Slaptažodis ir dviejų žingsnių patvirtinimas

8 modulis: Saugiai ir be rūpesčių · Skaitymo laikas: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, koks pašto dėžutės slaptažodis yra stiprus, ką reikia padaryti savo įrenginiuose jį pakeitus, kaip atsiranda autentifikavimo programėlės kodas ir nuo ko žiniatinklio pašto dviejų žingsnių patvirtinimas apsaugo, o nuo ko ne.

Pagrindinės sąvokos: pašto dėžutės slaptažodis, slaptažodžių tvarkyklė, dviejų žingsnių patvirtinimas, TOTP, bendra paslaptis, QR kodas, atkūrimo kodas, laikrodžio nuokrypis, IMAP ir SMTP be antrojo žingsnio

Kodėl pašto dėžutė yra svarbiausia Jūsų paskyra

Pašto dėžutė yra Jūsų internetinio gyvenimo raktų ryšulys. Beveik kiekviena paslauga slaptažodžio atkūrimo nuorodą siunčia el. paštu. Taigi tas, kas užvaldo Jūsų pašto dėžutę, gali perimti ir Jūsų internetinę parduotuvę, buhalteriją bei socialinius tinklus. Be to, jis gali rašyti Jūsų vardu klientams, kurie Jumis pasitiki. Todėl pavogta pašto dėžutė dažnai naudojama sąskaitų sukčiavimui arba šlamštui siųsti. Pastarasis atvejis sukelia problemų visai Jūsų sričiai: kiti serveriai pradeda atmesti Jūsų laiškus.

Įsibrovėlį sulaiko du dalykai: geras slaptažodis ir antrasis žingsnis jungiantis.

Stiprus slaptažodis pirmiausia yra ilgas ir unikalus

Jūsų pašto dėžutės slaptažodis priklauso vienam el. pašto adresui. Tai ne tas pats, kas Jūsų kliento paskyros ar paslaugų paketo valdymo skydelio slaptažodis (pamoka 1.3).

Kas daro slaptažodį stiprų? Ne šauktukas po žodžio, o ilgis ir atsitiktinumas. Užpuolikai bando nutekintus slaptažodžius ir dažnai naudojamų žodžių bei šablonų sąrašus. "Zomer2026!" tokiame sąraše yra, o keturių atsitiktinių žodžių ar dvidešimties atsitiktinių ženklų seka ne. Ne mažiau svarbu, kad slaptažodis būtų unikalus. Jei nuteka internetinės parduotuvės, kurioje naudojote tą patį slaptažodį, duomenys, nusikaltėliai jį išbandys ir Jūsų pašto dėžutėje.

Praktiškas sprendimas yra slaptažodžių tvarkyklė: programa, kuri kiekvienai paslaugai sukuria ir įsimena ilgą atsitiktinį slaptažodį. Jums tereikia įsiminti vieną stiprų pagrindinį slaptažodį.

Pakeitus slaptažodį: atnaujinkite visus įrenginius

Slaptažodį galite pakeisti žiniatinklio pašte, skiltyje Nuostatos > Slaptažodis, arba savo paketo valdymo skydelyje, jei senojo nebeprisimenate. Nuo tos akimirkos naujasis slaptažodis galioja visur: žiniatinklio pašte, telefone ir pašto programoje.

Čia dažnai kas nors nepavyksta. Sanne de Vries pirmadienį pakeičia sanne@example.com slaptažodį. Nešiojamąjį kompiuterį ji atnaujina iš karto. Seną planšetę virtuvėje ji pamiršta. Ta planšetė kas kelias minutes bando prisijungti su senuoju slaptažodžiu. Po kelių nesėkmingų bandymų serverio ugniasienė pastebi ryšį, kuris vis bando neteisingą slaptažodį, ir užblokuoja IP adresą. Kadangi planšetė ir nešiojamasis kompiuteris namuose naudoja tą patį IP adresą, Sanne staiga nebegali pasiekti savo pašto ir nešiojamajame kompiuteryje, o kartais ir savo svetainės.

Todėl pakeitę slaptažodį iš karto atnaujinkite visus įrenginius: telefoną, planšetę, pašto programą kompiuteryje ir, jei yra, spausdintuvą ar skenerį, kuris siunčia laiškus.

