Kaj je dvostopenjska prijava? Vodnik v preprostem jeziku
Dvostopenjska prijava (2FA) je prijava, ki zahteva dve različni vrsti dokaza, da ste to, kar trdite: običajno nekaj, kar poznate, na primer geslo, in nekaj, kar imate, na primer telefon ali varnostni ključ. Če kriminalec ukrade ali uganite vaše geslo, še vedno ne more vstopiti brez drugega dejavnika. Je ena najpreprostejših poti do zaščite računov, ki so pomembni.
Zakaj je to pomembno, ko gradite z AI
Ko AI graditelju rečete »prijava«, običajno dobite e-pošto in geslo. To je dober začetek, vendar se gesla ponovno uporabljajo, z njimi se goljufa ali pa jih uhajajo. Če aplikacija hrani kaj dragocenega – podatke strank, račune, skrbniške nastavitve, nastavitve plačil –, lahko eno ukradeno geslo izpostavi vse.
2FA vpliva tudi na odločitve, na katere morda sprva ne pomislite:
- Kdo jo mora uporabljati. Neobvezno za vse, obvezno za skrbnike ali obvezno za vse?
- Katere metode podpirate. Kode iz aplikacije, SMS-i, ključi za dostop, varnostni ključi.
- Kaj se zgodi, ko je nekdo zaklenjen. Izgubljeni telefoni so najpogostejša zahteva za podporo pri vsaki aplikaciji z 2FA.
- Kje se uveljavi. Preverjanje mora potekati na strežniku. Zaslon 2FA, ki le skrije stran v brskalniku, je mogoče preskočiti.
Kriptografije vam ni treba graditi sami – za to poskrbijo preizkušene knjižnice in ponudniki overjanja. Vendar morate vedeti, kaj zahtevati.
Vsakdanja primerjava
Pomislite na bančni sef. Da ga odprete, potrebujete osebno izkaznico (nekaj, kar banka preveri, da ste ali kaj poznate) in fizični ključ (nekaj, kar imate). Tat, ki ponaredi vaš podpis, še vedno nima ključa. Tat, ki ukrade ključ, pa še vedno ne more mimo preverjanja osebne izkaznice.
2FA deluje enako. Geslo je podpis, telefon ali varnostni ključ pa je fizični ključ. Vsak posamezno ni dovolj.
Tri vrste dejavnikov
Varnostni standardi, na primer smernice NIST-a (Nacionalni inštitut za standarde in tehnologijo ZDA) o digitalni identiteti, dejavnike združujejo v tri vrste:
| Dejavnik | Primeri |
|---|---|
| Nekaj, kar poznate | Geslo, PIN |
| Nekaj, kar imate | Telefon z aplikacijo za overjanje, varnostni ključ, naprava s ključem za dostop |
| Nekaj, kar ste | Prstni odtis, obraz – običajno za odklepanje naprave, ki nato opravi pravo preverjanje |
Ključna beseda je različen. Geslo in varnostno vprašanje sta dve stvari, ki ju poznate, zato to ni pravo dvostopenjsko preverjanje. Če ju lahko razkrije isto uhajanje, šteje le kot en dejavnik.
Primerjava pogostih metod 2FA
| Metoda | Kako deluje | Moč | Opombe |
|---|---|---|---|
| SMS-koda | Koda se pošlje v SMS na vašo telefonsko številko | Najšibkejša | Ranljiva za zamenjavo SIM-kartice in lažno predstavljanje, a veliko boljša kot brez 2FA |
| Koda po e-pošti | Koda se pošlje po e-pošti | Šibka | Le toliko varna, kot je varen e-poštni račun |
| Aplikacija za overjanje (TOTP) | Aplikacija, kot je Google Authenticator, na vsakih 30 sekund ustvari novo 6-mestno kodo | Dobra | Deluje brez povezave; še vedno se da napasti, če lažna stran zahteva kodo |
| Potrditev s potiskom | Aplikacija vpraša »Ste to vi?« in vi tapnete »Odobri« | Dobra | Pazite na »utrujenost od odobritev«, ko uporabniki tapajo da, da bi ustavili ponavljajoča se vprašanja |
| Ključ za dostop ali varnostni ključ | Kriptografski ključ na napravi dokaže, da ste na pravi strani | Najmočnejša | Odporen na lažno predstavljanje, ker se ne odzove na podobno domeno |
NIST-ova smernica obravnava metode, pri katerih vtipkate kodo (SMS, e-pošta, aplikacije za overjanje), kot ne odporne na lažno predstavljanje, pošiljanje kod prek telefonskega omrežja pa označi kot »omejeno«. Ključi za dostop in strojni varnostni ključi, ki temeljijo na standardih WebAuthn/FIDO2, so tisti, ki jih šteje za odporne na lažno predstavljanje.
