Silné heslo už samo o sobě nestačí k ochraně přístupu do administrace webu. Dvoufázové ověření přidává druhou vrstvu, takže ukradené heslo samo k přístupu nestačí, a to mění výpočet rizika pro každého, kdo útočí na přihlašovací údaje správců. Jeden faktor lze prolomit. Dva je výrazně těžší. Tento článek vysvětluje, jak dvoufázové ověření funguje, jaké typy druhého faktoru existují a jak ho na webu zapnout.
Útoky na přihlašovací údaje jsou automatizované. Nástroje určené k hádání hesel hrubou silou nebo k testování ukradených údajů na přihlašovacích stránkách běží nepřetržitě na milionech webů. Samotné heslo už není poslední linií obrany, kterou bývalo, protože příliš mnoho hesel je slabých, opakovaně používaných nebo odhalených při únicích dat z jiných služeb. Dvoufázové ověření heslo neopraví. Jen způsobí, že samotné heslo nestačí. Širší obraz o ochraně přístupu správců jako součásti celkové strategie zabezpečení najdete v článku o tom, jak ochránit web před hackery.
Co je dvoufázové ověření?
Dvoufázové ověření, často zkracované na 2FA, je proces přihlášení, který před udělením přístupu vyžaduje dvě oddělené formy ověření. Prvním faktorem je obvykle heslo. Druhým faktorem je něco jiného, k čemu má v okamžiku přihlášení přístup jen držitel účtu.
Princip je přímočarý: i když útočník získá vaše heslo únikem dat, phishingem nebo hrubou silou, nemůže přihlášení dokončit, aniž by ovládal také druhý faktor. Ve většině případů je druhý faktor na zařízení, které držitel účtu fyzicky vlastní, takže získat přístup vyžaduje víc než jen ukradené heslo.
Jak dvoufázové ověření funguje?
Postup přihlášení
- Uživatel zadá na přihlašovací stránce jako obvykle uživatelské jméno a heslo
- Místo okamžitého udělení přístupu je vyzván k druhému kroku ověření
- Uživatel zadá druhý faktor, který systém ověří, než přístup povolí
- Pokud je kterýkoli faktor nesprávný, přístup je zamítnut
Co tím zastavíte
- Útočník, který získal správné heslo, se zastaví u druhého kroku, protože nemá přístup k druhému faktoru
- Útoky hrubou silou, které heslo úspěšně uhodnou, stále nemohou dokončit přihlášení bez druhého faktoru
- Údaje ukradené phishingem nebo únikem dat z jiných služeb samy o sobě nestačí
Jaké jsou typy druhého faktoru?
Aplikace pro ověřování
- Aplikace pro ověřování generuje časově omezený kód, který se obnovuje každých 30 sekund. Uživatel otevře aplikaci, přečte aktuální kód a zadá ho při přihlášení
- Kód se vytváří na zařízení a nepřenáší se po síti, takže je odolný proti odposlechu
- Je to široce považováno za nejpraktičtější a nejbezpečnější možnost pro většinu majitelů webů
Kódy přes SMS
- Jednorázový kód se při přihlášení pošle jako textová zpráva na registrované telefonní číslo uživatele
- Kódy přes SMS se nastavují pohodlněji než aplikace pro ověřování, ale považují se za méně bezpečné, protože telefonní čísla lze převzít výměnou SIM karty a SMS zprávy lze zachytit
- Jsou výrazně lepší než žádný druhý faktor
Hardwarové bezpečnostní klíče
- Hardwarový bezpečnostní klíč je fyzické zařízení, obvykle malé zařízení USB nebo NFC, které uživatel při přihlášení zasune nebo přiloží, aby ověřil svou identitu
- Hardwarové klíče poskytují nejsilnější formu dvoufázového ověření a jsou odolné proti phishingu, protože ověření je vázané na konkrétní web, ke kterému se přistupuje
- Jsou běžnější v prostředích s vysokou bezpečností a méně často se používají pro běžný přístup správců webu
Kódy přes e-mail
- Jednorázový kód se pošle na registrovanou e-mailovou adresu uživatele a musí se při přihlášení zadat
- Kódy přes e-mail jsou nejslabším druhým faktorem, protože spoléhají na zabezpečení e-mailového účtu. Pokud je e-mailový účet prolomen, druhý faktor žádnou ochranu neposkytuje
- Jsou lepší než žádný druhý faktor, ale aplikace pro ověřování je spolehlivější volba
Proč váš web potřebuje dvoufázové ověření?
