Brian Curtis
0 
1180
105
Jeśli nie korzystasz jeszcze z uwierzytelniania dwuskładnikowego, jesteś daleko w tyle i narażasz swoje konta na ataki hakerów i phisherów. Jak bezpiecznie się czujesz, gdy hasło jest jedyną rzeczą stojącą między nieznajomym a Twoim kontem bankowym? Mam nadzieję, że nie jest zbyt bezpieczny.
Tak, uwierzytelnianie dwuskładnikowe nie jest niezawodne. Tak, istnieje ryzyko uwierzytelnienia dwuskładnikowego. Ale nawet z tymi wadami stosowanie uwierzytelniania dwuskładnikowego jest o wiele milsze niż bez niego. To, że włamywacze mogą przedrzeć się przez okno, nie oznacza, że przestaniesz zamykać drzwi, prawda? Oczywiście nie.
Ale oto rzecz: nie wszystkie metody uwierzytelniania dwuskładnikowego są równe. Niektóre są wyraźnie bezpieczniejsze. Oto najpopularniejsze metody i które najlepiej odpowiadają Twoim indywidualnym potrzebom.
Uwierzytelnianie dwuskładnikowe a uwierzytelnianie dwuetapowe
Przed zanurzeniem poświęćmy chwilę, aby wyjaśnić pewne pomyłki między nimi uwierzytelnianie dwuskładnikowe i uwierzytelnianie dwuetapowe. Są podobne, ale niezupełnie takie same - jeden jest kwadratem, a drugi prostokątem.
Uwierzytelnianie dwuskładnikowe ma miejsce, gdy chronisz konto z dwoma czynnikami. Czynnikiem jest albo “coś co wiesz” (np. hasło), “coś co masz” (np. telefon) lub “czymś jesteś” (np. odcisk palca). Aby naprawdę być chronionym przez uwierzytelnianie dwuskładnikowe, twoje konto musi wymagać dwóch blokad różne czynniki przed udzieleniem dostępu.
Jeśli konto jest chronione przez dwie blokady podobnie współczynnik, następnie podlega uwierzytelnieniu dwuetapowemu (lub uwierzytelnieniu dwufazowemu). Na przykład hasło i pytanie zabezpieczające są jednocześnie “coś co wiesz,” czyniąc uwierzytelnianie dwuetapowym, ale nie dwuskładnikowym. Chociaż może to nadal zapewniać odpowiednią ochronę, preferowane jest uwierzytelnianie dwuskładnikowe.
Tak jak kwadrat jest prostokątem, ale prostokąt nie jest kwadratem, uwierzytelnianie dwuskładnikowe jest rodzajem uwierzytelniania dwuetapowego, ale nie na odwrót.
Metoda 1: Pytania bezpieczeństwa
Co to jest?
Tworząc konto, wybierasz jedno lub więcej pytań bezpieczeństwa i ustawiasz odpowiedzi na każde z nich. Logując się na to konto, musisz podać właściwą odpowiedź na każde pytanie, aby potwierdzić, że masz prawowity dostęp.
Profesjonaliści
Pytania bezpieczeństwa są niezwykle łatwe do skonfigurowania. W większości przypadków usługa zawiera rozwijane menu pytań - wystarczy wybrać jedno i udzielić odpowiedzi. Nie potrzebujesz żadnego innego sprzętu, urządzeń itp. Odpowiedź jest zapisana w twojej głowie.
Wady
Wiele odpowiedzi na pytania zabezpieczające można znaleźć w rejestrach publicznych (np. Drugie imię twojego ojca) lub w celach inżynierii społecznej (np. Wiadomości phishingowe lub rozmowy telefoniczne). Aby obejść ten problem, możesz zrobić bełkotliwą odpowiedź i skutecznie uczynić go drugim hasłem - ale uważaj, aby go nie zgubić lub zapomnieć!
Metoda 2: Wiadomości SMS
Co to jest?
Tworząc konto, podajesz swój numer telefonu komórkowego. Za każdym razem, gdy chcesz się zalogować, usługa wysyła wiadomość SMS z kodem weryfikacyjnym, który wygasa (zwykle po 15 minutach). Musisz wprowadzić tę liczbę, aby zakończyć proces logowania.
Profesjonaliści
Wiadomości SMS są niezwykle wygodne. Obecnie prawie każdy ma urządzenie obsługujące SMS-y i może odbierać wiadomości SMS bezpłatnie. Zazwyczaj wiadomości docierają natychmiast, ale nawet jeśli tak się nie dzieje, zajmuje to więcej niż kilka minut. Jeśli kiedykolwiek zgubisz urządzenie, możesz przenieść swój numer telefonu, aby nigdy nie zostać trwale zablokowanym.
Wady
Musisz zaufać usłudze na tyle, aby udostępnić swój numer telefonu. Niektóre niechlubne usługi mogą wykorzystywać Twój numer do celów reklamowych lub sprzedawać go w celu uzyskania korzyści pieniężnych. A ponieważ numery telefonów nie są w rzeczywistości powiązane z urządzeniami, hakerzy mogą faktycznie ominąć uwierzytelnianie oparte na wiadomościach SMS bez dotykania telefonu (choć nie jest to łatwe).
Metoda 3: Hasła jednorazowe oparte na czasie
Co to jest?
