub z Bluetooth). Są też urządzenia ze złączem lightning do smartfonów od amerykańskiego giganta z Cupertino, i taki U2F wkładamy do portu ładowania. Nowsze rozwiązania umożliwiają dodatkowo ustawienie PINu, albo weryfikacji działania sprzętu za pomocą czytnika linii papilarnych, który jest wbudowany w sam klucz. Całość działa bardzo sprawnie i zdecydowanie ułatwia proces bezpiecznego logowania. Co ważne, włamanie się bez użycia U2F nie jest możliwe, za każdym razem finalnie będziemy pytani o klucz. W Polsce w ostatnich latach na popularności zyskuje YubiKey.
Co w takim razie, gdy klucz U2F zostanie skradziony lub po prostu go uszkodzimy/zgubimy? Rozwiązanie jest jedno – drugi zapasowy klucz, który w razie wypadku będzie np. w domu. Nie ma idealnego rozwiązania, ale dzięki kluczom typu U2F uzyskujemy najwyzszy stopień bezpieczeństwa, jaki w tym momencie możemy wykorzystać. Minusem jest fakt, że to jedyny sposób, który wymaga od nas zakupu takich kluczy. To koszt – w zależności od firmy – od około 150 zł.
Wady dwustopniowej weryfikacji
Jak to bywa w przypadku niemal każdego rozwiązania, z którego korzystamy na co dzień, dotyczą ich dwie strony medalu. Nie inaczej jest w przypadku dwustopniowej weryfikacji. Mamy tutaj do czynienia z drobnymi minusami, które notabene są praktycznie niezauważalne, jednak mimo wszystko warto o nich wspomnieć.
Brak możliwości wpisania kodu/ utrata dostępu do konta
To nie jest w żaden sposób minus, który powinien kogokolwiek zaskoczyć. Bowiem do tej pory, jeśli nie korzystaliśmy z weryfikacji dwustopniowej, to przy braku wpisania loginu czy hasła nie mieliśmy dostępu do swojego konta. Jednak w przypadku zwykłego dostępu sytuacja jest nieco prostsza, bo najczęściej można poprosić o przesłanie nowego hasła na e-mail lub możliwość jego zresetowania.
Całość działała dosyć szybko, ale niesie to ze sobą pewne zagrożenia, bo jeśli Ty jesteś w stanie tak szybko zresetować dostęp do konta, to tak właściwie każdy może przejść podobną procedurę – na Twoim koncie, jednak nie będąc Tobą. W przypadku braku możliwości wpisania drugiej weryfikacji – kodu z aplikacji czy SMSa, nie uzyskasz dostępu do konta. Jest jednak pewna alternatywa. Najczęściej w postaci wydrukowanych wcześniej kodów (zwykle można je otrzymać podczas konfiguracji konta) – i strona poprosi nas o konkretny kod. Wpisujemy go z kartki i mamy z powrotem dostęp do konta.
Nieuwaga
W tym przypadku może być dla nas zgubna. Może się tak zdarzyć, że chcąc się zalogować na konto z komputera musimy mieć przy sobie telefon, na który dostaniemy SMSa z kodem weryfikującym albo bedziemy musiel potwierdzić logowanie w aplikacji. Utrata telefonu wiążę się ze sporym problemem. Również w przypadku korzystania z fizycznego klucza musimy mieć na uwadze, aby mieć alternatywne rozwiązanie, które zabezpieczy nas przed tego typu błędami.
Więcej potrzebnych danych
Ilość danych, jakie podajemy zewnętrznym serwisom, jest całkiem spora i żeby zwiększyć swoje bezpieczeństwo, trzeba się w jakiś sposób „poświęcić”. W tym wypadku musimy najczęściej dodatkowo podać numer telefonu, aby móc otrzymać odpowiednie SMSy. Czasami wymagane jest podanie adresu e-mail. Nie jest to zbyt dużo, a mimo wszystko poziom bezpieczeństwa wówczas zdecydowanie rośnie.
Zalety dwustopniowej weryfikacji
Skoro istnieją wady, których jednak jest niewiele, to sprawdźmy, jakie zalety ma 2FA.
Prosta konfiguracja i tylko pojedyncze logowanie
Konfiguracja i późniejsze korzystanie z dwustopniowej weryfikacji nie wymaga od nas tak właściwie żadnej specjalistycznej wiedzy. Mając konto na Facebooku czy Google (Gmail) wystarczy w ustawieniach konta znaleźć odpowiednią zakładkę, a serwis będzie nas dalej kierował, co należy zrobić. Co ważne – nie musimy logować się przy pomocy dodatkowego kodu z SMSa czy aplikacji za każdym razem. W większości przypadków wystarczy jedynie za pierwszym razem wykorzystać hasło, a później nasze urządzenie będzie zapamiętane. Oczywiście, gdy usuniemy wszystkie pliki cookies, albo one wygasną lub skorzystamy z nowego komputera czy telefonu, musimy liczyć się z podaniem na nowo hasła z SMSa, ale nie jest to takie uciążliwe, jakby się mogło początkowo wydawać.
Bezpieczeństwo
To właśnie dla tego elementu korzystamy z dwustopniowej weryfikacji bezpieczeństwa. Dzięki niej możemy czuć się zdecydowanie bardziej chronieni. Rozwiązanie jest proste i nie wymaga od nas zbyt dużego zaangażowania, a zdecydowanie utrudnia życie hakerom. Pamiętaj jednak, że nie powinno to uśpić Twojej czujności. Hakerzy – jeśli bardzo im zależy na Twoich danych, są w stanie wspiąć się na wyżyny swoich umiejętności, aby zdobyć potrzebne im informacje. Jednak dzięki dwustopniowej weryfikacji możesz korzystać w pełni ze swoich kont wiedząc, że np.: Twoje bezpieczeństwo jest dodatkowo chronione.
Dwustopniowa weryfikacja konta to obecnie must have, i jeśli tylko masz taką możliwość, powinieneś z niej korzystać na co dzień. Tym bardziej, że proces konfiguracji nie jest trudny, a także coraz większa gama różnego rodzaju serwisów internetowych korzysta z tej technologii. Z całą pewnością warto świadomie korzystać z dwustopniowej weryfikacji – w każdym możliwym przypadku.
Ukończyłam studia z ekonomii menedżerskiej, finansów przedsiębiorstw i zarządzania sprzedażą. Pracowałam w jednej z 5 największych korporacji w Polsce, po czym w 2015 roku zdecydowałam się przebranżowić na copywriting. Od 2018 roku specjalizuję się w tworzeniu treści z obszaru IT i cyberbezpieczeństwa, stale podnosząc swoje kwalifikacje poprzez różne kursy i szkolenia. Poza pracą interesuję się rozwojem osobistym, czytaniem literatury branżowej, grą na gitarze oraz tańcem z ogniem.
@OmegaSoft