Egy jelszó önmagában nem elég. Még az erős jelszót is kitalálhatja, ellophatja vagy feltörheti egy támadó. Ha valaki ismeri a jelszavadat, hozzáfér a fiókodhoz. A kétfaktoros azonosítás (2FA) az a biztonsági réteg, amely ezt megállítja. A jelszón túl egy második ellenőrző lépést kér, így akkor is bizonyítani tudod, hogy te vagy az, akinek mondod magad, ha a jelszavad kiszivárgott.
Ez a cikk bemutatja, hogyan működik a 2FA, hol érdemes használni az űrlapjaidon, melyik 2FA módszer a legbiztonságosabb, és hogyan vezetheted be úgy, hogy a jogos felhasználókat ne nehezítse.
Ezt fogod megtanulni: mi a kétfaktoros azonosítás és miért számít, milyen típusai vannak, hogyan működik az egyes módszer, mely űrlapokat kell 2FA-val védeni, és hogyan választhatod ki a hozzád illő módszert.
Mi a kétfaktoros azonosítás?
A kétfaktoros azonosítás két különálló bizonyítékot kér a belépés előtt. A tényezőket általában így csoportosítják:
- Amit tudsz: jelszó vagy PIN-kód
- Amid van: telefon, biztonsági kulcs vagy hitelesítő alkalmazás
- Ami vagy: biometrikus adat, például ujjlenyomat vagy arcfelismerés
Egy 2FA-s bejelentkezés általában így zajlik:
- A felhasználó megadja a felhasználónevét és a jelszavát
- A rendszer ellenőrzi, hogy a jelszó helyes-e
- A rendszer második tényezőt kér (például: „Add meg a telefonodra érkezett kódot”)
- A felhasználó megadja a második tényezőt (például beírja: „123456”)
- A rendszer ellenőrzi a második tényezőt
- A felhasználó belép
Ha valaki ellopja a jelszót, a második tényező nélkül még mindig nem fér hozzá a fiókhoz. Ettől olyan hatékony a 2FA.
Miért elengedhetetlen a 2FA az űrlapbiztonsághoz
A jelszavakat folyamatosan lopják
Az adatszivárgások évente jelszavak millióit teszik ismertté. Ha a jelszavad egy kiszivárgott adatbázisban szerepelt valahol, a támadók már ismerik. Az erős jelszó segít, de attól még csak egy jelszó.
A jelszavak elleni támadások gyakoriak
A támadók nyers erőt használnak (milliónyi kombinációt próbálnak ki), szótáras támadást (gyakori jelszavakat próbálgatnak), és credential stuffinget (más szivárgásokból származó jelszavakat próbálnak ki). Ezek a támadások működnek, ha a jelszón kívül nincs más védelem.
A adathalász támadások a jelszavakat célozzák
A támadók az oldaladhoz hasonlító hamis bejelentkező oldalakat küldenek. A felhasználók a hamis oldalon adják meg a belépési adataikat. Ha az oldalad csak jelszót kér, a támadó már be is jutott. Ha 2FA kötelező, a támadó a jelszóval egyedül nem tud mit kezdeni.
A fiókátvétel sokba kerül
Ha valaki hozzáfér egy ügyfélfiókhoz, megváltoztathatja a jelszót, visszaállíthatja a fiókot, jogosulatlan vásárlásokat végezhet, vagy adatokat lophat. A 2FA-val a jogosulatlan hozzáférés sokkal nehezebb.
A kétfaktoros azonosítás típusai
SMS (szöveges üzenetes) kódok
Hogyan működik: A felhasználó megadja a felhasználónevét és a jelszavát. A rendszer 6 számjegyű kódot küld szöveges üzenetben a telefonjára. A felhasználó beírja az üzenetben kapott kódot.
Előnyök: Egyszerű a felhasználóknak. Bármelyik telefonon működik (nem kell hozzá alkalmazás).
Hátrányok: Az SMS-t el lehet fogni vagy át lehet irányítani. Nem a legbiztonságosabb módszer. Az SMS küldése pénzbe kerül.
Mikor jó: Ügyfeleknek szánt alkalmazásokhoz, ahol a könnyű használat többet számít a maximális biztonságnál.
Hitelesítő alkalmazások
Hogyan működik: A felhasználó telepít egy alkalmazást, például a Google Authenticatort, a Microsoft Authenticatort vagy az Authyt. Belépéskor az alkalmazás időalapú kódot generál (általában 6 számjegyűt, amely 30 másodpercenként változik). A felhasználó ezt a kódot írja be.