Po utworzeniu konta zostaje Ci przypisany “sekretny klucz.” Po zainstalowaniu aplikacji do generowania kodu (takiej jak Google Authenticator lub jej alternatywy) skanujesz kod QR, aby załadować tajny klucz do aplikacji. Następnie generuje hasła jednorazowe co jakiś czas (np. 30 sekund) przy użyciu tajnego klucza jako zarodka, a te hasła jednorazowe są potrzebne do zalogowania się.
Profesjonaliści
Kody są generowane na podstawie kombinacji tajnego klucza i bieżącej godziny, co oznacza, że możesz uzyskać prawidłowe kody na swoim urządzeniu, nawet jeśli nie masz odbioru i / lub nie masz usługi mobilnej. A ponieważ tajny klucz jest przechowywany na samym urządzeniu, nie można go przechwycić ani przekierować (na przykład poprzez przejęcie numeru telefonu).
Wady
Nie będzie można się zalogować, jeśli w urządzeniu wyczerpie się bateria lub całkowicie umrze. Czasami zegary wewnętrzne mogą desynchronizować urządzenie i usługę, co powoduje nieprawidłowe kody. Są dwa powody, dla których drukowanie kodów zapasowych jest niezbędne.
Jeśli haker w jakiś sposób sklonuje Twój tajny klucz, może wygenerować własne prawidłowe kody do woli. A jeśli usługa nie ogranicza prób logowania, hakerzy mogą nadal być w stanie narazić twoje konto za pomocą brutalnej siły.
Metoda 4: Klucze U2F
Co to jest?
Universal 2nd Factor (U2F) to otwarty standard używany z urządzeniami USB, urządzeniami NFC i kartami inteligentnymi. W celu uwierzytelnienia wystarczy podłączyć go (w przypadku kluczy USB), podbić (w przypadku urządzeń NFC) lub przesunąć (w przypadku kart inteligentnych).
Profesjonaliści
Klucz U2F to prawdziwy czynnik fizyczny. W przeciwieństwie do kodów SMS nie można ich przechwytywać ani przekierowywać. W przeciwieństwie do większości metod dwuskładnikowych klucze U2F są odporne na ataki typu phishing, ponieważ są zarejestrowane tylko do pracy z zarejestrowanymi witrynami. Jest to jedna z najbezpieczniejszych obecnie dostępnych metod 2FA.
Wady
Ponieważ U2F jest stosunkowo nową technologią, nie jest jeszcze szeroko obsługiwany. Na przykład, począwszy od tego pisania, klucze NFC działają tylko z urządzeniami mobilnymi z Androidem, podczas gdy klucze USB działają głównie z przeglądarką Chrome (Firefox na tym działa). Klucze U2F również kosztują pieniądze, często od 10 do 20 USD, ale mogą być wyższe w zależności od tego, jak wytrzymała ma być.
Metoda 5: Twarz, głos, odcisk palca
Co to jest?
Rozpoznawanie twarzy, rozpoznawanie głosu i skanowanie odcisków palców należą do kategorii biometrii. Systemy używają uwierzytelniania biometrycznego, gdy naprawdę konieczne jest, aby naprawdę być tym, za kogo się podaje, często w obszarach wymagających poświadczenia bezpieczeństwa (np. Rząd).
Profesjonaliści
Biometria jest niezwykle trudna do zhakowania. Nawet odcisk palca, który jest prawdopodobnie najłatwiejszy do skopiowania, wymaga pewnego rodzaju fizycznej interakcji. Rozpoznawanie głosu wymagałoby wypowiedzenia w twoim głosie, a rozpoznawanie twarzy wymagałoby czegoś tak drastycznego jak operacja plastyczna. To nie jest niezniszczalny, ale całkiem blisko.
Wady
Największym minusem i powodem, dla którego biometria jest rzadko stosowana jako metoda dwuskładnikowa, jest to, że zagrożona biometria jest zagrożone na całe życie. Ponadto, jak wygodne byłoby rezygnowanie z twarzy, głosu lub odcisków palców? Czy zaufasz im, że będą bezpieczne? Większość nie.
Która metoda uwierzytelniania dwuskładnikowego jest najlepsza?
To zależy od tego, co najbardziej cenisz:
- Dla równowagi najlepsze są jednorazowe hasła oparte na czasie. Musisz tylko zachować ostrożność przy przechowywaniu kodów zapasowych na wypadek zgubienia lub uszkodzenia urządzenia.
- Dla prywatności klucze U2F są najlepsze. Nie można ich użyć do śledzenia ciebie i nie musisz rezygnować z żadnych danych osobowych, aby z nich skorzystać. Ale kosztują pieniądze.
- Dla wygody najlepsze są wiadomości SMS. Tak, można je przechwycić lub przekierować, i tak, źle odbierają, ale są szybkie, łatwe i wystarczająco bezpieczne.
Jeśli masz wybór, nigdy nie polegaj na pytaniach bezpieczeństwa jako metodzie dwuskładnikowej. Jeśli nie masz innej opcji, wolisz używać go jako drugiego hasła. Nigdy nie odpowiadaj bezpośrednio na pytanie, zwłaszcza jeśli odpowiedź nie jest czymś takim Tylko Ty wiesz.
Czy uważasz, że uwierzytelnianie dwuskładnikowe jest niedogodnością? Oto sposoby, aby uwierzytelnianie dwuskładnikowe było mniej irytujące.
Których metod uwierzytelniania dwuskładnikowego używasz najczęściej? Czy po przeczytaniu tego zmienisz swoje nawyki? Daj nam znać w komentarzach poniżej!