Co to jest 2FA?
Autor: Redakcja Domeny.ForSale Opublikowano
W skrócie: 2FA to uwierzytelnianie dwuskładnikowe, czyli potwierdzanie tożsamości podczas logowania za pomocą dwóch różnych rodzajów zabezpieczeń, np. hasła i kodu z aplikacji na telefonie. Dzięki temu samo przejęcie hasła zwykle nie wystarczy do wejścia na konto. Jeśli usługa daje wybór, preferuj klucz bezpieczeństwa lub aplikację uwierzytelniającą zamiast SMS-a i od razu przygotuj sposób odzyskania dostępu.
Jak działa 2FA i co oznaczają dwa składniki?
Uwierzytelnianie to sprawdzanie, czy osoba próbująca się zalogować jest tym, za kogo się podaje. Hasło potwierdza znajomość sekretu, ale można je wyłudzić, odgadnąć lub przejąć w wycieku. 2FA dodaje drugi, niezależny rodzaj potwierdzenia.
Składniki uwierzytelniania należą do trzech podstawowych grup:
- Coś, co znasz — np. hasło lub PIN.
- Coś, co masz — np. klucz bezpieczeństwa albo telefon z aplikacją generującą kody.
- Coś, czym jesteś — np. cecha biometryczna sprawdzana przez czytnik odcisku palca.
Hasło i odpowiedź na pytanie o nazwisko panieńskie matki nie tworzą prawdziwego 2FA: oba zabezpieczenia opierają się na wiedzy. Również sam fakt wykonania dwóch kroków podczas logowania nie oznacza użycia dwóch różnych składników. Termin MFA oznacza uwierzytelnianie wieloskładnikowe; 2FA jest jego wariantem wykorzystującym dokładnie dwa składniki.
Przykład: logujesz się do poczty hasłem, a następnie wpisujesz kod z aplikacji uwierzytelniającej. Osoba, która poznała hasło z wycieku innego serwisu, nie zaloguje się wyłącznie na jego podstawie — potrzebuje jeszcze drugiego składnika lub sposobu obejścia zabezpieczeń.
SMS, aplikacja czy klucz bezpieczeństwa?
Metody 2FA różnią się wygodą i odpornością na ataki. Dostępne opcje zależą od usługi, dlatego przed konfiguracją sprawdź jej aktualną dokumentację bezpieczeństwa.
| Metoda | Jak działa | Najważniejsze ograniczenie |
|---|---|---|
| SMS | Serwis wysyła kod na numer telefonu. | Przejęcie numeru, np. przez nieuprawnione wydanie nowej karty SIM, może umożliwić odbiór kodów. |
| Aplikacja z kodami | Aplikacja generuje krótkotrwałe kody, zwykle w standardzie TOTP. | Kod można wyłudzić na fałszywej stronie logowania. |
| Powiadomienie w aplikacji | Zatwierdzasz prośbę o zalogowanie na telefonie. | Przypadkowe zatwierdzenie cudzej próby może dać napastnikowi dostęp. |
| Klucz bezpieczeństwa FIDO2/WebAuthn | Potwierdzasz logowanie fizycznym urządzeniem, np. przez USB lub NFC. | Trzeba zadbać o zapasowy sposób logowania na wypadek utraty klucza. |
TOTP to jednorazowy kod oparty na czasie i sekrecie zapisanym podczas konfiguracji. Po dodaniu konta aplikacja może generować takie kody bez internetu i zasięgu sieci komórkowej. Potrzebuje jednak prawidłowo ustawionego czasu na urządzeniu.
Klucze działające w standardzie FIDO2/WebAuthn wiążą uwierzytelnienie z właściwą domeną serwisu. To istotna przewaga nad kodami: typowa fałszywa strona nie może wykorzystać takiego potwierdzenia do zalogowania na prawdziwe konto. Dla poczty firmowej, panelu rejestratora domen czy kont administratora jest to szczególnie dobry wybór.
Jeśli serwis oferuje wyłącznie SMS, zwykle lepiej go włączyć niż pozostawić samo hasło. Nie traktuj jednak wszystkich metod jako równie bezpiecznych.
Przed czym chroni 2FA, a czego nie zatrzyma?
2FA ogranicza ryzyko przejęcia konta po ujawnieniu hasła. Pomaga również wtedy, gdy przestępca automatycznie sprawdza w różnych serwisach hasła pochodzące z wycieków. Nie zastępuje jednak unikalnego hasła dla każdego konta.
Phishing, czyli podszywanie się pod zaufaną usługę w celu wyłudzenia danych, może objąć również kody 2FA. Fałszywa strona potrafi poprosić o hasło i aktualny kod, a następnie przekazać je do prawdziwego serwisu. Dlatego kodów nie podawaj konsultantowi, w wiadomości ani na stronie otwartej z podejrzanego linku.
2FA nie zabezpiecza też przed każdym skutkiem zainfekowania urządzenia. Kradzież aktywnej sesji — danych, dzięki którym serwis pamięta zalogowanego użytkownika — może pozwolić ominąć ponowne logowanie. Nadal potrzebne są aktualizacje systemu, ostrożność przy instalowaniu rozszerzeń i kontrola aktywnych sesji konta.
Nie zatwierdzaj powiadomienia o logowaniu, którego nie rozpoczynasz. Nieoczekiwana prośba może oznaczać, że ktoś zna Twoje hasło; wejdź samodzielnie do ustawień konta i sprawdź jego aktywność.
Jak włączyć 2FA i nie stracić dostępu?
Zacznij od głównej skrzynki e-mail, ponieważ często służy ona do resetowania haseł w innych usługach. Następnie zabezpiecz menedżer haseł, konta finansowe i panele umożliwiające zarządzanie firmą, domeną lub hostingiem.
- Otwórz ustawienia bezpieczeństwa konta. Szukaj opcji „uwierzytelnianie dwuskładnikowe”, „weryfikacja dwuetapowa” lub „MFA”.
- Dodaj wybraną metodę. Przy aplikacji zazwyczaj skanujesz kod QR i wpisujesz wygenerowany kod potwierdzający. Nie udostępniaj kodu QR — zawiera sekret umożliwiający tworzenie kolejnych kodów.
- Zapisz kody odzyskiwania. To awaryjne kody zastępujące drugi składnik, zwykle jednorazowe. Przechowuj je w bezpiecznym miejscu dostępnym również po utracie telefonu, np. jako wydruk w zamkniętym schowku.
- Dodaj metodę zapasową, jeśli serwis na to pozwala. Może nią być drugi klucz bezpieczeństwa. Pamiętaj, że słabsza metoda awaryjna może osłabiać ochronę całego konta.
- Sprawdź logowanie przed zakończeniem konfiguracji. Pozostaw dotychczasową sesję otwartą i wykonaj próbę w osobnym oknie prywatnym.
Przed zmianą telefonu sprawdź oficjalną instrukcję przenoszenia kont w swojej aplikacji. Nie zakładaj, że kody zostaną przeniesione razem z kartą SIM. Usuń konfigurację ze starego urządzenia dopiero po potwierdzeniu, że na nowym możesz zalogować się do wszystkich ważnych usług.
Zobacz też: Co to jest CDN?
Przeczytaj także
