Egy kisvállalkozásnál általában néhány fiókon múlik minden: a céges e-mail, a Google- vagy Microsoft-fiók, a Facebook-oldal, a webáruház adminja, a tárhely és a domain kezelője. Ha ezek közül egyhez hozzáfér valaki más, az nem csak kellemetlen. Ügyfelek kaphatnak hamis számlát a nevedben, eltűnhet a weboldalad, vagy napokig nem éred el a saját leveleidet.
A jó hír, hogy a védekezés nagy része nem drága és nem bonyolult. Ebben a cikkben sorra vesszük, mit jelent a kétlépcsős belépés, miért nem egyforma minden megoldás, és mi az a passkey, amivel egyre több szolgáltatásnál találkozol.
Miért nem elég egy erős jelszó?
Az erős, egyedi jelszó továbbra is fontos, de önmagában kevés. A leggyakoribb támadás ma nem a jelszó kitalálása, hanem a megtévesztés: kapsz egy levelet, ami pont úgy néz ki, mint a bankod vagy a Microsoft értesítője, a link egy hamis belépőoldalra visz, és ott magad adod meg az adataidat. Ezt hívják adathalászatnak.
Ilyenkor mindegy, mennyire hosszú volt a jelszó: a támadó egyszerűen megkapta. Ezért kell egy második lépés is, ami nem csak attól függ, mit tudsz.
Kétlépcsős belépés: nem mind egyforma
Kétlépcsős (vagy többlépcsős, angolul MFA) belépésnél a jelszó mellé kell még valami: egy kód, egy jóváhagyás a telefonon vagy egy eszköz. Az amerikai kiberbiztonsági hivatal (CISA) útmutatója szerint bármilyen második lépés jobb, mint a semmi, de a módszerek között komoly különbség van. A hivatal sorrendje nagyjából így néz ki, a gyengébbtől az erősebb felé:
- SMS-ben vagy hívásban kapott kód. Jobb, mint a semmi, de a telefonszámot el lehet téríteni (például ha valaki a nevedben új SIM-kártyát igényel), és a kódot egy hamis oldal is bekérheti.
- Hitelesítő alkalmazás kódja vagy jóváhagyó értesítése (például Google Authenticator, Microsoft Authenticator). Erősebb, de a hamis oldalon ezt a hatjegyű kódot is be lehet gépeltetni. A „jóváhagyod?” értesítéseknél pedig létezik az a trükk, hogy a támadó addig küldi őket, amíg valaki megunja és rányom.
- Adathalászat-álló belépés: passkey vagy biztonsági kulcs. A CISA ezt nevezi a legbiztonságosabb formának, és azt javasolja, hogy először a kiemelt fiókoknál térjenek át rá.
Ha a telefonos alkalmazás értesítést küld, és fel tudod állítani, hogy egy számot kelljen beírnod a jóváhagyáshoz (ezt hívják számegyeztetésnek), kapcsold be. A CISA ezt jó átmeneti megoldásnak tartja, amíg nem tudsz passkeyre váltani.
Mi az a passkey, és miért jobb?
A passkey (magyarul néha „jelszókulcs”) egy jelszót kiváltó belépési mód. Nem neked kell megjegyezned: a telefonod vagy a számítógéped tárolja, és ugyanúgy oldod fel, ahogy a készüléket, ujjlenyomattal, arccal vagy PIN-kóddal.
Két dolog miatt erősebb a jelszónál és a kódoknál is:
- Nincs mit kicsalni belőled. Nincs begépelendő jelszó vagy kód, amit egy hamis oldalon megadhatnál. A FIDO Szövetség (a szabványt kidolgozó szervezet) leírása szerint minden passkey egy adott weboldalhoz vagy alkalmazáshoz kötődik, így egy hasonló nevű csaló oldalon egyszerűen nem működik.
- Az ujjlenyomatod nem utazik sehova. Az azonosítás a készülékeden történik, a szolgáltató csak azt kapja meg, hogy sikeres volt.
Két fajtája van. A szinkronizált passkey a jelszókezelőddel (például Google-fiókkal vagy iCloud-kulcskarikával) titkosítva átkerül a többi eszközödre is, így egy új telefonon sem kell elölről kezdened. Az eszközhöz kötött passkey csak egy készüléken vagy egy kis USB-s biztonsági kulcson van meg. Ez a legerősebb, de ha elveszíted, kell egy tartalék megoldás.
Mivel kezdd? Egy délutános teendőlista
Nem kell mindent egyszerre átállítani. Mi így javasoljuk sorban:
- Írd össze a kulcsfiókokat. Céges e-mail, Google- vagy Microsoft-fiók, Facebook és Instagram, webáruház-admin, tárhely- és domainszolgáltató, könyvelő- és banki felületek. Ezek a legfontosabbak.
- Mindegyiken kapcsold be a kétlépcsős belépést, ahol még nincs. Ha van választás, a hitelesítő alkalmazást válaszd az SMS helyett.
- Ahol lehet, adj hozzá passkeyt. Google-fióknál például a fiók biztonsági beállításai között, a passkeyekről szóló résznél. A Google súgója szerint ez nem törli a meglévő belépési és helyreállítási módjaidat, csak egy újabb lehetőséget ad.
- Gondold végig a vészhelyzetet. Mi történik, ha elveszik a telefon? Mentsd el a helyreállító kódokat biztonságos helyre, és legyen legalább két eszköz vagy egy tartalék kulcs a legfontosabb fiókokhoz.
- Ne használj közös gépen passkeyt. A Google is felhívja rá a figyelmet: aki fel tudja oldani a készüléket, az a fiókodba is be tud lépni. Közös irodai gépen inkább mindenkinek legyen saját felhasználója.
- Szólj a kollégáknak is. A legerősebb beállítás is keveset ér, ha valaki a közös admin jelszót egy cetlin tartja. Ahol több ember kezel egy felületet, mindenki saját fiókkal lépjen be.
És a weboldaladon?
Ha a weboldaladnak vagy webáruházadnak van adminfelülete, ott is érdemes megnézni, milyen belépési lehetőségek vannak. A legtöbb modern rendszerhez van kétlépcsős belépés, és egyre több támogatja a passkeyt is. Ha nem tudod, a te oldaladon mi működik, nézzük meg együtt.
Röviden
A jelszó egyedül már nem elég, és a kétlépcsős belépés sem egyforma. Az SMS-kód jobb a semminél, a hitelesítő alkalmazás jobb az SMS-nél, a passkey pedig ma a legkényelmesebb és legbiztonságosabb választás ott, ahol elérhető. Egy délután alatt a legfontosabb fiókjaidat sokkal nehezebben támadhatóvá teheted.
