Mikä on kaksivaiheinen tunnistautuminen? Selkokielinen opas

Kaksivaiheinen tunnistautuminen (2FA) on kirjautuminen, joka vaatii kahdenlaisen todisteen siitä, että olet se, joka väität olevasi: tyypillisesti jotain, mitä tiedät, kuten salasanan, ja jotain, mitä sinulla on, kuten puhelimen tai turva-avaimen. Jos rikollinen varastaa tai arvaa salasanasi, hän ei silti pääse sisään ilman toista tekijää. Se on yksi yksinkertaisimmista tavoista suojata tärkeitä tilejä.

Miksi tämä on tärkeää, kun rakennat tekoälyllä

Kun pyydät tekoälyrakentajalta ”kirjautumista”, saat yleensä sähköpostin ja salasanan. Se on hyvä alku, mutta salasanoja käytetään uudelleen, ne kalastellaan ja vuotavat. Jos sovelluksesi säilyttää arvokasta tietoa – asiakastietoja, laskuja, ylläpitotoimintoja, maksuasetuksia – yksi varastettu salasana voi paljastaa kaiken.

2FA vaikuttaa myös päätöksiin, joita et ehkä ajattele aluksi:

• Kenen pitää käyttää sitä. Valinnainen kaikille, pakollinen ylläpitäjille vai pakollinen kaikille?
• Mitä menetelmiä tuet. Sovelluksen koodit, tekstiviestit, passkeyt, turva-avaimet.
• Mitä tapahtuu, kun joku jää ulkopuolelle. Kadonneet puhelimet ovat yleisin tukipyyntö kaikissa 2FA:ta käyttävissä sovelluksissa.
• Missä se pakotetaan. Tarkistuksen on tapahduttava palvelimella. Pelkkä 2FA-näkymä, joka vain piilottaa sivun selaimessa, voidaan ohittaa.

Sinun ei tarvitse rakentaa salaustekniikkaa itse – hyvin testatut kirjastot ja tunnistuspalvelut hoitavat sen. Mutta sinun pitää tietää, mitä pyytää.

Arkinen vertaus

Ajattele pankin turvakaappia. Avataksesi sen tarvitset henkilöllisyystodistuksesi (jotain, minkä pankki tarkistaa, että olet tai tiedät) ja fyysisen avaimen (jotain, mitä sinulla on). Varas, joka jäljittelee allekirjoituksesi, ei silti saa avainta. Varas, joka varastaa avaimen, ei läpäise henkilöllisyystarkistusta.

2FA toimii samalla tavalla. Salasana on allekirjoitus; puhelin tai turva-avain on fyysinen avain. Kumpikaan yksinään ei riitä.

Kolme tekijätyyppiä

Turvastandardit, kuten Yhdysvaltain NIST:n digitaalisen identiteetin ohjeet, ryhmittelevät tekijät kolmeen tyyppiin:

Avainsana on eri. Salasana ja turvakysymys ovat kaksi asiaa, jotka tiedät, joten se ei ole aitoa kaksivaiheista tunnistautumista. Jos yksi vuoto voi paljastaa molemmat, se lasketaan vain yhdeksi.

Yleiset 2FA-menetelmät vertailussa

NISTn ohjeet pitävät menetelmiä, joissa koodi kirjoitetaan (tekstiviesti, sähköposti, tunnistussovellukset), ei kalastelua kestävinä, ja merkitsevät koodien lähettämisen puhelinverkon kautta ”rajoitetuksi”. Passkeyt ja laitteistoturva-avaimet, jotka perustuvat WebAuthn/FIDO2-standardeihin, ovat ne, jotka NIST laskee kalastelua kestäviksi.

Käytännön johtopäätös: tunnistussovellus on vahva ja helppo oletus useimmille sovelluksille, ja passkeyt kannattaa tarjota, jos käyttäjät ovat niiden kanssa mukavissa.

Esimerkki: 2FA asiakasportaalille

Oletetaan, että olet rakentanut portaalin, jossa pieni kirjanpitotoimisto jakaa veroasiakirjoja asiakkaidensa kanssa. Tässä on järkevä 2FA-asetus vaihe vaiheelta.

Käyttöönotto (rekisteröinti). Priya, asiakas, avaa Asetukset-kohdan ja klikkaa ”Ota kaksivaiheinen tunnistautuminen käyttöön”. Sovellus luo salaisuuden ja näyttää sen QR-koodina. Hän skannaa sen tunnistussovelluksellaan, joka alkaa näyttää kuusinumeroisia koodeja. Hän kirjoittaa nykyisen koodin takaisin portaaliin todistaakseen, että asetus toimii. Sovellus näyttää kymmenen palautuskoodia ja pyytää tallentamaan ne turvalliseen paikkaan.

Kirjautuminen myöhemmin.

1. Priya syöttää sähköpostinsa ja salasanansa. Palvelin tarkistaa ne.
2. Sen sijaan että palvelin kirjaisi hänet suoraan sisään, se merkitsee istunnon tilaan ”salasana OK, toinen tekijä kesken” ja näyttää koodinäkymän.
3. Hän kirjoittaa koodin sovelluksestaan. Palvelin vertaa sitä tallennettuun salaisuuteensa ja sallii pienen kellopoikkeaman.
4. Vasta nyt palvelin luo täyden istunnon ja antaa hänen nähdä asiakirjat.

