Securitywatch: ako sa nezablokovať pomocou dvojfaktorovej autentifikácie maximálne vírenie

Bezpečnostné nástroje často vyvolávajú určité znepokojenie. Čo sa stane, ak stratím heslo? Alebo ak môj antivírus odstráni moje súbory? Príchod dvojfaktorovej autentifikácie vytvoril nový zvrat v známej úzkosti: čo sa stane, ak nemôžem použiť svoj druhý faktor a zablokovať svoj účet?

Jeremy z Capetown napísal niekoľko obáv týkajúcich sa 2FA. Upravil som jeho list pre stručnosť.

Drahý pane, Nie som príliš technický a chcem dvojfaktorové autentifikačné zariadenie, ktoré pri nastavovaní alebo prístupe, ako ste sa stretli s Yubikeyom, nespôsobí zložité komplikácie. Mojím najväčším strachom je uzamknutie zo služby Gmail.

Je lepšie kúpiť dva kľúče, jeden ako záložný kľúč?

S pozdravom, Jeremy

V prípade, že ste nepočuli o dvojfaktorovej autentifikácii alebo 2FA, tu je podstata: 2FA je druhá akcia, ktorú podniknete po zadaní hesla na overenie svojej totožnosti. Ide o to, že útočník môže mať vaše heslo, ale nemá bezpečnostný kľúč, aplikáciu na overenie totožnosti ani kód SMS. K 2FA je celá teória a prax, do ktorej sa nedostanem, ale povzbudzujem vás a umožňujem 2FA, kde môžete.

Jeremy je v dobrej spoločnosti v obavách týkajúcich sa 2FA. Mnoho technicky zdatných a bezpečných ľudí, ktorých poznám, stále obchádzajú dvojfaktorovú ochranu, pretože sa obávajú, že budú uzamknutí, a možno navždy stratia prístup k svojim veciam. Je to skutočný a platný problém.

Čitateľ, to sa mi stalo

V skutočnosti som bol predtým zablokovaný z účtov chránených 2FA. Viac než raz. Jednou z prvých spoločností, ktoré ponúkli dvojfaktorové overenie, bola spoločnosť Blizzard. Hráči World of Warcraft získali prístup ako prvý, pretože potrebovali chrániť svoje ťažko zarobené koristi. Môžete si spomenúť na ľudí, ktorí chodia okolo s kľúčenkami WoW, ktoré na LCD displeji zobrazovali meniace sa číslice. Blizzard neskôr vylepšil tento zážitok do mobilnej aplikácie a rozšíril 2FA pre všetkých používateľov Battle.net.

Keďže som paranoidnou osobou, povolil som 2FA na svojom účte Blizzard pomocou špeciálnej aplikácie Blizzard Authenticator. Okamžite som zabudol, že som to urobil, av nasledujúcich mesiacoch som aplikáciu odstránil z telefónu a zabudol som heslo. Našťastie má Blizzard vynikajúce služby zákazníkom. Niekoľko e-mailov so zamestnancami žoviálov ma za pár dní vrátilo online. Stále to však bolo nervy zničujúce. Bol som tak zvyknutý na to, že som bol schopný zvládnuť svoje vlastné obnovenie hesla a myšlienka toho, že som sa musel zaoberať skutočným žijúcim človekom, sa v rámci tohto procesu cítila, dobre, veľmi čudne.

Od tej doby som si zvykla na túto skúsenosť a naučila som sa byť múdrejší, pokiaľ ide o ochranu môjho autentifikátora. Stále sa mi podarilo opakovane zablokovať server Battle.net, ako aj služby Steam a ďalšie služby.

V závislosti od toho, ako spoločnosť konfiguruje svoju ponuku 2FA, sa môže stať, že sa budete musieť ohýbať dozadu, aby ste získali kontrolu nad svojím účtom. Ako to znie nepríjemne, v skutočnosti to znamená, že služba funguje. Ak nemáte autentifikátora, mali by ste preskočiť veľa obručí. Keby to pre vás bolo ľahké, potom by to bolo pre zlého človeka ľahké.

Znásobte svoje faktory

Našťastie existuje jednoduchý spôsob, ako zabrániť zablokovaniu pomocou služby 2FA: použite viacero možností 2FA. Tieto môžu slúžiť ako záloha v prípade, že nemáte prístup k inej možnosti 2FA. Napríklad vo svojich účtoch Google používam YubiKey 5 NFC, ale v telefóne som tiež povolil ťuknutie na upozornenie push push. Ak nemám svojho Yubikeyho, namiesto toho ho používam.

Pridanie ďalších multifaktorových zariadení zvyšuje riziko, že by váš účet mohol byť ohrozený. Teraz existujú dva spôsoby, ako sa dostať do vášho účtu namiesto jedného. Domnievam sa, že odmeny za to, že vám nebude zablokovaný účet, prevažujú vysoko nepravdepodobne v prípade, že vás niekto prepašuje a páchateľ vezme vašu peňaženku, kľúče a bezpečnostný kľúč a tiež vám vypíše heslo.

Balík bezpečnostného kľúča Google Titan.

