Τι είναι η αυθεντικοποίηση δύο παραγόντων; Οδηγός απλά
Η αυθεντικοποίηση δύο παραγόντων (2FA) είναι σύνδεση που ζητά δύο διαφορετικά είδη απόδειξης ότι είστε αυτός που λέτε: συνήθως κάτι που γνωρίζετε, όπως ένας κωδικός, και κάτι που έχετε, όπως το τηλέφωνό σας ή ένα κλειδί ασφαλείας. Αν ένας κακοποιός κλέψει ή μαντέψει τον κωδικό σας, δεν μπορεί να μπει χωρίς τον δεύτερο παράγοντα. Είναι ένας από τους απλούστερους τρόπους προστασίας λογαριασμών που έχουν σημασία.
Γιατί έχει σημασία όταν φτιάχνετε με AI
Όταν ζητάτε από έναν AI builder «σύνδεση», συνήθως παίρνετε email και κωδικό. Είναι καλή αρχή, αλλά οι κωδικοί επαναχρησιμοποιούνται, παραπλανούνται με phishing και διαρρέουν. Αν η εφαρμογή σας κρατά κάτι πολύτιμο — εγγραφές πελατών, τιμολόγια, διαχειριστικά εργαλεία, ρυθμίσεις πληρωμών — ένας κλεμμένος κωδικός θα μπορούσε να εκθέσει όλα αυτά.
Το 2FA επηρεάζει και αποφάσεις που ίσως δεν σκεφτήκατε στην αρχή:
- Ποιος πρέπει να το χρησιμοποιεί. Προαιρετικό για όλους, υποχρεωτικό για διαχειριστές, ή υποχρεωτικό για όλους;
- Ποιες μεθόδους υποστηρίζετε. Κωδικοί από εφαρμογή, μηνύματα κειμένου, passkeys, κλειδιά ασφαλείας.
- Τι γίνεται όταν κάποιος κλειδώνεται έξω. Τα χαμένα τηλέφωνα είναι το συνηθέστερο αίτημα υποστήριξης σε κάθε εφαρμογή με 2FA.
- Πού εφαρμόζεται. Ο έλεγχος πρέπει να γίνεται στον server. Μια οθόνη 2FA που απλώς κρύβει τη σελίδα στον browser μπορεί να παρακαμφθεί.
Δεν χρειάζεται να φτιάξετε την κρυπτογραφία μόνοι σας — καλά δοκιμασμένες βιβλιοθήκες και πάροχοι αυθεντικοποίησης την αναλαμβάνουν. Χρειάζεται όμως να ξέρετε τι να ζητήσετε.
Μια καθημερινή αναλογία
Σκεφτείτε το θυρίδα ασφαλείας μιας τράπεζας. Για να την ανοίξετε, χρειάζεστε την ταυτότητά σας (κάτι που η τράπεζα ελέγχει ότι είστε ή γνωρίζετε) και το φυσικό κλειδί (κάτι που έχετε). Ένας κλέφτης που αντιγράφει την υπογραφή σας δεν έχει το κλειδί. Ένας κλέφτης που κλέβει το κλειδί δεν περνά τον έλεγχο ταυτότητας.
Το 2FA λειτουργεί με τον ίδιο τρόπο. Ο κωδικός είναι η υπογραφή· το τηλέφωνο ή το κλειδί ασφαλείας είναι το φυσικό κλειδί. Το καθένα από μόνο του δεν αρκεί.
Τα τρία είδη παραγόντων
Τα πρότυπα ασφαλείας, όπως οι οδηγίες ψηφιακής ταυτότητας του αμερικανικού NIST, ομαδοποιούν τους παράγοντες σε τρία είδη:
| Παράγοντας | Παραδείγματα |
|---|---|
| Κάτι που γνωρίζετε | Κωδικός, PIN |
| Κάτι που έχετε | Τηλέφωνο με εφαρμογή ταυτοποίησης, κλειδί ασφαλείας, συσκευή που κρατά passkey |
| Κάτι που είστε | Δακτυλικό αποτύπωμα, πρόσωπο — συνήθως για ξεκλείδωμα συσκευής που κάνει μετά τον πραγματικό έλεγχο |
Η λέξη-κλειδί είναι διαφορετικό. Ένας κωδικός με μυστική ερώτηση είναι δύο πράγματα που γνωρίζετε, άρα δεν είναι πραγματική αυθεντικοποίηση δύο παραγόντων. Αν μία διαρροή μπορεί να αποκαλύψει και τα δύο, μετράει μόνο ως ένας.
