Samotné heslo nestačí. I silné heslo může útočník uhodnout, ukrást nebo prolomit. Kdo zná vaše heslo, dostane se do vašeho účtu. Právě to zastaví dvoufázové ověření (2FA). Vyžaduje druhý krok ověření navíc k heslu a prokazuje, že jste skutečně vy, i když se heslo dostalo do cizích rukou.
Tento článek vysvětluje, jak 2FA funguje, kde ho na formulářích použít, které metody 2FA jsou nejbezpečnější a jak ho zavést tak, aby neobtěžovalo běžné uživatele.
Co se dozvíte: Co je dvoufázové ověření a proč je důležité, jaké typy 2FA existují, jak každá metoda funguje, které formuláře potřebují ochranu 2FA a jak vybrat správnou metodu pro váš případ.
Co je dvoufázové ověření?
Dvoufázové ověření vyžaduje dva samostatné důkazy, než někoho pustí dál. Tyto faktory se obvykle dělí takto:
- Něco, co znáte: heslo nebo PIN
- Něco, co máte: telefon, bezpečnostní klíč nebo ověřovací aplikace
- Něco, čím jste: biometrický údaj, například otisk prstu nebo sken obličeje
Přihlášení s 2FA obvykle probíhá takto:
- Uživatel zadá uživatelské jméno a heslo
- Systém ověří, že je heslo správné
- Systém si vyžádá druhý faktor (např. "Zadejte kód z telefonu")
- Uživatel druhý faktor poskytne (např. zadá "123456")
- Systém druhý faktor ověří
- Uživatel získá přístup
Když někdo heslo ukradne, bez druhého faktoru se do účtu stále nedostane. Proto je 2FA tak účinné.
Proč je 2FA pro zabezpečení formulářů nezbytné
Hesla se kradou neustále
Úniky dat každý rok odhalí miliony hesel. Pokud bylo vaše heslo v uniklé databázi, útočníci ho mají. Silné heslo pomáhá, ale pořád je to jen heslo.
Útoky na hesla jsou běžné
Útočníci používají hrubou sílu (zkoušejí miliony kombinací), slovníkové útoky (zkoušejí běžná hesla) a credential stuffing (používají hesla z jiných úniků). Tyto útoky fungují, pokud za heslem nic dalšího není.
Phishing míří na hesla
Útočníci posílají falešné přihlašovací stránky, které vypadají jako váš web. Uživatelé na nich odešlou své údaje. Pokud váš web vyžaduje jen heslo, útočník má přístup. Je-li vyžadováno 2FA, samotné heslo útočníkovi nestačí.
Převzetí účtu stojí hodně
Když někdo získá přístup k zákaznickému účtu, může změnit heslo, účet resetovat, provést neoprávněné nákupy nebo ukrást informace. S 2FA je neoprávněný přístup mnohem těžší.
Typy dvoufázového ověření
Kódy přes SMS (textová zpráva)
Jak to funguje: Uživatel zadá jméno a heslo. Systém mu pošle na telefon šestimístný kód v textové zprávě. Uživatel kód ze zprávy zadá.
Výhody: Jednoduché pro uživatele. Funguje na každém telefonu (není potřeba aplikace).
Nevýhody: SMS lze zachytit nebo přesměrovat. Není to nejbezpečnější metoda. Odesílání SMS stojí peníze.
Nejlepší pro: Aplikace pro zákazníky, kde je důležitější snadné použití než maximální bezpečnost.
Ověřovací aplikace
Jak to funguje: Uživatel si nainstaluje aplikaci, například Google Authenticator. Při přihlášení aplikace vygeneruje časově omezený kód (obvykle šest číslic, které se mění každých 30 sekund). Uživatel tento kód zadá.
Výhody: Velmi bezpečné. Nelze zachytit. Pro uživatele zdarma.
Nevýhody: Uživatelé si musí nainstalovat aplikaci. Pokud ztratí telefon, přijdou o přístup, nemají-li záložní kódy.
Nejlepší pro: Aplikace s vysokými nároky na bezpečnost (administrace, finanční účty, citlivá data). Přijatelná zátěž pro uživatele je vyšší.
Hardwarové bezpečnostní klíče
Jak to funguje: Uživatel má fyzický klíč (třeba USB disk). Při přihlášení systém o klíč požádá. Uživatel klíč připojí nebo ho přiloží k zařízení. Klíč prokáže vlastnictví.
Výhody: Mimořádně bezpečné. Nelze ho napadnout na dálku. Funguje na mnoha webech.
Nevýhody: Uživatelé si musí klíče koupit (30-50 dolarů). Klíč lze ztratit nebo zapomenout. Zatím není široce podporován.
Nejlepší pro: Situace s maximálními nároky na bezpečnost (státní správa, armáda, účty s vysokou hodnotou). Používají ho technicky zdatní uživatelé.
Push oznámení
Jak to funguje: Uživatel se pokusí přihlásit. Systém mu pošle na telefon push oznámení: "Chcete toto přihlášení schválit?" Uživatel v oznámení klepne na "Schválit".
Výhody: Velmi pohodlné. Není co opisovat. Odolné proti phishingu (uživatel vidí, odkud se přihlášení provádí).
Nevýhody: Vyžaduje konkrétní aplikaci nebo systém. Nelze použít, když není po ruce telefon.
Nejlepší pro: Mobilní aplikace a spotřebitelské aplikace, kde je zážitek uživatele klíčový.
Kódy přes e-mail
Jak to funguje: Uživatel zadá jméno a heslo. Systém pošle kód na jeho e-mailovou adresu. Uživatel kód z e-mailu zadá.
Výhody: Funguje bez telefonu. Dostupné všem uživatelům.