Mitä hyökkääjä näkee. Jos Priyan salasana on vuotanut toiselta sivustolta, hyökkääjä jää vaiheeseen 3. Jokainen virheellinen koodiyritys lasketaan, ja useiden väärien yritysten jälkeen tili lukitaan hetkeksi ja Priya saa sähköpostin.

Puhelimen menettäminen. Priya käyttää yhtä palautuskoodeistaan kirjautuakseen sisään, poistaa 2FA:n käytöstä ja ottaa sen uudelleen käyttöön uudella puhelimellaan, jolloin saa uudet palautuskoodit. Käytettyä koodia ei voi enää koskaan käyttää.

Henkilökunta. Toimiston kirjanpitäjät näkevät kaikkien asiakkaiden tiedostot, joten portaali vaatii 2FA:n henkilökunnan tileille; he eivät pääse hallintanäkymään ennen rekisteröitymistä.

Yleiset termit selitettynä

Yleiset virheet ja väärinkäsitykset

• ”2FA tekee tilistä murtautumattoman.” Se tekee siitä paljon vaikeamman. Kalasteluun tarkoitetut sivut voivat yhä kaapata kirjoitetut koodit reaaliaikaisesti, minkä takia passkeyt ovat olemassa.
• Koodin tarkistaminen vain selaimessa. Jos palvelin antaa täyden istunnon salasanan jälkeen, koodinäkymä on pelkkä koriste. Palvelimen on evättävä pääsy, kunnes toinen tekijä on läpäisty.
• Ei rajoitusta koodiarvauksille. Kuusinumeroisia koodeja on miljoona mahdollisuutta. Ilman nopeusrajoitusta ja lukitusta hyökkääjä voi yksinkertaisesti jatkaa arvaamista.
• Palautuksen unohtaminen. Ilman palautuskoodeja jokainen kadonnut puhelin muuttuu tukipyynnöksi tai lukitusta asiakkaasta.
• TOTP-salaisuuden huolimaton tallennus. Jaettu salaisuus pitää salata tietokannassa, eikä sitä pidä näyttää enää asetusten jälkeen.
• Käyttäjien mahdollistaminen 2FA:n poistamiseen ilman uudelleentarkistusta. 2FA:n poistaminen tai sähköpostin vaihtaminen pitää vaatia salasana ja voimassa oleva koodi.
• Salasana plus turvakysymys lasketaan 2FA:ksi. Ei lasketa – molemmat ovat asioita, jotka tiedät.

Mitä pyytää tekoälyrakentajaltasi

• ”Lisää valinnainen kaksivaiheinen tunnistautuminen tunnistussovelluksella (TOTP), jossa on QR-koodi asetusta varten ja vahvistuskoodi ennen käyttöönottoa.”
• ”Näytä kymmenen kertakäyttöistä palautuskoodia, kun 2FA on käytössä. Tallenna ne tiivisteinä, kuten salasanat.”
• ”Pakota 2FA palvelimella: ei täyttä istuntoa ennen kuin toinen tekijä on läpäisty.”
• ”Rajoita koodiyritykset ja lukitse kirjautuminen 15 minuutiksi toistuvien virheiden jälkeen. Lähetä käyttäjälle sähköposti, kun näin käy.”
• ”Vaadi 2FA ylläpitäjätileille.”
• ”Pyydä salasana ja voimassa oleva koodi ennen 2FA:n poistamista tai tilin sähköpostin vaihtamista.”
• ”Käytä tunnettua kirjastoa tai tunnistuspalveluntarjoajamme sisäänrakennettua 2FA:ta – älä kirjoita salausta itse.”
• ”Kerro, mitä menetelmää käytit ja missä salaisuudet tallennetaan.”

Jos käytät ulkoista tunnistuspalvelua, tarkista, tarjoaako se jo 2FA:n tai passkeyt; sisäänrakennetun ominaisuuden käyttöönotto on yleensä turvallisempaa kuin oma koodi. Vaiheittainen ohje on artikkelissa kaksivaiheisen tunnistautumisen lisääminen, ja mikä tunnistautuminen on selittää kirjautumisen perusteet sen alla.

Kaksivaiheinen tunnistautuminen Mythexissä

Mythex ei sisällä sovelluksesi käyttäjille sisäänrakennettua kirjautumisjärjestelmää, joten 2FA on osa valitsemaasi tunnistustapaa – omaa sähköposti- ja salasanakirjautumistasi, joka perustuu projektin tietokantaan, tai ulkoista palvelua, joka tarjoaa 2FA:n. Pyydät agenttia lisäämään sen chatissa, ja palveluntarjoajan avaimet menevät projektin salaisuuksiin eikä itse chattiin. Kirjautumisen lisääminen sovellukseesi -ohjeessa on aloituskehote, jota voit muokata, ja turvallisuus sovelluksille, jotka rakennat kattaa avainten käytön tavat. Ennen julkaisua käy läpi tekoälyllä rakennettujen sovellusten turvallisuustarkistuslista.

Kysymykset