Ako si správne nastaviť dvojfaktorové overenie účtov pre vyššiu bezpečnosť

Prečo je SMS overenie dnes už bezpečnostným rizikom

Väčšina služieb ponúka ako najjednoduchšiu formu dvojfaktorového overenia zaslanie kódu cez SMS správu. Z technického hľadiska je to však jedna z najmenej bezpečných metód. Útočníci dnes využívajú sofistikované techniky, ako je napríklad SIM swapping. Pri tejto metóde dokáže útočník presvedčiť operátora, aby preniesol vaše telefónne číslo na novú SIM kartu, ktorú vlastní on. V tej chvíli mu chodia všetky vaše SMS správy vrátane overovacích kódov pre bankové aplikácie alebo e-maily.

Ďalším problémom je fakt, že SMS správy nie sú šifrované spôsobom, ktorý by ich chránil pred pokročilým odpočúvaním v rámci mobilných sietí. Ak sa útočník nachádza v rovnakej geografickej oblasti alebo má prístup k infraštruktúre operátora, môže správu zachytiť. Ak máte na výber medzi SMS a aplikáciou, vždy zvoľte aplikáciu alebo hardvérový kľúč. SMS používajte len v prípadoch, keď iná možnosť neexistuje a je to lepšie ako nemať žiadnu ochranu.

Slovenské bankové prostredie sa už postupne presúva k autorizácii cez vlastné aplikácie, čo je správny trend. V prípade globálnych služieb ako Google, Facebook alebo Twitter však stále dominujú zastarané metódy. Ak chcete skutočne zvýšiť bezpečnosť, SMS si vypnite hneď po tom, ako si aktivujete alternatívny, bezpečnejší spôsob.

• SIM swapping umožňuje útočníkom prevziať vaše telefónne číslo.
• SMS správy nie sú šifrované end-to-end.
• Ak má útočník prístup k vášmu telefónu, vidí kódy aj na zamknutej obrazovke.
• SMS overenie je náchylné na technické výpadky operátorov.

Ako si vybrať správnu aplikáciu pre dvojfaktorové overenie

Aplikácia pre dvojfaktorové overenie, známa ako authenticator, generuje každých 30 sekúnd nový kód. Tento systém je založený na algoritme TOTP (Time-based One-Time Password), ktorý je lokálny a nevyžaduje internetové pripojenie na strane telefónu. Pri výbere aplikácie sa pozerajte na to, či umožňuje zálohovanie a export údajov. Je neprípustné, aby ste o prístup ku všetkým účtom prišli len preto, že sa vám pokazil alebo stratil telefón.

Odporúčam vyhýbať sa základným aplikáciám, ktoré neumožňujú export kódu do iného zariadenia alebo na cloud. Medzi kvalitné voľby pre Android patrí aplikácia Aegis, ktorá je otvorený softvér a umožňuje šifrované zálohy. Pre používateľov Apple zariadení je spoľahlivou voľbou 2FAS, ktorá ponúka jednoduché zálohovanie cez iCloud. Tieto aplikácie sú bezpečnejšie než Google Authenticator, ktorý v základnom nastavení viaže účty len na váš Google účet a prenos medzi rôznymi platformami komplikuje.

Ak používate správcu hesiel, napríklad Bitwarden alebo 1Password, tieto aplikácie často obsahujú vstavanú funkciu pre dvojfaktorové overenie. Toto riešenie je veľmi pohodlné, pretože kód máte hneď pri hesle. Avšak, z bezpečnostného hľadiska ide o kompromis: ak niekto získa prístup k vášmu hlavnému heslu do správcu, získa aj prístup k 2FA kódom. Pre bežného používateľa je to však stále výrazne lepšie riešenie než žiadna ochrana.

Súvisiace čítanie
Ako si nastaviť e-mail s vlastnou doménou?(Návody)

Ako nastaviť dvojfaktorové overenie krok za krokom

Proces nastavenia je pri väčšine služieb takmer identický. Vždy začínajte v sekcii Nastavenia účtu a hľadajte položky ako Zabezpečenie, Bezpečnosť alebo Prihlásenie. Väčšina webov vás vyzve na výber metódy overenia, kde zvolíte možnosť „Overovacia aplikácia“ (Authenticator app). Zobrazí sa QR kód, ktorý musíte naskenovať svojou zvolenou aplikáciou v telefóne.

Po naskenovaní QR kódu vám aplikácia okamžite začne generovať kódy. Služba vás následne požiada o zadanie prvého vygenerovaného kódu, aby si overila, že všetko funguje správne. Toto je kritický moment. Nikdy nezavrite okno prehliadača, kým služba nepotvrdí, že je 2FA aktívne. V opačnom prípade sa môže stať, že sa uzamknete mimo vlastného účtu ešte predtým, ako si stihnete uložiť záložné kódy.

Nezabúdajte ani na to, že pri každej zmene telefónu musíte preniesť aj svoje overovacie aplikácie. Ak meníte zariadenie, najprv si exportujte údaje z pôvodnej aplikácie a importujte ich do novej. Až po úspešnom overení na novom telefóne môžete ten starý vymazať.

