Dviejų veiksnių autentifikavimas: kodai, programėlės ir SMS

2 modulis: Slaptažodžiai ir prisijungimas · Skaitymo trukmė: 11 min.

Mokymosi tikslas: Po šios pamokos galėsite palyginti dviejų veiksnių autentifikavimo formas (SMS, el. paštas, TOTP, push), atpažinti prieš jas nukreiptas atakas ir susitvarkyti atkūrimą, jei pamestumėte telefoną.

Pagrindinės sąvokos: 2FA/MFA, veiksnys (žinojimas, turėjimas, buvimas), TOTP, bendra paslaptis, push pranešimas, MFA nuovargis, SIM kortelės perėmimas (sim-swap), atkūrimo kodai

Du skirtingi įrodymai

Slaptažodis yra kažkas, ką Jūs žinote. Jei jis nutekėtų, prisijungti galėtų bet kas, kas jį žino. Todėl dviejų veiksnių autentifikavimas (2FA) reikalauja antro, kitokio pobūdžio įrodymo. Kai veiksnių yra daugiau nei du, kalbama apie kelių veiksnių autentifikavimą (MFA); praktikoje šie terminai dažnai vartojami pakaitomis.

Yra trys veiksnių rūšys:

• Žinojimas: slaptažodis arba PIN kodas.
• Turėjimas: Jūsų telefonas su programėle, apsaugos raktas, kortelė.
• Buvimas: Jūsų pirštų atspaudas ar veidas.

Du kartus tas pats veiksnio tipas nesiskaito: slaptažodis kartu su saugumo klausimu yra du dalykai, kuriuos Jūs žinote. Nyderlandų NCSC primygtinai rekomenduoja naudoti MFA kiekvienoje sistemoje ir paskyroje, kuri tai palaiko, o ypač paskyrose, pasiekiamose per internetą, ir paskyrose su administravimo teisėmis. Mažai įmonei tai visų pirma reiškia: el. paštą, talpinimą ir domeno registraciją, banką, apskaitą, internetinę parduotuvę, slaptažodžių tvarkyklę ir įmonės socialinius tinklus.

Formos šalia vienos kitos

Kiekviena forma yra daug geriau nei jokio antro žingsnio. Tačiau lentelė taip pat rodo: viskas, kur Jūs perrašote kodą ar patvirtinate pranešimą, gali sukčius priversti padaryti savo netikroje svetainėje. NIST tai tiesiai sako SP 800-63B-4: metodai, kuriais rezultatą įvedate ranka, nėra atsparūs sukčiavimui (phishing).

Kaip veikia autentifikavimo programėlė

Autentifikavimo programėlė naudoja TOTP: Time-based One-Time Password, aprašyta RFC 6238. Tai veikia taip:

1. Nustatant paslaugos teikėjas sugeneruoja atsitiktinę bendrą paslaptį, pavyzdžiui, 32 simbolių, tokią kaip JBSWY3DPEHPK3PXP.... Ši paslaptis yra QR kode, kurį nuskaitote, arba ją perrašote kaip „rankinį raktą“.
2. Jūsų programėlė ir paslaugos teikėjas dabar turi tą pačią paslaptį. Po to tarp jų daugiau kontakto nebereikia.
3. Kas 30 sekundžių abu apskaičiuoja paslaptį kartu su dabartiniu laiku ir gauna 6 skaitmenų kodą. Kadangi abu turi tą pačią paslaptį ir tą patį laikrodį, gaunamas tas pats kodas.
4. Prisijungiant paslaugos teikėjas palygina Jūsų kodą su savo apskaičiuotu rezultatu, dažniausiai leisdamas paklaidą vienu laiko tarpsniu prieš ar po, jei laikrodis šiek tiek skiriasi.

Dvi pasekmės:

• Paslaptis ir yra tikroji spyna. Kas pamato QR kodą ar rankinį raktą, visada galės generuoti tokius pat kodus kaip Jūsų telefonas. Todėl niekada nedarykite jo ekrano nuotraukos, nesidalykite juo su niekuo ir nesiųskite kolegai.
• Kodas veikia ir be interneto ir nekeliauja per mobiliojo ryšio tinklą. Todėl TOTP yra stipresnis nei SMS.

Autentifikavimo programėlių būna įvairių: atskiros Jūsų telefone, įmontuotos slaptažodžių tvarkyklėje, atvirojo kodo arba iš didelės technologijų bendrovės, su ar be šifruotos atsarginės kopijos debesijoje. Pavyzdžiai: Aegis, Google Authenticator ir Microsoft Authenticator, be funkcijos, esančios tokiose tvarkyklėse kaip Bitwarden ar 1Password. Atsarginė kopija naudinga perkant naują telefoną, tačiau Nyderlandų NCSC įspėja: prastai šifruota atsarginė kopija suteikia prieigą ir užpuolikui.