Nevýhody: E-mail lze napadnout. Uživatel musí otevřít poštu, což je pomalejší než u jiných metod. Méně bezpečné než ověřovací aplikace.
Nejlepší pro: Aplikace s nízkými nároky na bezpečnost nebo jako záloha, když jiné metody nejsou k dispozici.
Biometrika (otisk prstu, obličej)
Jak to funguje: Zařízení uživatele (telefon nebo počítač) využije vestavěné biometrické senzory. Uživatel naskenuje otisk prstu nebo obličej a schválí přihlášení či akci.
Výhody: Velmi pohodlné. Velmi bezpečné. Jedinečné pro každého člověka.
Nevýhody: Vyžaduje zařízení s biometrickým senzorem. Ukládání biometrických dat vyvolává obavy o soukromí.
Nejlepší pro: Mobilní aplikace a moderní zařízení. Je stále běžnější, jak se biometrický hardware stává standardem.
Které formuláře potřebují 2FA?
Formuláře s vysokou hodnotou (2FA je nutné)
- Přihlašovací formuláře (administrace, zákaznický účet, e-mail)
- Formuláře pro obnovení hesla
- Změny nastavení účtu (zejména e-mailu nebo hesla)
- Platební nebo finanční formuláře
- Mazání dat nebo citlivé operace
Formuláře se střední hodnotou (2FA by mělo být)
- Registrace účtu (aby se převzetí účtu zabránilo od začátku)
- Formuláře, které mění údaje nebo předvolby uživatele
- Formuláře jen pro administrátory
Formuláře s nízkou hodnotou (2FA je volitelné)
- Kontaktní formuláře (shromažďují jen veřejné informace)
- Přihlášení k odběru newsletteru (formulář bez účtu)
- Formuláře s průzkumy
Pravidlo: pokud formulář může změnit účet uživatele, zpřístupnit citlivá data nebo provést nevratné akce, použijte 2FA.
Zavedení 2FA bez zbytečné zátěže
Nejdřív nechte 2FA volitelné, pro citlivé akce pak povinné
Dovolte uživatelům registraci bez 2FA. Vyžadujte ho ale ve chvíli, kdy chtějí vstoupit do citlivých částí, změnit platební údaje nebo heslo.
Nabídněte více metod 2FA
Někteří uživatelé mají telefon, jiní ne. Někdo dává přednost ověřovací aplikaci, jiný hardwarovému klíči. Více metod zajistí, že 2FA může používat každý.
Nabídněte záložní kódy
Když je 2FA povinné a uživatelé ztratí telefon nebo ověřovací aplikaci, do účtu se nedostanou. Nabídněte záložní kódy (jednorázové kódy vytvořené při nastavení), aby se mohli přihlásit, když ztratí hlavní metodu 2FA.
Pamatujte si důvěryhodná zařízení
Když uživatel na zařízení jednou dokončí 2FA, můžete si toto zařízení volitelně "zapamatovat", aby 2FA nemusel procházet pokaždé. Zátěž se sníží a podezřelá přihlášení z neznámých zařízení zůstanou zabezpečená.
Používejte 2FA podle rizika
Pokud se uživatel přihlásí ze svého obvyklého místa, v obvyklý čas a ze svého obvyklého zařízení, 2FA možná není nutné. Pokud se přihlásí z jiné země ve 3 hodiny ráno z nového zařízení, 2FA vyžadujte. Tak vyvážíte bezpečnost a pohodlí.
Obnovení přístupu a záložní plány
Uživatelé budou ztrácet telefony, zapomínat aplikace a vyřazovat se z účtu. Mějte připravený plán:
- Záložní kódy: Při nastavení 2FA vytvořte 10 jednorázových kódů, které lze použít, když hlavní metoda není dostupná
- Obnovení účtu: Umožněte uživatelům ověřit totožnost pomocí bezpečnostních otázek nebo e-mailu a získat přístup zpět
- Podpora: Proškolte pracovníky podpory, jak ověřit totožnost a pomoci uživatelům, kteří se zablokovali
Útoky na 2FA a jak jim předejít
SIM swapping
Útočník přesvědčí mobilního operátora, aby číslo oběti převedl na novou SIM kartu. Pak využívá kódy SMS 2FA, které chodí na jeho telefon.
Prevence: Místo SMS používejte ověřovací aplikace nebo hardwarové klíče. SMS je vůči SIM swappingu zranitelná.
Phishing kódů 2FA
Útočník vytvoří falešnou přihlašovací stránku, která žádá kód 2FA. Uživatel kód zadá. Útočník ho okamžitě použije k přihlášení do skutečného účtu.
Prevence: Používejte metody, které ukazují kontext (push oznámení ukáže "přihlášení na www.example.com"), nebo hardwarové klíče (ty ověřují doménu webu). Metody založené na kódech jsou na to zranitelné.
Ztracená nebo ukradená zařízení
Když se ztratí nebo ukradne zařízení s aplikací 2FA, může je útočník využít k přístupu do účtů.
Prevence: Vyžadujte PIN zařízení nebo biometrické odemknutí. Vyžadujte PIN k otevření ověřovací aplikace. Používejte záložní kódy a možnosti obnovení účtu.
Co zkontrolovat u 2FA
Zjistěte, jaké metody 2FA vaše účty nabízejí, a zapněte tu nejsilnější. Ověřovací aplikace je bezpečnější než kódy zasílané přes SMS nebo e-mail. Záložní kódy uložte na bezpečné místo, abyste mohli přístup obnovit.
Další informace o bezpečnostních funkcích a možnostech 2FA najdete v nastavení svého účtu nebo na stránce s ceníkem.