• Otvorte bezpečnostné nastavenia danej služby.
• Zvoľte možnosť Authenticator app alebo 2FA.
• Naskenujte QR kód pomocou vašej aplikácie (Aegis, 2FAS).
• Zadajte overovací kód do webového formulára pre aktiváciu.
• Uložte si núdzové obnovovacie kódy (Recovery codes).

Prečo musíte mať záložné kódy uložené offline

Každá služba, ktorá podporuje dvojfaktorové overenie, vám pri jeho aktivácii vygeneruje zoznam jednorazových záložných kódov. Tieto kódy sú vašou poslednou záchranou v prípade, že stratíte prístup k telefónu, aplikácia sa vymaže alebo telefón prestane fungovať. Mnoho ľudí túto časť ignoruje alebo si kódy uloží ako snímku obrazovky do telefónu, čo je hrubá chyba. Ak stratíte telefón, prídete aj o tieto kódy.

Ideálnym spôsobom uloženia je vytlačenie týchto kódov na papier a jeho odloženie na bezpečné miesto vo vašej domácnosti. Ak máte trezor, odložte ich tam. V prípade, že ich musíte mať v digitálnej podobe, uložte ich do šifrovaného súboru alebo do správcu hesiel, ktorý má inú metódu prístupu. Tieto kódy sú „vstupenkou“ k vášmu účtu, preto k nim musíte pristupovať rovnako zodpovedne ako k hotovosti v peňaženke.

Pravidelne kontrolujte, či máte tieto kódy stále k dispozícii. Ak ste kódy už použili (sú jednorazové), vygenerujte si nové. Niektoré služby umožňujú vygenerovanie nového zoznamu kedykoľvek v nastaveniach bezpečnosti. Udržiavať si aktuálny zoznam záložných kódov je rovnako dôležité ako samotná aktivácia dvojfaktorového overenia.

Súvisiace čítanie
Ako nastaviť SPF, DKIM a DMARC krok za krokom(Návody)

Fyzické bezpečnostné kľúče: Maximálna ochrana

Ak pracujete s citlivými údajmi alebo jednoducho vyžadujete najvyššiu možnú bezpečnosť, zvážte investíciu do hardvérového kľúča, akým je napríklad YubiKey. Tento kľúč funguje ako fyzický token, ktorý musíte zasunúť do USB portu alebo priložiť k telefónu s NFC pri každom prihlasovaní. Útočník, ktorý pozná vaše heslo, sa bez tohto fyzického predmetu do účtu nedostane, aj keby mal všetky vaše dáta.

Fyzické kľúče sú prakticky imúnne voči phishingu. Aj keď vás útočník navedie na falošnú stránku, ktorá vyzerá ako Gmail, kľúč nebude fungovať, pretože nedokáže overiť pravosť danej domény. Je to najvyššia úroveň zabezpečenia, ktorú si dnes môže bežný používateľ dovoliť. Kľúč je malý, odolný voči vode a nárazom a vydrží roky bez nutnosti nabíjania.

Nevýhodou je cena, ktorá sa pohybuje v desiatkach eur, a riziko straty samotného kľúča. Preto sa kľúče vždy kupujú v páre – jeden máte pri sebe a druhý máte bezpečne odložený doma ako zálohu. Nastavenie kľúča je pomerne jednoduché, v nastaveniach účtu zvolíte „Bezpečnostný kľúč“ a následne postupujete podľa pokynov zariadenia.

Najčastejšie chyby pri nastavovaní dvojfaktorového overenia

Jednou z najčastejších chýb je spoliehanie sa na jediný spôsob overenia. Používatelia si často nastavia len SMS, prípadne len jednu aplikáciu, a zabudnú si uložiť záložné kódy. Výsledkom je situácia, kedy pri výmene telefónu stratia prístup ku všetkým účtom naraz. Vždy majte nastavené aspoň dva spôsoby: napríklad overovaciu aplikáciu ako primárnu a záložné kódy uložené na papieri.

Ďalšou chybou je ignorovanie výziev na aktualizáciu. Ak vaša autentifikačná aplikácia dostane aktualizáciu, nainštalujte ju. Zastaralé verzie môžu obsahovať bezpečnostné diery, ktoré môžu útočníci zneužiť. Taktiež buďte ostražití pri inštalácii aplikácií z neoficiálnych zdrojov. Vždy sťahujte authenticator aplikácie len z oficiálnych obchodov (Google Play, Apple App Store).

Poslednou chybou je zdieľanie overovacích kódov. Nikdy, skutočne nikdy neposielajte svoj 2FA kód nikomu inému, ani keď tvrdí, že je z technickej podpory vašej banky alebo e-mailovej služby. Oficiálna podpora od vás nikdy nebude žiadať 2FA kód. Ak vás niekto o kód žiada, ide o pokus o podvod.

• Nepoužívanie záložných kódov (recovery codes).
• Ukladanie 2FA kódov ako screenshotov v galérii telefónu.
• Zdieľanie 2FA kódu s treťou stranou.
• Zabúdanie na migráciu kódov pri zmene telefónu.

Súvisiace čítanie
Najlepšie bezplatné aplikácie na správu hesiel a ako ich správne nastaviť(Aplikácie a služby)