SMS, nebo autentikátor: srovnání druhých faktorů

U otázky, zda zvolit SMS, nebo autentikátor, je třeba vědět, že způsoby druhého faktoru nejsou rovnocenné. Liší se tím, co musí útočník udělat, aby je obešel, a tím, co musíte udělat vy, abyste je používali každý den. U účtů s vyšší hodnotou proto rozhodnutí není zbytečný detail.

Následující srovnání je kvalitativní a nehodnotí konkrétní produkty. Obecnější úvod k tématu najdete v sekci Autentikátory.

SMS kódy

SMS je nejjednodušší možnost. Nepotřebuje instalaci, funguje i na starších telefonech a většina lidí ji pochopí okamžitě. Slabinou je, že zpráva prochází telekomunikační infrastrukturou a váže se na telefonní číslo, které lze zneužít při takzvaném SIM swappingu, kdy útočník přesvědčí operátora, aby číslo převedl na jeho SIM.

SMS je zároveň zranitelná vůči phishingu, protože kód si může vyžádat falešná stránka. Pokud je to jediná dostupná možnost, použijte ji, ale když to jde, dejte přednost něčemu silnějšímu.

Autentizační aplikace a push potvrzení

Aplikace generuje kódy lokálně, takže odpadá odchytávání zpráv i SIM swapping. Útočník musí získat samotné zařízení nebo tajný klíč. Zůstává však phishing v reálném čase, při kterém oběť kód zadá na falešné stránce.

Push potvrzení, kde jen odkliknete „schválit“, jsou pohodlná, ale vystavují vás takzvané únavě z potvrzování. Útočník, který zná heslo, posílá opakované žádosti, dokud je oběť z nepozornosti nepotvrdí. Pomáhá, pokud aplikace vyžaduje i zadání čísla zobrazeného na přihlašovací stránce.

Hardwarové bezpečnostní klíče

Fyzický klíč podle standardů FIDO ověřuje i doménu, na které se přihlašujete. Falešná stránka s jinou adresou proto od klíče nedostane použitelnou odpověď, a to ani tehdy, když jste na ní heslo zadali. Tato vlastnost dělá z klíčů nejodolnější volbu proti phishingu.

Cenou je nutnost mít klíč po ruce a ideálně i záložní. Více o typech zařízení a přístupech najdete v sekci Bezpečnostní klíče.

Jak se rozhodnout

U e-mailu, správce hesel a finančních účtů se vyplatí zvolit nejsilnější dostupnou možnost a mít alespoň jednu zálohu. U běžných služeb většinou postačí aplikace. SMS nechte jako poslední možnost nebo jako zálohu tam, kde nic jiného není.

U všech variant platí stejné pravidlo: druhý faktor je užitečný pouze tehdy, pokud víte, jak se dostanete k účtu při ztrátě zařízení. Plán obnovy si proto promyslete předem, ne v den, kdy se něco pokazí.

Praktický příklad rozhodnutí

Představte si uživatele s e-mailem, kryptoburzou a několika sociálními sítěmi. Pro e-mail a burzu, kde je škoda nejvyšší, má smysl zvolit hardwarový klíč nebo alespoň aplikaci se zálohovanými kódy. U sociálních sítí postačí aplikace, i když druhý faktor přes SMS je stále lepší než nic.

Při správě kryptoměn platí zvlášť, že ztráty jsou obvykle nevratné, takže ochrana přístupu k účtu a plán obnovy mají vyšší váhu než pohodlí. Připomínáme, že kryptoměny nesou vysoké riziko ztráty a tento text není investiční radou.

Při srovnávání nezapomeňte ani na takzvané přístupové klíče (passkeys). Jsou postavené na stejné technologii jako hardwarové klíče, ale soukromý klíč je uložen v zařízení nebo ve správci hesel a odemyká se biometrií či PINem. Nabízejí podobnou odolnost vůči phishingu bez nutnosti kupovat samostatné zařízení.

Jejich nevýhodou může být nejednotná podpora mezi službami a nejasná správa zálohy při změně ekosystému. Před přechodem si proto ověřte, kam se klíče ukládají a jak je přenesete. Základní přehled pojmů najdete ve slovníku.