Autoryzacja dwuskładnikowa, czyli 2FA, to dodatkowe zabezpieczenie konta wymagające dwóch różnych dowodów tożsamości podczas logowania. Najczęściej jest to hasło oraz jednorazowy kod albo potwierdzenie na telefonie. Dzięki temu samo poznanie hasła nie wystarcza do uzyskania dostępu.
Jak działa autoryzacja dwuskładnikowa?
Logowanie bez 2FA opiera się zwykle tylko na haśle. W przypadku autoryzacji dwuskładnikowej serwis prosi jeszcze o drugi element, który powinien być dostępny wyłącznie dla właściciela konta. Może to być kod z aplikacji, wiadomość SMS, powiadomienie na telefonie albo klucz sprzętowy.
W praktyce 2FA korzysta z dwóch różnych kategorii informacji. Samo podanie dwóch haseł nie spełnia tej zasady, ponieważ oba elementy należą do tego samego rodzaju czynnika.
Najczęściej spotykane czynniki uwierzytelniania to:
- Wiedza – coś, co znasz, na przykład hasło, PIN lub odpowiedź na ustalone pytanie.
- Posiadanie – coś, co masz przy sobie, na przykład telefon, aplikację uwierzytelniającą albo klucz sprzętowy.
- Cechy biometryczne – coś, kim jesteś, na przykład odcisk palca, rozpoznawanie twarzy lub skan tęczówki.
Typowy proces logowania z 2FA wygląda następująco:
- Wpisujesz login oraz hasło.
- Serwis wysyła kod, generuje go w aplikacji albo wyświetla prośbę o potwierdzenie.
- Wpisujesz kod lub zatwierdzasz logowanie na zaufanym urządzeniu.
Dopiero po pomyślnym przejściu obu etapów konto zostaje otwarte. Autoryzacja dwuskładnikowa jest częścią szerszego pojęcia MFA, czyli uwierzytelniania wieloskładnikowego. W codziennym użyciu oba terminy bywają stosowane zamiennie, choć MFA może obejmować także więcej niż dwa czynniki.
Metody 2FA – czym się różnią?
Poszczególne metody zapewniają różny kompromis między wygodą a poziomem ochrony. Ich podstawowe cechy przedstawia tabela:
| Metoda | Wygoda | Bezpieczeństwo |
|---|---|---|
| SMS | Wysoka, ponieważ nie wymaga instalowania aplikacji | Niższe niż w przypadku aplikacji i kluczy, między innymi z powodu ryzyka przejęcia numeru przez SIM swapping |
| Aplikacja mobilna | Wysoka po jednorazowej konfiguracji, kod może działać bez dostępu do internetu | Wyższe niż SMS, szczególnie gdy telefon jest dobrze zabezpieczony |
| Klucz sprzętowy | Wymaga posiadania dodatkowego urządzenia | Bardzo wysokie, ponieważ potwierdzenie wymaga fizycznego klucza |
Kod SMS jest prosty w użyciu i często stanowi lepszą ochronę niż samo hasło, ale nie powinien być pierwszym wyborem dla szczególnie ważnych kont, jeśli dostępna jest aplikacja lub klucz sprzętowy. Aplikacje takie jak Google Authenticator generują kody na telefonie, również wtedy, gdy urządzenie nie ma połączenia z internetem.
Klucz sprzętowy, na przykład YubiKey, sprawdza się przy kontach zawierających poufne dane lub dających dostęp do wielu innych usług. Wymaga większej dbałości o urządzenie, ale ogranicza ryzyko przejęcia kodu z wiadomości lub aplikacji.
Dlaczego 2FA chroni konto przed skutkami wycieku hasła?
Hasła mogą trafić w niepowołane ręce podczas wycieku danych, po użyciu fałszywej strony logowania albo wskutek zastosowania tego samego hasła w kilku serwisach. Gdy konto korzysta tylko z hasła, osoba, która je pozna, może od razu próbować się zalogować.
Przy włączonym 2FA samo hasło nie wystarcza. Atakujący potrzebowałby także drugiego elementu, na przykład telefonu z aplikacją, dostępu do numeru telefonu albo fizycznego klucza. To nie eliminuje każdego zagrożenia, ale znacząco utrudnia przejęcie konta.
Konfiguracja zwykle zajmuje kilka minut, a późniejsze logowanie wymaga tylko wpisania krótkiego kodu lub zatwierdzenia powiadomienia. Przy ważnych kontach należy też przechowywać kody odzyskiwania w bezpiecznym miejscu. Bez nich utrata telefonu z aplikacją 2FA może utrudnić dostęp do konta i wymagać procedury odzyskiwania udostępnionej przez usługodawcę.