Előnyök: Nagyon biztonságos. Nem lehet elfogni. A felhasználóknak ingyenes.
Hátrányok: A felhasználóknak telepíteniük kell egy alkalmazást. Ha elveszítik a telefonjukat, elvesztik a hozzáférést is, hacsak nincsenek tartalék kódjaik.
Mikor jó: Nagy biztonságú alkalmazásokhoz (admin felületek, pénzügyi fiókok, érzékeny adatok). Itt elfogadhatóbb a nagyobb kényelmetlenség.
Hardveres biztonsági kulcsok
Hogyan működik: A felhasználónak van egy fizikai kulcsa (például egy USB-eszköz). Belépéskor a rendszer elkéri a kulcsot. A felhasználó csatlakoztatja vagy az eszközéhez érinti a kulcsot. A kulcs igazolja a tulajdonjogot.
Előnyök: Rendkívül biztonságos. Távolról nem lehet feltörni. Sok weboldalon használható.
Hátrányok: A felhasználóknak meg kell venniük a kulcsot (30-50 dollár). Elveszhet vagy otthon maradhat. Még nem támogatja minden oldal.
Mikor jó: Maximális biztonságot igénylő helyzetekben (kormányzat, hadsereg, nagy értékű fiókok). Technikailag jártas felhasználók használják.
Push értesítések
Hogyan működik: A felhasználó megpróbál belépni. A rendszer push értesítést küld a telefonjára: „Jóváhagyod ezt a bejelentkezést?” A felhasználó az értesítésben a „Jóváhagyás” gombra koppint.
Előnyök: Nagyon felhasználóbarát. Nem kell kódot beírni. Ellenáll az adathalászatnak (a felhasználó látja, honnan érkezik a belépési kísérlet).
Hátrányok: Külön alkalmazás vagy rendszer kell hozzá. Nem használható, ha a telefon nincs kéznél.
Mikor jó: Mobilközpontú alkalmazásokhoz és fogyasztói appokhoz, ahol a felhasználói élmény kulcsfontosságú.
E-mail kódok
Hogyan működik: A felhasználó megadja a felhasználónevét és a jelszavát. A rendszer kódot küld az e-mail-címére. A felhasználó beírja az e-mailben kapott kódot.
Előnyök: Telefon nélkül is működik. Minden felhasználó eléri.
Hátrányok: Az e-mail-fiókot fel lehet törni. A felhasználónak meg kell nyitnia az e-mailt, ami lassabb a többi módszernél. Kevésbé biztonságos, mint a hitelesítő alkalmazások.
Mikor jó: Kis kockázatú alkalmazásokhoz, vagy tartalék megoldásnak, ha a többi módszer nem elérhető.
Biometrikus azonosítás (ujjlenyomat, arc)
Hogyan működik: A felhasználó eszköze (telefon vagy számítógép) beépített biometrikus érzékelőt használ. A felhasználó ujjlenyomattal vagy arcfelismeréssel hagyja jóvá a belépést vagy a műveletet.
Előnyök: Nagyon kényelmes. Nagyon biztonságos. Egyedi az adott személyre.
Hátrányok: Biometrikus érzékelővel ellátott eszköz kell hozzá. A biometrikus adatok tárolása adatvédelmi aggályokat vet fel.
Mikor jó: Mobilalkalmazásokhoz és modern eszközökhöz. Egyre elterjedtebb, ahogy a biometrikus hardver általánossá válik.
Mely űrlapokhoz kell 2FA?
Nagy értékű űrlapok (kötelező a 2FA)
- Bejelentkező űrlapok (admin felület, ügyfélfiók, e-mail)
- Jelszó-visszaállító űrlapok
- Fiókbeállítások módosítása (főleg az e-mail-cím vagy a jelszó)
- Fizetési vagy pénzügyi űrlapok
- Adattörlés vagy más érzékeny műveletek
Közepes értékű űrlapok (érdemes 2FA-t használni)
- Fiókregisztráció (hogy a fiókátvételt már az elejétől megelőzd)
- A felhasználói adatokat vagy beállításokat módosító űrlapok
- Csak adminoknak szánt űrlapok
Kis értékű űrlapok (a 2FA nem kötelező)
- Kapcsolatfelvételi űrlapok (csak nyilvános adatot gyűjtenek)
- Hírlevél-feliratkozás (nem fiókhoz kötött űrlap)
- Felmérő űrlapok
A szabály: ha az űrlap módosíthatja a felhasználó fiókját, érzékeny adatokhoz adhat hozzáférést, vagy visszafordíthatatlan műveletet végezhet, használj 2FA-t.
