Modul 2 · 2.3
Dvojfaktorové overenie: kódy, aplikácie a SMS
Modul 2: Heslá a prihlasovanie · Čas čítania: 11 minút
Cieľ lekcie: Po tejto lekcii dokážete porovnať formy dvojfaktorového overenia (SMS, e-mail, TOTP, push), rozpoznať útoky na ne a nastaviť obnovu pre prípad, že stratíte telefón.
Kľúčové pojmy: 2FA/MFA, faktor (niečo, čo viete, čo máte, čím ste), TOTP, zdieľané tajomstvo, push notifikácia, MFA únava, sim swap, obnovovacie kódy
Dva rôzne dôkazy
Heslo je niečo, čo viete. Ak unikne, môže sa prihlásiť ktokoľvek, kto ho pozná. Dvojfaktorové overenie (2FA) preto vyžaduje aj druhý dôkaz iného druhu. Pri viac ako dvoch faktoroch hovoríme o viacfaktorovej autentifikácii (MFA); v praxi sa oba pojmy používajú zameniteľne.
Existujú tri druhy faktorov:
- Niečo, čo viete: heslo alebo PIN kód.
- Niečo, čo máte: telefón s aplikáciou, bezpečnostný kľúč, kartu.
- Niečo, čím ste: odtlačok prsta alebo tvár.
Dvakrát rovnaký druh sa nepočíta: heslo a bezpečnostná otázka sú dve veci, ktoré viete. Nizozemské NCSC dôrazne odporúča používať MFA na každom systéme a účte, ktorý to podporuje, a predovšetkým na účtoch dostupných cez internet a účtoch so správcovskými právami. Pre malú firmu sú to v každom prípade: e-mail, hosting a registrácia domény, banka, účtovníctvo, e-shop, správca hesiel a firemné sociálne siete.
Formy vedľa seba
| Forma | Ako to funguje | Slabé miesto | Odolné voči phishingu? |
|---|---|---|---|
| Kód cez SMS | Služba pošle kód na vaše telefónne číslo | Sim swap, odpočúvanie, vaše číslo nie je totožné s vaším zariadením | Nie |
| Kód cez e-mail | Služba pošle kód do vašej schránky | Je tak silné, ako vaša schránka; ak je prevzatá, toto nie je druhý zámok | Nie |
| Aplikácia authenticator (TOTP) | Aplikácia vytvára nový kód každých 30 sekúnd | Tajomstvo môže uniknúť pri nastavovaní alebo v zlej zálohe; kód prepisujete ručne | Nie |
| Push notifikácia | Telefón sa opýta „Ste to vy?“ a vy ťuknete na Schváliť | MFA únava | Nie, lepšie je zadávanie čísla |
| Passkey alebo bezpečnostný kľúč | Vaše zariadenie kryptograficky dokazuje, kto ste, len pre skutočnú doménu | Obnova, keď stratíte všetko | Áno (lekcia 2.4) |
Každá forma je oveľa lepšia ako žiadny druhý krok. Tabuľka však tiež ukazuje: všetko, pri čom vy sami prepisujete kód alebo schvaľujete notifikáciu, môže podvodník zneužiť na svojej falošnej stránke. Americký NIST to v dokumente SP 800-63B-4 hovorí bez okolkov: metódy, pri ktorých výsledok zadávate ručne, nie sú odolné voči phishingu.
Ako funguje aplikácia authenticator
Aplikácia authenticator používa TOTP: Time-based One-Time Password, popísaný v RFC 6238. Funguje to takto:
- Pri nastavovaní vytvorí služba náhodné zdieľané tajomstvo, napríklad 32 znakov ako
JBSWY3DPEHPK3PXP.... Toto tajomstvo je v QR kóde, ktorý naskenujete, alebo ho prepíšete ako „manuálny kľúč“. - Vaša aplikácia a služba teraz majú rovnaké tajomstvo. Potom už medzi nimi nie je potrebný žiadny ďalší kontakt.
- Každých 30 sekúnd obe strany prepočítajú tajomstvo spolu s aktuálnym časom na 6-miestny kód. Keďže majú rovnaké tajomstvo a rovnaké hodiny, vyjde rovnaký kód.
- Pri prihlásení služba porovná váš kód so svojím vlastným výsledkom, zvyčajne s toleranciou jedného časového úseku pred alebo po, kvôli miernej odchýlke hodín.
Z toho vyplývajú dva dôsledky:
- Tajomstvo je skutočný zámok. Kto vidí QR kód alebo manuálny kľúč, dokáže natrvalo vytvárať rovnaké kódy ako váš telefón. Nerobte si z neho teda snímku obrazovky, nezdieľajte ho s nikým a neposielajte ho kolegovi.
- Kód funguje aj bez internetu a neprichádza cez telefónnu sieť. Preto je TOTP silnejšie ako SMS.
