Uthibitishaji wa Hatua Mbili ni nini? Mwongozo Rahisi

Uthibitishaji wa hatua mbili (2FA) ni aina ya kuingia inayoomba aina mbili tofauti za uthibitisho kwamba wewe ndiye unayesema wewe ni — kwa kawaida kitu unachokijua, kama nenosiri, pamoja na kitu unachokimiliki, kama simu yako au kifaa cha usalama. Mhalifu akiiba au kukisia nenosiri lako, bado hataweza kuingia bila uthibitisho wa pili. Ni mojawapo ya njia rahisi zaidi za kulinda akaunti zenye umuhimu.

Kwa nini ni muhimu unapojenga kwa AI

Ukimwomba mjenzi wa AI "kuingia", kwa kawaida utapata barua pepe na nenosiri. Hilo ni mwanzo mzuri, lakini manenosiri hutumika tena, huibiwa kwa hila (phishing) na huvuja. Ikiwa programu yako inashikilia kitu cha thamani — rekodi za wateja, ankara, udhibiti wa msimamizi, mipangilio ya malipo — nenosiri moja lililoibiwa linaweza kufichua yote.

2FA pia inagusa maamuzi ambayo huenda usiyafikirie mwanzoni:

• Nani lazima aitumie. Hiari kwa wote, inahitajika kwa wasimamizi, au inahitajika kwa wote?
• Njia zipi unazounga mkono. Misimbo kutoka programu, ujumbe wa maandishi, passkeys, vifaa vya usalama.
• Nini kinatokea mtu akifungiwa nje. Simu zilizopotea ndizo ombi la msaada la kawaida zaidi kwa programu yoyote yenye 2FA.
• Inatekelezwa wapi. Ukaguzi lazima ufanyike kwenye seva. Skrini ya 2FA inayoficha ukurasa tu kwenye kivinjari inaweza kupitishwa.

Huhitaji kujenga cryptography mwenyewe — maktaba zilizojaribiwa vizuri na watoa huduma wa uthibitishaji wanashughulikia hilo. Lakini unahitaji kujua unachopaswa kuomba.

Mfano wa kila siku

Fikiria kisanduku salama cha benki. Ili kukifungua, unahitaji kitambulisho chako (kitu benki inakagua kwamba wewe ni au unajua) na ufunguo wa kimwili (kitu unachokuwa nacho). Mwizi anayenakili sahihi yako bado hana ufunguo. Mwizi anayeiba ufunguo bado hawezi kupita ukaguzi wa kitambulisho.

2FA inafanya kazi kwa njia hiyohiyo. Nenosiri ndiyo sahihi; simu au kifaa cha usalama ndicho ufunguo wa kimwili. Kila kimoja peke yake hakitoshi.

Aina tatu za vipengele

Viwango vya usalama, kama miongozo ya utambulisho wa kidijitali ya Taasisi ya Kitaifa ya Viwango na Teknolojia ya Marekani (NIST), vinagawanya vipengele katika aina tatu:

Neno muhimu ni tofauti. Nenosiri pamoja na swali la usalama ni vitu viwili unavyovijua, kwa hiyo si uthibitishaji wa hatua mbili wa kweli. Ikiwa uvujaji mmoja unaweza kufichua vyote viwili, unahesabiwa kama kimoja tu.

Njia za kawaida za 2FA zilizolinganishwa

Mwongozo wa NIST unachukulia mbinu ambapo unaandika msimbo (SMS, barua pepe, programu za uthibitishaji) kuwa sio zinazostahimili phishing, na unaweka alama kwamba kutuma misimbo kupitia mtandao wa simu ni "kikomo". Passkeys na vifaa vya usalama vya maunzi, vinavyotegemea viwango vya WebAuthn/FIDO2, ndivyo inavyovihesabu kuwa vinastahimili phishing.

Utaratibu wa vitendo: programu ya uthibitishaji ni chaguo-msingi imara na rahisi kwa programu nyingi, na passkeys zinafaa kutolewa ikiwa watumiaji wako wamestarehe nazo.

Mfano wa kazi: 2FA kwa lango la mteja

Sema umejenga lango ambapo kampuni ndogo ya uhasibu inashiriki nyaraka za kodi na wateja wake. Hii ndiyo mipangilio sahihi ya 2FA, hatua kwa hatua.

Kuiwasha (usajili). Priya, mteja, anafungua Mipangilio na kubofya "Washa uthibitishaji wa hatua mbili." Programu inazalisha siri na kuionyesha kama msimbo wa QR. Anaiskani kwa programu yake ya uthibitishaji, ambayo inaanza kuonyesha misimbo ya tarakimu sita. Anaandika msimbo wa sasa kurudi kwenye lango ili kuthibitisha usanidi umefanya kazi. Programu inaonyesha misimbo kumi ya kurejesha na kumwomba aihifadhi mahali salama.

Kuingia baadaye.

1. Priya anaweka barua pepe na nenosiri lake. Seva inavikagua.
2. Badala ya kumwingiza moja kwa moja, seva inaweka kipindi kama "nenosiri sawa, kipengele cha pili kinasubiri" na kuonyesha skrini ya msimbo.
3. Anaandika msimbo kutoka kwenye programu yake. Seva inaulinganisha na siri yake iliyohifadhiwa, ikiruhusu tofauti ndogo ya saa.
4. Ndipo tu seva inaunda kipindi kamili na kumruhusu aone nyaraka.

