Ako používať dvojfaktorové overenie bez straty prístupu?

1. Záloha musí prežiť stratu hlavného telefónu

Dvojfaktorové overenie pridáva k heslu ďalší dôkaz, že účet patrí vám. Môže to byť kód z aplikácie, potvrdenie na zariadení alebo bezpečnostný kľúč. Pri plánovaní zálohy sa nepýtajte iba na to, či máte dva spôsoby prihlásenia. Dôležité je, či oba nezmiznú pri jednej udalosti. SMS aj autentifikačná aplikácia v tom istom telefóne vám pri jeho krádeži nemusia byť dostupné.

Praktický základ pre bežný osobný účet je autentifikačná aplikácia a záložné kódy uložené doma na bezpečnom mieste. Pri dôležitom účte môžete pridať druhý hardvérový bezpečnostný kľúč, ak to služba umožňuje. Jeden nosíte so sebou, druhý zostáva oddelene. Nemá zmysel kupovať ďalšie zariadenie, ak ho služba nepodporuje alebo ho budete nosiť v rovnakom puzdre ako prvé.

Urobte si krátky zoznam najdôležitejších účtov a pri každom si poznačte spôsob overenia a miesto zálohy. Samotné kódy do tohto zoznamu dávať nemusíte. Cieľom je vedieť, čo urobiť, keď telefón nebude poruke.

2. Vyberte si overovanie podľa rizika aj pohodlia

Pre mnohých ľudí je rozumným kompromisom autentifikačná aplikácia, napríklad Google Authenticator alebo Microsoft Authenticator. Bežné časové kódy vytvára aj bez mobilného signálu a internetu. Potrebuje však správny čas v zariadení. Nie každá položka v takejto aplikácii funguje rovnako: pracovné schvaľovanie prihlásenia môže vyžadovať pripojenie a novú registráciu po výmene mobilu.

SMS je spravidla lepšia než samotné heslo, ale závisí od dostupnosti čísla a má slabiny vrátane podvodného prevzatia SIM karty. Ak služba podporuje bezpečnostné kľúče FIDO2 alebo prístupové kľúče, získate aj lepšiu ochranu pred podvodnými prihlasovacími stránkami. Prístupový kľúč však môže nahrádzať celé prihlásenie heslom, nie iba druhý faktor. Overte si tiež, či sa synchronizuje, alebo zostáva na konkrétnom zariadení.

• Autentifikačná aplikácia: praktická na bežné používanie, no vyžaduje premyslenú zálohu alebo prenos.
• SMS: použiteľná tam, kde lepšia možnosť nie je; pri zmene čísla ju treba aktualizovať.
• Hardvérový bezpečnostný kľúč: vhodný najmä pre cenné účty, ideálne so samostatne zaregistrovaným náhradným kusom.

3. Záložné kódy uložte mimo účtu, ktorý chránia

Po zapnutí overenia vyhľadajte v bezpečnostných nastaveniach položku Záložné kódy, Obnovovacie kódy alebo podobne pomenovanú možnosť. Názvy aj dostupnosť sa medzi službami líšia. Tieto kódy často umožňujú nahradiť druhý faktor pri prihlásení. Väčšinou sú jednorazové, no služba môže namiesto sady ponúkať jediný obnovovací kľúč s odlišnými pravidlami.

Vhodné miesto je napríklad vytlačený list v uzamknutej zásuvke alebo šifrované úložisko, ku ktorému sa dostanete aj bez strateného telefónu. Snímka obrazovky uložená iba v mobile nie je spoľahlivá záloha. Rovnako nepomôže súbor na cloudovom disku, ak sa doň bez kódu z toho súboru nedokážete prihlásiť.

Uloženie v správcovi hesiel je pohodlné, ale má kompromis: ak sú heslo aj záložné kódy na jednom mieste, kompromitovanie správcu môže odhaliť oboje. Záložný kód k samotnému správcovi preto uchovávajte aj nezávisle od neho. Kódy neposielajte cez bežný chat a neodovzdávajte ich nikomu, kto sa predstaví ako podpora. Nová sada zvyčajne zneplatní starú, preto po jej vytvorení vymeňte aj uloženú kópiu.

4. Pri zálohovaní aplikácie overte aj cestu k zálohe

Niektoré autentifikačné aplikácie podporujú synchronizáciu, iné zálohovanie alebo ručný prenos účtov. Nepredpokladajte, že obnova celého telefónu automaticky obnoví všetky overovacie údaje. Pozrite si priamo nastavenia aplikácie a podmienky obnovy. Výsledok môže závisieť od operačného systému, typu účtu aj toho, či ste zálohovanie vôbec zapli.

