Co je dvoufázové ověření? Srozumitelný průvodce

Dvoufázové ověření (2FA) je přihlášení, které vyžaduje dva různé druhy důkazu, že jste ten, za koho se vydáváte — typicky něco, co znáte, jako heslo, plus něco, co máte, jako telefon nebo bezpečnostní klíč. Pokud zločinec vaše heslo ukradne nebo uhodne, bez druhého faktoru se stejně nedostane dovnitř. Je to jeden z nejjednodušších způsobů, jak chránit účty, na kterých záleží.

Proč na tom záleží, když stavíte s AI

Když AI tvůrce požádáte o „přihlášení“, obvykle dostanete e-mail a heslo. To je dobrý začátek, ale hesla se opakovaně používají, padají na phishing a unikají. Pokud vaše aplikace drží cokoli cenného — zákaznické záznamy, faktury, administrátorské nástroje, nastavení plateb —, jediné ukradené heslo může odhalit všechno.

2FA ovlivňuje i rozhodnutí, na která možná zpočátku nemyslíte:

• Kdo ji musí používat. Volitelně pro všechny, povinně pro administrátory, nebo povinně pro všechny?
• Které metody podporujete. Kódy z aplikace, textové zprávy, passkeys, bezpečnostní klíče.
• Co se stane, když je někdo zamčený venku. Ztracené telefony jsou u každé aplikace s 2FA nejčastějším požadavkem na podporu.
• Kde se vynucuje. Kontrola musí proběhnout na serveru. Obrazovka 2FA, která jen v prohlížeči skryje stránku, se dá obejít.

Kryptografii si sami psát nemusíte — to zvládnou ověřené knihovny a poskytovatelé ověřování. Ale potřebujete vědět, co požadovat.

Každodenní přirovnání

Představte si bankovní trezorek. Abyste ho otevřeli, potřebujete doklad totožnosti (něco, co banka kontroluje, že jste nebo znáte) a fyzický klíč (něco, co máte). Zloděj, který okopíruje váš podpis, stále nemá klíč. Zloděj, který ukradne klíč, stále neprojde kontrolou dokladu.

2FA funguje stejně. Heslo je podpis; telefon nebo bezpečnostní klíč je fyzický klíč. Každý sám o sobě nestačí.

Tři druhy faktorů

Bezpečnostní standardy, například pokyny amerického Národního institutu pro standardy a technologie (NIST) k digitální identitě, dělí faktory do tří druhů:

Klíčové slovo je různé. Heslo plus bezpečnostní otázka jsou dvě věci, které znáte, takže to není skutečné dvoufázové ověření. Pokud jeden únik může odhalit obojí, počítá se to jen jako jeden.

Běžné metody 2FA v porovnání

NIST považuje metody, kde se kód přepisuje (SMS, e-mail, aplikace pro ověřování), za nesplňující odolnost vůči phishingu, a posílání kódů přes telefonní síť označuje jako „omezené“. Za odolné vůči phishingu počítá passkeys a hardwarové bezpečnostní klíče založené na standardech WebAuthn/FIDO2.

Praktické shrnutí: aplikace pro ověřování je pro většinu aplikací silný a snadný výchozí způsob a passkeys stojí za nabídku, pokud jsou vaši uživatelé s nimi spokojeni.

Praktický příklad: 2FA pro klientský portál

Předpokládejme, že jste vytvořili portál, kde malá účetní firma sdílí s klienty daňové dokumenty. Takto funguje rozumné nastavení 2FA krok za krokem.

Zapnutí (registrace). Priya, klientka, otevře Nastavení a klikne na „Zapnout dvoufázové ověření“. Aplikace vygeneruje tajný klíč a zobrazí ho jako QR kód. Naskenuje ho svou aplikací pro ověřování, která začne zobrazovat šestimístné kódy. Aktuální kód opíše zpět do portálu, aby prokázala, že nastavení funguje. Aplikace zobrazí deset záložních kódů a požádá ji, aby je uložila na bezpečné místo.

Přihlášení potom.

1. Priya zadá e-mail a heslo. Server je ověří.
2. Místo toho, aby ji server rovnou přihlásil, označí relaci jako „heslo OK, druhý faktor čeká“ a zobrazí obrazovku s kódem.
3. Zadá kód z aplikace. Server ho porovná s uloženým tajným klíčem a počítá s malým časovým posunem hodin.
4. Teprve potom server vytvoří plnou relaci a umožní jí vidět dokumenty.

