Kody zapasowe: Instagram wymaga zrzutu ekranu, Microsoft go zabrania

Uwierzytelnianie dwuskładnikowe jest włączone, konfiguracja zakończona, a na ekranie pojawia się lista 10 kodów. Obok znajduje się informacja, aby przechowywać je w bezpiecznym miejscu. Pozostaje Państwu 10 ośmiocyfrowych ciągów znaków i brak jasności co do tego, co w tym kontekście oznacza słowo „bezpieczne”.

Najwięksi dostawcy odpowiadają na to pytanie w tak różny sposób, że dwóch z nich wręcz sobie zaprzecza. Firma Microsoft podaje w odniesieniu do swojego kodu odzyskiwania: „Ze względów bezpieczeństwa nie należy przechowywać kodu na urządzeniu używanym do logowania się na Państwa konto”. Serwis Instagram przyjmuje przeciwne stanowisko. Na stronach pomocy można przeczytać: „Należy skopiować kody do schowka, wykonać ich zrzut ekranu lub zapisać je w inny sposób, tak aby były dostępne podczas logowania się do serwisu Instagram”. Ta sama osoba, ten sam telefon, sprzeczne instrukcje.

Ośmiu dostawców, pięć odpowiedzi

Google generuje 10 kodów i oferuje zarówno możliwość ich wydrukowania, jak i pobrania. Na stronie pomocy zaleca się umieszczenie wydrukowanej kopii „w bezpiecznym miejscu, na przykład tam, gdzie przechowuje Pan/Pani paszport lub inne ważne dokumenty”. Dwie sekcje dalej ta sama strona zawiera sprzeczne informacje. W sekcji poświęconej utraconym kodom zapasowym napisano: „Proszę przeszukać komputer pod kątem pliku: Backup-codes-nazwa_użytkownika.txt, zawierającego Państwa nazwę użytkownika”. Google zakłada, że plik ten znajduje się na komputerze, a także podaje schemat nazewnictwa.

Firma Apple również wyklucza pewne lokalizacje, choć z innego powodu. 28-znakowy klucz odzyskiwania nie powinien być przechowywany w aplikacji Hasła, w usłudze Zdjęcia w iCloud, w aplikacji Notatki ani w usłudze iCloud Drive. Apple obawia się raczej braku dostępu niż kradzieży, ponieważ osoba, która utraciła dostęp do konta, nie może już otworzyć tych aplikacji.

GitHub jest jedyną platformą, która wyraźnie zaleca korzystanie z menedżera haseł, umieszczając przycisk pobierania tuż obok tej porady. Dropbox wymaga zaznaczenia opcji „Zapisałem moje kody odzyskiwania w bezpiecznym miejscu”, nie wyjaśniając jednak, jakie miejsce spełnia te wymagania. Facebook wymienia jedynie wydrukowanie i zapisanie kodów. Strony pomocy serwisu Amazon w ogóle nie wspominają o kodach zapasowych.

Właśnie tutaj działa złośliwe oprogramowanie

W 2024 r. Departament Zdrowia i Opieki Społecznej Stanów Zjednoczonych opublikował analizę złośliwego oprogramowania Vidar, na którą można się powoływać. Raport opisuje, w jaki sposób program gromadzi najnowsze pliki pobrane z folderu „Pobrane”, a ponadto wyszukuje nazwy plików zawierające określone słowa. Wymienia on następujące słowa: „Passwords”, „Information”, „Outlook”, „Screenshot”, „Cookie” oraz „List”.

Rok później firma zajmująca się bezpieczeństwem Trellix opublikowała odszyfrowaną konfigurację programu Lumma służącego do kradzieży danych, czyli listę instrukcji z jego serwera poleceń. Przeszukuje on cały profil użytkownika na trzech poziomach w poszukiwaniu plików, których nazwy zawierają ciągi znaków, takie jak „pass” lub „words”. Pulpit jest przeszukiwany na dwóch poziomach głębokości pod kątem każdego pojedynczego pliku tekstowego. Folder, w którym Lumma gromadzi zebrane dane, nosi nazwę „ImportantFiles”.

Każda z tych rekomendacji dotyczących przechowywania danych pokrywa się zatem z udokumentowanym wzorcem wyszukiwania. Zrzut ekranu, który sugeruje Instagram, trafia na urządzenie jako plik graficzny o nazwie zawierającej słowo „Screenshot”. Plik Google nosi nazwę „Backup-codes-nazwa_użytkownika.txt” i pasuje podwójnie – zarówno poprzez rozszerzenie, jak i słowo zawarte w nazwie. Te same konfiguracje są również skierowane przeciwko aplikacjom uwierzytelniającym, więc sam drugi czynnik uwierzytelniający znajduje się na liście. Skradziony plik cookie sesji już pokazał, jak niewiele pomaga uwierzytelnianie dwuskładnikowe, gdy atakujący ominie etap logowania – o czym pisaliśmy w osobnym artykule poświęconym przejętym kontom. To, co zostało tutaj udokumentowane, to wzorzec wyszukiwania stosowany przez atakujących. Nikt nie policzył, jak często kody zapasowe pojawiają się w tych zbiorach.