Hesla se pravidelně prolamují
- Úniky dat z jiných služeb odhalují přihlašovací údaje, které se pak zkoušejí na administracích webů. Heslo opakovaně použité z jiného účtu lze použít k přístupu na váš web, i když váš web nikdy nebyl přímým cílem
- Phishingovým útokům, které zachytí hesla, se těžko zcela předchází. Dvoufázové ověření omezuje škody, když se heslo získá
Automatizované útoky na přihlašovací údaje jsou stálé
- Nástroje hrubé síly běží nepřetržitě na webech a zkoušejí běžná hesla, slova ze slovníku a seznamy uniklých údajů
- Dvoufázové ověření znamená, že ani heslo odhalené hrubou silou nestačí k dokončení přihlášení
Přístup správce je nejcennější cíl
- Útočník, který získá přístup do administrace webu, může nainstalovat malware, ukrást data, vytvořit zadní vrátka nebo majitele úplně zablokovat
- Ochrana přístupu správce dvoufázovým ověřením přímo snižuje následky prolomeného hesla, což je nejčastější cíl útoků na přihlašovací údaje
Souvislosti toho, co mohou útočníci dělat, když získají přístup správce, najdete v článku o tom, co je malware na webu a jak ovlivňuje váš web. Podrobný rozbor toho, proč zabezpečení webu záleží nejen u přístupu správce, najdete v článku o tom, proč je zabezpečení webu důležité.
Jak na webu zapnout dvoufázové ověření?
Pro přístup správců webu
- Mnoho platforem pro weby obsahuje dvoufázové ověření jako vestavěnou možnost v nastavení účtu. Nejdřív zkontrolujte sekci zabezpečení nebo nastavení účtu své platformy
- U platforem, které ho nativně nemají, jsou k dispozici bezpečnostní rozšíření nebo pluginy, které 2FA do procesu přihlášení přidají
- Zapněte ho u každého účtu správce, ne jen u hlavního účtu. Každý účet správce bez dvoufázového ověření je potenciální vstupní bod
Pro účty hostingu a domény
- Ovládací panel hostingu a účet u registrátora domény je stejně důležité zabezpečit jako samotný web. Útočník, který získá přístup k účtu hostingu, může měnit záznamy DNS, přistupovat k zálohám nebo web vypnout
- Zapněte dvoufázové ověření v panelu hostingu a na účtu u registrátora domény, ne jen u přihlášení k samotnému webu
Pro e-mailové účty používané při obnovení účtu
- Procesy obnovení hesla obvykle posílají odkaz na registrovanou e-mailovou adresu. Pokud je tento e-mailový účet prolomen, lze ho použít k převzetí účtu webu
- Zabezpečení e-mailových účtů spojených s přístupem správce dvoufázovým ověřením tuto cestu obnovení jako vektor útoku uzavře
O tom, jak zálohy spolupracují s dvoufázovým ověřením v rámci kompletního přístupu k zabezpečení, se dočtete v článku o tom, jak zálohovat web.
Jak WEMASY řeší zabezpečení přihlášení
Dvoufázové ověření je k dispozici pro přístup k účtu WEMASY. Majitelé webů ho mohou zapnout v nastavení zabezpečení účtu a chránit tak přístup do administrace, konfigurace webu a fakturačních údajů. Jeho zapnutí znamená, že samotné ukradené heslo nelze k přístupu na účet použít.
