Slaptažodžiai jau seniai nebėra pakankama apsauga. Kiekvieną savaitę girdime apie naujus duomenų nutekėjimus, kai milijonai vartotojų vardų ir slaptažodžių atsiduria tamsiajame internete. Būtent todėl dviejų veiksnių autentifikacija (angl. Two-Factor Authentication, arba tiesiog 2FA) tapo ne prabanga, o būtinybe kiekvienam, kuris naudojasi bent el. paštu, socialiniais tinklais ar internetine bankininkyste. Pabandykime išsiaiškinti, kaip tai veikia, kokie variantai egzistuoja ir kodėl verta paskirti dešimt minučių šiai apsaugai įsijungti visur, kur tik įmanoma.
Kas iš tikrųjų yra tas antras veiksnys
Idėja paprasta: vienas slaptažodis – vienas žinojimo veiksnys. Jei kas nors jį sužino, gauna prieigą prie paskyros. 2FA prideda antrą sluoksnį, kuris remiasi kitu principu – ne tuo, ką žinai, o tuo, ką turi arba kas tu esi. Klasikinė trijų kategorijų schema atrodo taip:
- Žinojimas – slaptažodis, PIN kodas, atsakymas į saugumo klausimą.
- Turėjimas – telefonas, aparatinis raktas, SIM kortelė.
- Biometrija – pirštų atspaudas, veido atpažinimas, balsas.
Kad autentifikacija būtų laikoma tikrai dviejų veiksnių, du naudojami elementai privalo priklausyti skirtingoms kategorijoms. Jei įvedi slaptažodį ir po to atsakai į slaptą klausimą – tai vis tiek tik vienas veiksnys, nes abu remiasi žinojimu. Tikras 2FA reikalauja bent dviejų skirtingų prigimčių apsaugos.
SMS kodai – patogu, bet ne be trūkumų
Populiariausias 2FA variantas visame pasaulyje – vienkartinis kodas, atsiunčiamas SMS žinute. Prisijungi su slaptažodžiu, sistema atsiunčia šešiaženklį skaičių, jį įvedi ir esi viduje. Patogu, nereikia jokių papildomų programėlių, veikia su bet kokiu telefonu.
Deja, saugumo specialistai jau nemažai metų perspėja, kad SMS – silpniausia 2FA forma. Egzistuoja vadinamas SIM swapping atakos metodas, kai sukčiai apgaule įtikina mobiliojo ryšio operatorių perkelti auką numerį į naują SIM kortelę. Gavęs kontrolę nad numeriu, užpuolikas gauna ir visus kodus. Be to, SMS pranešimai keliauja per telekomunikacijų tinklą, kuris istoriškai turi žinomų pažeidžiamumų (SS7 protokolo silpnybės). Tai nereiškia, kad SMS 2FA visiškai beverčio – jis vis tiek žymiai geresnis nei jokio antro veiksnio, tačiau kritinėms paskyroms (bankai, kripto biržos, pagrindinis el. paštas) verta rinktis tvirtesnius metodus.
Autentifikavimo programėlės – auksinis vidurys
Google Authenticator, Microsoft Authenticator, Authy ar 2FAS – visos šios programėlės veikia pagal tą patį principą, vadinamą TOTP (Time-based One-Time Password). Kai sukuri paskyrą su 2FA, gauni QR kodą, kurį nuskaitai telefonu. Nuo tos akimirkos programėlė kas 30 sekundžių generuoja naują šešiaženklį kodą, remdamasi bendra paslaptimi ir tiksliu laiku – be jokio interneto ryšio ar SMS.
Šis metodas gerokai saugesnis už SMS, nes kodas niekada nekeliauja per tinklą – jis generuojamas lokaliai telefone. Vienintelis realus rizikos taškas – jei kas nors gauna fizinę prieigą prie telefono arba nusikopijuoja pradinį QR kodą (paslaptį) atakos metu. Todėl tokias programėles verta apsaugoti papildomu PIN kodu ar biometrija, o pradinį atkūrimo kodą (backup key) saugoti atskirai, ne toje pat vietoje kaip telefoną.
Praktinis patarimas: renkantis tarp programėlių, atkreipk dėmesį, ar ji palaiko debesijos atsarginę kopiją (Authy tai daro numatytai). Jei telefonas pametamas ar sugenda, o atsarginės kopijos nėra, gali visam laikui prarasti prieigą prie dešimčių paskyrų – tai realus ir dažnai pamirštamas rizikos veiksnys.
Aparatiniai raktai – kai reikia maksimalios apsaugos
YubiKey, Google Titan Security Key ar panašūs įrenginiai atstovauja aukščiausią 2FA lygį, kurį šiuo metu galima gauti masiniam vartotojui. Tai nedidelis USB arba NFC įrenginys, kurį prijungi prie kompiuterio ar priglaudžia prie telefono, paspaudi mygtuką, ir autentifikacija patvirtinama kriptografiniu būdu.
Svarbiausias skirtumas nuo TOTP programėlių – aparatiniai raktai naudoja FIDO2/WebAuthn standartą, kuris yra atsparus phishing atakoms. Su TOTP kodu teoriškai įmanoma apgauti vartotoją suklastota svetaine, kuri kodą realiu laiku persiunčia į tikrą paslaugą (vadinama man-in-the-middle ataka). Su aparatiniu raktu tai neįmanoma, nes raktas kriptografiškai patvirtina, kad bendrauja būtent su tikra domenu, ne suklastota kopija. Būtent dėl šios priežasties „Google“ savo darbuotojams privalomai įvedė aparatinius raktus ir po to pranešė, kad phishing atakos jų viduje sumažėjo iki nulio.
