Hvað er tvíþætt auðkenning? Einföld leiðsögn

Tvíþætt auðkenning (2FA) er innskráning sem biður um tvær ólíkar tegundir sönnunar um að þú sért sá sem þú segist vera: venjulega eitthvað sem þú veist, eins og lykilorð, auk einhvers sem þú hefur, eins og símann þinn eða öryggislykil. Ef glæpamaður stelur lykilorðinu þínu eða giskar á það kemst hann samt ekki inn án seinna þáttarins. Þetta er ein einfaldasta leiðin til að vernda aðganga sem skipta máli.

Af hverju þetta skiptir máli þegar þú smíðar með gervigreind

Þegar þú biður AI-smið um „innskráningu“ færðu yfirleitt netfang og lykilorð. Það er góður upphafspunktur, en lykilorð eru endurnýtt, gripin með svikapóstum og leka. Ef appið þitt geymir eitthvað verðmætt, eins og viðskiptavinaskrár, reikninga, stjórnunarstillingar eða greiðslustillingar, gæti eitt stolið lykilorð afhjúpað allt.

2FA hefur líka áhrif á ákvarðanir sem þú hugsar kannski ekki um strax:

• Hver þarf að nota það. Valfrjálst fyrir alla, skylda fyrir stjórnendur, eða skylda fyrir alla?
• Hvaða aðferðir þú styður. Kóðar úr appi, textaskilaboð, aðgangslyklar, öryggislyklar.
• Hvað gerist þegar einhver er læstur úti. Týndir símar eru algengasta þjónustubeiðnin fyrir hvaða app sem er með 2FA.
• Hvar hún er framfylgt. Athugunin verður að fara fram á þjóninum. Skjár fyrir 2FA sem aðeins felur síðuna í vafranum er hægt að sleppa.

Þú þarft ekki að smíða dulmálið sjálf/ur. Vel prófuð söfn og auðkenningarþjónustur sjá um það. En þú þarft að vita hvað á að biðja um.

Hversdagsdæmi

Hugsaðu um öryggishólf í banka. Til að opna það þarftu skilríki (eitthvað sem bankinn athugar að þú ert eða veist) og lykilinn (eitthvað sem þú hefur). Þjófur sem afritar undirskriftina þína hefur samt ekki lykilinn. Þjófur sem stelur lyklinum kemst samt ekki framhjá skilríkjaathuguninni.

2FA virkar eins. Lykilorðið er undirskriftin; síminn eða öryggislykillinn er lykillinn. Hvort um sig er ekki nóg eitt og sér.

Þrjár tegundir þátta

Öryggisstaðlar, eins og leiðbeiningar bandarísku stofnunarinnar NIST um stafræn auðkenni, flokka þætti í þrjár tegundir:

Lykilorðið er ólíkt. Lykilorð og öryggisspurning eru tvö atriði sem þú veist, svo það er ekki raunveruleg tvíþætt auðkenning. Ef einn leki getur afhjúpað bæði telst það aðeins einn þáttur.

Algengar 2FA-aðferðir bornar saman

Leiðbeiningar NIST flokka aðferðir þar sem þú slærð inn kóða (SMS, tölvupóstur, auðkenningaröpp) sem ekki þolnar gegn svikum, og merkja það að senda kóða um símkerfi sem „takmarkað“. Aðgangslyklar og vélbúnaðaröryggislyklar, byggðir á WebAuthn/FIDO2-stöðlunum, eru þeir sem teljast þolnir gegn svikum.

Hagnýt niðurstaða: auðkenningarapp er sterkt og auðvelt sjálfgefið val fyrir flest öpp, og það er þess virði að bjóða aðgangslykla ef notendurnir þínir eru sáttir við þá.

Dæmi: 2FA fyrir viðskiptavinagátt

Segjum að þú hafir smíðað gátt þar sem lítil bókhaldsstofa deilir skattagögnum með viðskiptavinum. Hér er hvernig skynsamleg 2FA-uppsetning virkar, skref fyrir skref.

Kveikt á henni (skráning). Priya, viðskiptavinur, opnar stillingarnar og smellir á „Kveikja á tvíþættri auðkenningu“. Appið býr til leyndarlykil og sýnir hann sem QR-kóða. Hún skannar hann með auðkenningarappinu sínu, sem byrjar að sýna sex stafa kóða. Hún slær núverandi kóða inn í gáttina til að sanna að uppsetningin virki. Appið sýnir tíu endurheimtukóða og biður hana að geyma þá einhvers staðar öruggt.

Innskráning síðar.

1. Priya slær inn netfang og lykilorð. Þjónninn athugar þau.
2. Í stað þess að skrá hana beint inn merkir þjónninn setuna sem „lykilorð í lagi, seinni þáttur bíður“ og birtir kóðaskjáinn.
3. Hún slær inn kóðann úr appinu sínu. Þjónninn ber hann saman við geymda leyndarlykilinn og leyfir smávægilega tímaskekkju.
4. Fyrst þá býr þjónninn til fulla setu og hún sér skjölin.

