Зашто људи кажу да двофакторска аутентификација није савршена

Када је двофакторска аутентификација први пут уведена, револуционирала је сигурност уређаја и помогла да крађа идентитета буде много тежа – уз малу цијену мањих непријатности које су додате при пријављивању.

Али није савршен, нити је решио све наше проблеме са хаковањем и крађом података. Неке недавне вести пружиле су више контекста за то како хакери заобилазе двофакторску аутентификацију и нарушавају део нашег поверења у њу.

Шта је заправо двофакторска аутентификација?

Двофакторска аутентификација додаје додатни ниво сигурности процесу пријаве за уређаје и услуге. Раније су пријаве имале један фактор за аутентификацију — обично лозинку или биометријску пријаву као што је скенирање отиска прста или Фаце ИД, повремено уз додатак безбедносних питања. То је пружило извесну сигурност, али је било далеко од савршеног, посебно са слабим лозинкама или аутоматски попуњеним лозинкама (или ако су базе података за пријаву хаковане и те информације почну да се појављују на мрачном вебу).

Двофакторска аутентификација решава ове проблеме додавањем другог фактора, још једне ствари коју особа мора да уради да би гарантовала да је то заиста она и да има овлашћење за приступ. Обично то значи да вам се шаље код преко другог канала, као што је добијање текстуалне поруке или е-поште од услуге, коју затим морате да унесете.

Неки користе временски осетљиве кодове (ТОТП, једнократна лозинка заснована на времену), а неки користе јединствене кодове повезане са одређеним уређајем (ХОТП, једнократна лозинка заснована на ХМАЦ-у). Одређене комерцијалне верзије могу чак користити додатне физичке кључеве које морате имати при руци.

Сигурносна функција је постала толико уобичајена да сте вероватно навикли да видите поруке у стилу „Послали смо вам е-поруку са безбедним кодом за унос, проверите ваш филтер за нежељену пошту ако га нисте примили." Најчешћи је за нове уређаје, и иако је потребно мало времена, то је огроман скок у безбедности у поређењу са једним фактором методе. Али постоје неке мане.

То звучи прилично сигурно. У чему је проблем?

Недавно је изашао извештај компаније за сајбер безбедност Сопхос у којем је детаљно описан изненађујући нови начин хакери прескачу двофакторску аутентификацију: колачићи. Лоши актери су „крали колачиће“, што им омогућава приступ практично било којој врсти претраживача, веб сервиса, налога е-поште или чак датотеке.

Како ови сајбер криминалци добијају ове колачиће? Па, Сопхос напомиње да је Емотет ботнет један такав злонамерни софтвер који краде колачиће који циља податке у Гоогле Цхроме претраживачима. Људи такође могу да купе украдене колачиће преко подземних пијаца, што је постало познато у недавном случају ЕА где су детаљи за пријаву завршили на тржишту под називом Генесис. Резултат је био 780 гигабајта украдених података који су коришћени за покушај изнуде компаније.

Иако је то случај високог профила, основни метод је тамо и показује да је аутентификација са два фактора далеко од сребрног метка. Осим крађе колачића, постоји низ других проблема који су идентификовани током година:

• Ако хакер има добио ваше корисничко име или лозинку за услугу, можда имају приступ вашој е-пошти (нарочито ако користите исту лозинку) или броју телефона. Ово је посебно проблематично за двофакторну аутентификацију засновану на СМС-у/тексту, јер је телефонске бројеве лако пронаћи и могу се користити за копирање вашег телефона (између осталих трикова) и примање текстуалног кода. Потребно је више рада, али одлучан хакер и даље има јасан пут напред.
• Одвојене апликације за двофакторску аутентификацију, као што су Гоогле Аутх или Дуо, далеко су сигурније, али су стопе усвајања веома ниске. Људи обично не желе да преузму другу апликацију само из безбедносних разлога за једну услугу, и организацијама је много лакше да једноставно питају „Е-пошта или СМС?“ уместо да захтевају од купаца да преузму а апликација треће стране. Другим речима, најбољи типови двофакторске аутентификације се заправо не користе.
• Понекад је лозинке превише лако ресетовати. Крадљивци идентитета могу прикупити довољно информација о налогу да позову корисничку подршку или пронађу друге начине да затраже нову лозинку. Ово често заобилази било коју двофакторску аутентификацију која је укључена и, када функционише, омогућава лоповима директан приступ налогу.
• Слабији облици двофакторске аутентификације нуде малу заштиту од националних држава. Владе имају алате који се лако могу супротставити двофакторској аутентификацији, укључујући праћење СМС порука, присиљавање бежичних оператера или пресретање кодова за аутентификацију на друге начине. То није добра вест за оне који желе начине да задрже своје податке у тајности од тоталитарнијих режима.
• Многе шеме за крађу података у потпуности заобилазе двофакторску аутентификацију фокусирајући се на заваравање људи. Само погледајте сви покушаји пхисхинга који се претварају да су из банака, владине агенције, интернет провајдери итд., тражећи важне информације о налогу. Ове пхисхинг поруке могу изгледати врло стварне и могу укључивати нешто попут: „Потребан нам је ваш код за аутентификацију на нашој страни како бисмо такође могли да потврдимо да сте власник налога” или друге трикове добити кодове.

Да ли треба да наставим да користим двофакторску аутентификацију?

Апсолутно. У ствари, требало би да прођете кроз своје услуге и уређаје и омогућите двофакторску аутентификацију тамо где је доступна. Нуди знатно бољу сигурност од проблема попут крађе идентитета него једноставно корисничко име и лозинка.

Чак је и двофакторска аутентификација заснована на СМС-у много боља од никаква. Заправо, Национални институт за стандарде и технологију је једном препоручио да се не користи СМС у двофакторској аутентификацији, али је онда то вратио следеће године јер је и поред мана ипак вредело имати.

Када је могуће, изаберите метод аутентификације који није повезан са текстуалним порукама и имаћете бољи облик безбедности. Такође, држите своје лозинке јаке и користите менаџер лозинки да их генеришете за пријаве ако можете.

Како се може побољшати двофакторска аутентификација?

Удаљавање од аутентификације засноване на СМС-у је велики тренутни пројекат. Могуће је да ће двофакторска аутентификација прећи на неколико апликације трећих страна као што је Дуо, који уклањају многе слабости повезане са процесом. И више високоризичних поља ће се преместити у МФА, или вишефакторску аутентификацију, што додаје трећи захтев, попут отиска прста или додатних безбедносних питања.

Али најбољи начин за уклањање проблема са двофакторском аутентификацијом је увођење физичког аспекта заснованог на хардверу. Компаније и владине агенције то већ почињу да захтевају за одређене нивое приступа. У блиској будућности, постоји велика шанса да ћемо сви имати прилагођене картице за аутентификацију у нашим новчаницима, спремне да превучемо наше уређаје када се пријављујемо на услуге. Можда сада звучи чудно, али са нагли пораст напада на сајбер безбедност, могло би да буде најелегантније решење.

Препоруке уредника

• Зашто Нвидиа РТКС 4060 Ти једноставно није довољна за 2023
• Хакерски редови експлодирају - ево како можете да се заштитите
• Зашто Гоогле Цхроме анонимни режим није оно што тврди да јесте
• Ево зашто људи кажу да Нвидиа РТКС 4090 не вреди чекати
• Ево зашто људи кажу да купују М1 МацБоок Аир уместо М2

Надоградите свој животни стилДигитални трендови помажу читаоцима да прате убрзани свет технологије са свим најновијим вестима, забавним рецензијама производа, проницљивим уводницима и јединственим кратким прегледима.