Vienintelis realus trūkumas – kaina (apie 25-60 eurų už raktą) ir būtinybė turėti bent du raktus – vieną kasdieniam naudojimui, kitą atsarginį, laikomą saugioje vietoje. Tačiau žmonėms, kurie tvarko jautrius duomenis, kriptovaliutų pinigines ar administruoja svarbias sistemas, ši investicija atsiperka su kaupu.
Push pranešimai ir biometrija – patogumo era
Pastaraisiais metais vis populiaresnis tampa metodas, kai vietoj kodo įvedimo tiesiog gauni pranešimą telefone su klausimu „Ar tai buvai tu?“ ir mygtukais patvirtinti arba atmesti. Microsoft, Duo Security, Okta ir daugelis kitų sistemų naudoja būtent šį modelį. Patogumas akivaizdus – nereikia perrašinėti skaičių, viskas vyksta vienu paspaudimu.
Tačiau čia atsiranda vadinamas MFA fatigue arba „push bombing“ pavojus – užpuolikas, žinantis slaptažodį, gali siųsti dešimtis patvirtinimo užklausų iš eilės, tikėdamasis, kad pavargęs ar suirzęs vartotojas kada nors atsitiktinai paspaus „patvirtinti“. Būtent tokiu būdu 2022 metais buvo įsilaužta į Uber vidinius sistemas. Geros sistemos šiandien prideda papildomą apsaugą – reikalauja įvesti skaičių, kurį matai ekrane, taip patvirtinant, kad esi fiziškai prie prisijungimo lango, o ne tiesiog spaudi mygtuką automatiškai.
Biometrija (Face ID, Touch ID, Windows Hello) dažnai naudojama kaip vietinis „raktas“, atrakinantis įrenginyje saugomą kriptografinį raktą – tai iš esmės patogesnė aparatinio rakto forma, integruota tiesiai į telefoną ar nešiojamą kompiuterį.
Kaip praktiškai pradėti ir ko nedaryti
Jei dar nesi įsijungęs 2FA nė vienoje paskyroje, štai realistiškas planas veiksmams:
- Pirmiausia apsaugok pagrindinį el. paštą – jis dažnai naudojamas kitų paskyrų atkūrimui, todėl yra svarbiausias taikinys.
- Toliau – banko programėlės, mokėjimo sistemos (PayPal, Revolut), kripto biržos, jei tokias naudoji.
- Socialiniai tinklai (Facebook, Instagram, X) – dažnas taikinys sukčiams, ypač jei turi didesnę auditoriją ar verslo paskyrą.
- Darbo sistemos – Google Workspace, Microsoft 365, VPN prieigos.
Renkantis metodą, jei sistema leidžia, visada rink autentifikavimo programėlę arba aparatinį raktą vietoj SMS. Dauguma paslaugų (Google, Facebook, GitHub, Microsoft) leidžia įjungti kelis metodus vienu metu – taip gali turėti pagrindinį (programėlę) ir atsarginį (SMS arba atkūrimo kodus).
Svarbiausia klaida, kurią daro dauguma – neišsaugo atkūrimo kodų (recovery codes), kurie paprastai parodomi vieną kartą, įjungiant 2FA. Šiuos kodus reikia atsispausdinti arba išsaugoti šifruotame slaptažodžių tvarkytuve, atskirai nuo telefono. Praradus telefoną be atkūrimo kodų, prieigos atgavimas gali užtrukti dienas ar net savaites, priklausomai nuo paslaugos palaikymo komandos.
Vietoj išvadų: saugumas kaip įprotis, ne vienkartinis veiksmas
Dviejų veiksnių autentifikacija nėra stebuklinga kilpa, kuri padaro paskyrą neįveikiamą – jokia apsauga tokia nėra. Bet ji pakelia įsilaužimo kainą tiek, kad daugumai nusikaltėlių tampa tiesiog neapsimoka vargti su konkrečia auka, kai yra tūkstančiai kitų be jokios apsaugos. Statistiškai tai jau didžiulis laimėjimas.
Jei reikėtų palikti vieną konkretų patarimą – pradėk nuo autentifikavimo programėlės, palaipsniui pereik prie aparatinio rakto svarbiausioms paskyroms, o SMS palik tik kaip paskutinę atsarginę galimybę, ne kaip pagrindinį metodą. Ir nepamiršk periodiškai peržiūrėti, kurios paskyros dar be jokios apsaugos – dažniausiai tai būna senos, retai naudojamos paskyros, kurios tampa patogiausiu įėjimo tašku sukčiams būtent dėl to, kad apie jas pamiršti pats.
Galiausiai verta prisiminti – technologija keičiasi greičiau nei spėjame prie jos priprasti. Passkeys, remiantis tuo pačiu FIDO2 standartu, jau pradeda keisti tradicinį slaptažodis+2FA modelį, leisdami visiškai atsisakyti slaptažodžių. Bet kol pasaulis pilnai pereis prie šios naujos eros, dviejų veiksnių autentifikacija lieka realiausiu ir prieinamiausiu būdu apsaugoti tai, kas šiandien svarbiausia – tavo skaitmeninę tapatybę.