Aplikácie authenticator existujú v rôznych podobách: samostatné v telefóne, zabudované v správcovi hesiel, open source alebo od veľkej technologickej spoločnosti, so šifrovanou zálohou v cloude alebo bez nej. Príkladmi sú Aegis, Google Authenticator a Microsoft Authenticator, popri tejto funkcii v správcoch ako Bitwarden alebo 1Password. Záloha sa hodí pri novom telefóne, no nizozemské NCSC upozorňuje: zle zašifrovaná záloha dáva prístup aj útočníkovi.
Sim swap: prečo je SMS najslabšou formou
Pri sim swape podvodník prevezme vaše telefónne číslo. Necháva vaše číslo preniesť na SIM kartu alebo eSIM, ktorú má sám. Darí sa mu to napríklad tak, že sa u vášho operátora vydáva za vás, alebo tak, že k tomu nevedomky prispejete aj vy sami: polícia a SK-CERT upozorňujú na SMS správy a telefonáty „v mene operátora“, že vašu SIM kartu treba overiť alebo urýchlene previesť na eSIM.
Hneď ako sa to podarí:
- váš telefón zrazu nemá signál a vy sami nemôžete volať ani posielať SMS;
- podvodník dostane všetky SMS kódy, aj kódy „zabudnuté heslo“ zo služieb, ktoré používajú vaše číslo ako spôsob obnovy;
- niekedy dokáže len s vaším číslom prevziať účty.
Háčik je v tom, že si to všimnete až vo chvíli, keď telefón prestane fungovať, často večer alebo cez víkend. NIST preto označuje SMS za obmedzenú metódu a hovorí, že služby by mali sledovať signály ako nová SIM karta alebo prenesené číslo. Nizozemské NCSC odporúča SMS pokiaľ možno nepoužívať, pretože správy nie sú šifrované a dajú sa odpočúvať.
Čo robiť?
- Kde sa dá, zvoľte aplikáciu alebo passkey namiesto SMS.
- Odstráňte svoje telefónne číslo ako spôsob obnovy tam, kde je to slabé miesto, alebo ho chráňte navyše.
- Opýtajte sa svojho operátora, či si môžete nastaviť ďalší PIN kód alebo kontrolu pri prenose čísla.
- Vypadne vám signál náhle bez dôvodu? Zavolajte operátorovi z iného zariadenia. Nečakajte.
SMS je stále lepšie ako nič. Ak služba ponúka iba SMS, aj tak si ho zapnite.
MFA únava: notifikácia, ktorú odklikáte
Pri push notifikácii nemusíte nič prepisovať: telefón sa opýta „Pokúšate sa prihlásiť?“ a vy ťuknete na Schváliť. Jednoduché, a práve preto zneužívané.
MFA únava (aj push bombardovanie) nastáva, keď útočník už má vaše heslo. Opakovane sa prihlasuje, takže váš telefón dostáva jednu notifikáciu za druhou, niekedy aj uprostred noci. Americký úrad CISA opisuje, ako ľudia z podráždenia alebo omylom ťuknú na Schváliť, alebo si myslia, že jedna z notifikácií bude naozaj pravá. Niekedy útočník aj zavolá, vydávajúc sa za „helpdesk“, s otázkou, či by ste mohli schválenie potvrdiť.
Skutočný prípad, ktorý opisuje nizozemské NCSC: útočníci sa pomocou MFA únavy dostali do e-mailových účtov softvérovej firmy a následne ich použili na faktúrny podvod.
Pravidlá:
- Nikdy neschvaľujte notifikáciu, ktorú ste sami nevyvolali. Ani dvadsiatu v poradí.
- Neočakávaná notifikácia znamená, že niekto má vaše heslo. Zmeňte ho okamžite a nahláste to.
- Kde sa dá, zvoľte zadávanie čísla: prihlasovacia obrazovka zobrazí číslo, ktoré zadáte do aplikácie. Kto nesedí pred prihlasovacou obrazovkou, nemôže schválenie potvrdiť. CISA to označuje za dobrý medzistupeň, no slabší ako MFA odolné voči phishingu.
Obnova: zariaďte si ju skôr, než stratíte telefón
Telefón vám spadne do vody, ukradnú vám ho alebo sa pokazí. Bez prípravy sa potom ocitnete mimo vlastných účtov. Preto existujú obnovovacie kódy (aj záložné kódy): rad náhradných kódov, ktoré dostanete pri nastavovaní a z ktorých každý funguje iba raz.
- Neuchovávajte ich na tom istom telefóne ako aplikáciu authenticator. Vytlačte ich a uložte k svojim dôležitým dokumentom, alebo ich uložte v správcovi hesiel pri správnej položke.
- Použili ste obnovovací kód? Prečiarknite ho. Ak vám dôjdu, vytvorte nové.
- Zabezpečte si aspoň dva spôsoby, ako sa dostať dovnútra: napríklad aplikáciu plus obnovovacie kódy, alebo dva bezpečnostné kľúče.
- Pri novom telefóne najprv preneste účty a až potom vymažte starý.
