Mis on kaheastmeline autentimine? Lihtne juhend
Kaheastmeline autentimine (2FA) on sisselogimine, mis nõuab kahte erinevat tüüpi tõendit, et oled see, kes väidad olevat — tavaliselt midagi, mida tead, nagu parool, pluss midagi, mis sul on, nagu telefon või turvavõti. Kui kurjategija varastab või arvab su parooli ära, ei pääse ta siiski sisse ilma teise tegurita. See on üks lihtsamaid viise kriitiliste kontode kaitsmiseks.
Miks see AI-ga ehitamisel oluline on
Kui palud AI-ehitajalt „sisselogimist“, saad tavaliselt e-posti ja parooli. See on hea algus, kuid paroole kasutatakse uuesti, need libistatakse õngitsusega välja ja lekivad. Kui su rakendus hoiab väärtuslikku teavet — kliendiandmeid, arveid, administraatori juhtimist, makseseadeid — võib üks varastatud parool avada kõik.
2FA mõjutab ka otsuseid, millele võid alguses mõelda:
- Kes peab seda kasutama. Valikuline kõigile, nõutav adminidele või nõutav kõigile?
- Milliseid meetodeid toetad. Rakenduse koodid, tekstisõnumid, pääsuvõtmed, turvavõtmed.
- Mis juhtub, kui keegi on välja lukustatud. Kadunud telefonid on igas 2FA-ga rakenduses kõige levinum toetuspäring.
- Kus seda jõustatakse. Kontroll peab toimuma serveris. 2FA ekraan, mis ainult peidab lehe brauseris, võib mööda minna.
Krüptograafiat ise ei pea ehitama — hästi testitud teegid ja autentimisteenused teevad selle ära. Kuid pead teadma, mida paluda.
Igapäevane võrdlus
Mõtle pangakapi hoiuboksile. Selle avamiseks vajad oma isikut tõendavat dokumenti (midagi, mida pank kontrollib, et oled see, kes väidad) ja füüsilist võtit (midagi, mis sul on). Varas, kes kopeerib su allkirja, ei saa võtit. Varas, kes varastab võtme, ei lähe isikukontrollist läbi.
2FA töötab samamoodi. Parool on allkiri; telefon või turvavõti on füüsiline võti. Kumbki üksi ei ole piisav.
Kolm tüüpi tegureid
Turvastandardid, näiteks USA riikliku standardi- ja tehnoloogiainstituudi NIST digitaalse identiteedi juhised, grupeerivad tegurid kolme tüüpi:
| Tegur | Näited |
|---|---|
| Midagi, mida tead | Parool, PIN-kood |
| Midagi, mis sul on | Telefon autentimisrakendusega, turvavõti, pääsuvõtit hoidev seade |
| Midagi, mis sa oled | Sõrmejälg, nägu — tavaliselt kasutatakse seadme avamiseks, mis seejärel teeb tegeliku kontrolli |
Oluline sõna on erinev. Parool pluss turvaküsimus on kaks asja, mida tead, seega see ei ole tõeline kaheastmeline autentimine. Kui üks leke võib paljastada mõlemad, loetakse see üheks teguriks.
Levinud 2FA meetodid võrdluses
| Meetod | Kuidas töötab | Tugevus | Märkused |
|---|---|---|---|
| SMS-kood | Kood saadetakse sinu telefoninumbrile | Kõige nõrgem | Haavatav SIM-vahetuse ja õngitsuse suhtes, kuid palju parem kui ilma 2FA-ta |
| E-posti kood | Kood saadetakse sulle e-postiga | Nõrk | Ainult nii turvaline kui e-posti konto |
| Autentimisrakendus (TOTP) | Rakendus nagu Google Authenticator genereerib uue 6-kohalise koodi, tavaliselt iga 30 sekundi järel | Hea | Töötab võrguühenduseta; on endiselt õngitsetav, kui võltssait koodi küsib |
| Push-kinnitus | Rakendus küsib „Kas see oled sina?“ ja sa puudutad kinnitamiseks | Hea | Jälgi „kinnitusväsimust“, kus kasutajad vajutavad jah, et korduvad teated lõppeksid |
| Pääsuvõti või turvavõti | Krüptograafiline võti seadmes tõestab, et oled õiges saidis | Kõige tugevam | Vastupidav õngitsusele, sest ei reageeri võltsdomeenile |
NIST-i juhised käsitlevad meetodeid, kus koodi sisestad (SMS, e-post, autentimisrakendused), kui mitte õngitsusekindlaid ning märgivad koodide saatmise telefonivõrgu kaudu piiratuks. Pääsuvõtmed ja riistvaralised turvavõtmed, mis põhinevad WebAuthn/FIDO2 standarditel, on need, mida see loeb õngitsusekindlaks.
