Што е двофакторска автентикација? Едноставен водич

Двофакторската автентикација (2FA) е најава што бара два различни вида доказ дека сте тоа што тврдите дека сте — обично нешто што го знаете, како лозинка, плус нешто што го имате, како телефон или безбеден клуч. Ако некој крадум или погоди вашата лозинка, сè уште не може да влезе без вториот фактор. Тоа е една од наједноставните начини да се заштитат сметките што се важни.

Зошто е важно кога градите со вештачка интелигенција

Кога од AI градител ќе побарате „најава“, обично добивате email и лозинка. Тоа е добар почеток, но лозинките се повторно користат, се фишингуваат и се протекуваат. Ако апликацијата чува нешто вредно — записи на клиенти, фактури, администраторски контроли, поставки за плаќање — една украдена лозинка може да ја изложи сета таа содржина.

2FA влијае и на одлуки на кои можеби на почеток не мислите:

• Кој мора да ја користи. Опционално за сите, задолжително за администраторите или задолжително за сите?
• Кои методи ги поддржувате. Кодови од апликација, SMS пораки, passkey-и, безбедносни клучеви.
• Што се случува кога некој е заклучен. Изгубените телефони се најчестото барање до поддршката за секоја апликација со 2FA.
• Каде се спроведува. Проверката мора да се случи на серверот. Екран за 2FA што само ја скрива страницата во прелистувачот може да се прескокне.

Не мора сами да ја градите криптографијата — добро тестираните библиотеки и провајдерите за автентикација се справуваат со тоа. Но, мора да знаете што да побарате.

Секојдневна аналогија

Замислете сеф во банка. За да го отворите, ви е потребен вашиот документ (нешто што банката го проверува дека сте или го знаете) и физичкиот клуч (нешто што го имате). Крадец што ќе го ископира вашиот потпис сè уште нема клуч. Крадец што ќе му го извади клучот сè уште не може да го помине проверката на документот.

2FA функционира исто. Лозинката е потписот; телефонот или безбедносниот клуч е физичкиот клуч. Секој сам по себе не е доволен.

Трите видови фактори

Безбедносните стандарди, како упатствата за дигитален идентитет на американскиот National Institute of Standards and Technology (NIST), ги групираат факторите во три видови:

Клучниот збор е различни. Лозинка плус безбедносно прашање се две нешта што ги знаете, па тоа не е вистинска двофакторска автентикација. Ако едно протекување може да открие и двете, се брои како еден.

Споредба на вообичаените 2FA методи

НИСТ-овите упатства ги третираат методите каде што внесувате код (SMS, email, апликации за автентикација) како не отпорни на фишинг, а испраќањето кодови преку телефонската мрежа ги означуваат како „ограничени“. Passkey-ите и хардверските безбедносни клучеви, засновани на WebAuthn/FIDO2 стандардите, се оние што ги сметаат за отпорни на фишинг.

Практичен заклучок: апликацијата за автентикација е силна и лесна основна опција за повеќето апликации, а passkey-ите вреди да се понудат ако вашите корисници се удобни со нив.

Практичен пример: 2FA за клиентски портал

Замислете дека сте направиле портал каде мала сметководствена фирма споделува даночни документи со своите клиенти. Ево како изгледа разумна поставка за 2FA, чекор по чекор.

Вклучување (регистрација). Приа, клиентка, отвора Settings и кликнува „Вклучи двофакторска автентикација“. Апликацијата генерира тајна и ја прикажува како QR код. Таа го скенира со својата апликација за автентикација, која почнува да прикажува шестцифрени кодови. Го внесува тековниот код назад во порталот за да докаже дека поставувањето функционира. Апликацијата прикажува десет кодови за опоравување и ја замолува да ги зачува на безбедно место.

Најава по тоа.

