Kas yra dviejų faktorių autentifikavimas? Paprastas vadovas
Dviejų faktorių autentifikavimas (2FA) – tai prisijungimas, reikalaujantis dviejų skirtingų tipų įrodymo, kad esate tas, kuo prisistatote: paprastai ką nors žinote, pavyzdžiui, slaptažodį, ir turite ką nors, pavyzdžiui, telefoną ar saugumo raktą. Jei nusikaltėlis pavagia ar atspėja jūsų slaptažodį, be antrojo faktoriaus jis vis tiek negali prisijungti. Tai vienas paprasčiausių būdų apsaugoti svarbias paskyras.
Kodėl tai svarbu kuriant su AI
Kai AI kūrimo įrankiui paprašote „prisijungimo“, paprastai gaunate el. paštą ir slaptažodį. Tai geras pradžios taškas, bet slaptažodžiai pakartotinai naudojami, išviliojami ir nutekinami. Jei jūsų programėlė saugo ką nors vertingo – klientų įrašus, sąskaitas, administratoriaus valdymą, mokėjimų nustatymus – vienas pavogtas slaptažodis gali atskleisti viską.
2FA taip pat paveikia sprendimus, apie kuriuos iš pradžių galbūt negalvojate:
- Kam tai privaloma. Neprivaloma visiems, privaloma administratoriams, ar privaloma visiems?
- Kokius metodus palaikote. Kodai iš programėlės, SMS žinutės, passkeys, saugumo raktai.
- Kas nutinka, kai vartotojas užrakinamas. Prarasti telefonai yra dažniausia pagalbos užklausa bet kurioje programėlėje su 2FA.
- Kur tai įgyvendinama. Tikrinimas turi vykti serveryje. 2FA ekranas, kuris tik slepia puslapį naršyklėje, gali būti apeitas.
Kriptografijos kurti patys nereikia – ją tvarko gerai išbandytos bibliotekos ir autentifikavimo paslaugų teikėjai. Tačiau reikia žinoti, ko prašyti.
Kasdienė analogija
Pagalvokite apie banko saugyklos seifą. Norint jį atidaryti, reikia jūsų asmens dokumento (kažko, ką bankas tikrina, kad esate ar žinote) ir fizinio rakto (kažko, ką turite). Vagis, nukopijavęs jūsų parašą, vis tiek neturi rakto. Vagis, pavogęs raktą, vis tiek neperžengs asmens tapatybės patikrinimo.
2FA veikia taip pat. Slaptažodis yra parašas; telefonas ar saugumo raktas – fizinis raktas. Kiekvienas atskirai nepakanka.
Trys faktorių tipai
Saugumo standartai, pavyzdžiui, JAV Nacionalinio standartų ir technologijų instituto (NIST) skaitmeninės tapatybės gairės, faktorius skirsto į tris tipus:
| Faktorius | Pavyzdžiai |
|---|---|
| Ką žinote | Slaptažodis, PIN kodas |
| Ką turite | Telefonas su autentifikavimo programėle, saugumo raktas, įrenginys, laikantis passkey |
| Kas esate | Piršto atspaudas, veidas – dažniausiai naudojami įrenginiui atrakinti, kuris tada atlieka tikrąjį patikrinimą |
Svarbiausias žodis yra skirtingas. Slaptažodis ir saugumo klausimas yra du dalykai, kuriuos žinote, todėl tai nėra tikras dviejų faktorių autentifikavimas. Jei vienas nutekėjimas gali atskleisti abu, tai laikoma tik vienu faktoriumi.
Dažniausių 2FA metodų palyginimas
| Metodas | Kaip veikia | Stiprumas | Pastabos |
|---|---|---|---|
| SMS kodas | Kodas atsiunčiamas žinute į jūsų telefono numerį | Silpniausias | Pažeidžiamas dėl SIM kortelės perkėlimo ir sukčiavimo, bet daug geriau nei jokio 2FA |
| El. pašto kodas | Kodas atsiunčiamas el. paštu | Silpnas | Saugus tiek, kiek saugi pati el. pašto paskyra |
| Autentifikavimo programėlė (TOTP) | Tokia programėlė kaip Google Authenticator kas 30 sekundžių generuoja naują 6 skaitmenų kodą | Geras | Veikia be interneto; vis tiek gali būti išviliotas, jei netikra svetainė prašo kodo |
| Patvirtinimas pranešimu | Programėlė klausia „Ar tai jūs?“, o jūs paspaudžiate patvirtinti | Geras | Saugokitės „patvirtinimo nuovargio“, kai vartotojai spaudžia taip, kad nustotų gauti kartotinius klausimus |
| Passkey ar saugumo raktas | Kriptografinis raktas įrenginyje įrodo, kad esate tikroje svetainėje | Stipriausias | Atsparus sukčiavimui, nes nereaguoja į panašaus domeno svetainę |
NIST gairės laiko metodus, kuriuose įvedate kodą (SMS, el. paštas, autentifikavimo programėlės), nėra atsparūs sukčiavimui, o siuntimą per telefono tinklą pažymi kaip „apribotą“. Passkeys ir aparatiniai saugumo raktai, pagrįsti WebAuthn/FIDO2 standartais, yra tie, kuriuos jie laiko atsparais sukčiavimui.