Dviejų žingsnių patvirtinimas: tai, ką žinote, ir tai, ką turite

Naudojant dviejų žingsnių patvirtinimą (žiniatinklio pašte jis vadinamas Dviejų žingsnių patvirtinimas), jungiantis reikia dviejų dalykų: slaptažodžio (tai, ką žinote) ir kodo iš telefono (tai, ką turite). Asmuo, gavęs Jūsų slaptažodį per sukčiavimą ar duomenų nutekėjimą, vis tiek negalės prisijungti.

Kodas gaunamas iš autentifikavimo programėlės, pavyzdžiui, slaptažodžių tvarkyklės programėlės arba atskiros tokiems kodams skirtos programėlės. Šis metodas vadinamas TOTP, time-based one-time password (laiku pagrįstas vienkartinis slaptažodis), ir aprašytas RFC 6238. Jis veikia taip:

1. Įjungiant žiniatinklio paštas sukuria bendrą paslaptį: atsitiktinę ženklų seką. Ją matote kaip slaptąjį raktą ir kaip QR kodą.
2. Nuskaitote QR kodą programėle. Nuo šiol serveris ir Jūsų telefonas žino tą pačią paslaptį.
3. Kas 30 sekundžių abu iš paslapties ir esamo laiko apskaičiuoja šešių skaitmenų kodą.
4. Jungiantis serveris palygina Jūsų kodą su savo paties rezultatu.

Iš to išplaukia du dalykai. Programėlei nereikia interneto: ji skaičiuoja tik pagal paslaptį ir laikrodį. Be to, laikrodis turi rodyti teisingą laiką. Jei Jūsų telefonas skuba ar vėluoja kelias minutes, jis skaičiuoja pagal kitą laiko intervalą ir kodas netinka. Nustatykite, kad telefono laikas būtų nustatomas automatiškai.

Trečias padarinys: QR kodas ir yra paslaptis. Kas turi jo nuotrauką ar ekrano kopiją, gali kurti tuos pačius kodus. Todėl niekada juo nesidalykite ir nesaugokite jo kaip paveikslėlio.

Paveikslėlyje matote langą, kuriame įjungiamas dviejų žingsnių patvirtinimas, su slaptuoju raktu, atkūrimo kodais ir QR kodu.

Atkūrimo kodai ir pamestas telefonas

Įjungdami taip pat gausite keturis atkūrimo kodus. Kiekvienas jų veikia vieną kartą vietoj programėlės kodo. Tai Jūsų atsarginis raktas, jei telefonas sugedo, buvo pavogtas ar pakeistas. Laikykite juos kitoje vietoje nei telefoną: slaptažodžių tvarkyklėje arba ant popieriaus stalčiuje.

Jei panaudojote atkūrimo kodą, iš karto iš naujo nustatykite dviejų žingsnių patvirtinimą su nauju telefonu. Tada gausite ir naujus atkūrimo kodus. Jei atkūrimo kodų nebeturite, Jūsų el. pašto paslaugų teikėjas, patikrinęs Jūsų tapatybę, gali išjungti antrąjį žingsnį Jūsų pašto dėžutei.

Savo kompiuteryje jungdamiesi galite pasirinkti, kad žiniatinklio paštas 30 dienų nebeprašytų kodo. Bendrai naudojamame kompiuteryje to niekada nedarykite.

Nuo ko dviejų žingsnių patvirtinimas neapsaugo

Tai svarbiausi spąstai, ir daugelis žmonių apie juos nežino. Žiniatinklio pašto dviejų žingsnių patvirtinimas galioja tik žiniatinklio paštui. Jūsų pašto programa ir telefono pašto programėlė jungiasi per IMAP (gavimas) ir SMTP (siuntimas), o jie prašo tik slaptažodžio. Taigi užpuolikas, žinantis Jūsų slaptažodį, per pašto programą vis tiek gali skaityti Jūsų laiškus ir siųsti juos Jūsų vardu.

