De ce oamenii spun că autentificarea cu doi factori nu este perfectă

Când a fost introdusă pentru prima dată autentificarea în doi factori, aceasta a revoluționat securitatea dispozitivului și a contribuit la îngreunarea furtului de identitate – cu un mic cost al neplăcerilor minore adăugate conectărilor.

Dar nu este perfect și nici nu a rezolvat toate problemele noastre de hacking și furtul de date. Unele știri recente au oferit mai mult context pentru modul în care hackerii au ocolit autentificarea cu doi factori și au erodat o parte din încrederea noastră în aceasta.

Ce este mai exact autentificarea cu doi factori?

Autentificarea cu doi factori adaugă un nivel suplimentar de securitate procesului de conectare pentru dispozitive și servicii. Anterior, autentificarea aveau un singur factor de autentificare - de obicei, o parolă sau o autentificare biometrică, cum ar fi o scanare a amprentei sau Face ID, ocazional cu adăugarea de întrebări de securitate. Acest lucru a oferit o oarecare securitate, dar a fost departe de a fi perfect, mai ales cu parole slabe sau parole completate automat (sau dacă bazele de date de conectare sunt piratate și aceste informații încep să apară pe dark web).

Autentificarea cu doi factori abordează aceste probleme adăugând un al doilea factor, un alt lucru pe care trebuie să îl facă o persoană pentru a garanta că este cu adevărat ei și că are autoritatea de a accesa. De obicei, asta înseamnă că vi se trimite un cod printr-un alt canal, cum ar fi primirea unui mesaj text sau a unui e-mail de la serviciu, pe care apoi trebuie să îl introduceți.

Unele folosesc coduri sensibile la timp (TOTP, Time-Based One Time Password), iar altele folosesc coduri unice asociate cu un anumit dispozitiv (HOTP, HMAC-based One Time Password). Anumite versiuni comerciale pot folosi chiar chei fizice suplimentare pe care trebuie să le aveți la îndemână.

Caracteristica de securitate a devenit atât de comună, încât probabil că sunteți obișnuit să vedeți mesaje de tipul „V-am trimis un e-mail cu un cod securizat de introdus, vă rugăm să verificați filtrul de spam dacă nu l-ați primit.” Este cel mai comun pentru dispozitivele noi și, deși durează puțin timp, este un salt uriaș în securitate în comparație cu un singur factor metode. Dar există câteva defecte.

Sună destul de sigur. Care este problema?

Un raport a apărut recent de la compania de securitate cibernetică Sophos, care detaliază o nouă modalitate surprinzătoare hackerii omit peste autentificarea cu doi factori: fursecuri. Actorii răi au fost „furtul de cookie-uri”, ceea ce le oferă acces la aproape orice tip de browser, serviciu web, cont de e-mail sau chiar fișier.

Cum obțin acești criminali cibernetici aceste cookie-uri? Ei bine, Sophos observă că rețeaua botnet Emotet este un astfel de program malware care fură cookie-uri care vizează datele din browserele Google Chrome. Oamenii pot cumpăra cookie-uri furate și prin piețele subterane, care a fost făcut celebru în cazul recent EA în care detaliile de conectare au ajuns pe o piață numită Genesis. Rezultatul au fost 780 de gigabytes de date furate care au fost folosite pentru a încerca să stoarce compania.

Deși acesta este un caz de mare profil, metoda de bază există și arată că autentificarea cu doi factori este departe de a fi un glonț de argint. Dincolo de furtul de cookie-uri, există o serie de alte probleme care au fost identificate de-a lungul anilor:

