Dvostopenjsko preverjanje: kode, aplikacije in SMS

Modul 2: Gesla in prijava · Čas branja: 11 minut

Cilj lekcije: Po tej lekciji boste znali primerjati oblike dvostopenjskega preverjanja (SMS, e-pošta, TOTP, push), prepoznati napade nanje in urediti obnovitev za primer, da izgubite telefon.

Ključni pojmi: 2FA/MFA, dejavnik (vedenje, imetje, biti), TOTP, skupna skrivnost, push obvestilo, utrujenost od MFA, sim-swap, obnovitvene kode

Dva različna dokaza

Geslo je nekaj, kar veste. Če uide v javnost, se lahko prijavi kdorkoli, ki ga pozna. Dvostopenjsko preverjanje (2FA) zato zahteva še drugi dokaz, druge vrste. Pri več kot dveh govorimo o večfaktorski avtentikaciji (MFA); v praksi se izraza uporabljata mešano.

Obstajajo tri vrste dejavnikov:

• Vedenje: geslo ali PIN koda.
• Imetje: Vaš telefon z aplikacijo, varnostni ključ, kartica.
• Biti: Vaš prstni odtis ali obraz.

Dvakrat ista vrsta ne šteje: geslo in varnostno vprašanje sta dve stvari, ki ju veste. Nacionalni center za kibernetsko varnost na Nizozemskem (NCSC) daje odločno priporočilo, naj se MFA uporablja na vsakem sistemu in računu, ki to podpira, zagotovo pa na računih, dostopnih prek interneta, in računih z administratorskimi pravicami. Za malo podjetje so to vsaj: e-pošta, gostovanje in registracija domene, banka, računovodstvo, spletna trgovina, upravitelj gesel in družbena omrežja podjetja.

Oblike druga ob drugi

Vsaka oblika je veliko boljša kot brez drugega koraka. Toda tabela pokaže tudi: vse, kjer Vi prepišete kodo ali potrdite obvestilo, lahko prevarant doseže na svoji lažni strani. NIST v dokumentu SP 800-63B-4 pove brez ovinkarjenja: metode, pri katerih rezultat ročno vnesete, niso odporne na phishing.

Kako deluje avtentikacijska aplikacija

Avtentikacijska aplikacija uporablja TOTP: Time-based One-Time Password, opisano v RFC 6238. Deluje takole:

1. Ob nastavitvi storitev ustvari naključno skupno skrivnost, na primer 32 znakov, kot je JBSWY3DPEHPK3PXP.... Ta skrivnost je vsebovana v QR kodi, ki jo skenirate, ali pa jo prepišete kot "ročni ključ".
2. Vaša aplikacija in storitev imata zdaj obe enako skrivnost. Po tem ni več potreben noben stik med njima.
3. Vsakih 30 sekund obe izračunata skrivnost in trenutni čas v 6-mestno kodo. Ker imata isto skrivnost in iste ure, dobita isto kodo.
4. Ob prijavi storitev primerja Vašo kodo s svojim rezultatom, običajno z dovoljenim odstopanjem za eno časovno obdobje pred ali po, zaradi ure, ki malce odstopa.

Dve posledici:

• Skrivnost je dejanska ključavnica. Kdor vidi QR kodo ali ročni ključ, lahko za vedno ustvarja enake kode kot Vaš telefon. Zato od nje ne delajte posnetka zaslona, je ne delite z nikomer in je ne pošiljajte sodelavcu.
• Koda deluje tudi brez interneta in ne prihaja prek telefonskega omrežja. Zato je TOTP močnejši od SMS.

Avtentikacijske aplikacije obstajajo v različnih oblikah: samostojne na telefonu, vgrajene v upravitelja gesel, odprtokodne ali od velikega tehnološkega podjetja, z varnostno kopijo v oblaku, šifrirano, ali brez nje. Primeri so Aegis, Google Authenticator in Microsoft Authenticator, poleg funkcije v upraviteljih, kot sta Bitwarden ali 1Password. Varnostna kopija je uporabna ob novem telefonu, vendar nizozemski NCSC opozarja: slabo šifrirana varnostna kopija napadalcu prav tako omogoči dostop.