Aktivita přihlášení se sleduje na úrovni platformy a bezpečnostní události se zaznamenávají. Platforma také uplatňuje limity pokusů o přihlášení, aby snížila vystavení útokům hrubou silou.
Co je v ceně, zjistíte u tvůrce webů WEMASY, nebo si projděte možnosti balíčků na stránce s cenami.
Často kladené otázky
Co je dvoufázové ověření?
Dvoufázové ověření je proces přihlášení, který před udělením přístupu vyžaduje dvě oddělené formy ověření. Prvním faktorem je obvykle heslo. Druhým je něco, k čemu má v okamžiku přihlášení přístup jen držitel účtu, například kód z aplikace pro ověřování nebo textová zpráva poslaná na registrovaný telefon. K dokončení přihlášení musí být zadány oba správně, takže samotné ukradené heslo útočníkovi k průniku nestačí. S tvůrcem webů od WEMASY to můžete nastavit přímo na svém webu.
Proč bych na svém webu měl používat dvoufázové ověření?
Hesla se pravidelně prolamují únikem dat, phishingovými útoky a nástroji hrubé síly. Dvoufázové ověření znamená, že i když útočník heslo získá, nelze ho použít k dokončení přihlášení bez druhého faktoru. U účtů správců webu, kde úspěšné přihlášení může vést k instalaci malwaru, krádeži dat nebo zablokování webu, je dvoufázové ověření jedním z bezpečnostních opatření s nejvyšším dopadem.
Jaký typ druhého faktoru je nejlepší?
Aplikace pro ověřování je doporučený druhý faktor pro většinu majitelů webů. Generuje časově omezený kód přímo na zařízení, který se nepřenáší po síti, a proto není zranitelný vůči odposlechu stejným způsobem jako kódy přes SMS. Hardwarové bezpečnostní klíče jsou bezpečnější, ale pro každodenní použití méně praktické. Kódy přes SMS a e-mail jsou lepší než žádný druhý faktor, ale aplikace pro ověřování nabízí správnou rovnováhu mezi zabezpečením a snadným používáním.
Co když ztratím přístup k druhému faktoru?
Většina platforem, které dvoufázové ověření podporují, také při nastavení poskytne záložní kódy. Tyto jednorázové kódy lze použít k přístupu na účet, když druhý faktor není dostupný. Uložte je na bezpečné místo oddělené od zařízení používaného k ověřování. Pokud se záložní kódy ztratí a druhý faktor není dostupný, obnovení obvykle vyžaduje ověření totožnosti v rámci procesu obnovení účtu platformy, což může chvíli trvat a vyžadovat doložení vlastnictví.
Chrání dvoufázové ověření před všemi útoky na přihlášení?
Chrání před většinou útoků založených na přihlašovacích údajích, včetně hrubé síly, credential stuffingu a útoků s ukradenými hesly z jiných služeb. Nechrání před útoky, které přihlášení zcela obejdou, například zneužitím zranitelnosti v softwaru webu nebo získáním přístupu přes prolomenou relaci. Dvoufázové ověření je zásadní vrstva ochrany přístupu správců, ale funguje nejlépe jako součást širšího přístupu k zabezpečení, který zahrnuje aktualizace softwaru, silná hesla a pravidelné zálohy.
Mám zapnout dvoufázové ověření i u jiných účtů než u přihlášení k webu?
Ano. Panel hostingu i účet u registrátora domény by měly mít dvoufázové ověření zapnuté. Přístup k jednomu z nich lze použít ke změně konfigurace webu, záznamů DNS nebo záloh způsobem, který úplně obejde vlastní přihlášení webu. Dvoufázovým ověřením by měl být zabezpečen také e-mailový účet používaný k obnovení účtu, protože procesy obnovení hesla posílají odkaz na tuto adresu a prolomený e-mailový účet lze použít k převzetí účtu webu.