Hvað árásarmaðurinn sér. Ef lykilorð Priya lak af annarri síðu kemst árásarmaðurinn ekki lengra en skref 3. Hverja misheppnaða kóðatilraun er talin og eftir nokkrar rangar tilraunir er aðgangnum læst tímabundið og Priya fær tölvupóst.

Ef hún týnir símanum. Priya notar einn endurheimtukóða til að skrá sig inn, slekkur á 2FA og kveikir aftur með nýja símanum sínum og fær nýja endurheimtukóða. Notaður kóði verður aldrei aftur gildur.

Fyrir starfsfólk. Bókararnir sjá allar skrár allra viðskiptavina, svo gáttin krefst 2FA fyrir starfsfólksreikninga; þeir komast ekki í mælaborðið fyrr en þeir hafa skráð sig.

Hugtök útskýrð

Algengar villur og ranghugmyndir

• „2FA gerir aðgang óhakkanlegan.“ Það gerir hann miklu erfiðari. Svikasíður geta samt náð innsláttum kóðum í rauntíma, og þess vegna eru aðgangslyklar til.
• Að athuga kóðann aðeins í vafranum. Ef þjónninn gefur út fulla setu eftir lykilorðið er kóðaskjárinn bara skraut. Þjónninn verður að neita aðgangi þar til seinni þátturinn stenst.
• Engin takmörk á kóðatilraunum. Sex stafa kóði hefur milljón möguleika. Án hraðatakmarkana og læsinga getur árásarmaður einfaldlega haldið áfram að giska.
• Að gleyma endurheimt. Án endurheimtukóða verður hver týndur sími að þjónustubeiðni, eða viðskiptavinur læstur úti.
• Að geyma TOTP-leyndarlykilinn illa. Sameiginlega leyndarlykilinn á að dulkóða í gagnagrunninum og aldrei sýna aftur eftir uppsetningu.
• Að leyfa notendum að slökkva á 2FA án nýrrar staðfestingar. Að slökkva á 2FA eða breyta netfangi reiknings á að krefjast lykilorðs og núverandi kóða.
• Lykilorð plús öryggisspurning telst 2FA. Það gerir það ekki; hvort tveggja er eitthvað sem þú veist.

Hvað á að biðja AI-smiðinn um

• „Bættu við valfrjálsri tvíþættri auðkenningu með auðkenningarappi (TOTP), með QR-kóða fyrir uppsetningu og staðfestingarkóða áður en hún er kveikt.“
• „Sýndu tíu einnota endurheimtukóða þegar 2FA er virkjuð. Geymdu þá dulkóðaða (hashed), eins og lykilorð.“
• „Framfylgdu 2FA á þjóninum: engin full seta fyrr en seinni þátturinn stenst.“
• „Takmarkaðu kóðatilraunir og læstu innskráningunni í 15 mínútur eftir endurteknar villur. Sendu notandanum tölvupóst þegar það gerist.“
• „Krefstu 2FA fyrir stjórnendareikninga.“
• „Biddu um lykilorð og núverandi kóða áður en 2FA er slökkt eða netfangi reiknings breytt.“
• „Notaðu þekkt safn eða innbyggða 2FA auðkenningarþjónustunnar okkar. Ekki skrifa dulmálið sjálf.“
• „Útskýrðu hvaða aðferð þú notaðir og hvar leyndarlyklarnir eru geymdir.“

Ef þú notar hýsta auðkenningarþjónustu skaltu athuga hvort hún bjóði þegar 2FA eða aðgangslykla. Að kveikja á innbyggðum eiginleika er yfirleitt öruggara en sérsmíðaður kóði. Skref-fyrir-skref útgáfan er í hvernig þú bætir við tvíþættri auðkenningu, og hvað auðkenning er útskýrir innskráningargrunninn undir henni.

Tvíþætt auðkenning í Mythex

Mythex inniheldur ekki innbyggt innskráningarkerfi fyrir notendur appsins þíns, svo 2FA er hluti af því auðkenningarfyrirkomulagi sem þú velur: eigin netfangs- og lykilorðsinnskráningu sem byggir á gagnagrunni verkefnisins, eða hýstri þjónustu sem býður 2FA. Þú biður agentinn um að bæta því við í spjallinu, og lyklar frá þjónustuaðilum fara í verkefnaleyndarmál en ekki í spjallið sjálft. Leiðbeiningarnar í skjölunum um að bæta innskráningu við appið þitt hafa upphafsbeiðni til að aðlaga, og öryggi fyrir öpp sem þú smíðar fjallar um venjurnar í kringum lykla. Áður en þú birtir skaltu fara yfir öryggisgátlistann fyrir öpp smíðuð með gervigreind.

Spurningar