Autentificarea în doi pași cere, pe lângă parolă, o a doua dovadă că persoana care intră în cont este titularul acestuia: un cod primit pe telefon, o confirmare într-o aplicație sau o cheie de securitate fizică. Chiar dacă parola ajunge la altcineva, contul rămâne protejat, pentru că lipsește al doilea element. Metodele nu sunt însă la fel de sigure, iar diferențele dintre ele contează.
Cum funcționează autentificarea în doi pași?
Autentificarea în doi pași combină două tipuri diferite de dovezi, numite factori: ceva ce persoana știe, ceva ce are și ceva ce este. Parola este factorul „ce știe”, telefonul sau o cheie fizică sunt factorul „ce are”, iar amprenta sau recunoașterea feței sunt factorul „ce este”. Un atacator care a aflat parola dintr-o bază de date furată nu are și telefonul titularului, așa că autentificarea eșuează.
Termenii „autentificare în doi pași”, „autentificare cu doi factori” și „autentificare multifactor” sunt folosiți adesea ca sinonime în setările serviciilor online.
Ce metode de autentificare în doi pași există?
Metodele obișnuite sunt codul prin SMS, aplicația de autentificare, notificarea de confirmare pe telefon și cheia de securitate fizică. Ele diferă prin nivelul de protecție și prin comoditate.
| Metodă | Cum funcționează | Nivel de protecție | Punct slab |
|---|---|---|---|
| Cod prin SMS | Cod trimis pe numărul de telefon | De bază | Poate fi interceptat sau obținut prin înșelăciune |
| Aplicație de autentificare | Cod generat pe telefon, schimbat la circa 30 de secunde | Bun | Poate fi cerut prin pagini false |
| Notificare de confirmare | Mesaj „Aprobați conectarea?” pe telefon | Bun | Aprobarea din reflex a unei cereri neinițiate |
| Cheie fizică sau cheie de acces | Verificare criptografică legată de site-ul real | Foarte bun | Necesită o cheie de rezervă |
De ce codul prin SMS este cea mai slabă variantă?
Codul prin SMS este cel mai vulnerabil pentru că depinde de numărul de telefon, nu de dispozitivul propriu-zis. Un atacator poate încerca să transfere numărul pe o altă cartelă, convingând operatorul că este titularul, iar din acel moment primește el codurile. Mai frecvent, codul este obținut direct de la victimă, printr-un apel în care cineva se prezintă drept angajat al unei bănci sau al unui serviciu de livrări. Tehnicile acestea sunt descrise în articolul despre recunoașterea tentativelor de phishing prin SMS sau e-mail.
Codul prin SMS rămâne totuși mult mai bun decât lipsa oricărui al doilea factor, iar pentru serviciile care nu oferă altă opțiune este alegerea corectă.
Care sunt cele mai sigure metode?
Cheile de securitate fizice și cheile de acces stocate pe telefon sunt metodele cele mai rezistente la phishing, pentru că verifică automat adresa site-ului. Dacă pagina este o copie falsă, cheia nu răspunde, chiar dacă imitația arată identic. Aplicațiile de autentificare vin imediat după, deoarece codurile se generează local, pe telefon, fără a trece prin rețeaua mobilă.
La notificările de confirmare, riscul vine din obișnuință. Un atacator care are deja parola poate trimite cereri repetate, sperând că una va fi aprobată din greșeală. O cerere de conectare apărută fără ca titularul să fi încercat să intre în cont este un semn că parola trebuie schimbată imediat.
Cum se activează autentificarea în doi pași?
Autentificarea în doi pași se activează din setările de securitate ale fiecărui cont, de obicei din secțiunile numite „Securitate”, „Conectare” sau „Verificare în doi pași”. Pașii sunt asemănători la majoritatea serviciilor:
- Se alege metoda, de preferat aplicația de autentificare sau cheia fizică.
- Pentru aplicație, se scanează codul QR afișat de site și se introduce primul cod generat.
- Se salvează codurile de rezervă oferite de serviciu.
- Se verifică lista dispozitivelor conectate și se închid sesiunile necunoscute.
Ordinea recomandată este: adresa de e-mail principală, conturile bancare și de plăți, rețelele sociale, apoi celelalte conturi. E-mailul vine primul, pentru că prin el se resetează parolele tuturor celorlalte conturi. Aplicațiile financiare au de regulă propriile mecanisme de confirmare, prezentate în articolul despre aplicațiile de banking.
Ce se întâmplă dacă telefonul se pierde?
Dacă telefonul se pierde, accesul se recuperează cu ajutorul codurilor de rezervă, al unei a doua chei fizice sau al unei metode alternative configurate dinainte. Codurile de rezervă sunt valabile o singură dată fiecare și se păstrează separat de telefon, tipărite într-un loc sigur sau într-un manager de parole.
Câteva reguli rămân valabile indiferent de metodă:
- codurile de verificare nu se comunică nimănui, nici telefonic, nici prin mesaj;
- instituțiile serioase nu cer niciodată codurile primite de client;
- adresa paginii se verifică înainte de introducerea datelor, după criteriile din articolul despre verificarea unui site securizat.
