Liczba cyberataków w Polsce rośnie dlatego warto stosować skuteczne zabezpieczenia swoich danych. Weryfikacja dwuetapowa to obecnie jedna z najskuteczniejszych metod ochrony konta przed niepowołanym dostępem. Na czym polega?
Czym jest weryfikacja dwuetapowa (2FA)?
Weryfikacja dwuetapowa (ang. two-factor authentication, 2FA) to metoda zabezpieczania konta poprzez zastosowanie dwóch różnych czynników do weryfikacji tożsamości użytkownika. W procesie logowania system wysyła do użytkownika dodatkową prośbę o potwierdzenie (uwierzytelnienie), że jest osobą uprawnioną do zalogowania się.
Inne nazwy tej metody to: weryfikacja dwuskładnikowa, weryfikacja dwuczynnikowa czy uwierzytelnianie dwuskładnikowe.
Zalety korzystania z weryfikacji dwuetapowej
Logowanie wyłącznie za pomocą hasła może okazać się niewystarczające, szczególnie jeśli tego samego hasła używamy w kilku serwisach lub jest to słabe hasło. Niewątpliwą zaletą weryfikacji 2FA jest zapewnienie użytkownikowi większego bezpieczeństwa i ochrony konta przed nieuprawnionym dostępem przez osoby trzecie. Nawet jeśli cyberprzestępca pozna nasz login i hasło do serwisu to i tak nie będzie w stanie się do niego zalogować ponieważ nie uda mu się przejść przez uwierzytelnienie dwuskładnikowe.
Korzystanie z weryfikacji dwuetapowej jest szczególnie ważne podczas logowania do wszystkich tych serwisów w których przechowujemy cenne zasoby i informacje. Ten typ uwierzytelniania ma zastosowanie np. przy autoryzacji transakcji, ponieważ skutkuje zwiększeniem bezpieczeństwa operacji finansowych w bankowości elektronicznej i sklepach internetowych.
Dlatego wszędzie tam gdzie jest to możliwe należy stosować tę metodę. Szczególnie w przypadku ważnych kont, takich jak np. poczta elektroniczna. Jeśli bowiem cyberprzestępca dostanie się do naszej skrzynki odbiorczej to może użyć jej do resetowania haseł na innych kontach.
Jak działa uwierzytelnianie dwuskładnikowe
Elementy uwierzytelnienia można podzielić na 3 kategorie:
- wiedza (czyli np. login i hasło)
- posiadanie (czyli np. link weryfikacyjny, kod z urządzenia które klient posiada)
- oraz cechy klienta (biometria czyli np. odciski palców, układ twarzy, brzmienie głosu, geometria dłoni czy obraz tęczówki)
Weryfikacja dwuetapowa polega na użyciu dwóch z trzech wyżej wymienionych elementów. Oba czynniki muszą się od siebie różnić. Pierwszy z nich najczęściej przybiera postać loginu i hasła, które wprowadzamy w polu logowania. Drugi czynnik może przyjąć formę np. kodu uwierzytelniającego wysłanego na numer telefonu, adres e-mail czy generowanego przez aplikację. Dopiero wprowadzenie obu czynników umożliwia zalogowanie się do swojego konta.
Sposoby wdrożenia dwuetapowej weryfikacji
Weryfikacja dwuetapowa może przybrać różną formę. Silne logowanie może wymagać użycia SMSa lub e-maila z kodem weryfikacyjnym, klucza zabezpieczeń USB, tokenu sprzętowego czy aplikacji uwierzytelniającej. Poniżej omówimy najpopularniejsze sposoby weryfikacji wykorzystywane przy uwierzytelnianiu dwuskładnikowym.
E-mail z kodem lub linkiem
Drugi składnik weryfikacji w metodzie 2FA często występuje w formie kodów lub linków przesyłanych poprzez wiadomości e-mail. Wiadomość z kodem/linkiem przychodzi wówczas na główny adres e-mail podany podczas rejestracji (lub przypisany do weryfikacji 2FA).
