Kétlépcsős azonosítás: melyik módszer a legbiztonságosabb, és mikor kevés az SMS-kód?

A kétlépcsős azonosítás ma már nem különleges biztonsági extra, hanem az egyik legegyszerűbb módja annak, hogy egy ellopott jelszó önmagában ne legyen elég egy fiók feltöréséhez. A módszerek között azonban nagy különbség van. Az SMS-ben érkező kód, a hitelesítő alkalmazás, a push értesítés, a biztonsági kulcs és a passkey mind ugyanazt a célt szolgálja, mégsem azonos szinten védenek az adathalászat, a SIM-csere vagy a megtévesztő bejelentkezési oldalak ellen. Ha fontos fiókot védesz, nem mindegy, melyiket választod.

Mit jelent valójában a kétlépcsős azonosítás?

A kétlépcsős vagy többtényezős azonosítás lényege, hogy a belépéshez nem elég egyetlen bizonyíték. A jelszó olyasmi, amit tudsz, a telefon vagy biztonsági kulcs pedig olyasmi, ami nálad van. Biometrikus azonosításnál, például ujjlenyomat vagy arcfelismerés esetén egy harmadik típusú tényező is megjelenhet.

Ha valaki megszerzi a jelszavadat egy adatlopásból vagy adathalász oldalon, a második tényező még megakadályozhatja a belépést. Ez azonban csak addig igaz, amíg a támadó azt a második tényezőt nem tudja szintén megszerezni vagy kijátszani.

A kétlépcsős azonosítás önmagában nem egyetlen technológia: a biztonságát az dönti el, milyen második tényezőt használsz.

Az SMS-kód jobb, mint a semmi, de vannak gyenge pontjai

Az SMS-ben érkező egyszer használatos kód egyszerű és széles körben elérhető, ezért sok szolgáltatás ezt kínálja alapértelmezett második lépcsőként. Egy sima jelszavas belépésnél általában lényegesen jobb védelmet ad.

Ugyanakkor az SMS nem számít a legerősebb módszernek. Az amerikai NIST jelenlegi digitálisazonosítási irányelve korlátozott hitelesítési módszerként kezeli a nyilvános telefonhálózaton keresztül küldött SMS- és hangalapú kódokat. Ennek oka többek között a telefonszám eltérítésének, a SIM-cserés csalásnak és bizonyos kommunikációs támadásoknak a kockázata.

Az SMS-kód ráadásul adathalászat ellen sem nyújt teljes védelmet. Ha egy hamis bejelentkezési oldal elkéri a jelszavadat, majd az SMS-ben kapott kódot is, a támadó valós időben továbbíthatja ezeket a valódi szolgáltatásnak.

A hitelesítő alkalmazás biztonságosabb lépcső lehet

A hitelesítő alkalmazások időalapú egyszer használatos kódokat, úgynevezett TOTP-kódokat generálnak. Ezekhez nincs szükség mobilhálózatra vagy SMS-re, és a kód általában körülbelül 30 másodpercenként változik.

Ez a módszer kiküszöböli az SMS-hez kapcsolódó több kockázatot, például azt, hogy egy támadó telefonszám-átvitellel próbálja megszerezni a kódot.

Van azonban egy fontos korlát: a TOTP-kódot ugyanúgy kézzel kell begépelni. Emiatt a NIST szerint az ilyen egyszer használatos kódos módszerek nem számítanak adathalászat-állónak. Egy jól elkészített hamis oldal ugyanis a hitelesítő alkalmazásból származó kódot is elkérheti és azonnal felhasználhatja.

A push értesítés kényelmes, de ne nyomj automatikusan az „engedélyezésre”

Sok szolgáltatás úgy működik, hogy bejelentkezéskor értesítést küld a telefonra, ahol egyszerűen jóvá kell hagyni a belépést. Ez kényelmesebb, mint kódokat másolgatni, de nem minden push rendszer egyformán biztonságos.

