Co to jest uwierzytelnianie dwuskładnikowe (2FA) i jak je bezpiecznie skonfigurować

W dzisiejszych czasach często okazuje się, że samo hasło nie jest w stanie zapewnić wystarczającej ochrony naszym kontom w sieci.

Hasła, wraz z innymi danymi osobowymi, można czasem znaleźć wystawione na sprzedaż w dark webie. Z kolei słabe lub wielokrotnie używane hasła są zwykle łatwiejsze do odgadnięcia lub złamania przez cyberprzestępców. Aby lepiej chronić swoje konta, warto włączyć uwierzytelnianie dwuskładnikowe (2FA) wszędzie tam, gdzie jest ono dostępne.

Przy włączonym 2FA, aby uzyskać dostęp do konta, konieczne jest podanie drugiej formy weryfikacji poza samym hasłem. Zazwyczaj jest to kod wysyłany pocztą elektroniczną, przez aplikację lub wiadomość tekstową, ale inne opcje obejmują także uwierzytelnianie biometryczne i klucze sprzętowe.

Jak działa uwierzytelnianie dwuskładnikowe

Uwierzytelnianie dwuskładnikowe (two-factor authentication – 2FA) działa poprzez zabezpieczenie konta dodatkowym poziomem ochrony. Zamiast tylko jednej informacji (takiej jak hasło) potrzebnej, aby uzyskać dostęp do konta, w tym wypadku potrzebne są dwie. W zależności od stosowanej metody uwierzytelniania, tym drugim czynnikiem może być kod wysłany na adres e-mail, telefon lub do aplikacji uwierzytelniającej; może to być także odcisk palca lub sygnał z zewnętrznego urządzenia.

Wiele metod 2FA opiera się na tymczasowych hasłach jednorazowych (temporary one-time password – TOTP) generowanych przez odpowiednią aplikację. Witryna lub usługa, do której próbujemy uzyskać dostęp, używa tego samego algorytmu do niezależnego wygenerowania oczekiwanego kodu TOTP. Dzięki temu jest w stanie sprawdzić, czy wprowadzony przez nas kod TOTP zgadza się z jej własnym. Bardziej podstawowa i mniej bezpieczna metoda polega na przesłaniu przez serwis losowo wygenerowanego kodu za pośrednictwem e-maila lub SMS-a. W każdym z tych przypadków wpisanie poprawnego kodu pozwala serwisowi zweryfikować, że to faktycznie my próbujemy się zalogować.

Omówienie składników uwierzytelniania

Składniki uwierzytelniania dzielą się na trzy kategorie: wiedzy (coś, co wiesz), posiadania (coś, co masz) oraz cech immanentnych (coś, czym jesteś). Uwierzytelnianie 2FA wzmacnia ochronę konta, wymagając dwóch składników z różnych kategorii.

Wdrożenie 2FA gwarantuje, że nawet jeśli cyberprzestępca naruszy jedną z tych kategorii, konto nadal będzie zabezpieczone przed nieautoryzowanym dostępem. Poznanie trzech rodzajów składników uwierzytelniania pomoże Ci zidentyfikować najlepsze sposoby na zabezpieczenie swojego konta.

Składniki oparte na wiedzy (coś, co wiesz)

Obejmują one takie elementy jak hasła, kody PIN i odpowiedzi na pytania bezpieczeństwa. Są powszechnie stosowane, ale zarazem bardzo podatne na phishing, ataki siłowe (brute-force) oraz wycieki danych. Ogromna większość stron internetowych, aplikacji i organizacji w jakimś stopniu korzysta z tego typu składników.

W celu zmaksymalizowania bezpieczeństwa składników opartych na wiedzy należy dopilnować, aby nie były zbyt łatwe do odgadnięcia. Podczas tworzenia lub zmiany hasła używaj losowych kombinacji liter, cyfr i symboli. Jeśli używasz kodu PIN, zadbaj o to, by był on jak najdłuższy. Unikaj powszechnie stosowanych kombinacji i rozważ korzystanie z menedżera haseł, takiego jak np. ExpressKeys, aby przechowywać, zarządzać i generować silne hasła.

