Aplikacja autentykator jest bezpieczniejsza niż kody SMS. Lepiej chroni konto przed przejęciem numeru telefonu, a kody generuje lokalnie na urządzeniu, bez przesyłania ich przez sieć komórkową. SMS pozostaje wygodną opcją awaryjną, ale przy poczcie, bankowości, mediach społecznościowych i innych ważnych kontach warto wybrać TOTP.
SMS czy aplikacja autentykator – najważniejsze różnice
| Cecha | SMS | Aplikacja autentykator |
|---|---|---|
| Poziom bezpieczeństwa | Niższy, ponieważ kod jest przesyłany przez infrastrukturę operatora | Wyższy, kod powstaje lokalnie na urządzeniu |
| Odporność na SIM swapping | Niska. Przejęcie numeru może umożliwić odbieranie kodów | Wysoka, ponieważ kod nie zależy od karty SIM |
| Wymagania sieciowe | Potrzebny jest zasięg sieci komórkowej i działająca usługa SMS | Kod zwykle działa bez internetu i zasięgu komórkowego |
| Wygoda | Nie wymaga instalowania aplikacji, ale wiadomość może dotrzeć z opóźnieniem | Wymaga skonfigurowania aplikacji i zabezpieczenia urządzenia |
Dlaczego SMS jest mniej bezpieczny?
SMS korzysta z infrastruktury operatora telekomunikacyjnego. Kod nie powstaje wyłącznie po stronie użytkownika, lecz musi zostać dostarczony na numer telefonu. Zwiększa to liczbę miejsc, w których może dojść do przejęcia lub przekierowania wiadomości. Sam SMS nie zapewnia takiej ochrony jak nowoczesne szyfrowane kanały komunikacji.
Najpoważniejszym zagrożeniem jest SIM swapping, czyli oszustwo polegające na przeniesieniu numeru ofiary na kartę SIM kontrolowaną przez atakującego. Przestępca może próbować przekonać operatora, że jest właścicielem numeru, a następnie odbierać kody wysyłane przez serwisy internetowe.
SMS może też zostać wykorzystany w phishingu. Atakujący nakłania użytkownika do podania kodu na fałszywej stronie logowania. Nawet jeśli wiadomość dotarła na właściwy telefon, przekazanie kodu oszustowi pozwala mu użyć go podczas próby przejęcia konta.
Do najważniejszych zagrożeń związanych z kodami SMS należą:
- SIM swapping – przejęcie numeru przez wyrobienie duplikatu karty lub przeniesienie numeru do innego operatora.
- Phishing – wyłudzenie kodu na stronie udającej prawdziwy serwis.
- Przechwycenie wiadomości – ryzyko związane z infrastrukturą telekomunikacyjną i przekierowaniem komunikacji.
- Opóźnienia lub niedostarczenie kodu – problem szczególnie uciążliwy podczas logowania bez zasięgu.
Jak działa aplikacja autentykator?
Aplikacja autentykator wykorzystuje najczęściej protokół TOTP, czyli jednorazowe hasła generowane na podstawie czasu. Podczas konfiguracji serwis i aplikacja zapisują wspólny sekret. Na tej podstawie aplikacja tworzy krótkie kody, które zmieniają się cyklicznie.
Kod TOTP jest generowany bezpośrednio na telefonie. Nie trzeba czekać na wiadomość ani przekazywać kodu przez sieć komórkową, dlatego przejęcie numeru telefonu nie daje atakującemu dostępu do kodów z aplikacji. Nadal trzeba chronić samo urządzenie, jego blokadę ekranową i konto używane do jego zabezpieczenia.
Najważniejsze zalety aplikacji autentykator to:
- Działanie bez internetu i zasięgu komórkowego, o ile aplikacja została wcześniej skonfigurowana.
- Brak przesyłania kodu przez SMS i zależności od operatora telekomunikacyjnego.
- Powiązanie kodów z konkretnym urządzeniem oraz zapisanym sekretem.
- Większa odporność na przejęcie numeru telefonu, choć aplikacja nie chroni przed każdym rodzajem phishingu.
TOTP nie zastępuje ostrożności. Kod wpisany na fałszywej stronie może zostać wykorzystany przez oszusta, zanim wygaśnie. Najlepszą ochronę zapewniają mechanizmy odporne na phishing, takie jak klucze sprzętowe, jeśli dany serwis je obsługuje.
Jak bezpiecznie przejść z SMS na aplikację?
Zmianę metody uwierzytelniania wykonuj wtedy, gdy masz dostęp do konta, telefonu i ustawień bezpieczeństwa. Nie usuwaj starej metody przed sprawdzeniem, czy nowa działa.
Przed wyłączeniem SMS wykonaj następujące czynności:
- Pobierz aplikację autentykator z oficjalnego sklepu i zabezpiecz telefon blokadą ekranu.
- Otwórz ustawienia bezpieczeństwa konta i wybierz dodanie aplikacji uwierzytelniającej.
- Zeskanuj kod QR lub wpisz klucz konfiguracyjny zgodnie z instrukcją serwisu.
- Zapisz kody odzyskiwania w bezpiecznym miejscu, najlepiej poza telefonem.
- Wpisz kod z aplikacji i sprawdź, czy logowanie działa poprawnie.
- Dopiero wtedy wyłącz SMS jako główną metodę 2FA, jeśli serwis na to pozwala.
Kodów odzyskiwania nie pomijaj. Są potrzebne, gdy zgubisz telefon, usuniesz aplikację albo utracisz dostęp do urządzenia. Nie zapisuj ich w publicznej notatce ani nie wysyłaj sobie w wiadomości bez dodatkowego zabezpieczenia. Jeśli zmieniasz telefon, najpierw przenieś lub ponownie skonfiguruj wszystkie konta, a dopiero potem usuń aplikację ze starego urządzenia.
W razie utraty telefonu użyj kodu odzyskiwania lub zapasowej metody logowania, zaloguj się do ustawień konta i unieważnij poprzednią konfigurację aplikacji. Następnie skonfiguruj TOTP na nowym urządzeniu. Przy najważniejszych kontach dobrze jest przechowywać kody odzyskiwania w miejscu niezależnym od telefonu.
Jeżeli musisz wybrać tylko jedną z dwóch metod, wybierz aplikację autentykator. SMS może pozostać rozwiązaniem awaryjnym, ale nie powinien być pierwszym wyborem dla kont zawierających dane osobowe, pieniądze lub dostęp do innych usług.