SIM kortelės perėmimas (sim-swap): kodėl SMS yra silpniausia forma

Atliekant SIM kortelės perėmimą (sim-swap), sukčius perima Jūsų telefono numerį. Jis perkelia Jūsų numerį į savo SIM kortelę arba eSIM. Tai jam pavyksta, pavyzdžiui, apsimetant Jumis operatoriui arba priverčiant Jus patį bendradarbiauti: policija įspėja apie SMS žinutes ir skambučius „operatoriaus vardu“, kuriuose teigiama, kad reikia patvirtinti SIM kortelę arba skubiai pereiti prie eSIM.

Vos tik tai pavyksta:

• Jūsų telefonas staiga netenka ryšio ir Jūs pats negalite nei skambinti, nei siųsti SMS;
• sukčius gauna visus SMS kodus, taip pat „pamiršau slaptažodį“ kodus iš paslaugų, kurios Jūsų numerį naudoja kaip atkūrimo priemonę;
• kartais jis gali perimti paskyras turėdamas vien tik Jūsų numerį.

Sunkiausia tai, kad pastebite tai tik tada, kai telefonas nebeveikia, dažnai vakare ar savaitgalį. NIST todėl SMS vadina ribota metodu ir nurodo, kad paslaugų teikėjai turi atkreipti dėmesį į tokius požymius kaip nauja SIM kortelė ar perkeltas numeris. Nyderlandų NCSC rekomenduoja kiek įmanoma vengti SMS, nes žinutės nėra šifruotos ir gali būti perimtos.

Ką daryti?

• Kur įmanoma, rinkitės programėlę ar passkey vietoj SMS.
• Pašalinkite savo telefono numerį kaip atkūrimo priemonę ten, kur tai yra silpnoji vieta, arba papildomai jį apsaugokite.
• Paklauskite savo operatoriaus, ar galite nustatyti papildomą PIN kodą ar patikrą numerio perkėlimui.
• Jei ryšys staiga dingsta be priežasties? Skambinkite operatoriui iš kito įrenginio. Nelaukite.

SMS vis tiek geriau nei nieko. Jei paslauga siūlo tik SMS, vis tiek ją įjunkite.

MFA nuovargis: pranešimas, kurį tiesiog uždarote

Gavus push pranešimą, nieko perrašyti nereikia: telefonas klausia „Ar bandote prisijungti?“ ir Jūs paliečiate „Patvirtinti“. Lengva, ir būtent todėl tuo piktnaudžiaujama.

Esant MFA nuovargiui (dar vadinamam push bombardavimu), užpuolikas jau turi Jūsų slaptažodį. Jis vis iš naujo bando prisijungti, todėl Jūsų telefonas gauna vieną pranešimą po kito, kartais vidury nakties. Amerikos CISA aprašo, kaip žmonės tuomet iš susierzinimo ar netyčia paliečia „Patvirtinti“, arba pagalvoja, kad nors vienas iš pranešimų tikrai bus tikras. Kartais užpuolikas dar ir paskambina, apsimesdamas „pagalbos tarnyba“, prašydamas tiesiog patvirtinti.

Praktinis atvejis, kurį aprašo Nyderlandų NCSC: užpuolikai per MFA nuovargį pateko į programinės įrangos įmonės el. pašto paskyras ir vėliau jas panaudojo sąskaitų faktūrų sukčiavimui.

Taisyklės:

• Niekada nepatvirtinkite pranešimo, kurio nesukėlėte patys. Net jei tai jau dvidešimtas.
• Netikėtas pranešimas reiškia, kad kažkas žino Jūsų slaptažodį. Nedelsdami jį pakeiskite ir praneškite apie tai.
• Kur įmanoma, rinkitės skaičiaus įvedimą: prisijungimo lange rodomas skaičius, kurį įvedate programėlėje. Tas, kas nesėdi prie prisijungimo lango, tuomet negalės patvirtinti. CISA tai vadina geru tarpiniu žingsniu, tačiau silpnesniu nei nuo sukčiavimo (phishing) atsparus MFA.

Atkūrimas: susitvarkykite, kol dar nepametėte telefono

Telefonas įkrenta į vandenį, yra pavagiamas arba sugenda. Be pasiruošimo tuomet liksite be prieigos prie savo pačių paskyrų. Todėl egzistuoja atkūrimo kodai (dar vadinami atsarginiais kodais): eilė atsarginių kodų, kuriuos gaunate nustatymo metu ir kurių kiekvienas veikia tik vieną kartą.