Składniki oparte na posiadaniu (coś, co masz)

Opierają się na fizycznym przedmiocie, takim jak smartfon lub sprzętowy klucz bezpieczeństwa. Pomaga to zapobiegać atakom zdalnym, ponieważ napastnik musiałby przejąć kontrolę nad fizycznym przedmiotem, aby móc się zalogować. Ten składnik uwierzytelniania jest powszechnie uważany za najbezpieczniejszy, ale może być niewygodny i prowadzić do zablokowania konta w przypadku utraty dostępu do fizycznego klucza uwierzytelniającego.

Składniki biometryczne (coś, czym jesteś)

Bazują one na unikalnych cechach biometrycznych, takich jak odciski palców, rysy twarzy, wzorzec głosu lub tęczówka oka. Ten rodzaj składnika jest wygodny w użyciu i trudny do powielenia, co czyni go popularnym wyborem dla wielu osób.

Jednak w przeciwieństwie do hasła, danych biometrycznych nie da się zmienić. Może to stanowić problem, jeśli na przykład ktoś zdoła pozyskać dane o Twoim odcisku palca i użyje ich do stworzenia wiarygodnej kopii wydrukowanej w 3D. W takim przypadku cyberprzestępca mógłby łatwo włamać się na każde konto, do którego uzyskujesz dostęp za pomocą samego odcisku palca.

Z tego powodu powinno się zawsze łączyć składnik biometryczny z inną formą uwierzytelniania. Warto również zauważyć, że nie wszystkie urządzenia obsługują uwierzytelnianie biometryczne.

Przykłady działania 2FA

W zależności od wybranych składników oraz konta, do którego chcemy uzyskać dostęp, proces korzystania z 2FA może się nieco różnić. Oto kilka przykładów działania 2FA w praktyce:

• Google: jeśli chcesz uzyskać dostęp do konta Google na nowym urządzeniu, może być konieczne kliknięcie w powiadomienie wysłane na Twój telefon.
• Microsoft: zachęca użytkowników do łączenia hasła z aplikacją Microsoft Authenticator, która generuje tymczasowe kody służące jako drugi składnik uwierzytelniania.
• GitHub: aby zalogować się do serwisu, programiści potrzebują zarówno hasła, jak i aplikacji uwierzytelniającej TOTP lub klucza bezpieczeństwa (FIDO/U2F).
• Bankowość: Twój bank może prosić Cię o podanie kodu przesłanego SMS-em podczas logowania lub po dokonaniu zakupu online.
• Logowanie w miejscu pracy: wiele organizacji wymaga od pracowników używania tokenów sprzętowych jako 2FA, gdy potrzebują oni bezpiecznego dostępu zdalnego.

Rodzaje uwierzytelniania dwuskładnikowego

Najpopularniejszymi rodzajami 2FA są kody TOTP wysyłane pocztą elektroniczną, SMS-em lub przez aplikacje uwierzytelniające. Inne opcje obejmują powiadomienia push, sprzętowe klucze bezpieczeństwa oraz biometrię (odciski palców, rozpoznawanie twarzy itp.). Każda z tych metod ma swoje zalety i wiąże się z określonymi zagrożeniami.

Jednorazowe hasła SMS

Uwierzytelnianie oparte na wiadomościach SMS jest najpowszechniej stosowaną metodą, ale jest też dość podatne na ataki. Zasada jego działania jest prosta: na Twój telefon wysyłany jest SMS-em kod, który musisz wprowadzić, aby się zalogować. Zazwyczaj wpisujesz go po podaniu hasła.

Istnieje jednak pewne ryzyko. Atakujący potrafią podmienić kartę SIM (metoda „SIM swapping”), aby przekierować wiadomości tekstowe na własne urządzenie. Przy odpowiednim wyczuciu czasu przestępcy mogą również próbować skłonić swoją ofiarę do przekazania im kodu za pomocą linku phishingowego. Niektórzy wykwalifikowani hakerzy potrafią nawet wykorzystać luki w systemach telefonicznych, aby bezpośrednio przechwytywać kody, choć metoda ta jest stosowana głównie przeciwko szczególnie wysoko postawionym celom.