Οι συνηθισμένες μέθοδοι 2FA συγκρινόμενες
| Μέθοδος | Πώς λειτουργεί | Ισχύς | Σημειώσεις |
|---|---|---|---|
| Κωδικός SMS | Στέλνεται κωδικός σε μήνυμα στον αριθμό τηλεφώνου σας | Η πιο αδύναμη | Ευάλωτος σε SIM swapping και phishing, αλλά πολύ καλύτερος από το να μην υπάρχει 2FA |
| Κωδικός email | Στέλνεται κωδικός με email | Αδύναμη | Είναι τόσο ασφαλής όσο ο λογαριασμός email |
| Εφαρμογή ταυτοποίησης (TOTP) | Μια εφαρμογή όπως το Google Authenticator δημιουργεί νέο 6ψήφιο κωδικό, συνήθως κάθε 30 δευτερόλεπτα | Καλή | Λειτουργεί εκτός σύνδεσης· εξακολουθεί να είναι ευάλωτη σε phishing αν μια ψεύτικη σελίδα ζητά τον κωδικό |
| Έγκριση με ειδοποίηση (push) | Μια εφαρμογή ρωτά «Είστε εσείς;» και πατάτε έγκριση | Καλή | Προσέξτε την «κόπωση έγκρισης», όταν οι χρήστες πατούν ναι για να σταματήσουν τις επαναλαμβανόμενες ειδοποιήσεις |
| Passkey ή κλειδί ασφαλείας | Ένα κρυπτογραφικό κλειδί σε συσκευή αποδεικνύει ότι βρίσκεστε στη σωστή σελίδα | Η ισχυρότερη | Ανθεκτικό σε phishing, γιατί δεν απαντά σε παρόμοιο domain |
Η οδηγία του NIST θεωρεί ότι οι μέθοδοι όπου πληκτρολογείτε κωδικό (SMS, email, εφαρμογές ταυτοποίησης) δεν είναι ανθεκτικές σε phishing, και χαρακτηρίζει την αποστολή κωδικών μέσω τηλεφωνικού δικτύου ως «περιορισμένη». Τα passkeys και τα φυσικά κλειδιά ασφαλείας, βάσει των προτύπων WebAuthn/FIDO2, είναι αυτά που θεωρεί ανθεκτικά σε phishing.
Πρακτικό συμπέρασμα: μια εφαρμογή ταυτοποίησης είναι ισχυρή και εύκολη προεπιλογή για τις περισσότερες εφαρμογές, και τα passkeys αξίζει να προσφέρονται αν οι χρήστες σας είναι άνετοι με αυτά.
Ένα παράδειγμα: 2FA για πύλη πελατών
Ας πούμε ότι φτιάξατε πύλη όπου ένα μικρό λογιστικό γραφείο μοιράζεται φορολογικά έγγραφα με τους πελάτες του. Ιδού πώς λειτουργεί μια λογική ρύθμιση 2FA, βήμα προς βήμα.
Ενεργοποίηση (εγγραφή). Η Πρία, πελάτισσα, ανοίγει τις Ρυθμίσεις και πατά «Ενεργοποίηση αυθεντικοποίησης δύο παραγόντων». Η εφαρμογή δημιουργεί ένα μυστικό και το εμφανίζει ως κώδικα QR. Το σκανάρει με την εφαρμογή ταυτοποίησης, η οποία αρχίζει να δείχνει 6ψήφιους κωδικούς. Πληκτρολογεί τον τρέχοντα κωδικό πίσω στην πύλη για να αποδείξει ότι η ρύθμιση λειτούργησε. Η εφαρμογή εμφανίζει δέκα κωδικούς ανάκτησης και της ζητά να τους αποθηκεύσει κάπου ασφαλή.
