Securitywatch: jak se nezablokovat pomocí dvoufaktorové autentizace | max eddy

Bezpečnostní nástroje často vytvářejí určité množství úzkosti. Co se stane, když přijdu o heslo? Nebo pokud můj antivirus odstraní mé soubory? Příchod dvoufaktorové autentizace vytvořil nový zvrat ve známé úzkosti: co se stane, když nemůžu použít svůj druhý faktor a nechám se uzamknout ze svého účtu?

Jeremy z Capetown napsal s několika obavami o 2FA. Upravil jsem jeho dopis pro stručnost.

Vážený pane, Nejsem příliš technický a chci dvoufaktorové autentizační zařízení, které se při nastavování nebo přístupu, jako jste se setkali s Yubikey, nestane složitými komplikacemi. Mým největším strachem je zamykání se z mého Gmailu.

Je lepší koupit dva klíče, jeden jako záložní klíč?

S pozdravem, Jeremy

V případě, že jste dosud neslyšeli o dvoufaktorové autentizaci nebo 2FA, zde je základní informace: 2FA je druhá akce, kterou provedete po zadání hesla k ověření své identity. Úmyslem je, že útočník může mít vaše heslo, ale nebude mít váš bezpečnostní klíč, aplikaci ověřovatele ani kód SMS. Pro 2FA existuje celá teorie a praxe, do které se nedostanu, ale povzbuzuji vás k aktivaci 2FA tam, kde můžete.

Jeremy je v dobré společnosti ve svém znepokojení nad 2FA. Mnoho technicky zdatných a bezpečných lidí, o kterých vím, vím, že se nadále vyhýbají dvoufaktorové ochraně, protože se bojí, že budou uzamčení a možná ztratí přístup ke svým věcem navždy. Je to skutečný a platný zájem.

Čtenáři, to se mi stalo

Ve skutečnosti jsem byl předtím uzamčen z účtů chráněných 2FA. Více než jednou. Zpět v den, jedna z prvních společností nabízejících dvoufaktorové ověřování, byla Blizzard. Hráči World of Warcraft získali první přístup, protože potřebovali chránit své těžce vydělané kořisti. Můžete si vybavit lidi, kteří chodí s WoW přívěsky na klíče, které zobrazovaly měnící se číslice na LCD. Blizzard později zdokonalil zážitek v mobilní aplikaci a rozšířil 2FA všem uživatelům Battle.net.

Protože jsem paranoidní osobou, kterou jsem, povolil jsem 2FA na svém účtu Blizzard pomocí speciální aplikace Blizzard Authenticator. Okamžitě jsem zapomněl, že jsem to udělal, a v dalších měsících jsem aplikaci odstranil z telefonu a zapomněl jsem heslo. Naštěstí má Blizzard vynikající zákaznický servis. Několik e-mailů s jejich žoviálními zaměstnanci mě za pár dní vrátilo online. Stále to však bylo nervózní. Byl jsem tak zvyklý na to, že jsem byl schopen zvládnout vlastní resetování hesla, a myšlenka, že v rámci tohoto procesu musím jednat se skutečným žijícím člověkem, byla velmi podivná.

Od té doby jsem si na tuto zkušenost více zvykl a naučil jsem se chytřejší, pokud jde o zabezpečení mého autentizátoru v bezpečí. Stále se mi podařilo opakovaně zamknout Battle.net, Steam a další služby.

V závislosti na tom, jak společnost konfiguruje svou nabídku 2FA, se může stát, že se budete muset ohýbat dozadu, abyste získali kontrolu nad svým účtem. Jak to zní nepříjemně, ve skutečnosti to znamená, že služba funguje. Pokud nemáte ověřovatel, měli byste přeskočit mnoho obručí. Pokud by to pro vás bylo snadné, pak by to pro špatného člověka bylo snadné.

Znásobte své faktory

Naštěstí existuje snadný způsob, jak zabránit zablokování pomocí 2FA: použijte více možností 2FA. Ty mohou fungovat jako záloha v případě, že nemáte přístup k jiné možnosti 2FA. Například ve svých účtech Google používám YubiKey 5 NFC, ale v telefonu jsem také povolil klepnutí na oznámení push push. Pokud nemám svého Yubikeyho, používám to místo toho.

Přidání více multifaktorových zařízení zvyšuje riziko ohrožení vašeho účtu. Nyní máte dva způsoby, jak se dostat do svého účtu, nikoli jen jeden. Věřím, že odměny za to, že vám nebude váš účet zablokován, výrazně převažují nad velmi nepravděpodobným scénářem, ve kterém jste přepadeni, a pachatel vezme vaši peněženku, klíče a bezpečnostní klíč a také vám vypíše heslo.

Balíček bezpečnostního klíče Google Titan.