Todėl dviejų žingsnių patvirtinimas yra papildymas, o ne pakaitalas. Jūsų slaptažodis vis tiek turi būti ilgas ir unikalus. Dviejų žingsnių patvirtinimą kliento paskyrai nustatote atskirai: tai kita paskyra su savo apsauga.

Didelėse paslaugose, tokiose kaip Gmail ar Outlook.com, viskas veikia šiek tiek kitaip: ten antrasis žingsnis dažnai galioja visai paskyrai, o pašto programai reikia atskiro programėlės slaptažodžio arba savo prisijungimo būdo. Idėja ta pati: slaptažodis ir dar kai kas, ką turite.

Praktikoje: taip tai veikia žiniatinklio pašte

Slaptažodį pakeičiate skiltyje Nuostatos > Slaptažodis, o dviejų žingsnių patvirtinimą įjungiate skiltyje Nuostatos > Dviejų žingsnių patvirtinimas. Ten pažymite varnelę Įjungti, leidžiate žiniatinklio paštui užpildyti laukus, nuskaitote QR kodą, patikrinate kodą ir išsaugote. Žingsniai aprašyti Roundcube vadove (10.3, 10.4 ir 10.5). Kituose žiniatinklio paštuose yra panašių nuostatų, dažnai skiltyje Saugumas.

Santrauka

• Pašto dėžutė yra raktas į kitas Jūsų paskyras: apsaugokite ją ilgu, unikaliu slaptažodžiu iš slaptažodžių tvarkyklės.
• Pakeitę slaptažodį atnaujinkite visus įrenginius; įrenginys su senuoju slaptažodžiu gali lemti Jūsų IP adreso užblokavimą.
• TOTP kas 30 sekundžių sukuria kodą iš bendros paslapties ir laiko; telefono laikrodis turi rodyti teisingą laiką, o QR kodas yra paslaptis.
• Keturis atkūrimo kodus laikykite ne telefone; kiekvienas kodas veikia vieną kartą.
• Žiniatinklio pašto dviejų žingsnių patvirtinimas apsaugo tik žiniatinklio paštą, bet ne IMAP ir SMTP Jūsų pašto programoje.

Testas (quiz)

Užduotis

Užduotis A8.1: Išbandykite autentifikavimo programėlę. Spustelėkite mygtuką, kad gautumėte mokomąją paslaptį. Gausite mokomosios paskyros QR kodą. Nuskaitykite jį pasirinkta autentifikavimo programėle (arba įveskite parodytą raktą ranka) ir įrašykite šešių skaitmenų kodą, kurį rodo programėlė. Programa, naudodama tą pačią mokomąją paslaptį ir laiką, patikrina, ar Jūsų kodas teisingas; ankstesnio ar kito laiko intervalo kodas taip pat įskaitomas, todėl nedidelis laikrodžio nuokrypis nėra problema. Žalia: kodas teisingas. Raudona: kodas neteisingas; tokiu atveju patikrinkite telefono laikrodį ir ar programėlėje naudojate tinkamą eilutę. Mokomoji paslaptis nesusijusi su Jūsų pašto dėžute, neturi jokios vertės ir išnyksta per 24 valandas. Po to ištrinkite mokomąją paskyrą iš savo programėlės.

Platesniam skaitymui

Ten, kur aprašyti žingsniai žiniatinklio pašte, jie taikomi WebOké žiniatinklio paštui; kituose žiniatinklio paštuose viskas veikia panašiai.

• Roundcube Webmail 10.3: Kaip įjungti dviejų veiksnių autentifikavimą
• Roundcube Webmail 10.4: Prisijungimas naudojant dviejų veiksnių patvirtinimą
• Roundcube Webmail 10.5: Kaip pakeisti pašto dėžutės slaptažodį
• El. pašto adreso slaptažodžio arba limitų keitimas
• Slaptažodžių tvarkyklė ir passkeys: kaip saugiai prisijungti
• Nemokamas kursas „Saugus internetas verslininkams“ 2.1: Kas iš tikrųjų yra stiprus slaptažodis
• Nemokamas kursas „Saugus internetas verslininkams“ 2.3: Dviejų veiksnių autentifikavimas: kodai, programėlės ir SMS
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (anglų k.): https://www.rfc-editor.org/rfc/rfc6238