Najlepšie odporúčanie používania viac ako jedného zariadenia 2FA pochádza od spoločnosti Google, ktorá vo svojom zväzku Titan Key poskytuje dva kľúče. Tieto boli vytvorené špeciálne pre prácu so systémom Advanced Protection Google, ktorý vyžaduje, aby ste si zaregistrovali dva samostatné bezpečnostné kľúče. Používate jeden každý deň a druhý odložíte pre prípad núdze. Priama odpoveď na Jeremyho otázku: Nie je preto zlým nápadom mať pre svoj účet dva kľúče.

Bohužiaľ, nie všetky weby vám umožňujú zaregistrovať viac ako jednu multifaktorovú možnosť. Ak je to váš prípad, odporúčame vám použiť možnosť 2FA, ktorá je podľa vás pre vás najspoľahlivejšia.

Zostavte si svoj autentifikačný arzenál

Ak sa rozhodnete pre nákup viacerých hardvérových 2FA kľúčov, odporúčam buď bezpečnostný kľúč našich editorov, ktorý vybral Yubico, alebo balík Titan Key od spoločnosti Google. Bezpečnostný kľúč Yubico stojí iba 20 dolárov, alebo 36 dolárov za dva. Balík spoločnosti Google stojí 50 dolárov a zahŕňa dve zariadenia: jeden kľúč USB a batériu Bluetooth napájanú z batérie.

Bezpečnostný kľúč od spoločnosti Yubico

Najčastejším spôsobom používania služby 2FA bolo celé roky zasielanie jednorazových kódov do telefónu prostredníctvom textovej správy. Pravdepodobne to budete musieť použiť vo svojej banke, pretože finančné inštitúcie majú tendenciu zavádzať nové technológie pomalšie. Je zaujímavé, že spoločnosť Google stále vyžaduje povolenie kódov SMS, ak chcete používať akékoľvek iné systémy 2FA. Na otázku Jeremyho to znamená, že keď idete zaregistrovať svoj nový bezpečnostný kľúč do spoločnosti Google, budete už musieť povoliť druhú možnosť 2FA vo forme SMS kódov.

Ďalšou možnosťou je použitie aplikácie Google Authenticator alebo podobnej aplikácie, ako je napríklad LastPass Authenticator. Tieto mobilné aplikácie generujú každých 30 sekúnd šesťciferné prístupové kódy. Stačí otvoriť aplikáciu, skopírovať kód a ste na tom. Sú obzvlášť užitočné ako možnosť zálohovania 2FA, pretože aplikácia funguje aj bez mobilných služieb alebo Wi-Fi.

Ak sa zdá, že všetky tieto problémy sú znepokojujúce, môžete použiť moju preferovanú metódu: fyzické záložné kódy. Možno ste ich videli pri vytváraní účtov alebo pri registrácii do služby 2FA. Je to mriežka niekoľkých čísel, ktorú môžete použiť namiesto hesla a tokenov 2FA. Generujú sa iba raz, a ak ich znova vygenerujete, staré budú vyhodené. V ideálnom prípade ich zabezpečíte v šifrovanom trezore súborov alebo ešte lepšie na kus papiera zastrčený na bezpečnom mieste.

Keď spoločnosť Google vytvorila program Advanced Protection, rozhodla sa pre viac hardvérových kľúčov, pretože všetky ďalšie možnosti uvedené vyššie, vrátane záložných kódov, by sa mohli potenciálne zachytiť pomocou dobre vytvorenej stránky phishingu. Podvádzanie bezpečnostného kľúča je oveľa ťažšie.

• Dvojfaktorové overenie: Kto to má a ako je nastavený Dvojfaktorové overenie: kto to má a ako je nastavený
• Prečo nepoužívate dvojfaktorové overenie? Prečo nepoužívate dvojfaktorové overenie?
• Google: Phishingové útoky, ktoré môžu poraziť dvojfaktory, sú na vzostupe Google: Phishingové útoky, ktoré môžu poraziť dvojfaktory, sú na vzostupe

Nezabúdajte, že nie všetky weby podporujú všetky typy overovateľov. LastPass vám napríklad umožňuje používať bezpečnostné kľúče, ale iba kľúče, ktoré podporujú jednorazové prístupové kódy. Zistenie, ktoré autentifikátory sa majú použiť, je často funkciou podporovaných možností.

Vaše prvé kroky na dvojfaktorové overenie

Napriek tomu odporúčam, aby si každý, kto je novým v spoločnosti 2FA, vyskúšal najskôr systém, ktorý nie je bezpečnostným kľúčom. Ak nie ste zvyknutí mať tu druhú vec na prihlásenie, je väčšia pravdepodobnosť, že sa pohrávate s niečím tak neznámym ako bezpečnostný kľúč. Namiesto toho skúste použiť oznámenia push, kódy zasielané prostredníctvom textových správ, Duo alebo Google Authenticator (alebo podobný generátor kódov). Používajú zariadenia, ktoré už máte, takže za vstup nie sú žiadne náklady. Keď sa oboznámite s tým, ako funguje 2FA, a začne sa cítiť ako druhá príroda, môžete premýšľať o tom, ako získať peniaze na bezpečnostný kľúč (kľúče).

Bezpečnostná funkcia je užitočná, iba ak ju skutočne používate. Takže povoľte funkciu 2FA, ale dajte si povolenie na hranie s ňou a nájdenie metódy, ktorá vám vyhovuje.