Weryfikacja za pomocą wiadomości SMS
SMSy z kodami to popularny sposób uwierzytelnienia, chętnie stosowany np. przez banki. Po wprowadzeniu pierwszego czynnika w procesie logowania, na powiązany z kontem numer telefonu przesyłana jest wiadomość SMS. Wiadomość zawiera kod weryfikacyjny, który następnie należy przepisać w panelu logowania do konta.
https://allegro.pl/logowanie/dwustopniowa-autoryzacja/sms
Aplikacja uwierzytelniająca
Na rynku dostępnych jest wiele aplikacji zapewniających kompleksową ochronę 2FA. Do najpopularniejszych z nich należą Google Authenticator i Microsoft Authenticator.
Google Authenticator
Google Authenticator to chyba najpopularniejsza aplikacja do weryfikacji dwuetapowej. Stanowi dodatkowe zabezpieczenie kont online, ponieważ logowanie wymaga dwóch metod weryfikacji. W efekcie, poza hasłem należy wpisać również sześciocyfrowy kod wygenerowany przez aplikację na telefonie.
Ze względów bezpieczeństwa kod generowany w Google Authenticator zmienia się co 30 sekund. Co istotne, aplikacja działa również bez bieżącego połączenia z internetem. Bardzo wygodną opcją w przypadku zmiany smartfona, jest możliwość przeniesienia kodów na nowy telefon poprzez eksport konta na nowe urządzenie.
Logowanie dwuetapowe z Google Authenticator można włączyć w wielu popularnych usługach, takich jak: Gmail, Instagram, Facebook, Twitter, LinkedIn, Evernote. Aplikacja dostępna jest na urządzeniach z systemami Android (Play Store) oraz iOS (App Store).
Google Authenticator uważany jest za bezpieczną metodę autoryzacji. Warto jednak zwrócić uwagę na fakt, że sama aplikacja nie jest zabezpieczona hasłem. Oznacza to, że w przypadku utraty lub zhakowania telefonu, osoba trzecia może uzyskać dostęp do kodów weryfikacyjnych.
Microsoft Authenticator
Aplikacja Microsoft Authenticator umożliwia bezpieczne logowanie do kont internetowych, używając uwierzytelniania wieloskładnikowego, logowania bez haseł lub autowypełniania haseł. Aplikacja umożliwia logowanie do konta Microsoft za pomocą telefonu bez użycia hasła. Użytkownik musi podać nazwę użytkownika, a następnie zatwierdzić powiadomienie wysłane na telefon. W drugiej warstwie zabezpieczeń aplikacja korzysta z odcisku palca, funkcji Face ID lub numeru PIN. Authenticator od Microsoft dostępny jest zarówno w wersji na Android (Play Store) jak i w wersji na iOS (App Store).
Tokeny OTP (OneTime Password)
Token z kodem jednorazowym lub hasłem jednorazowym to metoda zapewniająca, że tylko autoryzowani użytkownicy mogą uzyskać dostęp do krytycznych aplikacji i danych. Token może mieć charakter sprzętowy lub softwarowy. Wyświetla użytkownikowi w określonych odstępach czasu (np. co sześćdziesiąt sekund) ciąg cyfr, który stanowi dynamiczny identyfikator. Identyfikator ten jest ważny tylko w czasie, kiedy jest wyświetlany.
Fizyczne klucze bezpieczeństwa
Fizyczne klucze bezpieczeństwa (security key U2F) to obecnie jedna z najbezpieczniejszych metod uwierzytelniania dwuskładnikowego, która w dużej mierze eliminuje ryzyko przejęcia konta. Polega na wykorzystaniu dwóch kluczy szyfrujących - prywatnego i publicznego. W praktyce klucz bezpieczeństwa przypomina pendrive i jest podłączany do portu USB. Najczęściej nie wymaga żadnego dodatkowego oprogramowania czy dostępu do sieci.
Gdzie można korzystać z weryfikacji dwuetapowej?
