Dvojfaktorová autentifikácia

Čo to znamená

Dvojfaktorová autentifikácia žiada pri prihlásení druhý dôkaz totožnosti popri hesle: kód z aplikácie, potvrdenie v mobile, hardvérový kľúč. Heslo je niečo, čo viete; druhý faktor je niečo, čo máte.

Zmysel je jednoduchý. Aj keď heslo unikne - z phishingu, z úniku inej služby alebo zo zopakovaného hesla - samo o sebe na prístup nestačí.

Dve heslá nie sú dva faktory. Druhý faktor musí byť iného druhu než prvý - niečo, čo máte, alebo niečo, čím ste, napríklad odtlačok prsta. Pri SSO stačí zapnúť dvojfaktorové overenie raz na centrálnom účte a chráni potom všetky služby, do ktorých sa cez neho prihlasuje.

Ako to funguje v praxi

Zapnúť sa má všade, kde sa dá čokoľvek zaplatiť alebo odoslať v mene firmy: internet banking, e-mail, účtovný softvér, platobná brána, správa domény a cloudové účty. Je to najlacnejšie opatrenie v celom riadení prístupov.

Najbezpečnejšie sú aplikácie generujúce kód alebo hardvérový kľúč; kód cez SMS je slabší, ale stále výrazne lepší než samotné heslo. Záložné kódy sa ukladajú mimo zariadenia, ktoré overuje.

Keď k účtu pristupuje viac ľudí, napríklad do e-shopu alebo internet bankingu, každý má mať vlastné prihlásenie s vlastným druhým faktorom. Aj my pracujeme v systémoch klientov pod vlastnými účtami, nie pod zdieľaným heslom, takže pri odchode človeka sa zruší jeden prístup a ostatní pracujú ďalej.

Na čo si dať pozor

Najčastejšie zlyhanie nie je prelomenie druhého faktora, ale jeho obídenie: útočník požiada o kód telefonicky alebo e-mailom v mene banky či IT podpory. Kód sa nediktuje nikomu - a pokus o prihlásenie zostane v audit logu ako stopa.

Keď je druhý faktor naviazaný na súkromný telefón jedného zamestnanca, firma pri jeho odchode alebo strate telefónu stratí prístup k vlastným účtom a obnova cez podporu poskytovateľa môže trvať dni až týždne. Na firemné účty sa preto registrujú aspoň dva faktory a záložné kódy patria do plánu obnovy.