• Dacă un hacker are a obținut numele dvs. de utilizator sau parola pentru un serviciu, pot avea acces la e-mailul dvs. (mai ales dacă utilizați aceeași parolă) sau la numărul de telefon. Acest lucru este mai ales problematic pentru autentificarea cu doi factori pe bază de SMS/text, deoarece numerele de telefon sunt ușor de găsit și pot fi folosite pentru a vă copia telefonul (printre alte trucuri) și pentru a primi codul text. Este nevoie de mai multă muncă, dar un hacker hotărât are încă o cale clară înainte.
• Aplicațiile separate pentru autentificarea cu doi factori, cum ar fi Google Auth sau Duo, sunt mult mai sigure, dar ratele de adoptare sunt foarte scăzute. Oamenii tind să nu vrea să descarce o altă aplicație doar din motive de securitate pentru un singur serviciu și organizațiilor le este mult mai ușor să întrebe pur și simplu „E-mail sau text?” mai degrabă decât să solicite clienților să descarce a aplicație terță parte. Cu alte cuvinte, cele mai bune tipuri de autentificare cu doi factori nu sunt cu adevărat utilizate.
• Uneori parolele sunt prea ușor de resetat. Hoții de identitate pot aduna suficiente informații despre un cont pentru a apela serviciul pentru clienți sau pentru a găsi alte modalități de a solicita o nouă parolă. Acest lucru ocolește adesea orice autentificare cu doi factori implicată și, atunci când funcționează, permite hoților acces direct la cont.
• Formele mai slabe de autentificare cu doi factori oferă puțină protecție împotriva statelor naționale. Guvernele au instrumente care pot contracara cu ușurință autentificarea cu doi factori, inclusiv monitorizarea mesajelor SMS, constrângerea operatorilor wireless sau interceptarea codurilor de autentificare în alte moduri. Aceasta nu este o veste bună pentru cei care doresc modalități de a-și păstra datele private de la regimurile mai totalitare.
• Multe scheme de furt de date ocolesc în întregime autentificarea cu doi factori, concentrându-se în schimb pe păcălirea oamenilor. Uită-te doar la toate încercările de phishing care se prefac a fi de la bănci, agențiile guvernamentale, furnizorii de internet etc., solicitând informații importante despre cont. Aceste mesaje de phishing pot părea foarte reale și pot implica ceva de genul „Avem nevoie de dvs codul de autentificare din partea noastră, astfel încât să putem confirma, de asemenea, că sunteți titularul contului”, sau alte trucuri pentru obține coduri.

Ar trebui să folosesc în continuare autentificarea cu doi factori?

Absolut. De fapt, ar trebui să parcurgeți serviciile și dispozitivele dvs. și să activați autentificarea cu doi factori acolo unde este disponibilă. Oferă o securitate semnificativ mai bună împotriva problemelor precum furtul de identitate decât un simplu nume de utilizator și o parolă.

Chiar și autentificarea cu doi factori bazată pe SMS este mult mai bună decât deloc. De fapt, Institutul Național de Standarde și Tehnologie a recomandat odată să nu folosiți SMS-uri în autentificarea cu doi factori, dar apoi a dat înapoi anul următor pentru că, în ciuda defectelor, tot merita să fie avut.

Atunci când este posibil, alegeți o metodă de autentificare care nu este conectată la mesajele text și veți avea o formă mai bună de securitate. De asemenea, păstrați-vă parolele puternice și utilizați un manager de parole pentru a le genera pentru autentificare dacă puteți.

Cum poate fi îmbunătățită autentificarea cu doi factori?

Îndepărtarea de la autentificarea pe bază de SMS este marele proiect actual. Este posibil ca autentificarea cu doi factori să treacă la o mână de aplicații terță parte, cum ar fi Duo, care înlătură multe dintre punctele slabe asociate procesului. Și mai multe câmpuri cu risc ridicat se vor muta în MFA, sau autentificare cu mai mulți factori, ceea ce adaugă o a treia cerință, cum ar fi amprenta digitală sau întrebări de securitate suplimentare.

Dar cea mai bună modalitate de a elimina problemele legate de autentificarea cu doi factori este introducerea unui aspect fizic, bazat pe hardware. Companiile și agențiile guvernamentale încep deja să solicite asta pentru anumite niveluri de acces. În viitorul apropiat, există șanse rezonabile să avem cu toții carduri de autentificare personalizate în portofelele noastre, gata să glisăm pe dispozitivele noastre atunci când ne conectăm la servicii. Poate suna ciudat acum, dar cu creștere abruptă a atacurilor de securitate cibernetică, ar putea ajunge sa fie cea mai eleganta solutie.

Recomandările editorilor

• De ce Nvidia RTX 4060 Ti pur și simplu nu este suficient pentru 2023
• Rangurile hackerilor explodează - iată cum vă puteți proteja
• De ce modul incognito Google Chrome nu este ceea ce pretinde a fi
• Iată de ce oamenii spun că Nvidia RTX 4090 nu merită așteptat
• Iată de ce oamenii spun să cumpărați M1 MacBook Air în loc de M2

Îmbunătățește-ți stilul de viațăDigital Trends îi ajută pe cititori să țină cont de lumea rapidă a tehnologiei cu toate cele mai recente știri, recenzii distractive despre produse, editoriale perspicace și anticipări unice.