Nejlepší podpora používání více než jednoho zařízení 2FA pochází od společnosti Google, která ve svém balíčku Titan Key poskytuje dva klíče. Byly vytvořeny speciálně pro práci se systémem Advanced Protection Google, který vyžaduje, abyste si zaregistrovali dva samostatné bezpečnostní klíče. Používáte jeden každý den a druhý dáte pryč pro případ nouze. Takže přímo odpovědět na Jeremyho otázku: Není špatný nápad mít dva klíče pro váš účet.

Bohužel ne všechny weby vám umožňují zaregistrovat více než jednu multifaktorovou možnost. Pokud tomu tak je, doporučuji použít možnost 2FA, o které si myslíte, že je pro vás nejspolehlivější.

Vytváření arzenálu autentizátoru

Pokud se rozhodnete koupit více hardwarových klíčů 2FA, doporučuji buď náš bezpečnostní klíč pro výběr editorů od společnosti Yubico, nebo balíček Titan Key od společnosti Google. Bezpečnostní klíč Yubico stojí pouze 20 $, nebo 36 USD za dva. Balíček společnosti Google stojí 50 USD a zahrnuje dvě zařízení: jeden klíč USB a Bluetooth dongle napájený z baterie.

Bezpečnostní klíč od Yubica

Nejčastějším způsobem používání 2FA bylo po celé roky zasílání jednorázových kódů do telefonu prostřednictvím textové zprávy. Pravděpodobně to stále musíte použít ve své bance, protože finanční instituce mají tendenci přijímat nové technologie pomaleji. Je zajímavé, že Google stále vyžaduje povolení kódů SMS, pokud chcete použít jiné systémy 2FA. Na Jeremyho otázku to znamená, že když se chystáte zaregistrovat svůj nový bezpečnostní klíč do Googlu, budete již muset povolit druhou možnost 2FA ve formě SMS kódů.

Další možností je použít Google Authenticator nebo podobnou aplikaci, jako je LastPass Authenticator. Tyto mobilní aplikace generují každých 30 sekund šestimístné přístupové kódy. Stačí otevřít aplikaci, zkopírovat kód, a jste v. Jsou to zvláště užitečné jako možnost zálohování 2FA, protože aplikace funguje i bez mobilní služby nebo Wi-Fi.

Pokud se vám zdá všechno znepokojivé, můžete použít mou preferovanou metodu: fyzické záložní kódy. Možná jste je viděli při vytváření účtů nebo při zápisu do 2FA. Je to mřížka několika čísel, která můžete použít místo hesla a tokenů 2FA. Generují se pouze jednou, a pokud je znovu vygenerujete, staré se vyhodí. V ideálním případě je zabezpečíte v šifrovaném úschovně souborů nebo ještě lépe na kus papíru zasunutém na bezpečném místě.

Když společnost Google vytvořila program Advanced Protection, rozhodla se pro více hardwarových klíčů, protože všechny ostatní výše uvedené možnosti, včetně záložních kódů, by mohly být zachyceny pomocí dobře provedené phishingové stránky. Spoofing bezpečnostního klíče je mnohem těžší.

• Ověření dvoufaktorem: Kdo to má a jak to nastavit Ověření dvoufaktorem: kdo to má a jak to nastavit
• Proč nepoužíváte dvoufaktorové ověřování? Proč nepoužíváte dvoufaktorové ověřování?
• Google: Phishingové útoky, které mohou porazit dva faktory, jsou na vzestupu Google: Phishingové útoky, které mohou porazit dva-faktory, jsou na vzestupu

Mějte na paměti, že ne všechny weby podporují všechny typy ověřovatelů. LastPass vám například umožňuje používat bezpečnostní klíče, ale pouze klíče, které podporují jednorázové přístupové kódy. Zjištění, které autentizátory použít, je často funkcí podporovaných možností.

Vaše první kroky pro dvoufaktorové ověření

To znamená, že doporučuji, aby si každý nový uživatel 2FA nejprve vyzkoušel jiný systém než bezpečnostní klíče. Pokud nejste zvyklí mít tu druhou věc k přihlášení, je pravděpodobnější, že si pohráváte s něčím tak neznámým jako bezpečnostní klíč. Místo toho zkuste použít oznámení push, kódy zaslané prostřednictvím textové zprávy, Duo nebo Google Authenticator (nebo podobný generátor kódu). Používají zařízení, která již máte, takže vstup není nijak nákladný. Jakmile jste obeznámeni s tím, jak 2FA funguje, a začne se cítit jako druhá příroda, můžete přemýšlet o plonkingu dolů peníze na bezpečnostní klíč (klíče).

Bezpečnostní funkce je cenná, pouze pokud ji skutečně používáte. Takže povolte 2FA, ale dejte si svolení hrát si s tím a najít metodu, která vám vyhovuje.