Dvoufaktorová autentizace (2FA) je jediná nejúčinnější metoda, jak zabránit neoprávněnému přístupu k online účtu. Potřebujete ještě přesvědčit? Podívejte se na tato ohromující čísla od společnosti Microsoft.
Table of Contents
Těžká čísla
V únoru 2020 dal Microsoft prezentace na Konference RSA s názvem „Breaking Password Dependencies: Challenges in the Final Mile at Microsoft.“ Celá prezentace byla fascinující, pokud vás zajímá, jak zabezpečit uživatelské účty. I když tato myšlenka znecitliví vaši mysl, prezentované statistiky a čísla byly úžasné.
Microsoft sleduje více než 1 miliardu aktivních účtů měsíčně, což je téměř 1/8 světové populace. Ty generují více než 30 miliard měsíčních přihlašovacích událostí. Každé přihlášení k firemnímu účtu O365 může generovat více přihlašovacích záznamů pro více aplikací a také další události pro jiné aplikace, které používají O365 pro jednotné přihlášení.
Pokud se vám toto číslo zdá velké, pamatujte na to Microsoft každý den zastaví 300 milionů podvodných pokusů o přihlášení. Opět to není za rok nebo za měsíc, ale 300 milionů za den.
V lednu 2020 bylo napadeno útoky sprejerstvím 480 000 účtů Microsoft – 0,048 procenta všech účtů Microsoft. To je, když útočník spustí společné heslo (jako „Spring2020!“) proti seznamům tisíců účtů v naději, že některé z nich toto společné heslo použijí.
Spreje jsou jen jednou z forem útoku; stovky a tisíce dalších byly způsobeny vycpáváním pověření. Aby je útočník zachoval, kupuje si uživatelská jména a hesla na temném webu a zkouší je na jiných systémech.
Pak je tu phishing, což je, když vás útočník přesvědčí, abyste se přihlásili na falešné webové stránky, aby získali vaše heslo. Tyto metody jsou způsoby, jak jsou online účty obvykle „hacknuty“, v běžné řeči.
Celkem bylo v lednu narušeno více než 1 milion účtů Microsoft. To je něco málo přes 32 000 kompromitovaných účtů za den, což zní špatně, dokud si nepamatujete, že 300 milionů podvodných pokusů o přihlášení bylo zastaveno denně.
Ale nejdůležitější číslo ze všech je to Bylo by zastaveno 99,9 procenta všech porušení účtů Microsoft pokud měly účty povoleno dvoufaktorové ověřování.
Co je dvoufaktorová autentizace?
Pro rychlé připomenutí, dvoufaktorová autentizace (2FA) vyžaduje další metodu pro ověření vašeho účtu, nikoli pouze uživatelské jméno a heslo. Touto dodatečnou metodou je často šestimístný kód zaslaný na váš telefon prostřednictvím SMS nebo vygenerovaný aplikací. Tento šestimístný kód pak zadáte jako součást přihlašovací procedury ke svému účtu.
Dvoufaktorová autentizace je typ vícefaktorové autentizace (MFA). Existují i další metody MFA, včetně fyzických tokenů USB, které připojíte k zařízení, nebo biometrických skenů vašeho otisku prstu nebo oka. Zdaleka nejběžnější je však kód odeslaný do vašeho telefonu.
Vícefaktorová autentizace je však široký pojem – například velmi bezpečný účet může vyžadovat tři faktory místo dvou.
Zastavila by 2FA porušování?
Při sprejových útocích a doplňování přihlašovacích údajů už mají útočníci heslo – stačí jim najít účty, které je používají. S phishingem mají útočníci jak vaše heslo, tak název vašeho účtu, což je ještě horší.
Pokud by účty Microsoft, které byly prolomeny v lednu, měly povolenou vícefaktorovou autentizaci, pouhé heslo by nestačilo. Hacker by také potřeboval přístup k telefonům svých obětí, aby získal kód MFA, než by se mohl přihlásit k těmto účtům. Bez telefonu by útočník neměl přístup k těmto účtům a nebyly by narušeny.
Pokud si myslíte, že vaše heslo je nemožné uhodnout a nikdy byste nenapadli phishingový útok, pojďme se ponořit do faktů. Podle Alexe Weinarta, hlavního architekta společnosti Microsoft, vaše heslo vlastně na tom tolik nezáleží pokud jde o zabezpečení vašeho účtu.
To se netýká pouze účtů Microsoft – každý online účet je stejně zranitelný, pokud nepoužívá MFA. Podle Google MZV se zastavilo na 100 procent automatizovaných útoků botů (sprejové útoky, credential stuffing a podobné automatizované metody).
Pokud se podíváte na levou dolní část grafu výzkumu Google, metoda „bezpečnostního klíče“ byla 100% účinná při zastavení automatizovaných botů, phishingu a cílených útoků.
Co je tedy metoda „bezpečnostního klíče“? K vygenerování kódu MFA používá aplikaci v telefonu.
I když metoda „SMS Code“ byla také velmi účinná – a je to absolutně lepší než nemít MFA vůbec – aplikace je ještě lepší. Doporučujeme Authy, protože je zdarma, snadno se používá a je výkonný.
Jak povolit 2FA pro všechny vaše účty
Pro většinu online účtů můžete povolit 2FA nebo jiný typ MFA. Nastavení najdete na různých místech pro různé účty. Obecně se však nachází v nabídce nastavení účtu pod položkou „Účet“ nebo „Zabezpečení“.
Naštěstí máme průvodce, který popisuje, jak zapnout MFA pro některé z nejpopulárnějších webů a aplikací:
Amazonka
Apple ID
Facebook
Google/Gmail
Instagram
LinkedIn
Microsoft
Hnízdo
Nintendo
Reddit
Prsten
Slack
Parní
Cvrlikání
MFA je nejúčinnějším způsobem zabezpečení vašich online účtů. Pokud jste to ještě neudělali, udělejte si čas a zapněte jej co nejdříve – zejména u kritických účtů, jako je e-mail a bankovnictví.