Mimo wszystko, kody SMS to nadal lepsza opcja niż poleganie wyłącznie na hasłach. Zdobycie czyjegoś kodu wymaga sporych umiejętności technicznych. Prawdopodobne jest, że jeśli ktoś byłby w stanie tego dokonać, mógłby również z łatwością włamać się na dowolne konto chronione tylko hasłem. Niemniej jednak organizacje i użytkownicy, którym mocno zależy na ochronie prywatności, powinni rozważyć korzystanie z aplikacji uwierzytelniających lub sprzętowych kluczy bezpieczeństwa.

Aplikacje uwierzytelniające

Aplikacje takie jak Google Authenticator czy Authy generują jednorazowe hasła TOTP lub kody QR, które są ważne tylko przez chwilę. Są one bezpieczniejsze niż SMS-y, ponieważ kody są generowane lokalnie, co oznacza, że nie można ich przejąć w niezabezpieczonej sieci.

Uwierzytelnianie oparte na powiadomieniach push

2FA wykorzystujące powiadomienia push pozwala na skonfigurowanie zaufanego urządzenia, które będzie służyć do weryfikacji logowań. Podczas próby logowania zaufane urządzenie otrzyma komunikat z prośbą o zatwierdzenie lub odrzucenie tego działania.

Kliknięcie lub stuknięcie w powiadomienie jest szybsze niż wpisywanie kodu, ale niesie ze sobą podatność na ataki bazujące na „zmęczeniu powiadomieniami” (push fatigue). Najprościej mówiąc, niektórzy użytkownicy są tak przyzwyczajeni do tego rodzaju komunikatów, że klikają „tak” automatycznie, nawet jeśli sami nie próbowali się nigdzie zalogować. Niektóre serwisy stosują zabezpieczenia przed tym zjawiskiem, wymagając od użytkowników odpowiedzi na bardziej szczegółowy monit (np. przepisanie liczby z ekranu), większość jednak nie posuwa się tak daleko. Pomimo tej podatności, uwierzytelnianie oparte na powiadomieniach push jest bezpieczniejsze niż metody wykorzystujące SMS-y lub e-maile.

Sprzętowe klucze bezpieczeństwa (U2F, FIDO)

Metody 2FA oparte na fizycznym sprzęcie, takie jak klucze YubiKey, oferują najwyższy poziom ochrony. Klucze te są odporne na phishing i nie mogą zostać przechwycone zdalnie. Wszystko, co użytkownik musi zrobić, to podłączyć swój klucz, aby ukończyć proces uwierzytelniania. Oczywiście, jeśli zgubisz taki fizyczny klucz, możesz zostać odcięty od swoich kont. Z tego powodu zaleca się zakup kilku kluczy i powiązanie ich wszystkich ze swoimi kontami. Klucze sprzętowe są doskonałym rozwiązaniem, jeśli chcemy zabezpieczyć konta wrażliwe lub te o wysokiej wartości.

Uwierzytelnianie biometryczne

Biometryczne 2FA jako drugi składnik wykorzystuje unikalne cechy fizyczne, takie jak odcisk palca lub wzorzec twarzy. Jest to rozwiązanie szybkie i wygodne, choć także niepozbawione wad. Danych biometrycznych nie można zmienić w przypadku ich naruszenia, a w słabszych systemach możliwe są ataki polegające na podszywaniu się (spoofing) pod użytkownika. Ponadto, nie każde urządzenie obsługuje logowanie biometryczne, więc nie zawsze jest to dostępna opcja.