Praktiline järeldus: autentimisrakendus on enamiku rakenduste jaoks tugev ja lihtne vaikevalik ning pääsuvõtmete pakkumine on väärt, kui kasutajad on nendega harjunud.
Töönäide: 2FA klientide portaalile
Oletame, et oled ehitanud portaali, kus väike raamatupidamisbüroo jagab klientidega maksudokumente. Siin on mõistlik 2FA seadistus samm-sammult.
Sisselülitamine (registreerimine). Priya, klient, avab seaded ja klõpsab „Lülita kaheastmeline autentimine sisse“. Rakendus genereerib saladuse ja kuvab selle QR-koodina. Ta skannib selle oma autentimisrakendusega, mis hakkab kuvama kuuekohalisi koode. Ta sisestab praeguse koodi tagasi portaali, et tõestada, et seadistus töötas. Rakendus kuvab kümme taastekoodi ja palub need turvaliselt salvestada.
Sisselogimine pärast seda.
- Priya sisestab oma e-posti ja parooli. Server kontrollib neid.
- Selle asemel, et teda kohe sisse logida, märgib server seansi „parool OK, teine tegur ootel“ ja kuvab koodi ekraani.
- Ta sisestab koodi oma rakendusest. Server kontrollib seda salvestatud saladuse vastu, arvestades väikest kellaajavõrdset nihet.
- Alles nüüd loob server täieliku seansi ja lubab tal dokumente näha.
Mida ründaja näeb. Kui Priya parool lekkis mõnelt teiselt saidilt, jääb ründaja 3. sammus kinni. Iga ebaõnnestunud koodikatse loetakse ja pärast mitut vale katset konto ajutiselt lukustatakse ning Priya saab e-kirja.
Telefoni kadumine. Priya kasutab sisselogimiseks ühte oma taastekoodidest, lülitab 2FA välja ja uuesti sisse oma uue telefoniga ning saab uued taastekoodid. Kasutatud kood ei saa enam kunagi uuesti kasutada.
Töötajatele. Büroo raamatupidajad näevad kõigi klientide faile, seega portaal nõuab töötajate kontodel 2FA-d; nad ei pääse armatuurlauale enne registreerumist.
Levinud mõisted selgitatud
| Mõiste | Mida see tähendab |
|---|---|
| 2FA / MFA | Kaheastmeline / mitmeastmeline autentimine: sisselogimine rohkem kui ühe tõendiliigiga. |
| Tegur | Üks tõendi liik: midagi, mida tead, sul on või oled. |
| TOTP | Ajapõhine ühekordne parool — autentimisrakenduste pöörlevad koodid. |
| Jagatud saladus | Peidetud väärtus, mis seadistatakse QR-koodi kaudu ja mida nii rakendus kui telefon kasutavad sobivate koodide genereerimiseks. |
| Taaste- (varu)koodid | Ühekordsed koodid sisselogimiseks, kui oled kaotanud teise teguri. |
| Pääsuvõti | Seadmesse salvestatud sisselogimisandmed, mis kasutavad parooli asemel avaliku võtme krüptograafiat. |
| Turvavõti | Väike füüsiline seade (USB või NFC), mis teeb sama tööd mis pääsuvõti. |
| SIM-vahetus | Mobiilioperaatori petmine numbri üleviimiseks uuele SIM-kaardile, nii et sõnumid lähevad ründajale. |
| Õngitsus | Võltssait või sõnum, mis petab inimesi parooli või koodi andma. |
| Astmeline autentimine | Teise teguri uuesti küsimine enne tundlikku toimingut, näiteks maksete andmete muutmisel. |
Levinud vead ja väärarusaamad
- „2FA teeb konto häkkimatuks.“ See teeb selle palju raskemaks. Õngitsussaidid võivad sisestatud koodid siiski reaalajas kinni püüda, seepärast pääsuvõtmed eksisteerivadki.
- Koodi kontrollimine ainult brauseris. Kui server annab pärast parooli täieliku seansi, on koodiekraan dekoratsioon. Server peab keelduma ligipääsust, kuni teine tegur on läbitud.
- Koodikatsete piiramise puudumine. Kuuekohalisel koodil on miljon võimalust. Ilma päringute piiramiseta ja lukustusteta võib ründaja lihtsalt arvata edasi.
- Taastamise unustamine. Ilma taastekoodideta muutub iga kadunud telefon tugiteenuse pileteks või lukus oleva kliendiga.
