Različiti oblici autentifikacije s dva faktora, Autheticator Apps, i još mnogo toga

Mnoge online usluge nude autentifikaciju u dva faktora, što povećava sigurnost tako da zahtijeva više od samo zaporke za prijavu. Postoji mnogo različitih vrsta dodatnih metoda provjere autentičnosti koje možete koristiti.

Različite usluge nude različite metode provjere autentičnosti u dva faktora, au nekim slučajevima čak možete birati između nekoliko različitih opcija. Evo kako oni rade i kako se razlikuju.

Potvrda SMS-a

Mnoge usluge omogućuju vam da se prijavite za primanje SMS poruke kad god se prijavite na svoj račun. SMS poruka će sadržavati kratki jednokratni kod koji morate unijeti. S ovim sustavom, vaš mobilni telefon se koristi kao druga metoda provjere autentičnosti. Netko ne može samo ući na vaš račun ako ima vašu zaporku - potrebna je vaša lozinka i pristup vašem telefonu ili SMS porukama.

To je zgodno, jer ne morate raditi ništa posebno, a većina ljudi ima mobitele. Neke usluge će čak birati telefonski broj i automatizirani sustav će izgovoriti kôd, što će vam omogućiti da to koristite s fiksnim brojem telefona koji ne može primati tekstne poruke.

Međutim, postoje veliki problemi s provjerom SMS-a. Napadači mogu koristiti SIM swap napade kako bi dobili pristup vašim sigurnosnim kodovima ili ih presreli zahvaljujući nedostacima u mobilnoj mreži. Preporučujemo da ne koristite SMS poruke, ako je moguće. Međutim, SMS poruke su još mnogo sigurnije nego što uopće ne upotrebljavate autentifikaciju s dva faktora!

Kodovi generirani aplikacijama (kao Google Autentifikator i Authy)

Svoje kodove možete generirati i pomoću aplikacije na telefonu. Najpoznatija aplikacija koja radi ovo je Google Authenticator, koju Google nudi za Android i iPhone. Međutim, više volimo Authy, što čini sve što Google Authenticator radi - i više. Unatoč imenu, ove aplikacije koriste otvoreni standard. Na primjer, u aplikaciju Google Authenticator moguće je dodati Microsoftove račune i mnoge druge vrste računa.

Instalirajte aplikaciju, skenirajte kôd prilikom postavljanja novog računa i ta će aplikacija generirati nove kodove otprilike svakih 30 sekundi. Morat ćete unijeti trenutni kôd prikazan u aplikaciji na telefonu, kao i zaporku kada se prijavite na račun.

To uopće ne zahtijeva signal mobilne mreže, a "sjeme" koje aplikaciji omogućuje generiranje tih vremenski ograničenih kodova pohranjuje se samo na vašem uređaju. To znači da je mnogo sigurnije, jer čak i osoba koja dobije pristup vašem telefonskom broju ili presreće vaše tekstualne poruke neće znati vaše kodove.

Neke usluge - na primjer, Blizzardov Battle.net Authenticator - također imaju vlastite posebne programe za generiranje koda.

Tipke za fizičku provjeru autentičnosti

Fizički ključevi autentifikacije još su jedna opcija koja počinje postati sve popularnija. Velike tvrtke iz tehnološkog i financijskog sektora stvaraju standard poznat kao U2F, a već je moguće koristiti fizički U2F token za osiguranje vaših Google, Dropbox i GitHub računa. Ovo je samo mali USB ključ koji stavljate na privjesak za ključeve. Kad god se želite prijaviti na svoj račun s novog računala, morat ćete umetnuti USB ključ i pritisnuti gumb na njemu. To je - nema tipkanja. Ubuduće bi ti uređaji trebali raditi s NFC-om i Bluetooth-om za komunikaciju s mobilnim uređajima bez USB priključaka.

Ovo rješenje funkcionira bolje od provjere SMS-a i kodova za jednokratnu upotrebu jer se ne može presresti i zabrljati. Također je jednostavnija i prikladnija za korištenje. Na primjer, web-lokacija za krađu identiteta mogla bi vam prikazati lažnu stranicu za prijavu na Google i zabilježiti vaš jednokratni kod kada se pokušate prijaviti. Zatim bi mogli upotrijebiti taj kod za prijavu na Google. No, s fizičkim ključem za provjeru autentičnosti koji radi zajedno s preglednikom, preglednik može osigurati komunikaciju s pravom web-lokacijom, a kôd ne može uhvatiti napadač.

Očekujte da ćete ih vidjeti u budućnosti.

Provjera autentičnosti na temelju aplikacije

Neke mobilne aplikacije mogu pružiti autentifikaciju u dva faktora pomoću same aplikacije. Na primjer, Google sada nudi autentifikaciju s dva faktora bez koda bez obzira na to je li na telefonu instalirana Googleova aplikacija. Kad god se pokušavate prijaviti na Google s drugog računala ili uređaja, samo trebate dodirnuti gumb na telefonu, bez potrebnog koda. Google provjerava imate li pristup telefonu prije nego se pokušate prijaviti.

Appleova provjera u dva koraka radi slično, iako ne koristi aplikaciju - ona koristi sam operativni sustav iOS. Kad god se pokušavate prijaviti s novog uređaja, možete primiti jednokratni kôd poslan na registrirani uređaj, kao što je vaš iPhone ili iPad. Twitterova mobilna aplikacija ima sličnu značajku pod nazivom i provjera prijave. Google i Microsoft dodali su tu značajku aplikacijama za pametne telefone Google i Microsoft Authenticator.

Sustavi utemeljeni na e-pošti

Druge se usluge oslanjaju na vaš račun e-pošte kako bi vas autentificirale. Na primjer, ako omogućite zaštitu od pare, Steam će od vas zatražiti da unesete jednokratni kod koji se šalje na vašu e-poštu svaki put kada se prijavite s novog računala. To barem osigurava napadaču potrebu i vaše lozinke za Steam račun i pristup vašem računu e-pošte da bi dobio pristup tom računu.

To nije sigurno kao druge metode potvrde u dva koraka, jer netko može lako dobiti pristup vašem računu e-pošte, osobito ako ne upotrebljavate potvrdu u dva koraka! Izbjegavajte provjeru putem e-pošte ako možete upotrijebiti nešto jače. (Srećom, Steam nudi autentifikaciju na temelju aplikacije na svojoj mobilnoj aplikaciji.)

Posljednje mjesto: Kodovi za oporavak

Kodovi za oporavak pružaju sigurnosnu mrežu u slučaju da izgubite metodu autentifikacije s dva faktora. Kada postavite autentifikaciju u dva faktora, obično ćete dobiti kodove za oporavak koje biste trebali zapisati i pohraniti na sigurno mjesto. Trebat će vam ako izgubite metodu potvrde u dva koraka.

Provjerite imate li negdje kopiju kodova za oporavak ako koristite autentifikaciju u dva koraka.

Nećete pronaći toliko opcija za svaki vaš račun. Međutim, mnoge usluge nude više metoda potvrde u dva koraka koje možete odabrati.

Tu je i mogućnost korištenja višestrukih metoda provjere autentičnosti. Na primjer, ako postavite aplikaciju koja generira kodove i fizički sigurnosni ključ, možete pristupiti svom računu putem aplikacije ako izgubite fizički ključ.