Jak skonfigurować uwierzytelnianie dwuskładnikowe

Konfiguracja 2FA różni się w zależności od używanej aplikacji lub witryny; niektóre z nich w ogóle nie obsługują tego rodzaju uwierzytelniania. Aby włączyć 2FA, zaloguj się do serwisu lub aplikacji i poszukaj ustawień 2FA (zazwyczaj znajdują się one w sekcji ustawień konta lub bezpieczeństwa). Jeśli nie możesz znaleźć żadnych opcji 2FA, skontaktuj się z pomocą techniczną i zapytaj, czy platforma oferuje uwierzytelnianie dwuskładnikowe.

Konfiguracja 2FA przez SMS krok po kroku

Uwierzytelnianie oparte na wiadomościach SMS jest najprostsze w konfiguracji i obsłudze. Oto jak włączyć weryfikację SMS w większości serwisów i usług.

1. Na początek wejdź w ustawienia bezpieczeństwa swojego konta. W zależności od aplikacji może być konieczne odwiedzenie ustawień zabezpieczenia hasłem lub centrum zarządzania kontem.
   
2. Wybierz SMS/wiadomość tekstową jako metodę uwierzytelniania dwuskładnikowego.
   
3. Wprowadź swój numer telefonu.
   
4. Potwierdź operację kodem weryfikacyjnym otrzymanym w SMS-ie.
   
5. Zapisz zmiany.

Korzystanie z aplikacji uwierzytelniających

Aplikacje uwierzytelniające to rozwiązania zewnętrznych dostawców, które łączysz ze swoimi kontami. Na przykładzie Google Authenticator sprawdzimy, jak skonfigurować taką aplikację.

1. Ściągnij Google Authenticator ze sklepu z aplikacjami i zainstaluj na swoim telefonie.
   
2. Otwórz aplikację i zaloguj się na swoje konto Google.
   
3. Następnie zaloguj się do konta, aplikacji lub usługi, do której chcesz dodać 2FA.
4. Znajdź opcję uwierzytelniania dwuskładnikowego; zazwyczaj znajduje się ona w ustawieniach prywatności lub bezpieczeństwa.
   
5. Stuknij przycisk Authentication app (Aplikacja uwierzytelniająca) lub podobny (dokładne sformułowanie może się różnić).
   
6. Możesz wkleić podany kod do aplikacji Authenticator lub zeskanować udostępniony kod QR.
   
7. Wróć do aplikacji Google Authenticator. Dotknij wielokolorowego symbolu „+” w prawym dolnym rogu.
8. Możesz wpisać tutaj wygenerowany kod lub zeskanować kod QR.
9. Zapisz swoje kody zapasowe.

Przy okazji warto wiedzieć, że Google Authenticator zbiera więcej danych osobowych niż inne aplikacje tego typu, w tym informacje o lokalizacji i kontaktach oraz identyfikatory urządzeń. Z tego powodu sugerujemy raczej skorzystanie z menedżera haseł ze zintegrowanym modułem uwierzytelniającym.

Nie każdy menedżer haseł posiada tę funkcję, ale ExpressKeys i inne podobne rozwiązania pozwalają na generowanie kodów 2FA dla każdego konta zapisanego w usłudze (o ile wspiera ono natywnie uwierzytelnianie oparte na aplikacji). Oto jak przeprowadzić konfigurację:

1. Otwórz aplikację ExpressKeys i stuknij Logins (Loginy). Jeśli jeszcze nie utworzyłeś wpisu dla konta, na którym chcesz włączyć 2FA, stuknij przycisk „+” na dole, aby zrobić to w pierwszej kolejności.
   
2. Wybierz konto, dla którego chcesz skonfigurować 2FA, i upewnij się, że wpis zawiera poprawny adres URL witryny.
   
3. Stuknij Setup Now (Skonfiguruj teraz) pod sekcją dotyczącą kodu weryfikacyjnego 2FA.
   
4. W wyskakującym okienku wybierz Continue (Dalej).
   
5. Następnie wyjdź z ExpressKeys i przejdź do ustawień bezpieczeństwa konta w wybranej witrynie lub aplikacji, aby włączyć 2FA. Jako sposób otrzymywania kodów wybierz aplikację uwierzytelniającą – otrzymasz wtedy klucz konfiguracyjny. Zauważ, że niektóre aplikacje oferują w tym celu zeskanowanie kodu QR (lub obie te opcje do wyboru).
   
