Co je vícefázové ověření a proč ho zapnout

Hesla lze uhodnout, ukrást při úniku dat, vylákat na falešné stránce nebo získat z infikovaného zařízení. Proto se k důležitým účtům přidává druhá vrstva. Co je vícefázové ověření? Je to ochrana, která kromě hesla vyžaduje další faktor (MFA, často nazývané také dvoufaktorové ověření, 2FA). I když útočník zná heslo, bez druhého faktoru se do účtu zpravidla nedostane. Pojmy najdete také ve slovníku.

Faktory ověření

Ověření se tradičně opírá o tři druhy faktorů: něco, co víte (heslo, PIN), něco, co máte (telefon, hardwarový klíč), a něco, čím jste (otisk prstu, obličej). Vícefázové ověření kombinuje alespoň dva různé druhy. Dvě hesla po sobě nejsou vícefázové ověření, protože jde o stejný druh faktoru.

Sílu ochrany určuje to, jak obtížně lze druhý faktor získat nebo vylákat. Faktor, který je vázaný na konkrétní zařízení a ověřuje adresu stránky, útočník vylákat nedokáže. Faktor, který si útočník může od uživatele vyžádat telefonicky nebo přes falešnou stránku, je zranitelnější.

Druhy metod a jejich odolnost

SMS kódy jsou nejrozšířenější, ale nejslabší. Lze je zachytit při přesměrování čísla na cizí SIM kartu a vylákat pomocí phishingu. Stále je to lepší než samotné heslo, pro důležité účty však existují lepší možnosti. Podrobnosti najdete v článku o SIM swappingu.

Časově založené jednorázové kódy z aplikace fungují offline a nezávisejí na mobilním operátorovi. Lze je však stále vyplnit na falešné stránce. Nejodolnější jsou hardwarové klíče a passkeys založené na standardech FIDO, které ověřují, že se přihlašujete na skutečné doméně. Víc o těchto nástrojích najdete v kategoriích autentikátory a bezpečnostní klíče.

Které účty chránit jako první

Začněte účty, které umožňují získat kontrolu nad ostatními: hlavním e-mailem, účtem operačního systému a správcem hesel. Potom přicházejí bankovní a platební služby, kryptoburzy, cloudová úložiště a sociální sítě. U kryptoměn je zapnuté vícefázové ověření samozřejmostí, riziko ztráty prostředků tím však nezmizí a nikdo vám je nevrátí.

U každé služby zkontrolujte, jaké možnosti nabízí, a zvolte nejodolnější z dostupných. Pokud služba nabízí více metod, nastavte alespoň dvě, abyste se při ztrátě zařízení nezamkli mimo účet. Související pokyny najdete v kategorii správci hesel.

Obnovovací kódy a ztráta zařízení

Při zapnutí ověření služba obvykle vygeneruje obnovovací kódy. Jsou to jednorázové kódy, které umožní přihlášení, pokud nemáte přístup k druhému faktoru. Uložte je mimo telefon, který používáte k ověřování, například vytištěné na bezpečném místě nebo v zašifrovaném úložišti. Bez nich může ztráta telefonu znamenat ztrátu účtu.

Na ztrátu zařízení se připravte předem. Zvažte záložní hardwarový klíč nebo druhé zařízení a vězte, jak lze změnit přihlašovací údaje. Pokud máte podezření na kompromitaci, změňte heslo, odhlaste všechny relace a zkontrolujte, zda se váš e-mail neobjevil v únicích dat.

Nejčastější omyly při nastavení

Někteří uživatelé zapnou druhý faktor jen na jednom zařízení a pak ho ztratí bez zálohy. Jiní ukládají obnovovací kódy do e-mailu chráněného jen heslem, čímž se celé zabezpečení vrací na začátek. Dalším omylem je přesvědčení, že upozornění na schválení přihlášení lze pro jistotu potvrdit. Neočekávanou žádost vždy zamítněte.

Útočníci někdy spouštějí opakované žádosti o schválení v naději, že uživatel z únavy jednu potvrdí. Pokud vám někdo takto posílá žádosti o přihlášení, které jste nevyvolali, heslo je pravděpodobně kompromitované a je třeba ho změnit.