Sim-swap: zakaj je SMS najšibkejša oblika

Pri sim-swapu prevarant prevzame Vašo telefonsko številko. Poskrbi, da se Vaša številka prenese na SIM kartico ali eSIM, ki jo ima on. To mu uspe na primer tako, da se pri Vašem operaterju predstavi kot Vi, ali tako, da Vas prepriča, da sodelujete sami: SI-CERT (https://www.cert.si/) opozarja na SMS sporočila in telefonske klice "v imenu operaterja", da je treba SIM kartico potrditi ali nujno zamenjati za eSIM.

Takoj ko mu to uspe:

• Vaš telefon nenadoma nima več signala in sami ne morete klicati ali pošiljati SMS sporočil;
• prevarant dobi vse SMS kode, tudi kode "pozabljeno geslo" storitev, ki Vašo številko uporabljajo kot sredstvo za obnovitev;
• včasih lahko samo z Vašo številko prevzame račune.

Težava je, da to opazite šele, ko telefon ne naredi več ničesar, pogosto zvečer ali med vikendom. NIST zato SMS imenuje omejeno metodo in pravi, da morajo storitve biti pozorne na znake, kot sta nova SIM kartica ali prenesena številka. Nizozemski NCSC priporoča, naj se SMS, kjer je mogoče, izogiba, ker sporočila niso šifrirana in jih je mogoče prestreči.

Kaj storite?

• Kjer je mogoče, izberite aplikacijo ali passkey namesto SMS.
• Odstranite telefonsko številko kot sredstvo za obnovitev, kjer predstavlja šibko točko, ali jo dodatno zaščitite.
• Pri operaterju vprašajte, ali lahko nastavite dodatno PIN kodo ali preverjanje za prenos Vaše številke.
• Vam signal nenadoma brez razloga izgine? Pokličite operaterja z druge naprave. Ne čakajte.

SMS je še vedno boljši kot nič. Če storitev ponuja samo SMS, ga vseeno vklopite.

Utrujenost od MFA: obvestilo, ki ga odklenete stran

Pri push obvestilu Vam ni treba ničesar prepisovati: telefon vpraša "Ali se poskušate prijaviti?" in tapnete Potrdi. Preprosto, in prav zato zlorabljeno.

Pri utrujenosti od MFA (tudi bombardiranje s push obvestili) napadalec Vaše geslo že ima. Znova in znova se poskuša prijaviti, tako da Vaš telefon dobiva eno obvestilo za drugim, včasih sredi noči. Ameriška agencija CISA opisuje, kako ljudje nato iz jeze ali po pomoti tapnejo Potrdi, ali mislijo, da bo eno od obvestil gotovo pravo. Včasih napadalec zraven še pokliče, kot "podpora", s prošnjo, da obvestilo potrdite.

Primer iz prakse, ki ga opisuje nizozemski NCSC: napadalci so prek utrujenosti od MFA vdrli v e-poštne račune programske hiše in jih nato uporabili za goljufijo z računi.

Pravila:

• Nikoli ne potrdite obvestila, ki ga niste sami sprožili. Tudi ne dvajsetega.
• Nepričakovano obvestilo pomeni, da ima nekdo Vaše geslo. Takoj ga spremenite in prijavite dogodek.
• Kjer je mogoče, izberite vnos številke: prijavni zaslon prikaže številko, ki jo vnesete v aplikacijo. Kdor ne sedi pred prijavnim zaslonom, je tako ne more potrditi. CISA to imenuje dober vmesni korak, vendar šibkejši od MFA, odporne na phishing.

Obnovitev: uredite jo, preden izgubite telefon

Telefon Vam pade v vodo, ga ukradejo ali se pokvari. Brez priprave tako ostanete zunaj lastnih računov. Zato obstajajo obnovitvene kode (tudi varnostne kode): niz rezervnih kod, ki jih dobite ob nastavitvi in vsaka deluje samo enkrat.