Praktinė išvada: autentifikavimo programėlė yra stiprus ir paprastas numatytasis pasirinkimas daugumai programėlių, o passkeys verta siūlyti, jei jūsų vartotojams jie patogūs.
Darbo pavyzdys: 2FA klientų portalui
Tarkime, sukūrėte portalą, kuriame nedidelė buhalterijos įmonė dalijasi mokesčių dokumentais su klientais. Štai kaip atrodo protingas 2FA nustatymas, žingsnis po žingsnio.
Įjungimas (registracija). Klientė Priya atidaro nustatymus ir spusteli „Įjungti dviejų faktorių autentifikavimą“. Programėlė sugeneruoja paslaptį ir parodo ją kaip QR kodą. Ji nuskenuoja jį savo autentifikavimo programėle, kuri pradeda rodyti šešių skaitmenų kodus. Ji įveda dabartinį kodą atgal į portalą, kad įrodytų, jog nustatymas pavyko. Programėlė parodo dešimt atkūrimo kodų ir paprašo juos saugiai išsaugoti.
Vėlesnis prisijungimas.
- Priya įveda el. paštą ir slaptažodį. Serveris juos patikrina.
- Vietoj tiesioginio prisijungimo serveris sesiją pažymi kaip „slaptažodis teisingas, antrasis faktorius laukiamas“ ir parodo kodo ekraną.
- Ji įveda kodą iš savo programėlės. Serveris jį patikrina su saugoma paslaptimi, leisdamas nedidelį laikrodžio nuokrypį.
- Tik tada serveris sukuria pilną sesiją ir leidžia matyti dokumentus.
Ką mato užpuolikas. Jei Priya slaptažodis nutekėjo iš kitos svetainės, užpuolikas įstringa 3 žingsnyje. Kiekvienas nesėkmingas kodo bandymas skaičiuojamas, o po kelių klaidingų bandymų paskyra laikinai užrakinama ir Priya gauna el. laišką.
Prarastas telefonas. Priya prisijungia naudodama vieną iš atkūrimo kodų, išjungia ir vėl įjungia 2FA su nauju telefonu ir gauna naujus atkūrimo kodus. Panaudotas kodas daugiau niekada nebegali būti naudojamas.
Darbuotojams. Įmonės buhalteriai mato kiekvieno kliento failus, todėl portalas reikalauja 2FA darbuotojų paskyroms; jie negali pasiekti valdymo skydelio, kol neįsijungė.
Dažni terminai paaiškinti
| Terminas | Ką reiškia |
|---|---|
| 2FA / MFA | Dviejų / daugiafaktorinis autentifikavimas: prisijungimas su daugiau nei vieno tipo įrodymu. |
| Faktorius | Vienas įrodymo tipas: ką žinote, turite ar esate. |
| TOTP | Laiko pagrindu veikiantis vienkartinis slaptažodis – besikeičiantys kodai autentifikavimo programėlėse. |
| Bendrinama paslaptis | Paslėpta reikšmė, nustatoma per QR kodą, kurią naudoja ir programėlė, ir jūsų telefonas, kad generuotų atitinkamus kodus. |
| Atkūrimo (atsarginiai) kodai | Vienkartiniai kodai, skirti prisijungti, kai pamestas antrasis faktorius. |
| Passkey | Prisijungimo įgaliojimai, saugomi jūsų įrenginyje, naudojantys viešojo rakto kriptografiją vietoj slaptažodžio. |
| Saugumo raktas | Mažas fizinis įrenginys (USB ar NFC), atliekantis tą patį darbą kaip passkey. |
| SIM kortelės perkėlimas | Mobiliojo operatoriaus apgavimas, kad numeris būtų perkeltas į naują SIM kortelę, todėl žinutės patenka į užpuolikui. |
| Sukčiavimas (phishing) | Netikra svetainė ar žinutė, kuri apgauna žmones ir priverčia atiduoti slaptažodžius ar kodus. |
| Papildomas patvirtinimas | Antro faktoriaus prašymas dar kartą prieš jautrų veiksmą, pavyzdžiui, keičiant išmokėjimo duomenis. |
Dažnos klaidos ir klaidingi įsitikinimai
- „2FA daro paskyrą neįveikiamą.“ Jis žymiai apsunkina įsilaužimą. Sukčiavimo svetainės vis tiek gali realiu laiku perimti įvestus kodus, todėl egzistuoja passkeys.
- Kodo tikrinimas tik naršyklėje. Jei serveris išduoda pilną sesiją po slaptažodžio, kodo ekranas yra dekoracija. Serveris turi atsisakyti leisti prieigą, kol antrasis faktorius nepraeina.
- Neribotas kodo spėjimų skaičius. Šešių skaitmenų kodas turi milijoną variantų. Be užklausų ribojimo ir užrakinimų užpuolikas gali tiesiog toliau spėlioti.
