Apa Itu Pengesahan Dua Faktor? Panduan Bahasa Mudah
Pengesahan dua faktor (2FA) ialah log masuk yang meminta dua jenis bukti berbeza bahawa anda ialah orang yang anda dakwa — biasanya sesuatu yang anda tahu, seperti kata laluan, ditambah sesuatu yang anda miliki, seperti telefon atau kunci keselamatan anda. Jika penjenayah mencuri atau meneka kata laluan anda, mereka tetap tidak dapat masuk tanpa faktor kedua. Ia antara cara paling mudah untuk melindungi akaun yang penting.
Mengapa ia penting apabila anda membina dengan AI
Apabila anda meminta pembina AI untuk "log masuk", biasanya anda mendapat e-mel dan kata laluan. Itu permulaan yang baik, tetapi kata laluan sering digunakan semula, dipancing atau bocor. Jika app anda menyimpan sesuatu yang bernilai — rekod pelanggan, invois, kawalan pentadbir, tetapan pembayaran — satu kata laluan yang dicuri boleh mendedahkan semuanya.
2FA juga menjejaskan keputusan yang mungkin tidak anda fikirkan pada mulanya:
- Siapa yang mesti menggunakannya. Pilihan untuk semua orang, wajib untuk pentadbir, atau wajib untuk semua?
- Kaedah mana yang disokong. Kod daripada app, mesej teks, passkey, kunci keselamatan.
- Apa yang berlaku apabila seseorang terkunci. Telefon yang hilang ialah permintaan sokongan yang paling biasa untuk mana-mana app dengan 2FA.
- Di mana ia dikuatkuasakan. Semakan mesti berlaku di pelayan. Skrin 2FA yang hanya menyembunyikan halaman dalam pelayar boleh dilangkau.
Anda tidak perlu membina kriptografi sendiri — pustaka yang telah diuji dengan baik dan penyedia pengesahan mengendalikannya. Tetapi anda perlu tahu apa yang hendak diminta.
Analogi harian
Bayangkan peti simpanan keselamatan bank. Untuk membukanya, anda memerlukan ID anda (sesuatu yang bank semak anda ialah atau ketahui) dan kunci fizikal (sesuatu yang anda miliki). Pencuri yang menyalin tandatangan anda masih tidak mempunyai kunci. Pencuri yang mencuri kunci pun masih tidak dapat lulus semakan ID.
2FA berfungsi dengan cara yang sama. Kata laluan ialah tandatangan; telefon atau kunci keselamatan ialah kunci fizikal. Setiap satu sahaja tidak mencukupi.
Tiga jenis faktor
Standard keselamatan, seperti garis panduan identiti digital National Institute of Standards and Technology Amerika Syarikat, mengumpulkan faktor kepada tiga jenis:
| Faktor | Contoh |
|---|---|
| Sesuatu yang anda tahu | Kata laluan, PIN |
| Sesuatu yang anda miliki | Telefon dengan app pengesah, kunci keselamatan, peranti yang menyimpan passkey |
| Sesuatu yang anda ialah | Cap jari, wajah — biasanya digunakan untuk membuka peranti yang kemudian melakukan semakan sebenar |
Perkataan kuncinya ialah berbeza. Kata laluan ditambah soalan keselamatan ialah dua perkara yang anda tahu, jadi ia bukan pengesahan dua faktor yang sebenar. Jika satu kebocoran boleh mendedahkan kedua-duanya, ia hanya dikira sebagai satu.
Kaedah 2FA biasa dibandingkan
| Kaedah | Cara ia berfungsi | Kekuatan | Nota |
|---|---|---|---|
| Kod SMS | Kod dihantar melalui teks ke nombor telefon anda | Paling lemah | Terdedah kepada SIM swapping dan pancingan data, tetapi jauh lebih baik daripada tiada 2FA |
| Kod e-mel | Kod dihantar melalui e-mel kepada anda | Lemah | Sekukuh akaun e-mel itu sahaja |
| App pengesah (TOTP) | App seperti Google Authenticator menjana kod 6 digit baharu, biasanya setiap 30 saat | Baik | Berfungsi luar talian; masih boleh dipancing jika laman palsu meminta kod itu |
| Kelulusan melalui push | App bertanya "Ini anda?" dan anda ketik untuk lulus | Baik | Berhati-hati dengan "keletihan kelulusan", apabila pengguna menekan ya hanya untuk menghentikan gesaan berulang |
| Passkey atau kunci keselamatan | Kunci kriptografi pada peranti membuktikan anda berada di laman sebenar | Paling kukuh | Tahan pancingan kerana ia tidak akan bertindak balas kepada domain yang menyerupai |
Panduan NIST menganggap kaedah yang anda menaip kod (SMS, e-mel, app pengesah) sebagai tidak tahan pancingan, dan menandakan penghantaran kod melalui rangkaian telefon sebagai "terhad". Passkey dan kunci keselamatan perkakasan, berdasarkan piawaian WebAuthn/FIDO2, ialah yang dikira sebagai tahan pancingan.