Σύνδεση μετά.
- Η Πρία πληκτρολογεί email και κωδικό. Ο server τα ελέγχει.
- Αντί να τη συνδέσει κατευθείαν, ο server σημειώνει τη συνεδρία ως «ο κωδικός εντάξει, δεύτερος παράγοντας εκκρεμεί» και εμφανίζει την οθόνη κωδικού.
- Πληκτρολογεί τον κωδικό από την εφαρμογή της. Ο server τον ελέγχει με το αποθηκευμένο μυστικό της, επιτρέποντας μια μικρή απόκλιση ρολογιού.
- Μόνο τότε ο server δημιουργεί πλήρη συνεδρία και της επιτρέπει να δει τα έγγραφα.
Τι βλέπει ένας επιτιθέμενος. Αν ο κωδικός της Πρία διέρρευσε από άλλον ιστότοπο, ο επιτιθέμενος κολλάει στο βήμα 3. Κάθε αποτυχημένη προσπάθεια κωδικού μετράται, και μετά από αρκετές λάθος προσπάθειες ο λογαριασμός κλειδώνει προσωρινά και η Πρία λαμβάνει email.
Αν χάσει το τηλέφωνο. Η Πρία χρησιμοποιεί έναν από τους κωδικούς ανάκτησης για να μπει, απενεργοποιεί και ξανα-ενεργοποιεί το 2FA με το νέο της τηλέφωνο και παίρνει νέους κωδικούς ανάκτησης. Ο χρησιμοποιημένος κωδικός δεν μπορεί να ξαναχρησιμοποιηθεί ποτέ.
Για το προσωπικό. Οι λογιστές του γραφείου βλέπουν όλα τα αρχεία κάθε πελάτη, οπότε η πύλη απαιτεί 2FA για λογαριασμούς προσωπικού· δεν μπορούν να φτάσουν στον πίνακα ελέγχου μέχρι να τον ενεργοποιήσουν.
Βασικοί όροι
| Όρος | Σημασία |
|---|---|
| 2FA / MFA | Αυθεντικοποίηση δύο / πολλών παραγόντων: σύνδεση με περισσότερα του ενός είδη απόδειξης. |
| Παράγοντας | Ένα είδος απόδειξης: κάτι που γνωρίζετε, έχετε ή είστε. |
| TOTP | Χρονικά βασισμένος κωδικός μιας χρήσης — οι εναλλασσόμενοι κωδικοί των εφαρμογών ταυτοποίησης. |
| Κοινό μυστικό | Η κρυφή τιμή, που ρυθμίζεται μέσω κώδικα QR, και την οποία χρησιμοποιούν και η εφαρμογή και το τηλέφωνό σας για να δημιουργούν ταιριαστούς κωδικούς. |
| Κωδικοί ανάκτησης (εφεδρικοί) | Κωδικοί μιας χρήσης για είσοδο όταν έχετε χάσει τον δεύτερο παράγοντα. |
| Passkey | Διαπιστευτήριο σύνδεσης αποθηκευμένο στη συσκευή σας, που χρησιμοποιεί κρυπτογραφία δημόσιου κλειδιού αντί για κωδικό. |
| Κλειδί ασφαλείας | Μικρή φυσική συσκευή (USB ή NFC) που κάνει τη δουλειά ενός passkey. |
| SIM swapping | Εξαπάτηση του παρόχου κινητής ώστε να μεταφέρει τον αριθμό κάποιου σε νέα SIM, έτσι ώστε τα μηνύματα να πάνε στον επιτιθέμενο. |
| Phishing | Ψεύτικος ιστότοπος ή μήνυμα που ξεγελά ανθρώπους να δώσουν κωδικούς ή κωδικούς ελέγχου. |
| Αυθεντικοποίηση βήματος | Νέα ζήτηση του δεύτερου παράγοντα πριν από μια ευαίσθητη ενέργεια, όπως η αλλαγή στοιχείων πληρωμής. |
Συνήθη λάθη και παρανοήσεις
- «Το 2FA κάνει έναν λογαριασμό άθραυστο.» Τον κάνει πολύ δυσκολότερο να παραβιαστεί. Οι ψεύτικες σελίδες phishing μπορούν ακόμα να συλλάβουν κωδικούς που πληκτρολογούνται σε πραγματικό χρόνο, γι' αυτό υπάρχουν τα passkeys.
