אימות דו-שלבי: איך הוא מציל חשבונות ואיך להפעיל אותו

לגנב שגנב את הסיסמה שלכם אימות דו-שלבי משאיר סוף מר: הסיסמה הגנובה מתאימה, אבל הכניסה נשארת סגורה, כי השירות מבקש אישור ממכשיר שאין ולא יהיה לגנב. הרעיון הפשוט הזה סוגר את תרחיש הפריצה הנפוץ ביותר: כניסה אוטומטית עם זוג שם משתמש וסיסמה שדלף משירות אחר. נשאר לבחור את הגורם השני הנכון למשימות שלכם, להפעיל אותו בלי טעויות ולא לאבד אותו יחד עם הטלפון. נלך לפי הסדר.

מהו גורם

גורמים הם הוכחות עצמאיות שאתם זה אתם: מה שאתם יודעים, בדרך כלל סיסמה; מה שיש לכם, טלפון או מפתח; מה שאתם, ביומטריה. דו-שלביות מתחילה כשבודקים שני סוגים שונים. סיסמה ועוד שאלה סודית היא עדיין סוג אחד, שני ידעים, ודליפה מכסה את שניהם. סיסמה ועוד קוד מהטלפון הם כבר שני סוגים כנים: ידע ובעלות, והפורץ צריך להשיג את שניהם בו-זמנית.

השוואת גורמים שניים

אפליקציית מחולל היא אותו TOTP: קודים חד-פעמיים שחיים חצי דקה ונוצרים במכשיר בלי שום חיבור. SMS פגיע יותר: אפשר להוציא את הקוד בתרמית ולקחת את המספר בהנפקת SIM מחדש, לכן עדיף שהגנת הבנק והדואר תחיה על מחולל או מפתח. התראות נוחות אבל הולידו מתקפה משלהן: מפציצים את הקורבן בבקשות עד שהוא מאשר מעייפות; הפתרון הוא התאמת מספרים, שבה מזינים בהתראה מספר ממסך הכניסה.

נקודת תורפה משותפת לכל הקודים: פישינג בזמן אמת יכול להוציא אותם, והדף המזויף מעביר את הקוד לאתר האמיתי בתוך שניות. רק מפתחות חומרה ומפתחות גישה סוגרים את הדרך הזו לגמרי: המפתח עונה לבקשה של דומיין מסוים, ולאתר מזויף אין לו מה לענות. הסברנו איך מפתחות גישה עובדים במאמר על סיסמאות.

למה «אין לי מה לגנוב» לא עובד

מכבים את הגורם השני בטיעון «החשבון שלי לא מעניין אף אחד». מעניין, רק לא כמו שנדמה: הדואר של אדם רגיל הוא מפתח השחזור לבנק ולחנויות שלו, רשת חברתית היא אמון של חברים לבקשות כסף, וחשבון משחק הוא מלאי שנקנה במשך שנים. גנבים עובדים בפס ייצור על מיליוני סיסמאות שדלפו, בלי לכוון, וכולם נופלים לתוכו. מחיר ההגנה מגוחך: חמש שניות נוספות בכניסה ממכשיר חדש, כי שירותים זוכרים מכשירים מהימנים ולא מבקשים קוד שוב.

בחשבונות עבודה זה נכון כפליים: גישה של עובד היא דלת לחברה, ושירותים ארגוניים יותר ויותר דורשים גורם שני בלי לשאול. הרגל מהבית חוסך כאן עצבים בעבודה.

מפעילים בלי לאבד גישה

1. התחילו מהדואר: הוא משחזר את כל שאר החשבונות וההגנה עליו חשובה מהבנק.
2. בהגדרות האבטחה בחרו אפליקציית מחולל: כל אחת בשלה, אפילו זו שמובנית במנהל סיסמאות. השאירו SMS כשיטה רזרבית אם השירות מאפשר.
3. שמרו מיד קודי גיבוי: הדפסה בבית או רישום במנהל הסיסמאות. זו הכניסה שלכם אם הטלפון אובד.
4. חזרו על זה בבנק, ברשתות החברתיות העיקריות ובשירותי העבודה. בחשובים הפעילו מפתח גישה איפה שיש.
5. הקדישו דקה לביקורת: באותן הגדרות רואים אילו מכשירים ושיטות כניסה כבר מקושרים. מחקו מיותרים.

פרט קטן שחוסך זמן: בהעברת קוד מאפליקציה, שירותים רבים מציגים את קוד ה-QR של הסוד פעם אחת. אם מצלמים אותו «למזכרת», שמרו את התמונה במקום מוצפן והרחק מגלריה עם סנכרון לענן: ה-QR הזה שווה ערך לגורם עצמו.

איבדתי טלפון: מה עכשיו

התרחיש הרגיל, אם התכוננתם: מתקינים מחולל בטלפון החדש, נכנסים בקודי גיבוי ומקשרים מחדש את הגורם. מחוללים רבים יודעים לגבות בהצפנה, ואז הקודים עוברים לבד. אם לא התכוננתם, נשאר שחזור דרך התמיכה עם אימות זהות: התהליך ארוך בכוונה, כי גם חוטפי חשבונות משתמשים בו. מכאן הכלל הראשי של כל המאמר: קודי גיבוי נשמרים ברגע הפעלת ההגנה, אף פעם לא «אחר כך».

לאן זה הולך

התעשייה מסירה בהדרגה גם את הסיסמה וגם את השלב השני הנפרד: מפתח גישה מאחד את שני הגורמים בפעולה אחת, והביומטריה מאשרת בעלות על המכשיר. בזמן המעבר סט סביר נראה כך: מנהל סיסמאות, מחולל לכל מה שחשוב, מפתחות גישה איפה שמציעים, וקודי גיבוי במקום בטוח. ואם חשבון כבר התנהג מוזר, אל תחכו: התוכנית שלב אחר שלב במאמר על פריצת חשבון, וככל שהגורם השני הופעל מוקדם יותר, התוכנית קצרה יותר.