6. Wróć do aplikacji ExpressKeys, wprowadź klucz konfiguracyjny lub zeskanuj kod QR i stuknij Confirm (Potwierdź).
   
7. Otrzymasz komunikat o dodaniu weryfikacji 2FA wraz z kodem, którego możesz użyć do potwierdzenia logowania.
   

Konfiguracja tokenów sprzętowych

Konfigurowanie klucza sprzętowego jest działaniem bardziej wymagającym niż w przypadku innych rozwiązań, głównie dlatego, że trzeba najpierw zakupić fizyczne urządzenie. Choć proces ten różni się w zależności od rodzaju klucza oraz serwisu, z którym chcemy go powiązać, oto ogólny poradnik konfiguracji tokena sprzętowego:

1. Kup klucz sprzętowy (a najlepiej co najmniej dwa).
2. Podłącz klucz do urządzenia albo sparuj go z nim.
3. Przejdź do ustawień 2FA swojego konta.
4. Wybierz klucz sprzętowy jako metodę uwierzytelniania.
5. Postępuj zgodnie z instrukcjami wyświetlanymi na ekranie, aby zarejestrować urządzenie.
6. Potwierdź swój wybór.

Korzyści i ograniczenia związane z 2FA

Uwierzytelnianie dwuskładnikowe sprawia, że nasze konta są lepiej chronione – bez dwóch zdań. Blokuje ono większość zautomatyzowanych ataków i pomaga zabezpieczyć się przed oszustwami phishingowymi oraz innymi metodami bezprawnego uzyskiwania dostępu do kont. Mimo to 2FA nie uczyni Cię w pełni odpornym na zhakowanie, zwłaszcza jeśli masz złe nawyki związane z hasłami (używanie tego samego hasła w różnych miejscach, stosowanie bardzo prostych kombinacji itp.).

Najważniejsze korzyści w zakresie bezpieczeństwa wynikające z używania 2FA

Uwierzytelnianie dwuskładnikowe poprawia bezpieczeństwo konta, wymagając użycia dodatkowej formy weryfikacji w celu uzyskania do niego dostępu. Nawet jeśli hasło zostanie przejęte, napastnik wciąż będzie potrzebować drugiego składnika, który często jest ograniczony czasowo lub powiązany z konkretnym urządzeniem.

Uwierzytelnianie dwuskładnikowe jest szczególnie ważne dla organizacji, które zarządzają wrażliwymi danymi, mają dostęp do systemów państwowych lub podlegają regulacjom dotyczącym kontroli danych. Bez 2FA każdy przestępca mógłby zdobyć dane uwierzytelniające pracowników i wykorzystać je do szpiegowania organizacji lub kradzieży jej danych.

Przeciętni użytkownicy również czerpią wymierne korzyści z 2FA. Możemy nie mieć tak wiele do stracenia jak duże firmy, ale nadal musimy odpowiednio chronić nasze konta bankowe, prywatną komunikację i inne zasoby. Podobnie jak firmy, osoby prywatne są narażone na oszustwa phishingowe, złośliwe strony internetowe i zautomatyzowane ataki.

Czy uwierzytelnianie dwuskładnikowe można zhakować?

Tak, 2FA można zhakować, choć jest to znacznie trudniejsze niż złamanie samego hasła. Atakujący mogą wykorzystać phishing, ataki typu man-in-the-middle (MITM) lub inne metody, aby przejąć lub odkryć drugi składnik.

Kody wysyłane w wiadomościach SMS i e-mail są najbardziej podatne na ataki. Kody przesyłane na telefon są ryzykowne ze względu na zagrożenia takie jak SIM swapping, natomiast konta e-mail są bardzo częstym celem phishingu, ponieważ stanowią niezwykle cenne źródło informacji.