- Έλεγχος του κωδικού μόνο στον browser. Αν ο server δίνει πλήρη συνεδρία μετά τον κωδικό, η οθόνη κωδικού είναι διακοσμητική. Ο server πρέπει να αρνείται την πρόσβαση μέχρι να περάσει ο δεύτερος παράγοντας.
- Χωρίς όριο στις προσπάθειες κωδικού. Ένας εξαψήφιος κωδικός έχει ένα εκατομμύριο πιθανότητες. Χωρίς περιορισμό ρυθμού και κλειδώματα, ο επιτιθέμενος μπορεί απλώς να συνεχίσει να μαντεύει.
- Ξέχασμα της ανάκτησης. Χωρίς κωδικούς ανάκτησης, κάθε χαμένο τηλέφωνο γίνεται αίτημα υποστήριξης, ή πελάτης κλειδωμένος έξω.
- Απροσεξία με το κοινό μυστικό TOTP. Το μυστικό πρέπει να κρυπτογραφείται στη βάση δεδομένων και να μην ξαναεμφανίζεται μετά τη ρύθμιση.
- Επιτρέπεται απενεργοποίηση του 2FA χωρίς νέο έλεγχο. Η απενεργοποίηση του 2FA ή η αλλαγή email πρέπει να απαιτεί τον κωδικό και έναν τρέχοντα κωδικό.
- Κωδικός με μυστική ερώτηση θεωρείται 2FA. Δεν είναι, γιατί και τα δύο είναι πράγματα που γνωρίζετε.
Τι να ζητήσετε από τον AI builder
- «Πρόσθεσε προαιρετική αυθεντικοποίηση δύο παραγόντων με εφαρμογή ταυτοποίησης (TOTP), με κώδικα QR για ρύθμιση και κωδικό επιβεβαίωσης πριν ενεργοποιηθεί.»
- «Εμφάνισε δέκα κωδικούς ανάκτησης μιας χρήσης όταν ενεργοποιείται το 2FA. Αποθήκευσέ τους κατακερματισμένους, όπως τους κωδικούς.»
- «Επέβαλε το 2FA στον server: καμία πλήρης συνεδρία μέχρι να περάσει ο δεύτερος παράγοντας.»
- «Περιόρισε τις προσπάθειες κωδικού και κλείδωσε τη σύνδεση για 15 λεπτά μετά από επαναλαμβανόμενες αποτυχίες. Στείλε email στον χρήστη όταν συμβαίνει αυτό.»
- «Απαίτησε 2FA για λογαριασμούς διαχειριστών.»
- «Ζήτησε τον κωδικό και έναν τρέχοντα κωδικό πριν απενεργοποιηθεί το 2FA ή αλλάξει το email του λογαριασμού.»
- «Χρησιμοποίησε μια γνωστή βιβλιοθήκη ή το ενσωματωμένο 2FA του παρόχου αυθεντικοποίησής μας — μην γράψεις μόνος σου την κρυπτογραφία.»
- «Εξήγησε ποια μέθοδο χρησιμοποίησες και πού αποθηκεύονται τα μυστικά.»
Αν χρησιμοποιείτε φιλοξενούμενο πάροχο αυθεντικοποίησης, ελέγξτε αν προσφέρει ήδη 2FA ή passkeys· η ενεργοποίηση ενσωματωμένης λειτουργίας είναι συνήθως ασφαλέστερη από προσαρμοσμένο κώδικα. Η εκδοχή βήμα προς βήμα βρίσκεται στο πώς να προσθέσετε αυθεντικοποίηση δύο παραγόντων, και το τι είναι η αυθεντικοποίηση καλύπτει τα βασικά της σύνδεσης από κάτω.
