Uwierzytelnianie użytkownika to proces sprawdzania, czy osoba uzyskująca dostęp do konta rzeczywiście jest tym, za kogo się podaje. Opiera się na trzech podstawowych czynnikach: wiedzy, posiadaniu oraz cechach użytkownika. Najwyższy poziom ochrony zapewnia połączenie co najmniej dwóch z nich w ramach MFA.
Czym jest uwierzytelnianie?
W systemach informatycznych najpierw następuje identyfikacja, czyli wskazanie, kim jest użytkownik, na przykład przez podanie adresu e-mail lub nazwy konta. Uwierzytelnianie jest kolejnym etapem. Polega na udowodnieniu, że użytkownik ma prawo korzystać z danego konta.
Może nim być wpisanie hasła, użycie telefonu generującego kod albo potwierdzenie tożsamości odciskiem palca. Mechanizm ten tworzy bramę między użytkownikiem a chronionymi danymi, dlatego ma znaczenie zarówno przy logowaniu do poczty, bankowości internetowej, jak i serwisów społecznościowych.
Trzy główne czynniki uwierzytelniania
Czynnik uwierzytelniania to rodzaj informacji lub dowodu używanego do potwierdzenia tożsamości. Wyróżnia się trzy podstawowe kategorie:
| Czynnik | Przykłady | Zalety | Wady |
|---|---|---|---|
| Wiedza | Hasło, PIN, odpowiedź na pytanie pomocnicze | Łatwy do wdrożenia i dostępny bez dodatkowego sprzętu | Może zostać odgadnięty, wyłudzony lub ujawniony w wycieku danych |
| Posiadanie | Telefon, kod z aplikacji, token, klucz sprzętowy | Wymaga dostępu do konkretnego urządzenia lub przedmiotu | Utrata albo kradzież urządzenia może utrudnić logowanie |
| Cechy osobiste | Odcisk palca, skan twarzy, rozpoznawanie głosu | Szybkie użycie i brak konieczności zapamiętywania sekretu | Wymaga ochrony danych biometrycznych, a cechy biologicznej nie można zmienić jak hasła |
Coś, co wiesz
Ten czynnik obejmuje informacje znane użytkownikowi. Najczęściej jest to hasło lub PIN. Do tej kategorii należą też odpowiedzi na pytania pomocnicze, choć ich wartość ochronna bywa ograniczona, jeśli odpowiedź można znaleźć w mediach społecznościowych.
Hasło powinno być długie, unikalne dla danego serwisu i niezwiązane z łatwymi do odgadnięcia informacjami, takimi jak imię, data urodzenia czy numer telefonu. Samo hasło pozostaje jednak podatne na phishing, przejęcie podczas wycieku bazy danych oraz ponowne użycie w wielu usługach.
Coś, co masz
Drugi czynnik opiera się na urządzeniu lub fizycznym przedmiocie znajdującym się w posiadaniu użytkownika. Może to być smartfon odbierający kod SMS, aplikacja uwierzytelniająca, taka jak Google Authenticator, token albo klucz sprzętowy zgodny z rozwiązaniami U2F.
Ważne jest, aby kod z aplikacji lub tokena był traktowany jako dodatkowy dowód posiadania urządzenia, a nie jako zamiennik silnego hasła. Kody SMS są wygodne, lecz w przypadku ważnych kont aplikacja uwierzytelniająca lub klucz sprzętowy może zapewnić mocniejszą ochronę.
Coś, czym jesteś
Ten czynnik wykorzystuje cechy biologiczne użytkownika. Najczęściej stosuje się odcisk palca, rozpoznawanie twarzy lub głosu. Biometria przyspiesza logowanie i jest wygodna na urządzeniach mobilnych.
Nie oznacza jednak pełnej ochrony w każdej sytuacji. Dane biometryczne wymagają właściwego przechowywania, a ich wyciek jest trudniejszy do naprawienia niż ujawnienie hasła. Z tego powodu biometria często służy do odblokowania urządzenia lub potwierdzenia dostępu, ale nie powinna być traktowana jako jedyne zabezpieczenie każdego konta.
Na czym polega MFA i 2FA?
Uwierzytelnianie wieloskładnikowe, czyli MFA, łączy co najmniej dwa różne czynniki uwierzytelniania. Przykładem jest hasło należące do kategorii wiedzy oraz kod z aplikacji generowany na telefonie należącym do kategorii posiadania.
Nie każde podanie dwóch danych oznacza MFA. Dwa hasła nadal należą do tego samego czynnika, podobnie jak kod SMS i kod wysłany na adres e-mail, jeśli oba są jedynie informacjami dostarczanymi użytkownikowi. W MFA liczy się połączenie różnych kategorii.
2FA jest szczególnym przypadkiem MFA, w którym wykorzystuje się dokładnie dwa czynniki. Takie połączenie ogranicza skutki wycieku hasła, ponieważ osoba atakująca potrzebuje także drugiego elementu. Nie eliminuje wszystkich zagrożeń, na przykład phishingu nakłaniającego do podania kodu, ale wyraźnie podnosi poziom ochrony względem samego hasła.
Jak stosować bezpieczne metody na co dzień?
Dobór zabezpieczeń powinien zależeć od znaczenia konta. Poczta elektroniczna, bankowość, konto służbowe i menedżer haseł wymagają silniejszej ochrony niż usługa, która nie przechowuje istotnych danych. W codziennym użyciu pomocne są następujące zasady:
- Włącz 2FA na poczcie, w bankowości, mediach społecznościowych i innych ważnych usługach.
- Korzystaj z menedżera haseł, aby tworzyć i przechowywać długie, unikalne hasła.
- Nie używaj tych samych danych logowania w wielu serwisach, ponieważ jeden wyciek może zagrozić kolejnym kontom.
- Zastąp słabe pytania pomocnicze odpowiedziami, których nie można łatwo odgadnąć na podstawie publicznych informacji.
- Chroń urządzenie z drugim czynnikiem kodem blokady, aktualizacjami i możliwością zdalnego zablokowania.
- Rozważ biometrię jako wygodne uzupełnienie zabezpieczeń, zwracając uwagę na ustawienia prywatności.
- Aktualizuj adres e-mail i numer telefonu odzyskiwania, aby nie stracić możliwości potwierdzenia tożsamości.
- Reaguj na nieznane powiadomienia o logowaniu i w razie potrzeby unieważnij aktywne sesje oraz zmień hasło.
Jeśli utracisz telefon lub klucz sprzętowy, skorzystaj z wcześniej skonfigurowanych kodów zapasowych albo procedury odzyskiwania konta. Kody te należy przechowywać poza urządzeniem używanym do logowania, w miejscu niedostępnym dla innych osób.
Rodzaje metod uwierzytelniania różnią się wygodą, odpornością na ataki i wymaganiami dotyczącymi prywatności. Hasło pozostaje podstawą, lecz w przypadku ważnych kont najlepiej połączyć je z czynnikiem posiadania lub cechą biometryczną. To właśnie zasada MFA daje ochronę nawet wtedy, gdy jeden element zabezpieczenia zostanie ujawniony.
