Jak zabezpieczyć swoje konta za pomocą uwierzytelniania dwuskładnikowego

Prawdopodobnie słyszałeś, jak specjalista ds. Bezpieczeństwa mówi o zaletach uwierzytelniania dwuskładnikowego. Problem ze specjalistami polega na tym, że chociaż wszyscy są bardzo dobrzy w tym, co robią, czasami starają się wyjaśnić, w jaki sposób lub dlaczego to robią. W rezultacie możesz być nieco zdezorientowany, czym tak naprawdę jest uwierzytelnianie dwuskładnikowe (w skrócie 2FA). Spróbujmy usunąć część tego zamieszania.

Co to jest uwierzytelnianie dwuskładnikowe?

Czego potrzebujesz, jeśli chcesz wypłacić trochę gotówki z bankomatu? Musisz mieć kartę bankową i znać swój numer PIN. To jest genialnie prosty przykład systemu 2FA. Jest to system uwierzytelniania, który pozwoli ci wejść tylko wtedy, gdy przedstawisz coś, co masz (swoją kartę bankową) i coś, co znasz (swój numer PIN).

Co mam i co wiem w świecie online?

W przypadku kont internetowych sprawy są nieco inne. Tradycyjny system uwierzytelniania jednoskładnikowego opiera się tylko na tym, co wiesz - kombinacji nazwy użytkownika i hasła dla określonego konta. Jeśli uwierzytelnianie dwuskładnikowe jest dostępne i jeśli jest włączone, oczywiście musisz coś mieć. W zależności od kształtu, w jakim się znajduje, możemy sklasyfikować dwa rodzaje uwierzytelniania dwuskładnikowego online.

2FA na podstawie tokenów sprzętowych

Oczywiście twój komputer nie jest bankomatem, a są szanse, że nie ma gniazda, w którym można włożyć urządzenie podobne do karty bankowej. Komputer ma jednak porty USB, z których korzystają niektóre tak zwane tokeny sprzętowe 2FA. Działają one poprzez wymianę kluczy kryptograficznych z usługą online w celu ułatwienia uwierzytelnienia. Inne tokeny sprzętowe są prostsze. Generują hasło jednorazowe (OTP) co 30 lub 60 sekund, które należy wprowadzić, przechodząc przez system 2FA. Wszystkie wyglądają jak pendrivy USB i z łatwością mieszczą się w kieszeni lub torebce.

2FA nie opiera się na tokenach sprzętowych

Tokeny sprzętowe mają swoje wady. Można je na przykład zgubić. Co więcej, często nie są najwygodniejszymi w użyciu, a jednak kosztują pieniądze. Użytkownicy nie lubią płacić za rzeczy, które są dla nich niewygodne, dlatego istnieje alternatywny sposób konfiguracji systemu uwierzytelniania dwuskładnikowego.

Zwykle opiera się wyłącznie na hasłach jednorazowych, które wygasają po krótkim czasie. Hasła te mogą być generowane przez usługodawcę i wysyłane do użytkownika pocztą e-mail lub SMS-em, ale można je również utworzyć na smartfonie użytkownika za pomocą dedykowanej aplikacji. Ponownie musisz ręcznie wprowadzić OTP, co może być drobną niedogodnością, ale w większości przypadków nie kosztuje Cię ani grosza, który można uznać za zaletę.

2FA i problem adopcji

Niestety, ponieważ większość ludzi postrzega uwierzytelnianie dwuskładnikowe jako coś, co stanowi dodatkowe obciążenie dla procesu logowania, większość ludzi po prostu nie przejmuje się tym, a wskaźniki adopcji są niesamowicie niskie. Innym czynnikiem, który przyczynia się do tego, jest niski poziom świadomości, a także niektórzy przesadnie paranoiczni ludzie, którzy wciąż wskazują, że 2FA nie jest w 100% bezpieczny. Oto kontrargument.

2FA nie jest magiczną kulą

Nie, uwierzytelnianie dwuskładnikowe nie jest w 100% bezpieczne. Ludziom udało się wyłudzić Hasła jednorazowe, a nawet niektóre tokeny sprzętowe wykazywały w przeszłości luki w zabezpieczeniach. Nie oznacza to jednak, że nie powinieneś używać 2FA.

Lepiej sobie z tym poradzić niż bez niego. Jest to dodatkowa warstwa bezpieczeństwa i choć niekoniecznie uniemożliwi pracę oszustów, utrudni to i na pewno powinieneś dążyć do tego, nawet jeśli kosztuje to kilka dodatkowych sekund podczas logowania na twoje konto.

W ten sposób nadszedł czas, aby zobaczyć, jak skonfigurować uwierzytelnianie dwuskładnikowe w niektórych najpopularniejszych witrynach na świecie.

Facebook

1. Upewnij się, że jesteś zalogowany na swoje konto na Facebooku i przejdź do ustawień bezpieczeństwa i logowania
2. Znajdź link Użyj uwierzytelniania dwuskładnikowego i kliknij Edytuj.
3. Wybierz metodę 2FA, której chcesz użyć. Facebook daje kilka opcji:

• Kody wysyłane SMS-em
• Kody generowane przez własny generator kodów Facebooka
• Tokeny sprzętowe
• Generatory kodów innych firm
• Zezwalanie na próbę logowania z urządzenia rozpoznanego przez Facebook
• Korzystanie z zestawu kodów odzyskiwania, które można wydrukować

Google

1. Zaloguj się na swoje konto Google i odwiedź stronę Moje konto
2. Znajdź sekcję Weryfikacja dwuetapowa i kliknij ją.
3. Kliknij Rozpocznij, wprowadź hasło Google i wybierz metodę, której chcesz użyć. Podobnie jak Facebook, Google daje kilka opcji:

• Własny system Google Prompt, który pozwala autoryzować próbę logowania za pomocą stuknięcia w smartfonie.
• Kody przesyłane za pośrednictwem wiadomości SMS lub połączenia głosowego.
• Aplikacja uwierzytelniająca na smartfonie.

Świergot

1. 1. Zaloguj się do swojego konta, kliknij zdjęcie profilowe w prawym górnym rogu i wybierz Ustawienia i Prywatność
   2. Kliknij Skonfiguruj weryfikację logowania i wprowadź hasło do Twittera.
   3. Wprowadź swój numer telefonu i potwierdź go, podając kod, który otrzymasz w wiadomości SMS. Nawet jeśli zdecydujesz się nie używać 2FA opartego na wiadomości SMS, powiązanie telefonu z kontem na Twitterze może pomóc w odzyskaniu dostępu do swojego profilu na wypadek, gdyby coś poszło nie tak.
   4. Gdy Twitter będzie miał Twój numer telefonu, pozwoli ci wybrać jeden z kilku innych sposobów uzyskania kodów weryfikacyjnych. Możesz to zrobić z Twittera

własną aplikację mobilną lub możesz użyć aplikacji innej firmy.

Reddit

1. Zaloguj się do swojego konta Reddit i przejdź do zakładki hasło/e-mail na stronie Preferencje.
2. W obszarze Uwierzytelnianie dwuskładnikowe wybierz opcję Włącz i postępuj zgodnie z instrukcjami. W przeciwieństwie do pozostałych usług wymienionych powyżej, system 2FA Reddit obsługuje tylko aplikacje uwierzytelniania innych firm.

Jak widać, w większości przypadków włączenie 2FA nie jest trudne i naprawdę nie ma usprawiedliwienia dla wyłączenia go.