Dviejų veiksnių autentifikacija (2FA): kas tai ir kodėl būtina
Trumpai: Dviejų veiksnių autentifikacija (2FA, dar MFA) – tai antras apsaugos sluoksnis prisijungiant: be slaptažodžio paprašoma antro patvirtinimo (kodo iš programėlės, push ar saugumo rakto). Esmė paprasta – net pavogus slaptažodį, be antro veiksnio užpuolikas į paskyrą nepateks. Įjunkite ją pirmiausia el. paštui, bankui ir administravimo sistemoms.
Dviejų veiksnių autentifikacija (2FA, kartais MFA) – tai antras apsaugos sluoksnis prisijungiant. Be slaptažodžio (kažko, ką žinote) paprašoma antro patvirtinimo (kažko, ką turite ar esate) – kodo iš programėlės, patvirtinimo telefone ar saugumo rakto. Esmė paprasta: net jei užpuolikas pavagia slaptažodį, be antro veiksnio jis vis tiek nepateks į paskyrą.
Kodėl vien slaptažodžio nebeužtenka
Slaptažodžiai nuteka per duomenų pažeidimus, pavagiami per phishing ir atspėjami, kai kartojami. Kadangi daugybė slaptažodžių jau yra sukčių bazėse, jų vieno neužtenka apsaugoti. 2FA paverčia pavogtą slaptažodį beveik bevertį, nes trūksta antro rakto.
2FA būdai nuo silpniausio iki stipriausio
- SMS kodas
- Geriau nei nieko, bet pažeidžiamas SIM apsikeitimo ir perėmimo atakų.
- Autentifikatoriaus programėlė
- Laikini kodai telefone – patikima, nemokama ir atspari SIM perėmimui.
- Push patvirtinimas
- Patogus, bet reikia atidumo, kad nepatvirtintumėte svetimo prisijungimo.
- Fizinis saugumo raktas
- Stipriausia apsauga, atspari phishing – antram veiksniui reikia fizinio rakto.
Net silpniausia 2FA (SMS) yra daug geriau nei jokios. Bet jei įmanoma, rinkitės autentifikatoriaus programėlę ar saugumo raktą svarbioms paskyroms.
Kur 2FA būtina pirmiausia
- Darbo ir asmeninis el. paštas – nes per jį atstatomi kitų paskyrų slaptažodžiai.
- Bankininkystė ir mokėjimų sistemos.
- Debesų ir administravimo sistemos, kuriose laikomi įmonės duomenys.
- Socialiniai tinklai ir bet kuri paskyra su prieiga prie klientų ar pinigų.
Ar 2FA neapgaunama?
2FA labai sumažina riziką, bet nėra absoliuti. Pažangus phishing gali bandyti realiu laiku išvilioti ir kodą, arba užpuolikas siunčia daug push pranešimų, tikėdamasis, kad kažkas paspaus „patvirtinti“ iš nuovargio. Todėl 2FA veikia geriausiai kartu su budrumu: niekada neįveskite kodo puslapyje, į kurį patekote per laiško nuorodą, ir netvirtinkite prisijungimo, kurio patys nepradėjote.
Kaip įdiegti 2FA įmonėje
Pradėkite nuo svarbiausių sistemų ir vadovybės bei finansų paskyrų, tada plėskite visai komandai. Padarykite 2FA privalomą, ne pasirenkamą, ir trumpai paaiškinkite darbuotojams, kodėl ji svarbi – supratimas mažina pasipriešinimą. Kadangi net su 2FA lieka phishing rizika, apsaugą verta derinti su reguliariais mokymais ir simuliacijomis, kurias automatizuoja Opsinel.
Išbandykite patys
Ar atpažintumėte sukčių laišką?
10 tikroviškų laiškų ir paaiškinimas po kiekvieno atsakymo. Apie 5 minutes, registruotis nereikia.
Atlikti phishing testąAr sukčiai gali siųsti laiškus jūsų vardu?
Nemokama jūsų domeno SPF, DKIM ir DMARC patikra. Įvesti domenai nesaugomi.
Dažni klausimai
Kuo skiriasi 2FA ir MFA?
2FA yra du veiksniai, MFA – du ar daugiau. Praktikoje terminai vartojami panašiai; esmė ta pati: prie slaptažodžio pridedamas bent vienas papildomas patvirtinimas.
Ar 2FA per SMS saugu?
SMS 2FA geriau nei jokios apsaugos, bet pažeidžiama SIM perėmimo. Svarbioms paskyroms rinkitės autentifikatoriaus programėlę arba fizinį saugumo raktą.
Ką daryti, jei prarandu telefoną su 2FA?
Naudokite iš anksto išsaugotus atsarginius kodus arba paskyros atkūrimo būdą. Todėl svarbu atsarginius kodus laikyti saugioje vietoje dar juos susikuriant.
Ar 2FA neapsaugoma nuo phishing?
Ji labai sumažina riziką, bet nėra absoliuti. Pažangus phishing gali realiu laiku išvilioti ir kodą. Todėl niekada neįveskite kodo puslapyje, į kurį patekote per laiško nuorodą, ir netvirtinkite prisijungimo, kurio patys nepradėjote.
Nuo kurių paskyrų pradėti diegti 2FA?
Pradėkite nuo el. pašto (per jį atstatomi kiti slaptažodžiai), banko ir administravimo bei debesų sistemų, tada plėskite visai komandai.
Šaltiniai ir papildoma informacija
Viešos saugumo institucijų ir standartų rekomendacijos. Dauguma jų – anglų kalba.