Kesimpulan praktikalnya: app pengesah ialah lalai yang kukuh dan mudah untuk kebanyakan app, dan passkey patut ditawarkan jika pengguna anda selesa dengannya.
Contoh kerja: 2FA untuk portal pelanggan
Katakan anda telah membina portal tempat firma perakaunan kecil berkongsi dokumen cukai dengan pelanggan. Inilah cara persediaan 2FA yang munasabah, langkah demi langkah.
Mengaktifkannya (pendaftaran). Priya, seorang pelanggan, membuka Tetapan dan klik "Aktifkan pengesahan dua faktor". App menjana rahsia dan memaparkannya sebagai kod QR. Dia mengimbasnya dengan app pengesah, yang mula memaparkan kod enam digit. Dia menaip semula kod semasa ke dalam portal untuk membuktikan persediaan itu berjaya. App memaparkan sepuluh kod pemulihan dan meminta dia menyimpannya di tempat yang selamat.
Log masuk selepas itu.
- Priya memasukkan e-mel dan kata laluannya. Pelayan menyemaknya.
- Dan bukannya terus membenarkan dia masuk, pelayan menandakan sesi sebagai "kata laluan OK, faktor kedua menunggu" dan memaparkan skrin kod.
- Dia menaip kod daripada app. Pelayan menyemaknya dengan rahsia yang disimpan, dengan sedikit toleransi untuk perbezaan jam.
- Barulah pelayan mencipta sesi penuh dan membenarkan dia melihat dokumen.
Apa yang penyerang lihat. Jika kata laluan Priya bocor dari laman lain, penyerang akan tersekat pada langkah 3. Setiap percubaan kod yang gagal dikira, dan selepas beberapa percubaan salah akaun dikunci buat sementara dan Priya menerima e-mel.
Kehilangan telefonnya. Priya menggunakan salah satu kod pemulihannya untuk log masuk, mematikan 2FA dan menghidupkannya semula dengan telefon barunya, dan mendapat kod pemulihan baharu. Kod yang telah digunakan tidak boleh digunakan lagi selama-lamanya.
Untuk kakitangan. Akauntan firma itu boleh melihat semua fail setiap pelanggan, jadi portal itu mewajibkan 2FA untuk akaun kakitangan; mereka tidak boleh sampai ke papan pemuka sehingga mereka mendaftar.
Istilah biasa dijelaskan
| Istilah | Maksud |
|---|---|
| 2FA / MFA | Pengesahan dua faktor / berbilang faktor: log masuk dengan lebih daripada satu jenis bukti. |
| Faktor | Satu jenis bukti: sesuatu yang anda tahu, miliki atau ialah. |
| TOTP | Kata laluan satu kali berasaskan masa — kod berputar dalam app pengesah. |
| Rahsia dikongsi | Nilai tersembunyi, disediakan melalui kod QR, yang kedua-dua app dan telefon anda gunakan untuk menjana kod yang sepadan. |
| Kod pemulihan (sandaran) | Kod sekali guna untuk masuk apabila anda telah kehilangan faktor kedua anda. |
| Passkey | Kredensial log masuk yang disimpan pada peranti anda dan menggunakan kriptografi kunci awam dan bukannya kata laluan. |
| Kunci keselamatan | Peranti fizikal kecil (USB atau NFC) yang melakukan tugas yang sama seperti passkey. |
| SIM swapping | Memperdaya operator telefon untuk memindahkan nombor seseorang ke SIM baharu, supaya teks pergi kepada penyerang. |
| Pancingan data (phishing) | Laman atau mesej palsu yang menipu orang untuk menyerahkan kata laluan atau kod. |
| Pengesahan langkah-naik (step-up) | Meminta faktor kedua sekali lagi sebelum tindakan sensitif, seperti menukar butiran pembayaran. |
Kesilapan dan salah faham yang biasa
- "2FA menjadikan akaun tidak boleh digodam." Ia menjadikannya jauh lebih sukar. Laman pancingan masih boleh menangkap kod yang ditaip secara masa nyata, sebab itulah passkey wujud.
- Menyemak kod hanya dalam pelayar. Jika pelayan mengeluarkan sesi penuh selepas kata laluan, skrin kod hanyalah hiasan. Pelayan mesti menolak akses sehingga faktor kedua lulus.
- Tiada had untuk tekaan kod. Kod enam digit mempunyai satu juta kemungkinan. Tanpa had kadar dan kunci, penyerang boleh terus meneka.
