Ce este autentificarea în doi factori? Ghid simplu

Autentificarea în doi factori (2FA) este un mod de autentificare care cere două tipuri diferite de dovadă că ești cine spui că ești — de obicei ceva ce știi, precum o parolă, plus ceva ce ai, precum telefonul sau o cheie de securitate. Dacă cineva fură sau ghicește parola ta, tot nu poate intra fără al doilea factor. Este una dintre cele mai simple modalități de a proteja conturile care contează.

De ce contează când construiești cu AI

Când ceri unui constructor AI „login”, de obicei primești e-mail și parolă. Este un început bun, dar parolele se refolosesc, sunt păcălite prin phishing și scurse. Dacă aplicația ta deține ceva valoros — fișe de clienți, facturi, comenzi de administrator, setări de plată — o singură parolă furată ar putea expune totul.

2FA afectează și decizii la care s-ar putea să nu te gândești de la început:

• Cine trebuie să îl folosească. Opțional pentru toți, obligatoriu pentru administratori sau obligatoriu pentru toată lumea?
• Ce metode accepți. Coduri dintr-o aplicație, mesaje text, passkey-uri, chei de securitate.
• Ce se întâmplă când cineva este blocat afară. Telefoanele pierdute sunt cea mai comună cerere de suport pentru orice aplicație cu 2FA.
• Unde se aplică. Verificarea trebuie făcută pe server. Un ecran 2FA care doar ascunde pagina în browser poate fi ocolit.

Nu trebuie să construiești singur criptografia — bibliotecile bine testate și furnizorii de autentificare se ocupă de asta. Dar trebuie să știi ce să ceri.

O analogie din viața de zi cu zi

Gândește-te la o cutie de depozit a unei bănci. Ca s-o deschizi, ai nevoie de buletin (ceva ce banca verifică că ești sau știi) și de cheia fizică (ceva ce ai). Un hoț care copiază semnătura ta tot nu are cheia. Un hoț care îți fură cheia nu trece de verificarea buletinului.

2FA funcționează la fel. Parola este semnătura; telefonul sau cheia de securitate este cheia fizică. Fiecare, singur, nu este suficient.

Cei trei tipuri de factori

Standardele de securitate, precum ghidurile de identitate digitală ale Institutului Național de Standarde și Tehnologie din SUA (NIST), grupează factorii în trei tipuri:

Cuvântul-cheie este diferit. O parolă plus o întrebare de securitate sunt două lucruri pe care le știi, deci nu este autentificare reală în doi factori. Dacă o singură scurgere poate dezvălui ambele, valorează doar ca unul.

Metodele comune de 2FA comparate

Ghidurile NIST consideră metodele în care introduci un cod (SMS, e-mail, aplicații de autentificare) ca nerezistente la phishing și marchează trimiterea codurilor prin rețeaua telefonică drept „restricționată”. Passkey-urile și cheile hardware de securitate, bazate pe standardele WebAuthn/FIDO2, sunt cele pe care le consideră rezistente la phishing.

Concluzia practică: o aplicație de autentificare este un punct de plecare puternic și simplu pentru majoritatea aplicațiilor, iar passkey-urile merită oferite dacă utilizatorii tăi se simt confortabil cu ele.

Un exemplu practic: 2FA pentru un portal de clienți

Să zicem că ai construit un portal în care o firmă mică de contabilitate împarte documente fiscale cu clienții. Iată cum arată o configurare sensibilă a 2FA, pas cu pas.

Activarea (înrolarea). Priya, o clientă, deschide Setările și apasă „Activează autentificarea în doi factori”. Aplicația generează un secret și îl arată ca un cod QR. Ea îl scanează cu aplicația sa de autentificare, care începe să afișeze coduri de șase cifre. Introduce înapoi în portal codul curent, ca să dovedească că setarea a funcționat. Aplicația afișează zece coduri de recuperare și îi cere să le salveze undeva în siguranță.

Autentificarea ulterioară.

1. Priya își introduce e-mailul și parola. Serverul le verifică.
2. În loc să o lase direct înăuntru, serverul marchează sesiunea ca „parola OK, al doilea factor în așteptare” și afișează ecranul cu cod.
3. Ea introduce codul din aplicație. Serverul îl verifică față de secretul stocat, admițând o mică derivă a ceasului.
4. Abia acum serverul creează o sesiune completă și îi lasă accesul la documente.