- Atkūrimo pamiršimas. Be atkūrimo kodų kiekvienas prarastas telefonas tampa pagalbos užklausa arba užrakintu klientu.
- Atsargus TOTP paslapties saugojimas. Bendrinama paslaptis turi būti užšifruota duomenų bazėje ir daugiau niekada neberodoma po nustatymo.
- Leidimas vartotojams išjungti 2FA be papildomo patikrinimo. 2FA išjungimas ar paskyros el. pašto keitimas turi reikalauti slaptažodžio ir dabartinio kodo.
- Slaptažodis ir saugumo klausimas laikomi 2FA. Ne – abu yra dalykai, kuriuos žinote.
Ko paprašyti AI kūrimo įrankio
- „Pridėk pasirenkamą dviejų faktorių autentifikavimą naudodamas autentifikavimo programėlę (TOTP), su QR kodu nustatymui ir patvirtinimo kodu prieš jį įjungiant.“
- „Kai 2FA įjungtas, rodyk dešimt vienkartinių atkūrimo kodų. Saugok juos užmaišytus, kaip slaptažodžius.“
- „Įgyvendink 2FA serveryje: pilna sesija neleidžiama, kol antrasis faktorius nepraeina.“
- „Riboti kodo bandymus ir po kelių nesėkmių užrakinti prisijungimą 15 minučių. Tokiu atveju siųsk vartotojui el. laišką.“
- „Reikalauk 2FA administratorių paskyroms.“
- „Prieš išjungiant 2FA ar keičiant paskyros el. paštą, reikalauk slaptažodžio ir dabartinio kodo.“
- „Naudok gerai žinomą biblioteką arba mūsų autentifikavimo paslaugos įmontuotą 2FA – nerašyk kriptografijos pats.“
- „Paaiškink, kokį metodą naudojai ir kur saugomos paslaptys.“
Jei naudojate išorinį autentifikavimo paslaugų teikėją, patikrinkite, ar jis jau siūlo 2FA ar passkeys; įjungti įmontuotą funkciją paprastai saugiau nei rašyti savo kodą. Žingsnis po žingsnio instrukcijos pateikiamos kaip pridėti dviejų faktorių autentifikavimą, o kas yra autentifikavimas paaiškina prisijungimo pagrindus, esančius po juo.
Dviejų faktorių autentifikavimas Mythex
Mythex neturi įmontuotos prisijungimo sistemos jūsų programėlės vartotojams, todėl 2FA yra jūsų pasirinkto autentifikavimo dalis – arba jūsų pačių el. pašto ir slaptažodžio prisijungimas, pagrįstas projekto duomenų baze, arba išorinė paslauga, siūlanti 2FA. Pokalbyje prašote agento jį pridėti, o bet kokie paslaugų teikėjo raktai įrašomi į projekto paslaptis, o ne į patį pokalbį. Mythex dokumentacijos prisijungimo pridėjimo programėlei receptas turi pradinę užklausą, kurią galite pritaikyti, o saugumas jūsų kuriamoms programėlėms aprašo įpročius, susijusius su raktais. Prieš paleidimą pereikite AI kuriamų programėlių saugumo kontrolinį sąrašą.
Klausimai
Kas yra dviejų faktorių autentifikavimas paprastais žodžiais?
Dviejų faktorių autentifikavimas (2FA) reiškia, kad prisijungiant reikia dviejų skirtingų tipų įrodymų, paprastai slaptažodžio ir kodo iš telefono ar saugumo rakto. Tas, kas pavogia tik jūsų slaptažodį, vis tiek negali prisijungti.
Ar 2FA yra tas pats, kas MFA?
Beveik. Daugiafaktorinis autentifikavimas (MFA) reiškia du ar daugiau faktorių; dviejų faktorių autentifikavimas yra dažniausias atvejis, kai jų tiksliai du. Kasdieniame naudojime terminai vartojami pakaitomis.
Ar SMS dviejų faktorių autentifikavimas saugus?
Jis žymiai geresnis nei vien slaptažodis, bet tai silpniausias įprastas variantas. Žinutės gali būti perimamos arba nukreipiamos per SIM kortelės perkėlimą, o netikra prisijungimo svetainė gali priversti žmones įvesti kodą. Autentifikavimo programėlės yra stipresnės, o passkeys ar saugumo raktai – dar stipresni.
Ar mano programėlei reikia dviejų faktorių autentifikavimo?
Jei paskyrose laikomi pinigai, privatūs duomenys ar administratoriaus galia valdyti kitus vartotojus, siūlyti 2FA yra gera idėja, o administratoriams jo reikalauti yra įprasta. Paprastai hobio programėlei jis gali būti neprivalomas arba atidėtas vėlesniam laikui.
Ką daryti, jei vartotojas pamiršta telefoną?
Tam skirti atkūrimo kodai: trumpas vienkartinių atsarginių kodų sąrašas, rodomas įjungus 2FA. Be jų atkūrimas paprastai reiškia rankinį tapatybės patikrinimą programėlės savininko, todėl planuokite tai prieš paleidimą.