Co vidí útočník. Pokud Priyino heslo uniklo z jiného webu, útočník uvízne v kroku 3. Každý neúspěšný pokus o kód se počítá a po několika chybných pokusech je účet dočasně zamčen a Priya dostane e-mail.

Ztráta telefonu. Priya se přihlásí jedním ze záložních kódů, vypne 2FA a znovu ji zapne s novým telefonem a dostane nové záložní kódy. Použitý kód už nikdy nepůjde použít znovu.

Pro zaměstnance. Účetní firmy vidí všechny soubory všech klientů, takže portál pro účty zaměstnanců vyžaduje 2FA; k přehledu se nedostanou, dokud se nezaregistrují.

Vysvětlení běžných pojmů

Časté chyby a mylné představy

• „2FA dělá účet neprolomitelným.“ Výrazně ho ztěžuje. Phishingové weby mohou přepsané kódy zachytit v reálném čase, proto existují passkeys.
• Kontrola kódu jen v prohlížeči. Pokud server po hesle vydá plnou relaci, obrazovka s kódem je jen ozdoba. Server musí přístup odepřít, dokud druhý faktor neprojde.
• Žádný limit na pokusy o kód. Šestimístný kód má milion možností. Bez omezení počtu požadavků a zamykání může útočník jednoduše hádat dál.
• Zapomenutá obnova. Bez záložních kódů se každý ztracený telefon promění v podpůrný požadavek nebo zamčeného zákazníka.
• Nedbalé uložení tajného klíče TOTP. Sdílený tajný klíč by měl být v databázi šifrovaný a po nastavení se už nikdy nezobrazit.
• Umožnit uživatelům vypnout 2FA bez opětovného ověření. Vypnutí 2FA nebo změna e-mailu by měla vyžadovat heslo a aktuální kód.
• Heslo plus bezpečnostní otázka jako 2FA. Nejsou — obojí jsou věci, které znáte.

Co žádat od AI tvůrce

• „Přidej volitelné dvoufázové ověření pomocí aplikace pro ověřování (TOTP), s QR kódem pro nastavení a potvrzovacím kódem před zapnutím.“
• „Když je 2FA zapnuté, zobraz deset jednorázových záložních kódů. Ulož je zahashované, stejně jako hesla.“
• „Vynucuj 2FA na serveru: žádná plná relace, dokud druhý faktor neprojde.“
• „Omez počet pokusů o kód a po opakovaných chybách zamkni přihlášení na 15 minut. Při tom pošli uživateli e-mail.“
• „Vyžaduj 2FA u administrátorských účtů.“
• „Před vypnutím 2FA nebo změnou e-mailu účtu vyžaduj heslo a aktuální kód.“
• „Použij známou knihovnu nebo vestavěné 2FA našeho poskytovatele ověřování — kryptografii nepiš sám.“
• „Vysvětli, jakou metodu jsi použil a kde jsou uložené tajné klíče.“

Pokud používáte hostovaného poskytovatele ověřování, zkontrolujte, zda 2FA nebo passkeys už nenabízí; zapnutí vestavěné funkce je obvykle bezpečnější než vlastní kód. Postup krok za krokem najdete v článku jak přidat dvoufázové ověření a co je autentizace vysvětluje základy přihlašování pod ním.

Dvoufázové ověření v Mythexu

Mythex pro uživatele vaší aplikace nepřidává vestavěný přihlašovací systém, takže 2FA je součástí toho přístupu k ověřování, který zvolíte — vlastní přihlášení e-mailem a heslem napojené na databázi projektu, nebo hostovaný poskytovatel, který 2FA nabízí. Požádáte agenta v chatu, aby ji přidal, a klíče poskytovatelů jdou do tajemství projektu, ne do samotného chatu. Návod v dokumentaci přidání přihlášení do aplikace obsahuje počáteční zadání, které můžete upravit, a bezpečnost aplikací, které stavíte popisuje návyky kolem klíčů. Před spuštěním projděte bezpečnostní kontrolní seznam pro aplikace stavěné s AI.

Otázky