• Nelaikykite jų tame pačiame telefone, kuriame yra Jūsų autentifikavimo programėlė. Atsispausdinkite juos ir padėkite prie svarbių dokumentų arba saugokite slaptažodžių tvarkyklėje prie atitinkamo įrašo.
• Panaudojote atkūrimo kodą? Jį išbraukite. Jei jie baigėsi, susikurkite naujus.
• Pasirūpinkite, kad turėtumėte bent du būdus patekti į paskyrą: pavyzdžiui, programėlę ir atkūrimo kodus, arba du apsaugos raktus.
• Pereidami prie naujo telefono, pirmiausia perkelkite paskyras ir tik tada ištrinkite jas iš seno.
• Žinokite, kaip veikia svarbiausių Jūsų naudojamų paslaugų atkūrimo procedūra. Gera paslauga antro žingsnio tiesiog taip nepakeis dėl laiško ar skambučio, o pirma patikrins, ar tikrai esate Jūs.

Praktikoje: taip tai atrodo

WebOké aplinkoje Mano WebOké po slaptažodžio visada paprašo antro žingsnio: numatytasis yra kodas el. paštu, o galite pereiti prie autentifikavimo programėlės. DirectAdmin tai vadinama Dviejų faktorių autentifikacija, su atkūrimo kodais. Nextcloud įjungiate TOTP ir sukuriate dešimt atsarginių kodų. Kitų paslaugų teikėjų atveju veikia panašiai: ieškokite savo profilyje ar saugumo nustatymuose „dviejų veiksnių autentifikavimas“, „2FA“, „autentifikatorius“ arba „two-factor“.

Žingsniai beveik visada yra tie patys: nuskaitomas QR kodas, įvedamas vienas patikros kodas, išsaugomi atkūrimo kodai.

Santrauka

• 2FA sujungia dviejų rūšių veiksnius: žinojimą, turėjimą, buvimą.
• TOTP veikia su bendra paslaptimi ir laikrodžiu. Paslaptis (QR kodas) ir yra tikroji spyna: niekada ja nesidalykite.
• SMS yra silpniausia forma dėl SIM kortelės perėmimo ir perėmimo, tačiau geriau nei nieko.
• MFA nuovargis: niekada nepatvirtinkite pranešimo, kurio nesukėlėte patys, ir tuomet pakeiskite slaptažodį.
• Kodai ir pranešimai nėra atsparūs sukčiavimui (phishing); passkey ir apsaugos raktai yra (2.4 pamoka).
• Susitvarkykite atkūrimo kodus ir antrą metodą, kol dar nepametėte telefono.

Testas (quiz)

Užduotis

Užduotis A2.3: Autentifikavimo programėlės susiejimas. Gausite QR kodą iš mokomosios paskyros „WebOké oefening“. Nuskaitykite jį pasirinkta autentifikavimo programėle ir įveskite du po vieną atsirandančius kodus. Programa patikrins, ar Jūsų programėlė skaičiuoja teisingai. Mokomoji paslaptis neturi jokios vertės ir bus ištrinta po 24 valandų; po to pašalinkite mokomąją paskyrą iš savo programėlės.

Užduotis D2.3: Dviejų veiksnių autentifikavimo įjungimas svarbiausiose paskyrose. Įjunkite dviejų veiksnių autentifikavimą savo el. paštui, talpinimui ar domeno registracijai, bankui, apskaitai ir slaptažodžių tvarkyklei. Atkūrimo kodus laikykite antroje vietoje ir atsakykite į klausimą, ką darytumėte, jei rytoj pamestumėte telefoną.

Daugiau skaitymo

Žingsniai WebOké straipsniuose galioja WebOké aplinkai; kitų teikėjų atveju veikia panašiai.

• Dviejų žingsnių patvirtinimo nustatymas sistemoje Mano WebOké ir autentifikavimo programėlės konfigūravimas
• WebOké vadovas 3.2: Prisijungimo kodas el. paštu (dviejų žingsnių patvirtinimas)
• WebOké vadovas 3.3: Autentifikavimo programėlės naudojimas
• DirectAdmin vadovas 3.2: Dviejų faktorių autentifikacijos nustatymas
• DirectAdmin vadovas 3.3: Atkūrimo kodai ir ką daryti, jei pametėte autentifikatorių
• Nextcloud vadovas 3.3: Tapatybės nustatymo programėlės nustatymas ir atsarginių kodų saugojimas
• Nextcloud vadovas 3.10: Pamestas telefonas arba prarasta DVA: kaip vėl prisijungti
• Dviejų veiksnių autentifikavimo (2FA) nustatymas Nextcloud sistemoje
• Nyderlandų NCSC, kaip pasirinkti MFA metodą (nyderlandų k.): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• ENISA, informacija apie daugiafaktorį autentifikavimą: https://www.enisa.europa.eu/
• CISA, Implementing Number Matching in MFA Applications (anglų k.): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (anglų k.): https://www.rfc-editor.org/rfc/rfc6238