Modul 8 · 8.1
Heslo a dvojstupňové overenie
Modul 8: Bezpečne a bez starostí · Čas čítania: 10 minút
Cieľ lekcie: Po tejto lekcii dokážete vysvetliť, čo je silné heslo k vašej e-mailovej schránke, čo musíte po jeho zmene urobiť na svojich zariadeniach, ako vzniká kód z aplikácie na overovanie a čo dvojstupňové overenie vo webmaile chráni a čo nie.
Kľúčové pojmy: heslo k schránke, správca hesiel, dvojstupňové overenie, TOTP, zdieľané tajomstvo, QR kód, záložný kód, odchýlka hodín, IMAP a SMTP bez druhého kroku
Prečo je vaša schránka najdôležitejším účtom
Vaša e-mailová schránka je zväzok kľúčov od vášho online života. Takmer každá služba posiela odkaz na obnovenie hesla na váš e-mail. Kto má vašu schránku, môže teda prevziať aj váš e-shop, vaše účtovníctvo a vaše sociálne siete. A môže posielať e-maily vo vašom mene zákazníkom, ktorí vám dôverujú. Ukradnutá schránka sa preto často zneužíva na podvody s faktúrami alebo na rozosielanie spamu. To druhé dostane do problémov celú vašu doménu: iné servery začnú vašu poštu odmietať.
Votrelca udržia vonku dve veci: dobré heslo a druhý krok pri prihlasovaní.
Silné heslo je predovšetkým dlhé a jedinečné
Vaše heslo k schránke patrí k jednej e-mailovej adrese. Nie je to to isté ako heslo k vášmu zákazníckemu účtu ani k ovládaciemu panelu vášho balíka (lekcia 1.3).
Čo robí heslo silným? Nie výkričník za slovom, ale dĺžka a náhodnosť. Útočníci skúšajú uniknuté heslá a zoznamy často používaných slov a vzorov. "Leto2026!" v takom zozname je, postupnosť štyroch náhodných slov alebo dvadsiatich náhodných znakov nie. Rovnako dôležité je, aby bolo heslo jedinečné. Ak unikne heslo z e-shopu, kde ste používali to isté heslo, zločinci ho vyskúšajú aj na vašej schránke.
Praktickým riešením je správca hesiel: program, ktorý pre každú službu vytvorí dlhé náhodné heslo a zapamätá si ho. Vy si potom pamätáte už len jedno silné hlavné heslo.
Po zmene: aktualizujte všetky zariadenia
Heslo zmeníte vo webmaile v časti Nastavenia > Heslo, alebo v ovládacom paneli vášho balíka, ak si staré heslo už nepamätáte. Od tej chvíle platí nové heslo všade: vo webmaile, v telefóne aj v e-mailovom programe.
Práve tu sa často robí chyba. Sanne de Vries v pondelok zmení heslo k adrese sanne@example.com. Notebook hneď aktualizuje. Na starý tablet v kuchyni zabudne. Tablet sa každých pár minút naďalej prihlasuje so starým heslom. Po niekoľkých neúspešných pokusoch firewall servera zaznamená pripojenie, ktoré stále skúša nesprávne heslo, a zablokuje IP adresu. Keďže tablet a notebook doma zdieľajú tú istú IP adresu, Sanne sa zrazu nedostane k pošte ani z notebooku a niekedy ani na svoj web.
Preto po zmene hneď aktualizujte všetky zariadenia: telefón, tablet, e-mailový program v počítači a prípadne aj tlačiareň alebo skener, ktorý posiela e-maily.
Dvojstupňové overenie: niečo, čo viete, a niečo, čo máte
Pri dvojstupňovom overení (vo webmaile sa volá Dvojstupňové overenie) potrebujete pri prihlásení dve veci: svoje heslo (niečo, čo viete) a kód z telefónu (niečo, čo máte). Kto získa vaše heslo cez phishing alebo únik údajov, ešte sa tak dovnútra nedostane.
Kód pochádza z aplikácie na overovanie, napríklad z aplikácie vášho správcu hesiel alebo zo samostatnej aplikácie na takéto kódy. Metóda sa nazýva TOTP, time-based one-time password (jednorazové heslo založené na čase), a je opísaná v RFC 6238. Funguje takto:
- Pri zapnutí vytvorí webmail zdieľané tajomstvo: náhodnú postupnosť znakov. Uvidíte ho ako tajný kľúč a ako QR kód.
- QR kód naskenujete aplikáciou. Odteraz poznajú server aj váš telefón to isté tajomstvo.
- Každých 30 sekúnd obe strany prepočítajú tajomstvo spolu s aktuálnym časom na šesťmiestny kód.
- Pri prihlásení server porovná váš kód so svojím vlastným výsledkom.
Z toho vyplývajú dve veci. Aplikácia nepotrebuje internet: počíta len s tajomstvom a hodinami. A hodiny musia byť presné. Ak váš telefón ide o pár minút napred alebo pozadu, počíta s iným časovým úsekom a kód nesedí. Nastavte si čas v telefóne na automatický.
Tretí dôsledok: samotný QR kód je tajomstvo. Kto má jeho fotografiu alebo snímku obrazovky, môže vytvárať rovnaké kódy. Preto ho nikdy nezdieľajte a neukladajte ho ako obrázok.