Typický problém vznikne, keď aplikácia zálohuje kódy do účtu, ktorý pri obnove žiada práve jeden z týchto kódov. Synchronizácia je potom užitočná, ale sama nestačí. K účtu používanému na synchronizáciu potrebujete nezávislý spôsob vstupu, napríklad bezpečnostný kľúč alebo bezpečne uložený obnovovací kód.

Ak aplikácia umožňuje prenos cez QR kód, považujte ho za tajný prihlasovací údaj. Kto získa obsah exportu, môže vytvárať rovnaké overovacie kódy. Nefotografujte ho do bežnej galérie a neposielajte si ho e-mailom. Pri pracovných účtoch sa riaďte pravidlami zamestnávateľa: niektoré registrácie musí obnoviť správca a jednoduché kopírovanie medzi telefónmi nemusí byť podporované.

5. Nový telefón otestujte skôr, než vymažete starý

Najbezpečnejší čas na prenos overovania je vtedy, keď oba telefóny fungujú a máte prístup do účtu. Starý mobil ešte neodovzdávajte do výkupu ani neobnovujte výrobné nastavenia. Najprv preneste údaje aplikácie alebo v nastaveniach jednotlivých služieb zaregistrujte nový spôsob overenia. Samotná inštalácia rovnakej aplikácie na nový telefón nestačí.

Testujte nové prihlásenie, nie iba otvorenie už prihlásenej aplikácie. Použite súkromné okno prehliadača a pôvodnú reláciu zatiaľ nechajte otvorenú. Ak služba ponúkne viac možností, výslovne zvoľte tú, ktorú skúšate. Pri synchronizovaných časových kódoch úspešný test potvrdí, že nový telefón kódy vytvára, no neznamená, že ich starý prestal vytvárať.

• Preneste overovanie alebo pridajte nový telefón podľa postupu danej služby.
• Vyskúšajte prihlásenie s novým zariadením a skontrolujte dostupnosť záložných kódov.
• Aktualizujte telefónne číslo, ak sa mení, vrátane čísla na obnovu účtu.
• Odstráňte nepotrebné registrácie starého zariadenia a pred jeho odovzdaním ho bezpečne vymažte.
• Ak starý telefón zostal cudzej osobe a môže obsahovať kódy, podľa možností služby zmeňte registráciu autentifikátora.

6. Raz za čas si overte, či záloha naozaj funguje

Obnovovací e-mail a telefónne číslo nie sú vždy plnohodnotnou náhradou druhého faktora. Môžu slúžiť iba na upozornenia alebo ako jeden z podkladov pri obnove. Skontrolujte, na čo ich konkrétna služba používa. Staré pracovné číslo či e-mail z bývalého zamestnania odstráňte skôr, než k nim definitívne stratíte prístup.

Kontrolu urobte pri výmene zariadenia a potom napríklad raz za pol roka. Pri hlavnom e-maile vyskúšajte náhradný kľúč alebo jeden záložný kód; použitý jednorazový kód označte ako spotrebovaný. Neodhlasujte pritom všetky fungujúce zariadenia. Existujúca relácia môže pomôcť, hoci citlivé nastavenia môžu aj tak vyžadovať nové overenie.

Myslite aj na cestovanie. Ak vezmete telefón, bezpečnostný kľúč aj papierové kódy do jednej tašky, jej strata vyradí všetky možnosti naraz. Zálohu nechajte oddelene. Pri rodinných účtoch dohodnite, kto má oprávnenie ju použiť; pracovné prístupy riešte so správcom, nie zdieľaním osobných prihlasovacích údajov.

7. Po strate telefónu najprv využite pripravenú zálohu

Otvorte oficiálnu stránku služby a pri overovaní hľadajte možnosť Skúsiť iný spôsob alebo jej obdobu. Použite záložný kód, náhradný kľúč či iný vopred nastavený faktor. Ak ste niekde stále prihlásení, reláciu zbytočne neukončujte. Môže vám umožniť skontrolovať zabezpečenie, hoci zmenu overovania služba nemusí povoliť bez ďalšieho potvrdenia.

Pri krádeži zároveň zablokujte SIM kartu u operátora a podľa možností zapnite vzdialené uzamknutie zariadenia. Zablokovanie SIM nezruší kódy v autentifikačnej aplikácii, ktoré fungujú aj bez nej. Po získaní prístupu odoberte stratené zariadenie, ukončite jeho relácie a nahraďte overovacie údaje, ku ktorým sa mohol dostať niekto cudzí.

Bez použiteľnej zálohy zostáva oficiálna obnova účtu alebo správca organizácie. Výsledok ani rýchlosť nie sú zaručené; niektoré služby prístup bez obnovovacích údajov vôbec neobnovia. Neplaťte ľuďom, ktorí sľubujú obídenie ochrany. Pri bankových aplikáciách použite výhradne postup banky, pretože opätovná aktivácia sa líši od bežných internetových účtov.