1. Приа ја внесува својата email адреса и лозинка. Серверот ги проверува.
2. Наместо директно да ја најави, серверот ја означува сесијата како „лозинката е во ред, вториот фактор чека“ и го прикажува екранот за код.
3. Таа го внесува кодот од својата апликација. Серверот го проверува наспроти нејзината зачувана тајна, со мала толеранција на отстапување на часовникот.
4. Дури сега серверот создава целосна сесија и ѝ дозволува да ги види документите.

Што гледа нападачот. Ако лозинката на Приа е протечена од друг сајт, нападачот запира на чекор 3. Секој неуспешен обид за код се брои, а по неколку погрешни обиди сметката привремено се заклучува и Приа добива email.

Губење на телефонот. Приа користи еден од своите кодови за опоравување за да се најави, го исклучува 2FA и повторно го вклучува со новиот телефон и добива нови кодови за опоравување. Искористениот код никогаш повеќе не може да се користи.

За вработените. Сметководителите во фирмата можат да ги видат сите датотеки на секој клиент, па порталот бара 2FA за вработените; не можат да пристапат до таблата додека не се регистрираат.

Вообичаени термини објаснети

Вообичаени грешки и заблуди

• „2FA ја прави сметката непробојна.“ Ја прави многу потешка за упад. Фишинг страниците сè уште можат да ги снимат внесените кодови во реално време, затоа постојат passkey-ите.
• Проверка на кодот само во прелистувачот. Ако серверот издава целосна сесија по лозинката, екранот за код е декорација. Серверот мора да одбие пристап додека вториот фактор не помине.
• Нема ограничување на обидите за погодување кодови. Шестцифрен код има милион можности. Без rate limiting и заклучувања, нападачот едноставно може да продолжи да погодува.
• Заборавено опоравување. Без кодови за опоравување, секој изгубен телефон станува барање до поддршката или заклучен клиент.
• Небрежно чување на TOTP тајната. Заедничката тајна треба да е шифрирана во базата и никогаш повторно да не се прикажува по поставувањето.
• Дозволување корисниците да го исклучат 2FA без повторна проверка. Исклучувањето на 2FA или менувањето на email адресата треба да бара лозинка и тековен код.
• Лозинка плус безбедносно прашање се смета за 2FA. Не се смета — и двете се нешта што ги знаете.

Што да побарате од вашиот AI градител

• „Додај опционална двофакторска автентикација со апликација за автентикација (TOTP), со QR код за поставување и код за потврда пред да се вклучи.“
• „Прикажи десет кодови за опоравување за еднократна употреба кога е овозможено 2FA. Чувај ги хеширани, како лозинките.“
• „Спроведувај 2FA на серверот: без целосна сесија додека вториот фактор не помине.“
• „Ограничи ги обидите за код и заклучи ја најавата 15 минути по повторени неуспеси. Испрати email на корисникот кога ќе се случи.“
• „Бара 2FA за администраторските сметки.“
• „Побарај лозинка и тековен код пред исклучување на 2FA или менување на email адресата на сметката.“
• „Користи добро познати библиотека или вградената 2FA на нашиот провајдер за автентикација — не пишувај сам криптографија.“
• „Објасни кој метод си го користел и каде се чуваат тајните.“

Ако користите хостиран провајдер за автентикација, проверете дали веќе нуди 2FA или passkey-и; вклучувањето вградена функција обично е побезбедно од прилагоден код. Чекор-по-чекор верзијата е во како да додадете двофакторска автентикација, а што е автентикација ги покрива основите на најавата под неа.

Двофакторска автентикација во Mythex

Mythex не вклучува вграден систем за најава за корисниците на вашата апликација, па 2FA е дел од секој пристап за автентикација што го изберете — сопствена најава со email и лозинка, поддржана од базата на проектот, или хостиран провајдер што нуди 2FA. Го барате од агентот во чат, а клучевите на провајдерот се ставаат во тајните на проектот, не во самиот чат. Рецептот во документацијата за додавање најава во апликацијата има почетен prompt за прилагодување, а безбедноста за апликациите што ги градите ги покрива навиките околу клучевите. Пред лансирање, поминете низ листата за безбедност за апликации направени со AI.

Прашања