2 FA (Two-Factor Authentication), czyli uwierzytelnianie dwuskładnikowe, to znakomicie działające i proste w użyciu zabezpieczenie naszych kont cyfrowych wszelkiego rodzaju. Im cenniejsze informacje o nas przechowuje dane konto, tym bardziej powinniśmy je zabezpieczyć włączając 2FA.
Idea uwierzytelniania dwuskładnikowego polega na tym, że zalogowanie lub dokonanie innej ważnej operacji wymaga wykonania dwóch czynności: podstawowej – podania loginu i stałego hasła oraz dodatkowej – identyfikacji naszej tożsamości w inny sposób, na przykład: podania jednorazowego hasła przesłanego innym kanałem komunikacji (sms) lub zidentyfikowania naszego odcisku palca czy twarzy. Dzięki temu, nawet gdy haker uzyska Twój login i hasło do konta, nie będzie on w stanie się na nie zalogować lub dokonać istotnych i niekorzystnych dla Ciebie operacji, bo nie będzie miał dostępu do tego drugiego, dodatkowego składnika uwierzytelniającego.
Udostępnienie możliwości korzystania z 2FA jest obecnie standardem i wymogiem, na przykład w bankowości elektronicznej. Z pewnością logując się do Twojego banku lub dokonując przelewu, oprócz wpisania loginu i stałego hasła, musisz dodać coś jeszcze – kod sms, który bank przesyła na Twój telefon lub potwierdzenie operacji poprzez aplikację mobilną. To właśnie działa 2FA.
Jeśli przekażesz nieświadomie swoje dane logowania przestępcy będzie on na przykład próbował przelać pieniądze z Twojego konta. W tym celu będzie musiał jednak wpisać dodatkowe hasło, które bank prześle na Twój telefon lub dokonać zatwierdzenia przelewu w aplikacji mobilnej, która jest zainstalowana na Twoim telefonie. Zatem, jeżeli jednocześnie nie będzie miał do dyspozycji Twojego odblokowanego urządzenia, to pomimo uzyskania dostępu do konta, najprawdopodobniej nie będzie w stanie wyrządzić Ci krzywdy.
To samo dotyczy wszelkich innych kont, do których się logujemy. Są to na przykład nasze prywatne lub służbowe skrzynki mejlowe czy konta w sklepach internetowych. Ich operatorzy często proponują włączenie uwierzytelniania dwuskładnikowego. Jeśli masz taką możliwość – zrób to. Wtedy, gdy na skutek phishingu ujawnisz hakerowi hasło do swojej poczty elektronicznej, nie będzie on mógł się tam zalogować i czytać Twoich prywatnych, czasami intymnych, treści. Nie wejdzie na Twoją skrzynkę, bo dodatkowe jednorazowe hasło do zalogowania trafi na Twój telefon, którego Ci przecież wirtualnie nie ukradnie ;).
Wpisanie dodatkowego hasła trwa może pół minuty, a dzięki temu możesz uratować swoje prywatne lub służbowe treści.
Z tych samych przyczyn, wszyscy administratorzy danych, którzy przetwarzają dane osobowe w swoich systemach teleinformatycznych powinni zadbać o to, aby logowanie do nich wymagało 2FA. Czyli, po pierwsze – aby było udostępnione, a po drugie – aby było włączone przez wszystkich użytkowników. Można to po prostu wymusić odpowiednią konfiguracją systemu. Jest to niezwykle istotne, gdyż bardzo duża część wycieków danych lub wrogiego zaszyfrowania serwerów odbywa się dzięki wykradnięciu danych logowania z pomocą phishingu. A to, jeśli nie działa 2FA, otwiera przestępcom drogę do ataku.
W poniższym artykule znajdziecie Państwo przykład rzeczywistego ataku na sieć hoteli, przed którym ochroniłoby rozwiązanie 2FA.
Podsumowując, uwierzytelnianie dwuskładnikowe jest obecnie kluczowym elementem strategii bezpieczeństwa, który znacznie zwiększa ochronę kont i danych, a jego wdrożenie jest bezwzględnie korzystne dla organizacji.
Dodatkowo, połączenie 2FA z mechanizmem automatycznego blokowania dostępu po założonej ilości nieudanych prób logowania, pozwala nie tylko zminimalizować ryzyko uzyskania nieuprawnionego dostępu, ale jednocześnie umożliwia istotne zmniejszenie częstotliwości obowiązkowej zmiany haseł.
Jak w większości przypadków użytku komercyjnego, tak i w tym – przy wyborze określonego rozwiązania implementującego 2FA należy brać pod uwagę wyłącznie aplikacje/narzędzia profesjonalne, zapewniające określony poziom bezpieczeństwa i dostosowane swoim zakresem do wymagań danej organizacji.
2FA nie jest oczywiście stuprocentowo skuteczne, bo takich rozwiązań nie ma, ale bardzo podnosi poziom zabezpieczeń.