• Ne hranite jih na istem telefonu kot avtentikacijsko aplikacijo. Natisnite jih in shranite pri pomembnih dokumentih, ali jih shranite v upravitelju gesel pri ustrezni postavki.
• Ste obnovitveno kodo uporabili? Prečrtajte jo. Če jih zmanjka, ustvarite nove.
• Poskrbite za vsaj dva načina dostopa: na primer aplikacijo in obnovitvene kode, ali dva varnostna ključa.
• Pri novem telefonu najprej prenesite račune in šele nato izbrišite stare nastavitve.
• Vedite, kako deluje postopek obnovitve pri Vaših najpomembnejših storitvah. Dobra storitev drugega koraka ne ponastavi kar na podlagi sporočila ali klica, temveč najprej preveri, da ste res Vi.

V praksi: tako je videti

V okolju WebOké Moj WebOké po geslu vedno zahteva drugi korak: privzeto kodo prek e-pošte, lahko pa preklopite na avtentikacijsko aplikacijo. V DirectAdmin se to imenuje Dvostopenjsko preverjanje pristnosti, z obnovitvenimi kodami. V Nextcloud vklopite TOTP in ustvarite deset varnostnih kod. Pri drugih ponudnikih deluje podobno: v nastavitvah profila ali varnosti poiščite "dvostopenjsko preverjanje", "2FA", "authenticator" ali "two-factor".

Koraki so skoraj vedno enaki: skeniranje QR kode, vnos ene kode za potrditev, shranitev obnovitvenih kod.

Povzetek

• 2FA združuje dve vrsti dejavnikov: vedenje, imetje, biti.
• TOTP deluje s skupno skrivnostjo in uro. Skrivnost (QR koda) je dejanska ključavnica: nikoli je ne delite.
• SMS je najšibkejša oblika zaradi sim-swapa in prestrezanja, a še vedno boljša kot nič.
• Utrujenost od MFA: nikoli ne potrdite obvestila, ki ga niste sami sprožili, nato pa spremenite geslo.
• Kode in obvestila niso odporni na phishing; passkeyi in varnostni ključi so (lekcija 2.4).
• Uredite obnovitvene kode in drugo metodo, preden izgubite telefon.

Kviz

Naloga

Naloga A2.3: Povezava aplikacije za preverjanje pristnosti. Prejmete QR kodo vadbenega računa "vaja WebOké". Skenirajte jo s poljubno avtentikacijsko aplikacijo in vnesite dve kodi, ki se prikažeta zaporedoma. Program preveri, ali Vaša aplikacija pravilno računa. Vadbena skrivnost nima nobene vrednosti in se po 24 urah izbriše; po tem vadbeni račun odstranite iz aplikacije.

Naloga D2.3: Vklop dvostopenjskega preverjanja (2FA) na Vaših najpomembnejših računih. Vklopite dvostopenjsko preverjanje na e-pošti, gostovanju ali registraciji domene, banki, računovodstvu in upravitelju gesel. Obnovitvene kode shranite na drugem mestu in odgovorite na vprašanje, kaj boste storili, če jutri izgubite telefon.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Nastavitev dvostopenjskega preverjanja pristnosti v Moj WebOké in aplikacije za preverjanje pristnosti
• Priročnik WebOké 3.2: Prijavna koda po e-pošti (dvostopenjsko preverjanje)
• Priročnik WebOké 3.3: Uporaba aplikacije za preverjanje pristnosti
• Priročnik DirectAdmin 3.2: Nastavitev dvostopenjskega preverjanja pristnosti
• Priročnik DirectAdmin 3.3: Kode za izterjavo in kaj storiti, če ste izgubili avtentikator
• Priročnik za Nextcloud 3.3: Namestitev overjevalnega programa in shranjevanje varnostnih kod
• Priročnik za Nextcloud 3.10: Izgubljen telefon ali izgubljena dvostopenjska avtentikacija: tako se znova prijavite
• Nastavitev dvostopenjskega preverjanja pristnosti (2FA) v Nextcloud
• SI-CERT, nasveti o MFA: https://www.cert.si/
• SI-CERT, prijava lažnih sporočil in sim-swap goljufij: https://www.cert.si/
• CISA, Implementing Number Matching in MFA Applications (v angleščini): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (v angleščini): https://www.rfc-editor.org/rfc/rfc6238