Какво е двуфакторно удостоверяване? Ръководство на разбираем език

Двуфакторното удостоверяване (2FA) е вход, който изисква два различни вида доказателство, че сте този, за когото се представяте – обикновено нещо, което знаете, като парола, плюс нещо, което имате, като телефона си или ключ за сигурност. Ако престъпник открадне или отгатне паролата ви, пак не може да влезе без втория фактор. Това е един от най-простите начини да защитите важните акаунти.

Защо е важно, когато строите с AI

Когато поискате от AI билдър „вход“, обикновено получавате имейл и парола. Това е добро начало, но паролите се използват повторно, стават жертва на фишинг и изтичат. Ако приложението ви пази нещо ценно – записи на клиенти, фактури, административни контроли, настройки за плащания – една открадната парола може да изложи всичко.

2FA влияе и на решения, за които може да не мислите отначало:

• Кой трябва да го използва. Незадължително за всички, задължително за администраторите, или задължително за всички?
• Кои методи поддържате. Кодове от приложение, SMS, passkeys, ключове за сигурност.
• Какво се случва, когато някой е заключен навън. Загубените телефони са най-честата заявка към поддръжката за всяко приложение с 2FA.
• Къде се налага. Проверката трябва да се извършва на сървъра. Екран за 2FA, който само скрива страницата в браузъра, може да бъде заобиколен.

Не е нужно сами да строите криптографията – добре тествани библиотеки и доставчици на удостоверяване се грижат за това. Но трябва да знаете какво да поискате.

Ежедневна аналогия

Представете си сейф в банков трезор. За да го отворите, ви трябват личната карта (нещо, което банката проверява, че сте, или знаете) и физическият ключ (нещо, което имате). Крадец, който копира подписа ви, пак няма ключа. Крадец, който открадне ключа, пак не минава проверката с личната карта.

2FA работи по същия начин. Паролата е подписът; телефонът или ключът за сигурност е физическият ключ. Всяко от двете само по себе си не е достатъчно.

Трите вида фактора

Стандартите за сигурност, например насоките за дигитална идентичност на американския National Institute of Standards and Technology, групират факторите в три вида:

Ключовата дума е различен. Парола плюс въпрос за сигурност са две неща, които знаете, и затова не са истинско двуфакторно удостоверяване. Ако едно изтичане може да разкрие и двете, се брои само като един фактор.

Сравнение на често срещаните методи за 2FA

Насоките на NIST третират методите, при които въвеждате код (SMS, имейл, приложения за удостоверяване), като неустойчиви на фишинг, а изпращането на кодове през телефонната мрежа се маркира като „ограничено“. Passkeys и хардуерните ключове за сигурност, основани на стандартите WebAuthn/FIDO2, са тези, които се считат за устойчиви на фишинг.

Практичен извод: приложението за удостоверяване е силен и лесен стандартен избор за повечето приложения, а passkeys си заслужават, ако потребителите ви са готови да ги използват.

Практически пример: 2FA за клиентски портал

Да кажем, че сте построили портал, в който малка счетоводна фирма споделя данъчни документи с клиенти. Ето как изглежда разумна настройка на 2FA, стъпка по стъпка.

Включване (регистрация). Прия, клиент, отваря настройките и натиска „Включи двуфакторно удостоверяване“. Приложението генерира тайна и я показва като QR код. Тя го сканира с приложението си за удостоверяване, което започва да показва шестцифрени кодове. Въвежда текущия код обратно в портала, за да докаже, че настройката работи. Приложението показва десет кода за възстановяване и я моли да ги запази на сигурно място.

Вход след това.

1. Прия въвежда имейл и парола. Сървърът ги проверява.
2. Вместо да я вкара веднага, сървърът маркира сесията като „паролата е вярна, вторият фактор предстои“ и показва екрана за код.
3. Тя въвежда кода от приложението си. Сървърът го сверява със запазената ѝ тайна, като допуска малко отклонение в часовника.
4. Едва сега сървърът създава пълна сесия и ѝ позволява да вижда документите.

Какво вижда нападателят. Ако паролата на Прия е изтекла от друг сайт, нападателят заседава на стъпка 3. Всеки неуспешен опит за код се брои и след няколко грешни опита акаунтът се заключва временно, а Прия получава имейл.

Загуба на телефона. Прия използва един от кодовете си за възстановяване, за да влезе, изключва 2FA и го включва отново с новия си телефон, и получава нови кодове за възстановяване. Използваният код никога вече не може да се ползва.

За служителите. Счетоводителите във фирмата виждат всички файлове на всички клиенти, затова порталът изисква 2FA за служебните акаунти; не могат да достигнат таблото, докато не се регистрират.

Често срещани термини

Чести грешки и заблуди

• „2FA прави акаунта непробиваем.“ Прави го много по-труден. Фишинг сайтовете все още могат да уловят въведените кодове в реално време, затова съществуват passkeys.
• Проверка на кода само в браузъра. Ако сървърът издава пълна сесия след паролата, екранът с кода е декорация. Сървърът трябва да отказва достъп, докато вторият фактор не е преминат.
• Без ограничение на опитите за код. Шестцифрен код има милион възможности. Без ограничаване на заявките и заключвания нападателят просто продължава да гадае.
• Забравено възстановяване. Без кодове за възстановяване всеки загубен телефон става заявка към поддръжката или клиент, който е заключен навън.
• Небрежно съхраняване на TOTP тайната. Споделената тайна трябва да е шифрована в базата данни и никога да не се показва отново след настройката.
• Позволяване на потребителите да изключват 2FA без повторна проверка. Изключването на 2FA или смяната на имейла трябва да изисква парола и текущ код.
• Парола плюс въпрос за сигурност се брои за 2FA. Не се брои – и двете са неща, които знаете.

Какво да поискате от AI билдъра

• „Добави незадължително двуфакторно удостоверяване с приложение за удостоверяване (TOTP), с QR код за настройка и потвърдителен код преди включване.“
• „Показвай десет еднократни кода за възстановяване, когато 2FA е включено. Съхранявай ги хеширани, като паролите.“
• „Налагай 2FA на сървъра: без пълна сесия, докато вторият фактор не е преминат.“
• „Ограничи опитите за код и заключи входа за 15 минути след повтарящи се грешки. Изпрати на потребителя имейл, когато това се случи.“
• „Изисквай 2FA за админ акаунтите.“
• „Поискай паролата и текущ код, преди да изключиш 2FA или да смениш имейла на акаунта.“
• „Използвай добре известна библиотека или вградената 2FA на нашия доставчик на удостоверяване – не пиши криптографията сам.“
• „Обясни кой метод си използвал и къде се съхраняват тайните.“

Ако използвате хостван доставчик на удостоверяване, проверете дали вече предлага 2FA или passkeys; включването на вградена функция обикновено е по-безопасно от собствен код. Стъпка по стъпка версията е в как да добавите двуфакторно удостоверяване, а какво е удостоверяване обяснява основите на входа отдолу.

Двуфакторно удостоверяване в Mythex

Mythex не включва вградена система за вход за потребителите на вашето приложение, така че 2FA е част от подхода за удостоверяване, който изберете – собствен вход с имейл и парола, върху базата данни на проекта, или хостван доставчик, който предлага 2FA. Поисквате от агента да го добави в чата, а ключовете на доставчика се слагат в тайните на проекта, а не в самия чат. Ръководството в документацията за добавяне на вход в приложението има стартова подсказка за адаптиране, а сигурността за приложенията, които строите обяснява навиците около ключовете. Преди стартиране минете през контролния списък за сигурност за приложения, построени с AI.

Въпроси