Mshambuliaji anachokiona. Ikiwa nenosiri la Priya lilivuja kutoka tovuti nyingine, mshambuliaji amekwama kwenye hatua ya 3. Kila jaribio la msimbo lililoshindwa linahesabiwa, na baada ya majaribio kadhaa mabaya akaunti inafungwa kwa muda na Priya anapata barua pepe.

Kupoteza simu. Priya anatumia mojawapo ya misimbo yake ya kurejesha kuingia, anazima 2FA kisha kuiwasha tena kwa simu yake mpya, na anapata misimbo mipya ya kurejesha. Msimbo uliotumika hautawahi kutumika tena.

Kwa wafanyakazi. Wahasibu wa kampuni wanaweza kuona faili za kila mteja, kwa hiyo lango linahitaji 2FA kwa akaunti za wafanyakazi; hawawezi kufikia dashibodi hadi wamejisajili.

Maneno ya kawaida yaliyofafanuliwa

Makosa ya kawaida na dhana potofu

• "2FA inafanya akaunti isidukuliwe." Inafanya iwe ngumu zaidi. Tovuti za phishing bado zinaweza kunasa misimbo iliyoandikwa kwa wakati halisi, ndiyo sababu passkeys zipo.
• Kukagua msimbo kwenye kivinjari pekee. Ikiwa seva inatoa kipindi kamili baada ya nenosiri, skrini ya msimbo ni mapambo tu. Seva lazima ikatae ufikiaji hadi kipengele cha pili kipite.
• Hakuna kikomo kwa makisio ya msimbo. Msimbo wa tarakimu sita una uwezekano milioni moja. Bila kikomo cha maombi na kufunga akaunti, mshambuliaji anaweza kuendelea kukisia tu.
• Kusahau urejeshaji. Bila misimbo ya kurejesha, kila simu iliyopotea inakuwa tiketi ya msaada, au mteja aliyefungiwa nje.
• Kuhifadhi siri ya TOTP bila uangalifu. Siri ya pamoja inapaswa kusimbwa kwa njia fiche kwenye hifadhidata, na isionyeshwe tena baada ya usanidi.
• Kuruhusu watumiaji kuzima 2FA bila kuthibitisha tena. Kuzima 2FA au kubadilisha barua pepe ya akaunti kunapaswa kuhitaji nenosiri na msimbo wa sasa.
• Nenosiri pamoja na swali la usalama kuhesabiwa kama 2FA. Sivyo — vyote viwili ni vitu unavyovijua.

Cha kumwomba zana yako ya kujenga ya AI

• "Ongeza uthibitishaji wa hatua mbili wa hiari kwa kutumia programu ya uthibitishaji (TOTP), pamoja na msimbo wa QR wa usanidi na msimbo wa uthibitisho kabla haujawashwa."
• "Onyesha misimbo kumi ya kurejesha ya matumizi moja 2FA inapowashwa. Ihifadhi ikiwa imesimbwa, kama manenosiri."
• "Tekeleza 2FA kwenye seva: hakuna kipindi kamili hadi kipengele cha pili kipite."
• "Weka kikomo cha majaribio ya msimbo na ufunge kuingia kwa dakika 15 baada ya kushindwa mara kadhaa. Tuma barua pepe kwa mtumiaji wakati hilo linapotokea."
• "Hitaji 2FA kwa akaunti za wasimamizi."
• "Omba nenosiri na msimbo wa sasa kabla ya kuzima 2FA au kubadilisha barua pepe ya akaunti."
• "Tumia maktaba inayojulikana sana au 2FA iliyojengwa ndani ya mtoa huduma wetu wa uthibitishaji — usiandike cryptography mwenyewe."
• "Eleza mbinu uliyotumia na mahali siri zinapohifadhiwa."

Ikiwa unatumia mtoa huduma wa uthibitishaji anayehudumiwa mtandaoni, angalia kama tayari anatoa 2FA au passkeys; kuwasha kipengele kilichojengwa ndani kwa kawaida ni salama zaidi kuliko msimbo maalum. Toleo la hatua kwa hatua liko katika jinsi ya kuongeza uthibitishaji wa hatua mbili, na uthibitishaji ni nini unaeleza misingi ya kuingia iliyo chini yake.

Uthibitishaji wa hatua mbili kwenye Mythex

Mythex haijumuishi mfumo wa kuingia uliojengwa ndani kwa watumiaji wa programu yako, kwa hiyo 2FA ni sehemu ya njia yoyote ya uthibitishaji utakayochagua — kuingia kwako mwenyewe kwa barua pepe na nenosiri kunakotegemea hifadhidata ya mradi, au mtoa huduma anayehudumiwa mtandaoni anayetoa 2FA. Unamwomba agent aiongeze kwenye chat, na funguo zozote za mtoa huduma huwekwa kwenye siri za mradi badala ya kuandikwa kwenye chat yenyewe. Mapishi ya nyaraka kuhusu kuongeza kuingia kwenye programu yako yana prompt ya kuanzia ya kubadilisha, na usalama kwa programu unazojenga unaeleza tabia za kutunza funguo. Kabla ya kuzindua, pitia orodha ya ukaguzi wa usalama kwa programu zilizojengwa na AI.

Maswali