Historie a budoucnost dvoufaktorové autentizace

Dvoufaktorová autentizace se v posledních několika letech stala něčím jako módním pojmem zabezpečení online. Většina z nás se přihlásila do té či oné služby, jen aby se jim zobrazila zpráva vyzývající nás k implementaci této formy naší ochrany na účtu.

Ale dvoufaktorová autentizace není nějaká stříbrná kulka schopná zastavit hackery v jejich stopách. Je to užitečné protiopatření mezi vaší obranou, ale v konečném důsledku to nenahradí funkční znalost největších hrozeb, kterým online čelíme.

Aktivujte dvoufaktorovou autentizaci všude tam, kde se nabízí příležitost – ale nedělejte chybu a spoléhejte na její ochranu, pokud nerozumíte tomu, proti čemu se může a nemůže bránit. Jak se ukázalo v roce 2016, zabezpečení dat je složité a přílišná sebedůvěra vás může vystavit útoku.

Jste tím, kým říkáte, že jste?

Dvoufaktorová autentizace je ve svém jádru o kontrole přihlašovacích údajů. Je to způsob, jak se ujistit, že někdo je tím, za koho se vydává, ověřením dvou různých typů důkazů. Tento druh systému existuje již léta.

Platby kreditní kartou pomocí čipu a kódu PIN jsou možná nejvšudypřítomnějším příkladem; spoléhají na to, že uživatel má u sebe fyzickou kartu a zná svůj PIN. Zatímco zloděj by mohl kartu ukrást a Naučte se PIN, není snadné spravovat obojí.

Bývaly doby, není to tak dávno, kdy finanční transakce byly jediným důvodem, proč lidé museli pravidelně ověřovat svou identitu. Dnes má každý, kdo používá internet, řadu účtů, ke kterým by z různých důvodů nechtěl, aby měl přístup jen tak někdo.

Finančnímu průmyslu se podařilo implementovat dvoufaktorovou autentizaci velmi snadno, protože jediným hardwarem, který bylo potřeba distribuovat, byla bankovní karta. Distribuce podobného systému pro každodenní webové stránky je téměř nemožná, proto je dvoufaktorový systém umožněn jinými prostředky. A tyto metody mají své vlastní chyby.

Uživatelská zkušenost

„Už mě fakt nebaví všechny ty pohodlné věci v životě, které jsou najednou příliš těžkopádné na to, abych je mohl používat,“ stojí v komentáři zveřejněném v roce 2005. SlashDot článek o blížícím se vzestupu dvoufaktorové autentizace ve vztahu k online bankovnictví. "Opravdu, opravdu nerad bych měl s sebou těžký žeton."

„Politici nemají ponětí, jaký dopad to má na skutečný svět,“ souhlasil druhý a bědoval nad hrozbou, že uživatelé budou nuceni zakoupit další hardware. „Pokud nerozumíte základům počítačové bezpečnosti, nemělo by vám být povoleno bankovat na internetu,“ dodal další komentátor.

Dnes se stížnosti, jako jsou tyto, zdají být rozhodně pošetilé, ale v roce 2005 byli uživatelé více zvažováni cenou a obtěžováním nošení nějaké formy dvoufaktorového tokenu. Reakce uživatelů se může ukázat ještě negativnější, když je chráněno něco méně důležitého než bankovnictví. V roce 2012 byla podána hromadná žaloba na herního vývojáře Blizzard Entertainment poté, co společnost zavedla periferní zařízení určené k ochraně účtů uživatelů Battle.net podle zprávy od serveru BBC.

Snahy o implementaci tohoto druhu dvoufaktorové autentizace probíhaly již od 80. let, kdy společnost Security Dynamics Technologies patentoval „metodu a zařízení pro pozitivní identifikaci jednotlivce“. Do roku 2000 byla infrastruktura a výrobní schopnost pro organizace od finančních institucí po vydavatele videoher, aby prosadily své vlastní prostředky dvoufaktorové autentizace.

Uživatelé se bohužel rozhodli nespolupracovat. Ať už byl druhý faktor ověřování tak jednoduchý jako LCD obrazovka s jedinečným kódem, nebo tak složitý jako snímač otisků prstů, myšlenka mít ještě další kus fyzického hardwaru – a potenciálně jeden pro každou jinou službu, která vyžadovala jedinečné přihlášení – nebylo přitažlivé pro masy.

Je možné si představit alternativní historii, kde se kvůli tomuto problému dvoufaktor nikdy neuchytil. Naštěstí pro nás Apple představil iPhone a Google představil Android. Chytré telefony daly zařízení schopné dvoufaktorové autentizace do rukou miliardám lidí po celém světě a vyřešily problém pohodlí, na který si uživatelé stěžovali v roce 2005.