Η αυθεντικοποίηση δύο παραγόντων στο Mythex
Το Mythex δεν περιλαμβάνει ενσωματωμένο σύστημα σύνδεσης για τους χρήστες της εφαρμογής σας, οπότε το 2FA είναι μέρος όποιας μεθόδου αυθεντικοποίησης επιλέξετε: τη δική σας σύνδεση με email και κωδικό πάνω στην βάση δεδομένων του έργου, ή έναν φιλοξενούμενο πάροχο που προσφέρει 2FA. Ζητάτε από τον agent να το προσθέσει στη συνομιλία, και τυχόν κλειδιά παρόχου μπαίνουν στα μυστικά του έργου και όχι στη συνομιλία. Η συνταγή της τεκμηρίωσης για προσθήκη σύνδεσης στην εφαρμογή σας έχει ένα αρχικό prompt για προσαρμογή, και η ασφάλεια για εφαρμογές που φτιάχνετε καλύπτει τις συνήθειες γύρω από τα κλειδιά. Πριν την κυκλοφορία, περάστε από τη λίστα ασφάλειας για εφαρμογές φτιαγμένες με AI.
Ερωτήσεις
Τι είναι η αυθεντικοποίηση δύο παραγόντων με απλά λόγια;
Η αυθεντικοποίηση δύο παραγόντων (2FA) σημαίνει ότι η σύνδεση απαιτεί δύο διαφορετικά είδη απόδειξης, συνήθως τον κωδικό σας και έναν κωδικό από το τηλέφωνό σας ή ένα κλειδί ασφαλείας. Όποιος κλέψει μόνο τον κωδικό σας δεν μπορεί να μπει.
Είναι το 2FA το ίδιο με το MFA;
Σχεδόν. Η πολυπαραγοντική αυθεντικοποίηση (MFA) σημαίνει δύο ή περισσότερους παράγοντες· η αυθεντικοποίηση δύο παραγόντων είναι η πιο συνηθισμένη περίπτωση με ακριβώς δύο. Στην καθημερινή χρήση οι όροι χρησιμοποιούνται εναλλακτικά.
Είναι ασφαλές το 2FA με SMS;
Είναι πολύ καλύτερο από έναν κωδικό μόνο, αλλά είναι η πιο αδύναμη συνηθισμένη επιλογή. Τα μηνύματα κειμένου μπορεί να υποκλαπούν ή να εκτραπούν με SIM swapping, και μια ψεύτικη σελίδα σύνδεσης μπορεί να ξεγελάσει κάποιον να πληκτρολογήσει τον κωδικό. Οι εφαρμογές ταυτοποίησης είναι ισχυρότερες, και τα passkeys ή τα κλειδιά ασφαλείας ακόμα ισχυρότερα.
Χρειάζεται η εφαρμογή μου 2FA;
Αν οι λογαριασμοί κρατούν χρήματα, ιδιωτικά δεδομένα ή διαχειριστικές εξουσίες πάνω σε άλλους χρήστες, η προσφορά 2FA είναι καλή ιδέα, και η απαίτησή του για διαχειριστές είναι συνηθισμένη. Για μια απλή εφαρμογή χόμπι μπορεί να είναι προαιρετικό ή να αφεθεί για αργότερα.
Τι γίνεται αν ο χρήστης χάσει το τηλέφωνό του;
Γι' αυτό υπάρχουν οι κωδικοί ανάκτησης: μια μικρή λίστα μιας χρήσης εφεδρικών κωδικών που εμφανίζεται όταν ενεργοποιείται το 2FA. Χωρίς αυτούς, η ανάκτηση συνήθως σημαίνει χειροκίνητη επαλήθευση ταυτότητας από τον ιδιοκτήτη της εφαρμογής, γι' αυτό προγραμματίστε το πριν από την κυκλοφορία.