Çfarë është autentikimi me dy faktorë? Udhëzues i thjeshtë

Autentikimi me dy faktorë (2FA) është një hyrje që kërkon dy lloje të ndryshme prove se jeni ai që thoni — zakonisht diçka që dini, si një fjalëkalim, plus diçka që keni, si telefonin ose një çelës sigurie. Nëse një kriminel vjen te fjalëkalimi juaj ose e hamendëson, ende nuk mund të hyjë pa faktorin e dytë. Është një nga mënyrat më të thjeshta për të mbrojtur llogaritë që kanë rëndësi.

Pse ka rëndësi kur ndërtoni me AI

Kur i kërkoni një ndërtuesi me AI “hyrje”, zakonisht merrni email dhe fjalëkalim. Kjo është një fillesë e mirë, por fjalëkalimet riperdoren, phishing-ohen dhe rrjedhin. Nëse aplikacioni juaj mban diçka me vlerë — të dhëna klientësh, fatura, kontrolle administratori, cilësime pagesash — një fjalëkalim i vjedhur mund të ekspozojë gjithçka.

2FA prek edhe vendime që ndoshta nuk i mendoni në fillim:

• Kush duhet ta përdorë. Opsionale për të gjithë, e detyrueshme për administratorët, apo e detyrueshme për të gjithë?
• Cilat metoda mbështesni. Kode nga një aplikacion, mesazhe me tekst, passkeys, çelësa sigurie.
• Çfarë ndodh kur dikush mbetet jashtë llogarisë. Telefonat e humbur janë kërkesa më e zakonshme për mbështetje në çdo aplikacion me 2FA.
• Ku zbatohet. Kontrolli duhet të bëhet në server. Një ekran 2FA që vetëm fsheh faqen në shfletues mund të kapërcehet.

Nuk duhet ta ndërtoni vetë kriptografinë — bibliotekat e testuara mirë dhe ofruesit e autentikimit e bëjnë këtë. Por duhet ta dini çfarë të kërkoni.

Një analogji e përditshme

Mendoni për një kasafortë depozitimi në bankë. Për ta hapur, ju duhet dokumenti juaj (diçka që banka kontrollon se jeni ose dini) dhe çelësi fizik (diçka që keni). Një hajdut që kopjon nënshkrimin tuaj ende nuk ka çelësin. Një hajdut që vjedh çelësin ende nuk kalon kontrollin e identitetit.

2FA funksionon në të njëjtën mënyrë. Fjalëkalimi është nënshkrimi; telefoni ose çelësi i sigurisë është çelësi fizik. Secili veç e veçtë nuk mjafton.

Tre llojet e faktorëve

Standardet e sigurisë, si udhëzimet e Institutit Kombëtar të Standardeve dhe Teknologjisë të SHBA-së (NIST) për identitetin digjital, i grupojnë faktorët në tre lloje:

Fjala kyçe është e ndryshme. Një fjalëkalim plus një pyetje sigurie janë dy gjëra që dini, kështu që nuk është autentikim i vërtetë me dy faktorë. Nëse një rrjedhje e vetme mund t'i zbulojë të dyja, llogaritet vetëm si një.

Metodat e zakonshme 2FA, të krahasuara

Udhëzimi i NIST trajton metodat ku shkruani një kod (SMS, email, aplikacione autentikuese) si jo rezistente ndaj phishing-ut, dhe i shënon dërgimet e kodeve përmes rrjetit telefonik si “të kufizuara”. Passkeys dhe çelësat fizikë të sigurisë, të bazuar në standardet WebAuthn/FIDO2, janë ato që i konsideron rezistente ndaj phishing-ut.

Një konkluzion praktik: një aplikacion autentikues është një parazgjedhje e fortë dhe e lehtë për shumicën e aplikacioneve, dhe passkeys vlen të ofrohen nëse përdoruesit tuaj janë të rehatshëm me to.

Një shembull i punuar: 2FA për një portal klientësh

Supozoni se keni ndërtuar një portal ku një firmë e vogël kontabiliteti ndan dokumente tatimore me klientët. Ja si funksionon një konfigurim i arsyeshëm 2FA, hap pas hapi.

Aktivizimi (regjistrimi). Priya, një klient, hap Cilësimet dhe klikon “Aktivizo autentikimin me dy faktorë.” Aplikacioni gjeneron një sekret dhe e shfaq si kod QR. Ajo e skanon me aplikacionin e saj autentikues, që fillon të shfaqë kode gjashtëshifrore. Shkruan kodin aktual përsëri në portal për të provuar që konfigurimi funksionoi. Aplikacioni shfaq dhjetë kode rikuperimi dhe i kërkon të i ruajë diku të sigurt.

Hyrja më pas.

1. Priya shkruan email-in dhe fjalëkalimin e saj. Serveri i kontrollon.
2. Në vend që ta hapë menjëherë, serveri e shënon sesionin si “fjalëkalimi OK, faktori i dytë në pritje” dhe shfaq ekranin e kodit.
3. Ajo shkruan kodin nga aplikacioni. Serveri e kontrollon kundrejt sekretit të ruajtur, duke lejuar pak zhvendosje të orës.
4. Vetëm tani serveri krijon një sesion të plotë dhe e lejon të shohë dokumentet.