Smartphony jsou pohodlné, ale mají svá rizika

Všudypřítomná povaha chytrých telefonů umožnila webům a službám odstranit potíže s procesem dvoufaktorového ověřování. "Ty, které používají váš mobilní telefon, mají tendenci se velmi snadno používat, mají velmi malý dopad," řekl na začátku tohoto měsíce bezpečnostní expert a kolega z Harvardu Bruce Schneier v rozhovoru pro Digital Trends. „Protože je to něco, co už máš. Není to nic nového, co byste s sebou museli nosit."

V určitých scénářích může tento přístup nabídnout určité výhody. Pokud se například přihlašujete ke službě z nového počítače, můžete být požádáni o zadání kódu odeslaného na důvěryhodné zařízení a také standardního hesla. Toto je dobrý příklad toho, jak používat dvoufaktorové ověřování; někdo jiný mohl ukrást vaše heslo a pokusit se přihlásit k přidruženému účtu ze svého systému – ale pokud vám již neukradl telefon, nebude moci získat přístup.

Existují však hrozby, které tento druh ochrany jednoduše nezvládne. V roce 2005 Schneier napsal, že „dvoufaktorová autentizace není naším zachráncem“ blogový příspěvek ponořit se do jeho slabin.

Dále popsal, jak může útok typu man-in-the-middle uživatele oklamat, aby si myslel, že jsou na legitimní webové stránce a přesvědčit je, aby nabídli obě formy ověření falešnému přihlášení obrazovka. Poznamenává také, že trojský kůň by mohl být použit k připojení legitimního přihlášení, které bylo provedeno pomocí dvou forem ověřování. Existuje také problém centralizace zabezpečení na jednom zařízení; většina lidí používá dvoufaktorový dvoufaktorový smartphone pro více webových stránek. Pokud je telefon ukraden a kompromitován, všechny tyto stránky jsou ohroženy.

Vědění je moc

„Když se přihlašujete ke svému účtu, dvoufaktorové je skvělé,“ řekl Schneier. „Moje univerzita, Harvard, to používá, moje společnost to používá. Spousta lidí to přijalo a je to velmi užitečné. Ale o čem jsem tehdy psal, problém byl, že se na to pohlíželo jako na všelék, vše vyřeší. Samozřejmě víme, že ne."

Finanční zisk bude vždy motivovat zlomyslné hackery k pěstování nových technik pro přístup k účtům jiných lidí. Dokud bude držení pověření někoho jiného přínosem, uvidíme, jak se hackování neustále vyvíjí.

"Existuje mnoho různých hrozeb a mnoho různých bezpečnostních mechanismů," vysvětlil Schneier. "Neexistuje jen jedna hrozba, nejen jeden mechanismus, existuje mnoho hrozeb a mnoho mechanismů."

Nejlepší obranou je nepřetržitý proud nových a vylepšených protiopatření. Pokud budeme i nadále měnit a aktualizovat metody, které používáme k zabezpečení našich účtů, ztížíme situaci všem, kteří se snaží získat přístup bez povolení.

Bohužel iniciativu mají útočníci. Trvalo roky, než byla dvoufaktorová autentizace přijata masami. Jakmile budou k dispozici nové formy ochrany, musíme se jako uživatelé zavázat, že je využijeme. A to nás vrací zpět na fóra Slashdot, kolem roku 2005. Všichni se opět stáváme uživateli, kteří si stěžují na pohodlí, místo abychom se starali o bezpečnost.

Je těžké ignorovat, jak samozřejmostí se staly rozsáhlé hacky, a nic nenasvědčuje tomu, že by tato forma kriminality vymizela. Neexistuje žádná obrana, která by byla stoprocentně schopná zablokovat jakýkoli druh útoku; zločinci si vždy najdou způsob, jak využít i tu nejmenší slabost. I když to není snadné, nejlepší způsob, jak zůstat online v bezpečí, je být si vědom hrozeb a vědět, co lze udělat pro ochranu před těmito hrozbami.

Online bezpečnost je jako platit za pojištění nebo jít k zubaři. Nezdá se to být tak důležité, dokud to není. Nestačí se pouze přihlásit k formám ochrany, které nabízejí různé weby a služby. Vědět, před jakými druhy útoků nás tyto ochrany brání – a před kterými ne – je jediný způsob, jak se postarat o svou vlastní bezpečnost.

Doporučení redakce

• Dvoufaktorové ověřování SMS na Twitteru má problémy. Zde je návod, jak přepnout metody
• Zde je důvod, proč lidé říkají, že dvoufaktorové ověřování není dokonalé
• Hackeři našli způsob, jak obejít dvoufaktorové ověřování Gmailu