Praktičen zaključek: aplikacija za overjanje je močna in enostavna privzeta izbira za večino aplikacij, ključi za dostop pa so vredni ponudbe, če so vaši uporabniki zanje dovolj dobro pripravljeni.
Delovni primer: 2FA za portal strank
Recimo, da ste zgradili portal, kjer majhna računovodska hiša deli davčne dokumente s svojimi strankami. Tukaj je, kako korak za korakom deluje smiselna nastavitev 2FA.
Vklop (registracija). Priya, stranka, odpre nastavitve in klikne »Vklopi dvostopenjsko prijavo«. Aplikacija ustvari skrivni ključ in ga prikaže kot QR kodo. Priya jo optično prebere s svojo aplikacijo za overjanje, ta pa začne prikazovati šestmestne kode. Trenutno kodo vtipka nazaj v portal, da dokaže, da nastavitev deluje. Aplikacija prikaže deset rezervnih kod in jo prosi, naj jih shrani na varno mesto.
Prijava pozneje.
- Priya vnese e-pošto in geslo. Strežnik ju preveri.
- Namesto da bi jo takoj prijavil, strežnik označi sejo kot »geslo v redu, drugi dejavnik čaka« in prikaže zaslon za kodo.
- Vtipka kodo iz svoje aplikacije. Strežnik jo preveri glede na shranjeni skrivni ključ, pri čemer dopusti malo odmika ure.
- Šele zdaj strežnik ustvari polno sejo in ji pokaže dokumente.
Kaj vidi napadalec. Če je Priyino geslo iz druge strani uhajalo, napadalec obtiči pri koraku 3. Vsak neuspel poskus kode se šteje, po nekaj napačnih poskusih pa se račun za nekaj časa zaklene in Priya dobi e-poštno sporočilo.
Če izgubi telefon. Priya se prijavi z eno od rezervnih kod, 2FA izklopi in ga z novim telefonom znova vklopi ter dobi nove rezervne kode. Uporabljena koda nikoli več ne more biti uporabljena.
Za zaposlene. Računovodje v podjetju lahko vidijo vse datoteke vsake stranke, zato portal za zaposlene zahteva 2FA; do nadzorne plošče ne morejo, dokler se ne registrirajo.
Pogosti izrazi, razloženi
| Izraz | Kaj pomeni |
|---|---|
| 2FA / MFA | Dvostopenjska / večfaktorska prijava: prijava z več kot eno vrsto dokaza. |
| Dejavnik | Ena vrsta dokaza: nekaj, kar poznate, imate ali ste. |
| TOTP | Časovno enkratno geslo – rotirajoče kode v aplikacijah za overjanje. |
| Skrivni ključ | Skrita vrednost, nastavljena prek QR kode, ki jo imata aplikacija in vaš telefon, da ustvarjata ujemajoče se kode. |
| Rezervne kode (backup) | Enkratne kode za prijavo, kadar izgubite drugi dejavnik. |
| Ključ za dostop (passkey) | Prijavna poverilnica, shranjena v napravi, ki namesto gesla uporablja kriptografijo z javnim ključem. |
| Varnostni ključ | Majhna fizična naprava (USB ali NFC), ki opravlja isto nalogo kot ključ za dostop. |
| Zamenjava SIM-kartice | Prevara operaterja, da prenese številko na novo SIM-kartico, tako da SMS-i pridejo napadalcu. |
| Lažno predstavljanje (phishing) | Lažna stran ali sporočilo, ki ljudi prepriča, da izdajo geslo ali kodo. |
| Overjanje ob korakih (step-up) | Ponovna zahteva po drugem dejavniku pred občutljivim dejanjem, na primer spremembo podatkov za izplačilo. |
Pogoste napake in zmote
- »2FA naredi račun nevdoren.« Močno ga oteži. Lažne strani lahko ujamejo vtipkane kode v realnem času, zato obstajajo ključi za dostop.
- Preverjanje kode samo v brskalniku. Če strežnik po geslu izda polno sejo, je zaslon s kodo le okrasek. Strežnik mora zavrniti dostop, dokler drugi dejavnik ni uspešno preverjen.
- Brez omejitve ugibanj kode. Šestmestna koda ima milijon možnosti. Brez omejevanja hitrosti in zaklepanja lahko napadalec preprosto nadaljuje z ugibanjem.