Ce vede un atacator. Dacă parola Priyei a fost scursă de pe alt site, atacatorul rămâne blocat la pasul 3. Fiecare încercare greșită de cod este numărată, iar după câteva încercări greșite contul este blocat temporar, iar Priya primește un e-mail.

Când își pierde telefonul. Priya folosește unul dintre codurile de recuperare ca să intre, dezactivează 2FA și îl reactivează cu noul telefon, primind coduri de recuperare noi. Codul folosit nu mai poate fi folosit niciodată.

Pentru angajați. Contabilii firmei pot vedea fișierele fiecărui client, deci portalul cere 2FA pentru conturile de angajați; nu pot ajunge la tabloul de bord până nu se înrolează.

Termeni comuni explicați

Greșeli frecvente și concepții greșite

• „2FA face contul de nespart.” Îl face mult mai greu de spart. Site-urile de phishing pot capta în timp real codurile introduse, de aceea există passkey-urile.
• Verificarea codului doar în browser. Dacă serverul emite o sesiune completă după parolă, ecranul cu cod este doar decor. Serverul trebuie să refuze accesul până trece al doilea factor.
• Nicio limită la încercările de cod. Un cod de șase cifre are un milion de variante. Fără limitare de rată și blocări, un atacator poate pur și simplu să tot ghicească.
• Uitarea recuperării. Fără coduri de recuperare, fiecare telefon pierdut devine un tichet de suport sau un client blocat afară.
• Stocarea neglijentă a secretului TOTP. Secretul partajat trebuie criptat în baza de date și nu trebuie afișat niciodată din nou după configurare.
• Permiterea dezactivării 2FA fără reconfirmare. Dezactivarea 2FA sau schimbarea e-mailului contului trebuie să ceară parola și un cod curent.
• Parola plus o întrebare de securitate ca 2FA. Nu este, pentru că ambele sunt lucruri pe care le știi.

Ce să ceri constructorului tău AI

• „Adaugă autentificare în doi factori opțională folosind o aplicație de autentificare (TOTP), cu cod QR pentru configurare și un cod de confirmare înainte de activare.”
• „Când 2FA este activată, afișează zece coduri de recuperare de unică folosință. Stochează-le criptate (hash), ca parolele.”
• „Impune 2FA pe server: fără sesiune completă până când trece al doilea factor.”
• „Limitează încercările de cod și blochează autentificarea pentru 15 minute după eșecuri repetate. Trimite utilizatorului un e-mail când se întâmplă asta.”
• „Cere 2FA pentru conturile de administrator.”
• „Cere parola și un cod curent înainte de a dezactiva 2FA sau de a schimba e-mailul contului.”
• „Folosește o bibliotecă bine cunoscută sau funcția de 2FA integrată a furnizorului nostru de autentificare — nu scrie tu criptografia.”
• „Explică ce metodă ai folosit și unde sunt stocate secretele.”

Dacă folosești un furnizor de autentificare găzduit, verifică dacă oferă deja 2FA sau passkeys; activarea unei funcții integrate este de obicei mai sigură decât cod personalizat. Versiunea pas cu pas este în cum să adaugi autentificarea în doi factori, iar ce este autentificarea explică bazele care stau sub ea.

Autentificarea în doi factori în Mythex

Mythex nu include un sistem de autentificare integrat pentru utilizatorii aplicației tale, așa că 2FA face parte din orice abordare de autentificare alegi — propria autentificare cu e-mail și parolă, sprijinită de baza de date a proiectului, sau un furnizor găzduit care oferă 2FA. Ceri agentului să o adauge în chat, iar cheile furnizorului se pun în secretele proiectului, nu în chat. Rețeta din documentație despre adăugarea autentificării în aplicația ta are un prompt de pornire pe care îl poți adapta, iar securitatea pentru aplicațiile pe care le construiești acoperă obiceiurile legate de chei. Înainte de lansare, parcurge lista de verificare de securitate pentru aplicațiile construite cu AI.

Întrebări