- TOTP saladuse hooletu hoidmine. Jagatud saladus peaks olema andmebaasis krüpteeritud ja pärast seadistamist enam kunagi kuvatud.
- Kasutajate lubamine 2FA välja lülitada ilma uuesti kontrollimata. 2FA väljalülitamine või konto e-posti muutmine peaks nõudma parooli ja praegust koodi.
- Parool pluss turvaküsimus loetakse 2FA-ks. Ei loeta — mõlemad on asjad, mida tead.
Mida paluda AI-ehitajalt
- „Lisa valikuline kaheastmeline autentimine autentimisrakenduse (TOTP) abil, QR-koodiga seadistamiseks ja kinnituskoodiga enne sisselülitamist.“
- „Kui 2FA on sisse lülitatud, kuva kümme ühekordset taastekoodi. Salvesta need räsitult, nagu paroolid.“
- „Jõusta 2FA serveris: täielik seanss ei tohi tekkida enne, kui teine tegur on läbitud.“
- „Piira koodikatseid ja lukusta sisselogimine 15 minutiks pärast korduvaid vigu. Saada kasutajale selle juhtumi kohta e-kiri.“
- „Nõua 2FA adminikontodel.“
- „Küsi parooli ja praegust koodi enne 2FA väljalülitamist või konto e-posti muutmist.“
- „Kasuta tuntud teeki või meie autentimisteenuse sisseehitatud 2FA-d — ära kirjuta krüptot ise.“
- „Selgita, millist meetodit kasutasid ja kus saladusi hoitakse.“
Kui kasutad hallatud autentimisteenust, kontrolli, kas see pakub juba 2FA-d või pääsuvõtmeid; sisseehitatud funktsiooni sisselülitamine on tavaliselt turvalisem kui kohandatud kood. Samm-sammuline versioon on artiklis kuidas lisada kaheastmeline autentimine ja mis on autentimine selgitab selle aluseks olevaid sisselogimise põhitõdesid.
Kaheastmeline autentimine Mythexis
Mythex ei sisalda sinu rakenduse kasutajatele sisseehitatud sisselogimissüsteemi, seega on 2FA osa sellest autentimislahendusest, mille valid — kas oma e-posti ja parooli sisselogimine, mida toetab projekti andmebaas, või hallatud teenus, mis pakub 2FA-d. Palud agendil selle lisada vestluses ning kõik teenuse võtmed lähevad projekti saladustesse, mitte vestlusse endasse. Dokumentatsiooni retsept sisselogimise lisamisest rakendusse sisaldab alguspäringut, mida saab kohandada, ja turvalisus sinu rakenduse jaoks käsitleb võtmetega seotud harjumusi. Enne käivitamist käi läbi AI-ehitatud rakenduste turvakontrollnimekiri.
Küsimused
Mis on kaheastmeline autentimine lihtsalt öeldes?
Kaheastmeline autentimine (2FA) tähendab, et sisselogimiseks on vaja kahte erinevat tüüpi tõendit, tavaliselt parooli ja koodi telefonist või turvavõtit. Keegi, kes varastab ainult sinu parooli, ei pääse ikka sisse.
Kas 2FA on sama mis MFA?
Peaaegu. Mitmeastmeline autentimine (MFA) tähendab kahte või enamat tegurit; kaheastmeline autentimine on kõige levinum juhtum, kus tegureid on täpselt kaks. Igapäevases kasutuses kasutatakse mõisteid vaheldumisi.
Kas SMS-põhine kaheastmeline autentimine on turvaline?
See on palju parem kui pelk parool, kuid see on kõige nõrgem levinud valik. Tekstisõnumeid saab pealt kuulata või suunata SIM-vahetuse kaudu ning võltslehekülg võib panna inimesi koodi sisestama. Autentimisrakendused on tugevamad ja pääsuvõtmed või turvavõtmed on veelgi tugevamad.
Kas mu rakendus vajab kaheastmelist autentimist?
Kui kontodel on raha, privaatseid andmeid või administraatori õigused teiste kasutajate üle, on 2FA pakkumine hea mõte ning adminidele selle nõudmine on tavaline. Lihtsa hobirakenduse puhul võib see olla valikuline või jääda hilisemaks.
Mis juhtub, kui kasutaja kaotab oma telefoni?
Selleks on taastekoodid: lühike nimekiri ühekordsetest varukoodidest, mis kuvatakse 2FA sisselülitamisel. Ilma nendeta tähendab taastamine tavaliselt rakenduse omaniku käsitsi tehtavat isikutuvastust, seega planeeri see enne käivitamist.