A jeśli nigdy ich Pan/Pani nie zapisał(a)

Sytuacja odwrotna jest gorsza, niż większość osób się spodziewa. Na stronie pomocy firmy Microsoft poświęconej formularzowi odzyskiwania konta powtórzono dwukrotnie jedno zdanie: „Jeśli włączyli Państwo weryfikację dwuetapową i nie mają Państwo dostępu do żadnej z alternatywnych metod uzyskania weryfikacji, nie możemy Państwu pomóc, przepraszamy”. Pracownicy pomocy technicznej nie mogą wysyłać linków do haseł ani zmieniać danych konta. Każdy, kto mimo to spróbuje, może przesłać formularz dwa razy dziennie i otrzyma odpowiedź w ciągu 24 godzin – jest to jednak odpowiedź, a nie odzyskanie dostępu.

Firma Google nie wyznacza żadnego sztywnego terminu. Odzyskanie konta może zająć kilka godzin lub kilka dni, a aktywna konfiguracja uwierzytelniania dwuskładnikowego wydłuża czas oczekiwania, a nie go skraca. Jest to zamierzone działanie, a nie zaległość, ponieważ opóźnienie daje prawdziwemu właścicielowi szansę na odrzucenie wniosku innej osoby. Artykuł pomocy kończy się linkiem zatytułowanym „Utwórz zastępcze konto Google”.

Firma Apple podaje, że proces ten może trwać kilka dni lub dłużej, i nie publikuje już konkretnych danych liczbowych. Na pytanie o skróconą procedurę firma odpowiada stanowczym „nie”. Jedna z warunków zaskakuje wiele osób. Jeśli w trakcie okresu oczekiwania konto jest nadal używane na jakimkolwiek urządzeniu, firma Apple automatycznie anuluje proces. Zapomniany iPad leżący na półce resetuje licznik czasu do zera. W naszym przewodniku dotyczącym zgubionego telefonu opisano, jakie inne rozwiązania mogą w takiej sytuacji pomóc.

Gdzie należy je umieścić

Niemiecka federalna agencja ds. cyberbezpieczeństwa, BSI, wypowiada się na ten temat niezwykle dosadnie. W swojej ocenie popularnych metod uwierzytelniania dwuskładnikowego określa mechanizmy odzyskiwania jako zasadniczo krytyczne w każdym przypadku, gdy procedura jednoskładnikowa zastępuje uwierzytelnianie dwuskładnikowe. Kod zapasowy jest właśnie tym, ponieważ unieważnia drugi składnik, który właśnie Pan/Pani skonfigurował(a).

BSI nie wskazuje konkretnego miejsca przechowywania. Informację tę przekazują, jak na ironię, właśnie dostawcy menedżerów haseł – w odniesieniu do ich własnych kodów awaryjnych. Bitwarden zaleca przechowywanie kodu poza sejfem, ponieważ firma nie jest w stanie go zwrócić. Rekomenduje wydrukowaną kopię w bezpiecznym miejscu. 1Password udziela takich samych wskazówek w ramach swojego zestawu awaryjnego (Emergency Kit) – zaleca wydrukowanie kodu i przechowywanie go w skrytce depozytowej lub w miejscu, w którym przechowuje się paszport i akt urodzenia. Rada ta zatacza koło. Serwis GitHub wysyła kody zapasowe do menedżera haseł, a menedżer haseł z kolei wysyła swój własny kod awaryjny z powrotem na papier.

W praktyce oznacza to trzy rzeczy. Należy wydrukować kody lub przepisać je ręcznie, a następnie zarchiwizować wraz z dokumentami, które już Państwo przechowują. Następnie należy usunąć pobrany plik i opróżnić kosz, ponieważ usunięty plik w folderze „Pobrane” nie jest jeszcze plikiem trwale usuniętym. Skonfiguruj Państwo drugą ścieżkę dostępu do każdego ważnego konta, niezależnie od tego, czy jest to zapasowy adres e-mail, drugie urządzenie, czy – w przypadku urządzeń Apple – kontakt awaryjny. Każdy, kto posiada wyłącznie kody, ma dokładnie jedną szansę. Tę samą procedurę warto przeprowadzić w odniesieniu do urządzeń, które są nadal zalogowane na tych kontach.