- Pozabljena obnovitev. Brez rezervnih kod postane vsak izgubljen telefon zahteva za podporo ali zaklenjena stranka.
- Nepazljivo shranjevanje TOTP skrivnega ključa. Skrivni ključ mora biti v bazi šifriran in se po nastavitvi nikoli več ne prikaže.
- Dovoljevanje uporabnikom, da 2FA izklopijo, ne da bi znova preverili. Izklop 2FA ali sprememba e-pošte mora zahtevati geslo in trenutno kodo.
- Geslo plus varnostno vprašanje šteje kot 2FA. Ne šteje – oboje sta stvari, ki ju poznate.
Kaj zahtevati od AI graditelja
- „Dodaj neobvezno dvostopenjsko prijavo z aplikacijo za overjanje (TOTP), z QR kodo za nastavitev in potrditveno kodo, preden se vklopi.“
- „Ob vklopu 2FA prikaži deset enkratnih rezervnih kod. Shrani jih zgoščene, kot gesla.“
- „Uveljavi 2FA na strežniku: brez polne seje, dokler drugi dejavnik ne uspe.“
- „Omeji poskuse kode in zakleni prijavo za 15 minut po ponavljajočih se napakah. Ob tem pošlji uporabniku e-pošto.“
- „Za skrbniške račune zahtevaj 2FA.“
- „Pred izklopom 2FA ali spremembo e-poštnega naslova računa zahtevaj geslo in trenutno kodo.“
- „Uporabi dobro znano knjižnico ali vgrajeno 2FA našega ponudnika overjanja – kriptografije ne piši sam.“
- „Razloži, katero metodo si uporabil in kje so shranjeni skrivni ključi.“
Če uporabljate gostiteljskega ponudnika overjanja, preverite, ali že ponuja 2FA ali ključe za dostop; vklop vgrajene funkcije je običajno varnejši kot lastna koda. Korak za korakom je opisan v kako dodati dvostopenjsko prijavo, kaj je overjanje pa pojasni osnove prijave pod tem.
Dvostopenjska prijava v Mythexu
Mythex svoje vgrajene prijavne sisteme za uporabnike vaše aplikacije ne vključuje, zato je 2FA del kateregakoli pristopa overjanja, ki ga izberete – lastna prijava z e-pošto in geslom, podprta z bazo projekta, ali gostiteljski ponudnik, ki ponuja 2FA. V klepetu agenta prosite, naj ga doda, ključi ponudnika pa gredo v skrivnosti projekta in ne v sam klepet. Recept v dokumentaciji o dodajanju prijave v vašo aplikacijo vsebuje začetni poziv, ki ga lahko prilagodite, varnost za aplikacije, ki jih gradite pa pokrije navade okoli ključev. Pred objavo pojdite skozi kontrolni seznam varnosti za aplikacije, narejene z AI.
Vprašanja
Kaj je dvostopenjska prijava preprosto povedano?
Dvostopenjska prijava (2FA) pomeni, da se za prijavo zahtevata dve različni vrsti dokaza, običajno geslo in koda z vašega telefona ali varnostni ključ. Kdor ukrade samo vaše geslo, še vedno ne more vstopiti.
Ali je 2FA isto kot MFA?
Skoraj. Večfaktorska prijava (MFA) pomeni dva ali več dejavnikov; dvostopenjska prijava je najpogostejši primer, ko so dejavniki točno dva. Pri vsakdanji rabi se izraza uporabljata zamenljivo.
Ali je dvostopenjska prijava s SMS-om varna?
Veliko boljša je kot samo geslo, vendar je najšibkejša pogosta možnost. SMS-na sporočila je mogoče prestreči ali preusmeriti z zamenjavo SIM-kartice, lažna prijavna stran pa lahko prepriča ljudi, da vtipkajo kodo. Aplikacije za overjanje so močnejše, ključi za dostop ali varnostni ključi pa so še močnejši.
Ali moja aplikacija potrebuje dvostopenjsko prijavo?
Če računi hranijo denar, zasebne podatke ali skrbniško oblast nad drugimi uporabniki, je ponudba 2FA dobra ideja, pogosto pa je zahtevana za skrbnike. Za preprosto hobi aplikacijo je lahko neobvezna ali se lahko odloži.
Kaj se zgodi, če uporabnik izgubi telefon?
Za to so rezervne kode: kratek seznam enkratnih rezervnih kod, ki se prikaže, ko vklopite 2FA. Brez njih obnovitev ponavadi pomeni ročno preverjanje identitete s strani lastnika aplikacije, zato to načrtujte pred objavo.