2FA (dvoufázové ověření)

Dvoufázové ověření (2FA, z anglického two-factor authentication) znamená, že k přihlášení nestačí jen heslo. Služba si vyžádá ještě druhý důkaz, že jste to opravdu vy – jednorázový kód, potvrzení v aplikaci, otisk prstu nebo fyzický klíč. Pokud útočník heslo uhodne, ukradne nebo najde v úniku dat, bez druhého faktoru se do účtu nedostane.

2FA je jedno z nejúčinnějších a zároveň nejlevnějších opatření na ochranu účtů. Zapnout ho se vyplatí hlavně u e-mailu, banky, kryptoburzy, správce hesel a sociálních sítí. Kde ho máte zapnuté a kde ne, si projdete v nástroji Bezpečnostní audit.

Co je MFA a jaký je rozdíl oproti 2FA

MFA (multi-factor authentication, vícefaktorové ověření) je obecný pojem pro přihlášení se dvěma nebo více faktory. 2FA je jeho nejběžnější případ s právě dvěma. Faktory se dělí do tří skupin: něco, co víte (heslo, PIN), něco, co máte (telefon, bezpečnostní klíč), a něco, čím jste (otisk prstu, obličej).

Podstatné je, aby faktory pocházely z různých skupin. Heslo a bezpečnostní otázka jsou dvě věci, které víte – to není skutečné 2FA. Heslo a kód z telefonu už ano, protože útočník by musel získat i vaše zařízení.

Druhy 2FA: od SMS po bezpečnostní klíč

SMS kód je nejrozšířenější, ale nejslabší. Útočník může u operátora podvodně získat duplikát vaší SIM karty (SIM swap) a kódy pak chodí jemu místo vám. SMS je pořád lepší než žádné 2FA, u důležitých účtů ji ale nahraďte něčím silnějším.

Aplikace autentikátor generuje každých 30 sekund nový šestimístný kód přímo v telefonu, bez sítě a bez operátora. Je to výrazně bezpečnější než SMS. Přehled aplikací najdete v kategorii Autentikátory. Potvrzení v aplikaci služby (push notifikace) je pohodlné, pozor ale na únavové útoky – nikdy neschvalujte přihlášení, které jste sami nespustili.

Nejsilnější jsou hardwarové bezpečnostní klíče a passkey. Fungují na standardu FIDO2, jsou vázané na skutečnou doménu služby, a proto je nelze vylákat falešnou stránkou. Proti phishingu jsou to jediné faktory, které opravdu odolají.

Záložní kódy a ztráta telefonu

Při zapnutí 2FA vám služba obvykle nabídne záložní kódy na jedno použití. Vytiskněte si je nebo je uložte do správce hesel – pokud ztratíte telefon, jsou jedinou rychlou cestou zpět do účtu. Bez nich vás čeká zdlouhavé ověřování totožnosti a u některých služeb, například kryptoburz, i několikadenní čekání.

Autentikátor si vyberte takový, který umožňuje šifrovanou zálohu nebo přenos do nového telefonu. U bezpečnostních klíčů si zaregistrujte aspoň dva a druhý uschovejte doma. Více o ochraně přihlášení najdete v sekci Ochrana účtů.

Časté dotazy

Co znamená 2FA kód?

Jednorázový číselný kód, který zadáte po hesle. Přijde v SMS nebo ho vygeneruje aplikace autentikátor. Platí jen krátce, obvykle 30 sekund až několik minut, a nikomu ho nediktujte – ani „bance“ do telefonu.

Co je authenticator?

Aplikace v telefonu, která podle tajného klíče a aktuálního času generuje 2FA kódy. Funguje i bez internetu a na rozdíl od SMS ji nelze přesměrovat přes operátora.

Jaké typy MFA existují?

SMS nebo e-mailový kód, kód z aplikace autentikátor, push potvrzení v aplikaci, biometrie, hardwarový bezpečnostní klíč a passkey. Seřazeno zhruba od nejslabšího po nejsilnější.

Co znamená zkratka MFA?

Multi-factor authentication, tedy vícefaktorové ověření. Jde o přihlášení, které kromě hesla vyžaduje alespoň jeden další faktor. Dvoufázové ověření (2FA) je jeho nejčastější podoba.

Je 2FA přes SMS lepší než nic?

Ano. Zastaví většinu útoků s ukradeným heslem. U e-mailu, banky a kryptoburzy ale přejděte na autentikátor nebo bezpečnostní klíč, protože SMS je zranitelná vůči SIM swapu.