Samo hasło to za mało: jak naprawdę zabezpieczyć swoje konta

Czy zna Pan to uczucie, gdy pojawia się kolejna informacja o wycieku danych i zastanawia się Pan, czy Pańskie hasło znalazło się wśród tych, które zostały ujawnione? Ta obawa jest uzasadniona. W obiegu znajdują się miliardy danych logowania pochodzących z poprzednich wycieków, a nowoczesne strony phishingowe kradną hasła w czasie rzeczywistym. Silne hasło jest ważne, ale stanowi jedynie jedną z przeszkód. Jeśli zostanie ujawnione, Państwa konto staje się całkowicie narażone. Dobra wiadomość: dzięki uwierzytelnianiu dwuskładnikowemu, a jeszcze lepiej – kluczu dostępu, w ciągu kilku minut mogą Państwo znacznie zwiększyć bezpieczeństwo swoich kont. Właśnie to zaleca BSI.

Dlaczego samo hasło już nie wystarcza

Hasła mają trzy słabe punkty, przed którymi nie chroni nawet najbardziej złożone hasło. Po pierwsze, wycieki danych: jeśli serwis zostanie zhakowany, miliony danych logowania trafiają do obiegu, a każdy, kto ponownie używa tego samego hasła, traci jednocześnie wiele kont. Po drugie, phishing: fałszywa strona logowania, wyglądająca na autentyczną, prosi o podanie hasła, a Państwo dobrowolnie je wpisują. Po trzecie, wymiana karty SIM: oszuści przejmują Państwa numer telefonu komórkowego i wykorzystują go do przechwytywania nawet kodów SMS. Według danych FBI straty wyniosły łącznie około 26 milionów dolarów tylko w 2024 roku, a wymiana karty SIM pozostaje jednym z najczęściej zgłaszanych rodzajów ataków. Uwierzytelnianie dwuskładnikowe stanowi dodatkową przeszkodę, której atakujący nie jest w stanie łatwo pokonać.

Przegląd metod – od SMS-ów po klucze dostępu

Nie wszystkie metody uwierzytelniania dwuskładnikowego są sobie równe. Kod wysyłany w wiadomości tekstowej lub e-mailu jest najbardziej znaną opcją i lepszą niż brak zabezpieczenia, ale jest również najsłabszy. Aplikacja uwierzytelniająca zainstalowana w telefonie generuje co 30 sekund nowy kod, tzw. TOTP, lokalnie na urządzeniu, bez korzystania z sieci komórkowej. Dzięki temu jest ona odporna na wymianę karty SIM. Klucze dostępu idą o krok dalej: zamiast kodu na urządzeniu przechowuje się klucz kryptograficzny, odblokowywany za pomocą odcisku palca, rozpoznawania twarzy lub kodu PIN. Klucz prywatny nigdy nie opuszcza urządzenia, zgodnie z opisem FIDO Alliance. Klucz sprzętowy, taki jak YubiKey, to niewielki klucz USB lub NFC, który realizuje tę samą zasadę w oparciu o sprzęt. W Niemczech istnieją ponadto dwie dodatkowe, wysoce bezpieczne metody – chipTAN oraz krajowy dowód osobisty – przeznaczone specjalnie dla banków i agencji rządowych.

Co naprawdę zapewnia ochronę według BSI

Dlaczego jedna metoda uwierzytelniania dwuskładnikowego jest bezpieczniejsza od innej? BSI przeprowadziło ocenę techniczną popularnych metod, a kluczową różnicą jest ochrona w czasie rzeczywistym przed phishingiem. W przypadku wiadomości SMS i e-mailów osoba atakująca może z łatwością przekierować kod przez serwer pośredniczący, podczas gdy użytkownik niczego nie podejrzewając, wpisuje go na fałszywej stronie internetowej. Według BSI aplikacje uwierzytelniające również nie zapewniają niezawodnej ochrony przed takimi atakami w czasie rzeczywistym ani przed wyciekami danych. Z kolei klucze dostępu i klucze sprzętowe są powiązane z rzeczywistym adresem strony internetowej. Po prostu nie działają one na fałszywej stronie, co sprawia, że próba phishingu jest nieskuteczna. Według BSI rozwiązania chipTAN oraz krajowy dowód osobisty są odporne nawet na wszystkie rozważane ataki. BSI opiera się tutaj na jednym podstawowym założeniu: silnym haśle jako fundamencie oraz dwóch oddzielnych urządzeniach.