- Zistite, ako funguje postup obnovy pri vašich najdôležitejších službách. Dobrá služba nevráti váš druhý krok len tak na základe e-mailu alebo telefonátu, ale najprv overí, že ste to naozaj vy.
V praxi: takto to vyzerá
V prostredí WebOké si Môj WebOké po hesle vždy vyžiada druhý krok: štandardne kód cez e-mail, pričom môžete prejsť na aplikáciu authenticator. V DirectAdmin sa to volá Dvojstupňová autentifikácia, s obnovovacími kódmi. V Nextcloud zapnete TOTP a vytvoríte desať záložných kódov. U iných poskytovateľov to funguje podobne: v nastaveniach profilu alebo zabezpečenia hľadajte „dvojfaktorové overenie“, „2FA“, „authenticator“ alebo „two-factor“.
Kroky sú takmer vždy rovnaké: naskenovať QR kód, zadať jeden kód na overenie, uložiť obnovovacie kódy.
Zhrnutie
- 2FA kombinuje dva druhy faktorov: niečo, čo viete, niečo, čo máte, a niečo, čím ste.
- TOTP funguje so zdieľaným tajomstvom a hodinami. Tajomstvo (QR kód) je skutočný zámok: nikdy ho nezdieľajte.
- SMS je najslabšia forma kvôli sim swapu a odpočúvaniu, no stále lepšia ako nič.
- MFA únava: nikdy neschvaľujte notifikáciu, ktorú ste sami nevyvolali, a potom zmeňte heslo.
- Kódy a notifikácie nie sú odolné voči phishingu; passkeys a bezpečnostné kľúče áno (lekcia 2.4).
- Zariaďte si obnovovacie kódy a druhú metódu skôr, než stratíte telefón.
Kvíz
Úloha
Úloha A2.3: Spárovanie aplikácie authenticator. Dostanete QR kód z cvičného účtu „WebOké oefening“. Naskenujte ho ľubovoľnou aplikáciou authenticator a zadajte dva kódy, ktoré sa zobrazia za sebou. Program skontroluje, či vaša aplikácia počíta správne. Cvičné tajomstvo nemá žiadnu hodnotu a po 24 hodinách sa vymaže; cvičný účet potom z aplikácie odstráňte.
Úloha D2.3: Zapnutie dvojfaktorového overenia na vašich najdôležitejších účtoch. Zapnite dvojfaktorové overenie na svojom e-maile, hostingu alebo registrácii domény, banke, účtovníctve a správcovi hesiel. Uložte obnovovacie kódy na druhom mieste a odpovedzte na otázku, čo urobíte, ak zajtra stratíte telefón.
Úloha D2.3: Zapnutie dvojfaktorového overenia na vašich najdôležitejších účtoch
Postupujte takto: (1) Vytvorte si zoznam vašich najdôležitejších účtov: schránka, hosting a registrácia domény, banka, účtovníctvo, webový obchod, správca hesiel, sociálne siete firmy. (2) Pri každom zapnite dvojfaktorové overenie. Zvoľte v tomto poradí to, čo služba ponúka: passkey alebo bezpečnostný kľúč, aplikácia autentifikátora, push s prepísaním čísla, kód e-mailom, SMS. (3) Pri každom uložte obnovovacie kódy na druhom mieste (vytlačené alebo vo vašom správcovi hesiel), nie v tom istom telefóne ako vaša aplikácia autentifikátora. (4) Zabezpečte aspoň dva spôsoby prihlásenia pre každý dôležitý účet. (5) Opýtajte sa svojho poskytovateľa, či si môžete nastaviť dodatočnú kontrolu alebo PIN kód pre prenos vášho čísla. (6) Dohodnite sa v tíme: upozornenie na prihlásenie, ktoré ste sami nevyvolali, nikdy neschvaľujete; okamžite ho nahlásite.
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Odporúčame na ďalšie čítanie
Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- Dvojstupňové overenie v Môj WebOké a nastavenie aplikácie Authenticator
- Príručka WebOké 3.2: Prihlasovací kód e-mailom (dvojstupňové overenie)
- Príručka WebOké 3.3: Používanie overovacej aplikácie
- Návod na DirectAdmin 3.2: Dvojstupňovú autentifikáciu nastaviť
- Návod na DirectAdmin 3.3: Obnovovacie kódy a čo robiť, ak stratíte autentifikátor
- Návod na Nextcloud 3.3: Nastavenie aplikácie autentifikátora a uloženie záložných kódov
- Návod na Nextcloud 3.10: Stratili ste telefón alebo prístup k dvojfaktorovému overeniu: takto sa znovu prihlásite
- Nastavenie dvojstupňového overenia (2FA) v Nextcloud
- Nizozemské NCSC, Ako si vybrať metódu MFA?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
- SK-CERT, nahlásenie podvodných správ a sim swapu: https://www.sk-cert.sk/
- CISA, Implementing Number Matching in MFA Applications (po anglicky): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (po anglicky): https://www.rfc-editor.org/rfc/rfc6238