- Lupa pemulihan. Tanpa kod pemulihan, setiap telefon yang hilang menjadi tiket sokongan, atau pelanggan yang terkunci.
- Menyimpan rahsia TOTP secara cuai. Rahsia dikongsi patut disulitkan dalam pangkalan data, dan tidak pernah ditunjukkan lagi selepas persediaan.
- Membenarkan pengguna mematikan 2FA tanpa semakan semula. Menyahaktifkan 2FA atau menukar e-mel hendaklah memerlukan kata laluan dan kod semasa.
- Kata laluan ditambah soalan keselamatan dikira sebagai 2FA. Tidak — kedua-duanya ialah perkara yang anda tahu.
Apa yang perlu diminta daripada pembina AI anda
- "Tambah pengesahan dua faktor pilihan menggunakan app pengesah (TOTP), dengan kod QR untuk persediaan dan kod pengesahan sebelum ia diaktifkan."
- "Paparkan sepuluh kod pemulihan sekali guna apabila 2FA diaktifkan. Simpan kod itu dalam bentuk hash, seperti kata laluan."
- "Kuatkuasakan 2FA di pelayan: tiada sesi penuh sehingga faktor kedua lulus."
- "Hadkan percubaan kod dan kunci log masuk selama 15 minit selepas beberapa kegagalan. E-melkan pengguna apabila itu berlaku."
- "Wajibkan 2FA untuk akaun pentadbir."
- "Minta kata laluan dan kod semasa sebelum menyahaktifkan 2FA atau menukar e-mel akaun."
- "Gunakan pustaka yang terkenal atau 2FA terbina dalam penyedia pengesahan kami — jangan tulis kriptografi sendiri."
- "Terangkan kaedah yang anda gunakan dan di mana rahsia disimpan."
Jika anda menggunakan penyedia pengesahan yang dihoskan, semak sama ada ia sudah menawarkan 2FA atau passkey; menghidupkan ciri terbina dalam biasanya lebih selamat daripada kod tersuai. Versi langkah demi langkah ada dalam cara menambah pengesahan dua faktor, dan apa itu pengesahan meliputi asas log masuk di bawahnya.
Pengesahan dua faktor dalam Mythex
Mythex tidak menyertakan sistem log masuk terbina dalam untuk pengguna app anda, jadi 2FA ialah sebahagian daripada apa jua pendekatan pengesahan yang anda pilih — log masuk e-mel dan kata laluan anda sendiri yang disokong oleh pangkalan data projek, atau penyedia yang dihoskan yang menawarkan 2FA. Anda meminta ejen menambahnya dalam sembang, dan sebarang kunci penyedia diletakkan dalam rahsia projek dan bukan dalam sembang itu sendiri. Resipi dokumentasi tentang menambah log masuk pada app anda mempunyai arahan permulaan untuk diadaptasi, dan keselamatan untuk app yang anda bina meliputi tabiat sekitar kunci. Sebelum pelancaran, lalui senarai semak keselamatan untuk app yang dibina dengan AI.
Soalan lazim
Apa itu pengesahan dua faktor dalam istilah mudah?
Pengesahan dua faktor (2FA) bermaksud log masuk memerlukan dua jenis bukti yang berbeza, biasanya kata laluan anda ditambah kod daripada telefon anda atau kunci keselamatan. Sesiapa yang hanya mencuri kata laluan anda tetap tidak dapat masuk.
Adakah 2FA sama dengan MFA?
Hampir sama. Pengesahan berbilang faktor (MFA) bermaksud dua faktor atau lebih; pengesahan dua faktor ialah kes yang paling biasa dengan tepat dua. Dalam penggunaan harian, istilah ini digunakan secara bertukar ganti.
Adakah pengesahan dua faktor melalui SMS selamat?
Ia jauh lebih baik daripada kata laluan sahaja, tetapi ia pilihan biasa yang paling lemah. Mesej teks boleh dipintas atau dialihkan melalui SIM swapping, dan laman log masuk palsu boleh menipu orang untuk menaip kod itu. App pengesah lebih kukuh, dan passkey atau kunci keselamatan lebih kukuh lagi.
Adakah app saya memerlukan pengesahan dua faktor?
Jika akaun memegang wang, data peribadi, atau kuasa pentadbir ke atas pengguna lain, menawarkan 2FA ialah idea yang baik, dan mewajibkannya untuk pentadbir adalah perkara biasa. Untuk app hobi yang ringkas, ia boleh menjadi pilihan atau ditangguhkan.
Apa yang berlaku jika pengguna kehilangan telefonnya?
Itulah kegunaan kod pemulihan: senarai pendek kod sandaran sekali guna yang dipaparkan apabila 2FA diaktifkan. Tanpanya, pemulihan biasanya memerlukan semakan identiti secara manual oleh pemilik app, jadi rancang perkara ini sebelum pelancaran.