A 2FA bevezetése túlzott kényelmetlenség nélkül
Először legyen a 2FA nem kötelező, érzékeny műveleteknél pedig kötelező
Engedd, hogy a felhasználók 2FA nélkül regisztráljanak. De kérj 2FA-t, amikor érzékeny területekre lépnek, módosítják a fizetési adataikat, vagy megváltoztatják a jelszavukat.
Kínálj több 2FA módszert
Néhány felhasználónak van telefonja, másoknak nincs. Van, aki a hitelesítő alkalmazást szereti, más a hardveres kulcsot. Ha több módszert kínálsz, mindenki tud 2FA-t használni.
Adj tartalék kódokat
Ha a 2FA kötelező, és a felhasználók elveszítik a telefonjukat vagy a hitelesítő alkalmazást, nem férnek hozzá a fiókjukhoz. Adj tartalék kódokat (a beállításkor generált, egyszer használható kódokat), hogy be tudjanak lépni, ha elveszítik az elsődleges 2FA módszerüket.
Jegyezd meg a megbízható eszközöket
Miután a felhasználó egyszer elvégezte a 2FA-t egy eszközön, kérésre „jegyezd meg” az eszközt, hogy ne kelljen minden alkalommal újra elvégeznie. Ez csökkenti a kényelmetlenséget, miközben az ismeretlen eszközökről érkező gyanús belépéseknél megmarad a biztonság.
Használj kockázatalapú 2FA-t
Ha a felhasználó a megszokott helyéről, a megszokott időpontban, a megszokott eszközével lép be, lehet, hogy nincs szükség 2FA-ra. Ha viszont másik országból, hajnali 3-kor, új eszközről lép be, kérj 2FA-t. Így egyensúlyba kerül a biztonság és a használhatóság.
Helyreállítási és tartalék tervek
A felhasználók el fogják veszíteni a telefonjukat, elfelejtik az alkalmazásokat, és kizárják magukat. Legyen erre tervük:
- Tartalék kódok: A 2FA beállításakor generálj 10 egyszer használható kódot, amelyeket akkor lehet használni, ha az elsődleges módszer nem elérhető
- Fiók-helyreállítás: Engedd, hogy a felhasználók biztonsági kérdésekkel vagy e-mailben igazolják magukat, és így visszaszerezzék a hozzáférést
- Ügyfélszolgálati folyamat: Tanítsd meg az ügyfélszolgálatos kollégákat, hogyan ellenőrizzék a személyazonosságot, és hogyan segítsenek a kizárt felhasználóknak
A 2FA elleni támadási módok és a megelőzésük
SIM-csere
A támadó meggyőzi a mobilszolgáltatót, hogy az áldozat telefonszámát vigye át egy új SIM-kártyára. Ezután a támadó telefonjára érkeznek meg az SMS-ben küldött 2FA kódok.
Megelőzés: Az SMS helyett használj hitelesítő alkalmazást vagy hardveres kulcsot. Az SMS ki van téve a SIM-cserének.
2FA kódok adathalászata
A támadó hamis bejelentkező oldalt készít, amely 2FA kódot kér. A felhasználó beírja a kódot. A támadó azonnal felhasználja a kódot, hogy belépjen a valódi fiókba.
Megelőzés: Használj olyan módszereket, amelyek mutatják a környezetet (a push értesítés kiírja: „belépés a www.example.com oldalra”), vagy hardveres kulcsot (amely ellenőrzi a weboldal domainjét). A kódalapú módszerek kiszolgáltatottak ennek.
Elveszett vagy ellopott eszközök
Ha elvész vagy ellopják a 2FA alkalmazást tartalmazó eszközt, a támadó talán hozzáférhet vele a fiókokhoz.
Megelőzés: Követelj PIN-kódot vagy biometrikus azonosítást az eszköz feloldásához. Kérj PIN-kódot a hitelesítő alkalmazás megnyitásához. Használj tartalék kódokat és fiók-helyreállítási lehetőségeket.
Mit ellenőrizz a 2FA-nál
Nézd meg, milyen 2FA módszereket kínálnak a fiókjaid, és kapcsold be a legerősebbet. A hitelesítő alkalmazás biztonságosabb, mint az SMS-ben vagy e-mailben küldött kód. A tartalék kódokat tartsd biztos helyen, hogy vissza tudd szerezni a hozzáférést.
A biztonsági funkciókról és a 2FA lehetőségeiről többet megtudhatsz a fiókbeállításaidban vagy az árak oldalon.