#MFA #2FA
Biztosan hallottunk már olyan esetről, hogy valakinek feltörték a profilját, meghekkelték az adatlapját vagy akár mi magunk is elszenvedhettük ezt a fajta támadást.
Ilyen és ehhez hasonló esetek elleni védekezéshez számos lehetőségünk áll rendelkezésre, de sokan nem ismerik vagy nem alkalmazzák ezeket. Pedig a való életben is zárjuk az ajtót, behúzzuk a reteszt, bekapcsoljuk a riasztót, mert szeretnénk értékeinket, magunkat biztonságban tudni.
Az online térben azonban hajlamosak vagyunk óvatlannak lenni, pedig adataink védelmére itt is kellő figyelmet kell fordítanunk. A könnyen kitalálható, ránk jellemző jelszavak annyi védelmet nyújtanak, mint az ajtónak támasztott szék. Lehet, hogy segít megakadályozni a véletlen benyitást, de ha valaki jobban próbálkozik ez a módszer aligha fogja megállítani az illetőt.
Annak érdekében, hogy online fiókjainkat is megfelelő biztonsággal védjük, egyik lehetőségünk a két vagy többfaktoros hitelesítés beállítása.
Mi ez a módszer?
Az ajtós példánál maradva, annyit jelent a gyakorlatban ennek a módszernek a bevezetése, mint ha a kulcsra zárás mellett még az ajtóláncot is felakasztanánk. Lehet, hogy a támadó valahogy megszerzi a kulcsunk másolatát, de újabb akadályba fog ütközni.
Ugyan ez az online gyakorlatban a két vagy több faktoros hitelesítés beállításával történik. A felhasználói fiókunkba történtő bejelentkezés során a felhasználónév és jelszó mellett meg kell adnunk egy harmadik azonosítót is vagy külön alkalmazásban jóvá kell hagynunk a bejelentkezést. Ez az azonosító a választott módszertől függően lehet egy sms-ben kapott kód, egy jelszókezelő alkalmazás által generált egyedi kód vagy egy hitelesítő alkalmazás által küldött jóváhagyási link.
Hogyan működik?
A hitelesítő alkalmazások időalapú, egyszeri kódokat állítanak elő, amelyek általában hat számjegyből állnak, és 30-60 másodpercenként frissülnek. Az MFA (Multi Faktoros Autentikáció) beállítása után minden alkalommal, amikor be szeretnénk jelentkezni egy weboldalon, meg kell nyitnunk a hitelesítő alkalmazást, majd az egyedi kódot be kell írnunk a bejelentkezési oldalon.
Ezek a kódok 30-60 másodpercig érvényesek, így, ha azt meg is szerzi valaki, későbbiekben nem tudja használni.
Hogyan állítható be?
Számtalan megoldás létezik egy többtényezős hitelesítés beállítására. Bizonyos honlapok saját megoldást kínálnak, például sms kódok kiküldését. Ezeket a beállítások menüpontban tudjuk ellenőrizni, illetve bekapcsolni, ahol ez a funkció elérhető. Mi azt javasoljuk, hogy egy független alkalmazást válasszunk, ne az adott oldal megoldását, de már önmagában ez a lehetőség is előrelépést jelent a biztonságban.
A másik megoldás, hogy egy külső szolgáltatást használunk. Ebben az esetben rendelkeznünk kell egy hitelesítő alkalmazással, amelyet letölthetünk mobiltelefonunkra, bármely alkalmazás webáruházból (Google Play, App Store).
Néhány példa:
Beállítás lépései (általánosan)
- Töltsük le a kiválasztott hitelesítő alkalmazást
- Nyissuk meg és hozzunk létre egy profilt
- Keressük fel az adott weboldalt, ahol a többfaktoros hitelesítést be szeretnénk állítani
- A beállításokban keressük meg az erre szolgáló menüponot
- Olvassuk be a QR kódot a hitelesítő alkalmazás segítségével vagy másoljuk be a weboldalon kapott kódokat
- Írjuk be az alkalmazás által generált kódot a weboldalon és már készen is vagyunk
Nézzük meg ezt egy példán keresztül – Instagram
- Nyissuk meg Instagram alkalmazásunkat, majd navigáljunk a saját profil oldalunkra
- A jobb felső sarokban található 3 vonalra kattintva, a felugró ablakban válasszuk a Beállításokat
- A Biztonság menüpontban válasszuk ki a Kétfaktoros hitelesítést
- A megjelenő ablakban további információkat tudhatunk meg, itt válasszuk az Indítás lehetőséget
- A felkínált lehetőségek közül válasszuk a Hitelesítő alkalmazást, majd a hozzáadás gombot (ha nem lépne automatikusan tovább)
- Válasszuk a Másik mód megadása lehetőséget, ha felkínálja számunkra a telefon gyári megoldását (Pl.: Apple Passwords)
- A megjelenő képernyőn a kulcsot (kódsor) másoljuk a Hitelesítő alkalmazásba
- Ezt követően adjuk meg a Hitelesítő alkalmazás által generált kódot
- Ha a beírt kód helyes volt, a beállítás kész
Biztonságos?
A kódok egy matematikai számítás eredményeként jönnek létre, amelyet az MFA beállításakor QR kód beolvasásával vagy jelkulcsok felvételével hoztunk létre, így ennek ismeretének hiányában nem lehet megismételni a számítást. Azaz, a támadók nem tudnak érvényes kódot generálni.
A Hitelesítő alkalmazások nem férnek hozzá a fiókjainkhoz és nem kommunikálnak az adott oldallal, így nem kell tartanunk tőle, hogy hozzáfér személyes adatainkhoz.
Természetesen önmagában egy hitelesítő alkalmazás nem nyújt 100%-ban védelmet. Körültekintőnek kell lennünk az adathalász kísérletekkel szemben, ügyeljünk arra kivel osztunk meg magunkról információkat. Jelszavak választásánál kerüljük az egyszerű, ránk jellemző jelszavakat. Alkalmazzunk jelszókezelő alkalmazást és használjunk több tényezős hitelesítést. Ezekkel a megoldásokkal nagyobb biztonságban tudhatjuk felhasználói fiókjainkat, adatainkat.
További információkért ajánljuk figyelmedbe korábbi bejegyzésünket, valamint legutóbbi podcast beszélgetésünket a témában.
