Co je dvoufaktorové ověření a proč samotné heslo nestačí

Co je dvoufaktorové ověření, nejlépe vysvětlí slabina hesla: dnes je nejčastěji jedinou bariérou mezi útočníkem a vaším účtem. Přitom se dá uhodnout, odpozorovat, ukrást pomocí phishingu nebo získat z úniku databáze jiné služby. Dvoufaktorové ověření proto vyžaduje ještě jeden důkaz, že jste to skutečně vy.

Princip je jednoduchý, ale v praxi existuje více variant, které se liší odolností. Pomůže vám pochopit, proč se doporučuje konkrétní způsob, a ne jen „jakékoli 2FA“. Související pojmy najdete ve slovníku.

Tři typy faktorů

Bezpečnostní standardy rozlišují tři kategorie. První je znalost, tedy heslo nebo PIN. Druhou je vlastnictví, například telefon s aplikací nebo fyzický klíč. Třetí je vlastnost, tedy otisk prstu nebo obličej.

Skutečné dvoufaktorové ověření kombinuje alespoň dvě různé kategorie. Dvě hesla nebo heslo a bezpečnostní otázka jsou stále jeden faktor, protože obojí je znalost, kterou útočník může získat stejným způsobem.

Jak fungují jednorázové kódy

U časově založených kódů (TOTP) vznikne při nastavení společné tajemství mezi službou a aplikací. Z něj a z aktuálního času se pravidelně vypočítá krátký kód. Server provede stejný výpočet a porovná výsledek, takže kód se po krátké době stává nepoužitelným.

U SMS kódů je tajemství na straně služby a kód se doručí sítí operátora. Funguje to i na jednoduchém telefonu, ale zpráva prochází systémy, které mohou být napadeny nebo zneužity, například při přesměrování čísla.

Kdy druhý faktor pomůže a kdy ne

Nejlépe funguje proti útokům, při kterých útočník zná pouze heslo. Pokud vaše heslo uniklo při úniku dat z nějaké služby a vy ho používáte i jinde, druhý faktor mu zabrání vstoupit. To je nejčastější scénář, ve kterém 2FA ochrání běžného uživatele.

Méně pomáhá při cíleném phishingu v reálném čase. Útočník vytvoří falešnou přihlašovací stránku, vy zadáte heslo i kód a on je okamžitě použije na skutečné službě. Proti tomu jsou odolnější bezpečnostní klíče, které ověřují doménu stránky.

Biometrie a její místo

Otisk prstu nebo rozpoznání obličeje se na telefonech obvykle používají k odemčení lokálního klíče, ne jako samostatné heslo do služby. Biometrický údaj se neposílá na server, pouze potvrdí, že zařízení používáte vy. Pokud se údaj kompromituje, nedá se změnit jako heslo, proto se jeho ochrana řeší v samotném zařízení.

V praxi se tedy biometrie vyplatí jako pohodlná vrstva nad zařízením, ale sama o sobě nenahrazuje hesla ani druhý faktor u vzdálených služeb.

Nejčastější otázky začátečníků

Začátečníci se často ptají, zda druhý faktor zpomalí každodenní používání. V praxi obvykle ne: většina služeb si pamatuje důvěryhodné zařízení po určitou dobu a druhý faktor vyžádá pouze při novém přihlášení nebo při citlivé operaci. Nepohodlí je tedy menší, než se očekává.

Další obava se týká toho, zda služba druhý faktor vyžaduje při každém použití. Nastavení se liší, ale k dispozici bývá i volba důvěryhodného zařízení. Na veřejných nebo cizích počítačích tuto volbu nepoužívejte. Více o běžných chybách při zálohách najdete v sekci Ochrana účtů.

Důležité je také to, že různé služby používají různé názvy: dvoustupňové ověření, dvoufaktorové přihlášení, ověření ve dvou krocích. Jde o stejný princip. Při hledání v nastavení se proto neřiďte přesným názvem, ale slovy „zabezpečení“ nebo „přihlášení“.

U firemních účtů bývá druhý faktor vynucen politikou organizace. I tam platí, že volba metody má význam: administrátorské a finanční účty by měly používat nejodolnější dostupnou formu.