Támadók időnként úgynevezett MFA fatigue módszert alkalmaznak: újra és újra bejelentkezési kérelmet indítanak abban a reményben, hogy a felhasználó végül megszokásból vagy bosszúságból jóváhagy egyet.

Ha váratlan értesítést kapsz, ne engedélyezd. Egyes rendszerek ezért már számot jelenítenek meg a bejelentkezési képernyőn, amelyet a telefonon is ki kell választani vagy be kell írni.

A passkey és a biztonsági kulcs már más szintet képvisel

A passkey, illetve a FIDO-alapú hardveres biztonsági kulcs nem egyszerűen egy második kódot ad. Kriptográfiai kulcspárt használ, és a hitelesítés az adott webhelyhez kötődik.

Ez azért lényeges, mert egy hamis weboldal nem tudja ugyanúgy „elkérni” a belépési titkot, ahogy egy jelszót vagy egyszer használatos kódot. A NIST a kriptográfiai hitelesítési módszereket tekinti adathalászat-álló megoldásnak, a CISA pedig a FIDO-alapú biztonsági kulcsokat és passkey-ket ajánlja a magasabb kockázatú fiókok védelmére.

Ha a szolgáltatás támogatja a passkey-t vagy a hardveres biztonsági kulcsot, ezek általában erősebb védelmet adnak az adathalász támadások ellen, mint az SMS vagy a kézzel beírt egyszer használatos kód.

Melyik fiókoknál érdemes a legerősebb módszert használni?

Nem minden online fiók ugyanolyan fontos. Van néhány, amelynek elvesztése dominóhatást indíthat el, mert segítségével más fiókok jelszava is visszaállítható.

Elsőként ezeket érdemes megerősíteni:

• elsődleges e-mail-fiók;
• Apple-, Google- vagy Microsoft-fiók;
• jelszókezelő;
• banki és pénzügyi szolgáltatások;
• közösségimédia-fiókok, különösen üzleti profilok;
• munkahelyi rendszerek.

Ha ezek valamelyike passkey-t vagy biztonsági kulcsot támogat, érdemes előnyben részesíteni azt az SMS-sel szemben.

A biztonsági másolatokról sem szabad megfeledkezni

Az erősebb hitelesítés egyik kellemetlen oldala, hogy elveszett telefon vagy biztonsági kulcs esetén saját magadat is kizárhatod a fiókból.

Ezért beállításkor töltsd le a szolgáltatás által kínált helyreállító kódokat, és tárold őket biztonságos, a telefontól különálló helyen. Hardveres biztonsági kulcs esetén fontos fiókokhoz érdemes lehet két kulcsot regisztrálni: egyet napi használatra, egy másikat tartalékként.

A helyreállítási e-mail-címet és telefonszámot is rendszeresen ellenőrizd. Egy tíz éve nem használt cím vagy már nem létező telefonszám éppen akkor válik problémává, amikor szükséged lenne rá.

Így érdemes felépíteni a saját védelmi sorrendedet

Ha egy szolgáltatás kizárólag SMS-alapú kétlépcsős azonosítást kínál, érdemes bekapcsolni, mert még mindig jobb, mint csak jelszóval védeni a fiókot. Ha hitelesítő alkalmazás is választható, általában célszerű arra áttérni. Passkey vagy FIDO-kompatibilis biztonsági kulcs esetén pedig már adathalászatnak is jóval ellenállóbb megoldás érhető el.

Nem kell minden fiókot egyetlen délután alatt átalakítani. Kezdd az e-maillel, a jelszókezelővel és azokkal a fiókokkal, amelyekből más szolgáltatásokhoz is hozzáférést lehet szerezni. Ezután haladj lefelé a fontossági sorrendben.

A kétlépcsős azonosítás valódi értéke nem az, hogy még egy akadályt tesz a belépés elé, hanem hogy egy ellopott jelszó ne jelentsen automatikusan ellopott fiókot is. Minél fontosabb a hozzáférés, annál kevésbé érdemes az SMS-kódnál megállni.

Fotó: Magnific