Oczywiście przy logowaniu do bankowości internetowej. Od września 2019 roku, na podstawie unijnej dyrektywy PSD2, banki zostały zobowiązane do podniesienia standardów zabezpieczeń kont bankowych i kart płatniczych poprzez wdrożenie tzw. silnego uwierzytelnienia klienta. Dyrektywa wymusiła stosowanie silnego uwierzytelniania za każdym razem już przy samym logowaniu do bankowości internetowej. Dziś obowiązek ten realizują wszystkie banki w Polsce.
Ze względów bezpieczeństwa również wiele popularnych serwisów umożliwia swoim użytkownikom korzystanie z weryfikacji dwuetapowej podczas logowania do konta. Zazwyczaj użytkownik może sam zdecydować czy włączyć ten mechanizm czy nie.
Oto kilka miejsc w których można skorzystać z metody 2FA:
- poczta elektroniczna (Gmail, Outlook, Onet, WP, Interia)
- profile w mediach społecznościowych (Facebook, Instagram, YouTube, Twitter, LinkedIn)
- platformy sprzedażowe (Allegro, Amazon)
- komunikatory internetowe (WhatsApp)
- płatności online (PayPal)
- inne (Dropbox, Evernote)
Jak włączyć weryfikację dwuetapową?
Usługodawca, zapewniający możliwość bezpiecznego logowania przy użyciu uwierzytelniania dwuskładnikowego zwykle zapewnia swoim użytkownikom szczegółową instrukcję z wyjaśnieniem jak krok po kroku włączyć weryfikację dwuetapową i nią zarządzać. Zazwyczaj można ją znaleźć w ustawieniach konta.
Poniżej podpowiemy jak skonfigurować uwierzytelnianie dwuskładnikowe w wybranych serwisach.
Weryfikacja dwuetapowa w Google
Aby włączyć uwierzytelnienie dwuskładnikowe w Google należy wykonać kilka podstawowych czynności:
- Krok 1: Otwórz swoje konto Google
- Krok 2: W panelu użytkownika kliknij „Bezpieczeństwo”
- Krok 3: W sekcji „Logowanie się w Google” wybierz „Weryfikacja dwuetapowa” a potem „Rozpocznij”.
Następnie postępuj zgodnie z instrukcjami widocznymi na ekranie. Google poprosi Cię o potwierdzenie swojej tożsamości za pomocą drugiego etapu i wykonanie określonych czynności. Szczegółową instrukcję znajdziesz tutaj.
Uwierzytelnienie dwuskładnikowe na Facebooku
Aby włączyć uwierzytelnienie dwuskładnikowe na Facebooku należy:
- Krok 1: Przejdź do menu ustawień „Bezpieczeństwo i logowanie”
- Krok 2: Przewiń w dół do opcji „Używaj uwierzytelniania dwuskładnikowego” i kliknij „Edytuj”
- Krok 3: Wybierz metodę zabezpieczającą, którą chcesz dodać
Następnie postępuj zgodnie z instrukcjami wyświetlanymi na ekranie. Szczegółowa instrukcja włączania i zarządzania opcją 2FA dostępna jest tutaj.
Podsumowanie
Weryfikacja dwuetapowa to prosty sposób na ochronę danych przed nieuprawnionym dostępem przez osoby trzecie. Oczywiście, korzystanie przez użytkowników z metody 2FA podczas logowania do swoich kont może być uznane za wydłużenie i utrudnienie tego procesu.
Za wdrożeniem uwierzytelnienia dwuskładnikowego przemawia jednak fakt, że taki sposób logowania bez wątpienia przyczyni się do poprawy bezpieczeństwa konta i znajdujących się na nim danych, ponieważ znacząco utrudni lub wręcz uniemożliwi osobom niepowołanym uzyskanie do nich dostępu. Wszędzie tam gdzie jest to możliwe warto zatem korzystać z silnego uwierzytelniania.
A co jeśli weryfikacja dwuetapowa nie jest dostępna? Wtedy najlepszym sposobem na wzmocnienie ochrony konta jest mocne i unikatowe hasło. W takiej sytuacji warto zastanowić się jednak nad ewentualną zmianą usług, na takie które oferują uwierzytelnienie dwuskładnikowe.