2FA oparte na sprzęcie jest bezpieczniejsze, ale za to mniej wygodne w codziennym użytkowaniu. Jeśli jednak oczekujesz maksymalnego poziomu zabezpieczeń, zalecamy zainstalowanie ochrony przed phishingiem i korzystanie ze sprzętowych kluczy bezpieczeństwa (FIDO2/U2F).

Znane słabości 2FA i jak ich unikać

Typowe słabości systemu uwierzytelniania dwuskładnikowego obejmują ataki phishingowe, SIM swapping oraz socjotechniki mające na celu zresetowanie metod uwierzytelniania. 2FA oparte na wiadomościach SMS jest szczególnie ryzykowne, ponieważ wiadomości mogą zostać stosunkowo łatwo przechwycone lub przekierowane. Uwierzytelnianie za pośrednictwem e-maila ma podobną wadę, zwłaszcza jeśli przestępca uzyska dostęp do całego konta pocztowego ofiary.

Aby uniknąć tych zagrożeń, używaj aplikacji uwierzytelniających lub tokenów sprzętowych, włącz opcje biometryczne, jeśli są dostępne, i nigdy nie udostępniaj nikomu swoich kodów. Rozważ skorzystanie z menedżera haseł, takiego jak ExpressKeys, aby mieć pewność, że każde z Twoich haseł jest silne, unikalne i trudne do złamania. Organizacje powinny monitorować podejrzane próby odzyskiwania kont i szkolić swoich użytkowników w rozpoznawaniu prób phishingu.

Uwierzytelnianie wieloskładnikowe (MFA) a uwierzytelnianie dwuskładnikowe

Zarówno uwierzytelnianie wieloskładnikowe (multi-factor authentication – MFA), jak i 2FA polegają na użyciu więcej niż jednej formy uwierzytelniania w celu uzyskania dostępu do konta. Jednak 2FA odnosi się ściśle do użycia dokładnie dwóch składników, zazwyczaj hasła i kodu TOTP. MFA z kolei oznacza, że do logowania będą potrzebne dwa lub więcej składników. Oba rozwiązania oferują dodatkowe warstwy ochrony i są bezpieczniejsze niż zwykłe korzystanie z pojedynczego hasła.

Na czym polega różnica?

Kluczowa różnica polega na tym, że 2FA jest podzbiorem MFA. 2FA wykorzystuje dokładnie dwie odrębne metody uwierzytelniania, takie jak hasło i kod wygenerowany przez urządzenie.

Uwierzytelnianie wieloskładnikowe obejmuje dowolną kombinację dwóch lub więcej składników, co może również uwzględniać biometrię, karty inteligentne, dane o lokalizacji oraz aplikacje uwierzytelniające. MFA jest pojęciem szerszym i może zapewniać silniejszą ochronę niż 2FA, w zależności od tego, ile i które składniki zostaną zastosowane. Proces logowania jest przez to bardziej skomplikowany, ale jest to cena, jaką płaci się za dodatkowe bezpieczeństwo.

Kiedy stosować MFA zamiast 2FA?

Używaj MFA zamiast 2FA podczas pracy z wrażliwymi danymi, zarządzania uprawnionym dostępem lub działania w środowiskach o wysokim ryzyku. Choć 2FA pomaga zapobiegać nieautoryzowanemu dostępowi, dodatkowe warstwy zabezpieczeń dodane przez MFA sprawiają, że napastnikom jeszcze trudniej będzie je obejść. Na przykład organizacje chroniące wrażliwą dokumentację finansową lub systemy państwowe chętnie korzystają z MFA, ponieważ utrudnia ono zdobycie danych uwierzytelniających pracowników i wykorzystanie ich do uzyskania dostępu do poufnych systemów. W niektórych przypadkach stosowanie uwierzytelniania wieloskładnikowego może być nawet wymagane przepisami.

Ogólnie rzecz biorąc, 2FA jest skuteczne w większości przypadków, ale MFA jest optymalnym rozwiązaniem dla organizacji i kont o wysokim stopniu wrażliwości.

FAQ: często zadawane pytania na temat uwierzytelniania dwuskładnikowego