Na obrázku vidíte obrazovku, na ktorej zapínate dvojstupňové overenie, s tajným kľúčom, záložnými kódmi a QR kódom.
Záložné kódy a stratený telefón
Pri zapnutí dostanete aj štyri záložné kódy. Každý funguje jedenkrát namiesto kódu z aplikácie. Sú vaším náhradným kľúčom, ak je telefón pokazený, ukradnutý alebo vymenený. Uchovávajte ich na inom mieste ako telefón: v správcovi hesiel alebo na papieri v zásuvke.
Ak použijete záložný kód, hneď znova nastavte dvojstupňové overenie s novým telefónom. Dostanete tak aj nové záložné kódy. Ak už žiadne záložné kódy nemáte, váš poskytovateľ e-mailu môže druhý krok pre vašu schránku vypnúť po overení vašej totožnosti.
Na vlastnom počítači si pri prihlásení môžete zvoliť, aby si webmail 30 dní znova nepýtal kód. Na zdieľanom počítači to nikdy nerobte.
Čo dvojstupňové overenie nechráni
Toto je najdôležitejšia pasca a mnohí ľudia o nej nevedia. Dvojstupňové overenie vo webmaile platí len pre webmail. Váš e-mailový program a e-mailová aplikácia v telefóne sa prihlasujú cez IMAP (preberanie) a SMTP (odosielanie) a tie si pýtajú len heslo. Útočník s vaším heslom teda môže cez e-mailový program stále čítať vašu poštu a odosielať e-maily vo vašom mene.
Preto je dvojstupňové overenie doplnkom, nie náhradou. Vaše heslo musí byť aj naďalej dlhé a jedinečné. Dvojstupňové overenie pre zákaznícky účet nastavujete samostatne: je to iný účet s vlastným zabezpečením.
Pri veľkých službách ako Gmail alebo Outlook.com to funguje trochu inak: tam druhý krok často platí pre celý účet a e-mailový program potrebuje samostatné heslo aplikácie alebo vlastný spôsob prihlásenia. Princíp je rovnaký: heslo plus niečo, čo máte.
V praxi: takto to funguje vo webmaile
Heslo zmeníte v časti Nastavenia > Heslo, dvojstupňové overenie zapnete v časti Nastavenia > Dvojstupňové overenie. Tam zaškrtnete políčko Zapnúť, necháte webmail vyplniť polia, naskenujete QR kód, overíte jeden kód a uložíte. Postup nájdete v príručke Roundcube (10.3, 10.4 a 10.5). Iné webmaily majú podobné nastavenia, často v časti Bezpečnosť.
Zhrnutie
- Vaša schránka je kľúčom k vašim ďalším účtom: chráňte ju dlhým, jedinečným heslom zo správcu hesiel.
- Po zmene hesla aktualizujte všetky zariadenia; zariadenie so starým heslom môže spôsobiť zablokovanie vašej IP adresy.
- TOTP vytvára každých 30 sekúnd kód zo zdieľaného tajomstva a času; hodiny v telefóne musia byť presné a QR kód je samotné tajomstvo.
- Štyri záložné kódy uchovávajte mimo telefónu; každý kód funguje jedenkrát.
- Dvojstupňové overenie vo webmaile chráni len webmail, nie IMAP a SMTP vo vašom e-mailovom programe.
Kvíz
Úloha
Úloha A8.1: Precvičte si aplikáciu na overovanie. Kliknite na tlačidlo pre cvičné tajomstvo. Dostanete QR kód cvičného účtu. Naskenujte ho ľubovoľnou aplikáciou na overovanie (alebo prepíšte zobrazený kľúč) a zadajte šesťmiestny kód, ktorý aplikácia zobrazí. Program s rovnakým cvičným tajomstvom a časom prepočíta, či je váš kód správny; uzná aj kód z predchádzajúceho alebo nasledujúceho časového úseku, takže malá odchýlka hodín nevadí. Zelená: kód je správny. Červená: kód nie je správny; skontrolujte hodiny v telefóne a či používate správny riadok v aplikácii. Cvičné tajomstvo nepatrí k vašej schránke, nemá žiadnu hodnotu a do 24 hodín zanikne. Potom cvičný účet z aplikácie odstráňte.
Ďalšie čítanie
Postupy vo webmaile sa vzťahujú na webmail WebOké; v iných webmailoch to funguje podobne.
- Roundcube Webmail 10.3: Zapnutie dvojstupňového overenia
- Roundcube Webmail 10.4: Prihlásenie s dvojstupňovým overením
- Roundcube Webmail 10.5: Zmena hesla k vašej e-mailovej schránke
- Zmena hesla alebo limitov e-mailovej adresy
- Správca hesiel a passkeys: takto si zabezpečíte prihlasovanie
- Bezplatný kurz Bezpečne online pre podnikateľov 2.1: Čo je naozaj silné heslo
- Bezplatný kurz Bezpečne online pre podnikateľov 2.3: Dvojfaktorové overenie: kódy, aplikácie a SMS
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (v angličtine): https://www.rfc-editor.org/rfc/rfc6238