Çfarë sheh një sulmues. Nëse fjalëkalimi i Priyës u rrjedh nga një sajt tjetër, sulmuesi ngec te hapi 3. Çdo tentativë e gabuar kodi numërohet, dhe pas disa gabimesh llogaria bllokohet përkohësisht dhe Priya merr një email.

Humbja e telefonit. Priya përdor një nga kodet e rikuperimit për t'u futur, e fik dhe e ndez përsëri 2FA me telefonin e ri dhe merr kode të reja rikuperimi. Kodi i përdorur s'mund të përdoret më kurrë.

Për stafin. Kontabilistët e firmës mund të shohin çdo dosje klienti, prandaj portali kërkon 2FA për llogaritë e stafit; nuk mund të arrijnë panelin deri sa të regjistrohen.

Terma të shpjeguara

Gabime dhe keqkuptime të zakonshme

• “2FA e bën llogarinë të pathyeshme.” E bën shumë më të vështirë. Faqet e phishing-ut mund ta kapin kodin e shkruar në kohë reale, prandaj ekzistojnë passkeys.
• Kontrollimi i kodit vetëm në shfletues. Nëse serveri jep një sesion të plotë pas fjalëkalimit, ekrani i kodit është dekoracion. Serveri duhet të refuzojë hyrjen deri sa faktori i dytë të kalojë.
• Pa kufi për tentativat e kodit. Një kod gjashtëshifror ka një milion mundësi. Pa kufizim të shpejtësisë dhe bllokime, një sulmues mund të vazhdojë thjesht të hamendësojë.
• Harrimi i rikuperimit. Pa kode rikuperimi, çdo telefon i humbur bëhet kërkesë mbështetjeje, ose një klient i bllokuar.
• Ruajtja e pakujdesshme e sekretit TOTP. Sekreti i përbashkët duhet të enkriptohet në bazën e të dhënave dhe të mos shfaqet më pas konfigurimit.
• Lejimi i përdoruesve të fikin 2FA pa u rikontrolluar. Çaktivizimi i 2FA ose ndryshimi i email-it duhet të kërkojë fjalëkalimin dhe një kod aktual.
• Fjalëkalimi plus një pyetje sigurie llogaritet si 2FA. Nuk llogaritet — të dyja janë gjëra që dini.

Çfarë t'i kërkoni ndërtuesit tuaj me AI

• “Shto autentikim opsional me dy faktorë duke përdorur një aplikacion autentikues (TOTP), me kod QR për konfigurimin dhe një kod konfirmimi përpara se të aktivizohet.”
• “Shfaq dhjetë kode rikuperimi me përdorim të vetëm kur aktivizohet 2FA. Ruaji ato të hash-uara, si fjalëkalimet.”
• “Zbato 2FA në server: asnjë sesion i plotë deri sa faktori i dytë të kalojë.”
• “Kufizo tentativat e kodit dhe blloko hyrjen për 15 minuta pas disa dështimeve. Dërgo email përdoruesit kur ndodh kjo.”
• “Kërko 2FA për llogaritë e administratorit.”
• “Kërko fjalëkalimin dhe një kod aktual përpara se të çaktivizohet 2FA ose të ndryshohet email-i i llogarisë.”
• “Përdor një bibliotekë të njohur ose 2FA të integruar të ofruesit tonë të autentikimit — mos e shkruaj vetë kriptografinë.”
• “Shpjego cilën metodë përdore dhe ku ruhen sekretet.”

Nëse përdorni një ofrues të jashtëm autentikimi, kontrolloni nëse ai ofron tashmë 2FA ose passkeys; aktivizimi i një veçorie të integruar është zakonisht më i sigurt se kodi i personalizuar. Versioni hap pas hapi është në si të shtoni autentikimin me dy faktorë, dhe çfarë është autentikimi shpjegon bazat e hyrjes nën të.

Autentikimi me dy faktorë në Mythex

Mythex nuk përfshin një sistem hyrjeje të integruar për përdoruesit e aplikacionit tuaj, prandaj 2FA është pjesë e çdo qasjeje autentikimi që zgjidhni — hyrjen tuaj me email dhe fjalëkalim të mbështetur nga baza e të dhënave e projektit, ose një ofrues të hostuar që ofron 2FA. E kërkoni agjentit ta shtojë në chat, dhe çelësat e ofruesit futen te sekretet e projektit, jo në vetë chat-in. Recetën e dokumentacionit për shtimin e hyrjes në aplikacionin tuaj ka një kërkesë fillestare për ta përshtatur, dhe siguria për aplikacionet që ndërtoni mbulon zakonet rreth çelësave. Para lansimit, kaloni listën e sigurisë për aplikacionet e ndërtuara me AI.

Pyetje