Skonfiguruj kody dostępu w ciągu kilku minut

Klucze dostępu to najprostszy sposób na zapewnienie wysokiego poziomu bezpieczeństwa, ponieważ zazwyczaj odblokowuje się je za pomocą tego, z czego i tak już Pan/Pani korzysta: odcisku palca lub twarzy. Działają one na telefonach iPhone z systemem iOS 16 lub nowszym, na urządzeniach z systemem Android w wersji 9 lub nowszej oraz w systemach Windows 10 i 11, we wszystkich aktualnych przeglądarkach. Są one obsługiwane między innymi przez Google, Apple, Microsoft, Amazon, PayPal i GitHub, a lista ta szybko się powiększa. Według organizacji FIDO Alliance do 2026 roku na całym świecie będzie około pięciu miliardów aktywnych kluczy dostępu, a świadomość ich istnienia osiągnęła już 90 procent.

Oto jak je skonfigurować: w serwisie Google należy przejść na stronę g.co/passkeys; w serwisie Apple – na stronę appleid.apple.com; w serwisie Microsoft – na stronę account.microsoft.com; a następnie utworzyć tam klucz dostępu za pomocą zaledwie kilku kliknięć. Następnie logowanie potwierdza się odciskami palców lub rozpoznawaniem twarzy, co pozwala zrezygnować z wpisywania haseł. W przypadku komputera współużytkowanego dobrą alternatywą jest aplikacja uwierzytelniająca: zainstaluj aplikację taką jak Google Authenticator, Microsoft Authenticator lub oprogramowanie open source Aegis; przejdź do sekcji „Bezpieczeństwo” danej usługi i zeskanuj wyświetlony kod QR. To wszystko – aplikacja zamiast kodu SMS.

Klucz sprzętowy do Państwa najbardziej wrażliwego konta

Jeśli chcą Państwo zapewnić maksymalne bezpieczeństwo swojemu najważniejszemu kontu – na przykład skrzynce e-mailowej, do której trafiają wszystkie wiadomości dotyczące resetowania hasła – warto sięgnąć po klucz sprzętowy. Są to tokeny zgodne ze standardem FIDO2, takie jak YubiKey (dostępny tutaj na Amazon) lub Titan Key firmy Google, które podczas logowania należy na krótko podłączyć lub przyłożyć do telefonu za pomocą NFC. Są one równie odporne na phishing jak klucze dostępu, ale stanowią oddzielne urządzenie, którego nikt nie może skopiować zdalnie.

Trochę kontekstu, ponieważ sprawa trafiła na pierwsze strony gazet w 2024 roku: naukowcy wykazali za pomocą ataku EUCLEAK, że niektóre urządzenia YubiKey z serii 5 z wersjami oprogramowania układowego starszymi niż 5.7 mogą zostać sklonowane. Brzmi to dramatycznie, ale dla zwykłych użytkowników nie ma to większego znaczenia. Atak ten wymaga fizycznego dostępu do urządzenia oraz kosztownego, specjalistycznego sprzętu laboratoryjnego; nie jest to atak zdalny. Firma Yubico załatała tę lukę w zabezpieczeniach w oprogramowaniu sprzętowym w wersji 5.7. W praktyce oznacza to po prostu: upewnij się, że kupujesz aktualny model. Jeszcze jedna wskazówka: zaopatrz się w dwa klucze, z których jeden będzie służył jako zapasowy.

Nie zapomnijcie o procedurze odzyskiwania – oto, kto powinien wykonać poszczególne czynności

Najczęstszym słabym punktem nie jest samo uwierzytelnianie dwuskładnikowe, lecz proces odzyskiwania. Jeśli usługa pozwala na ponowne zalogowanie się za pomocą zwykłego e-maila po utracie telefonu, całe zabezpieczenie dwuskładnikowe jest zagrożone. W związku z tym BSI zaleca dwuetapowy proces odzyskiwania dostępu. Kody zapasowe, które każda usługa udostępnia podczas konfiguracji, należy przechowywać w bezpiecznym miejscu – offline lub w menedżerze haseł. W przypadku kluczy sprzętowych drugi klucz służy właśnie jako taki kod zapasowy.

Co zatem jest najlepszym rozwiązaniem dla poszczególnych użytkowników? W przypadku większości kont klucz dostępu zapewnia najlepszą równowagę między bezpieczeństwem a wygodą, a często całkowicie eliminuje potrzebę stosowania hasła. Tam, gdzie klucze dostępu nie są jeszcze dostępne, należy korzystać z aplikacji uwierzytelniającej zamiast wiadomości SMS. Najbardziej wrażliwe konta należy zabezpieczyć kluczem sprzętowym. Wymagany wysiłek jest minimalny, ale różnica w bezpieczeństwie jest znacząca.