2. modulis · 2.3
Divu faktoru autentifikācija: kodi, lietotnes un SMS
2. modulis: Paroles un pieteikšanās · Lasīšanas laiks: 11 minūtes
Mācīšanās mērķis: pēc šīs nodarbības Jūs varēsiet salīdzināt divu faktoru autentifikācijas veidus (SMS, e-pasts, TOTP, push), atpazīt uzbrukumus tiem un sakārtot atjaunošanu gadījumam, ja Jūsu tālrunis pazūd.
Pamatjēdzieni: 2FA/MFA, faktors (zināt, piederēt, būt), TOTP, koplietots noslēpums, push paziņojums, MFA nogurums, sim-swap, atjaunošanas kodi
Divi dažādi pierādījumi
Parole ir kaut kas, ko Jūs zināt. Ja tā noplūst, pieteikties var jebkurš, kas to zina. Divu faktoru autentifikācija (2FA) tāpēc pieprasa otru pierādījumu, kas ir citāda veida. Ja faktoru ir vairāk par diviem, runā par daudzfaktoru autentifikāciju (MFA); praksē šos terminus lieto savstarpēji aizstājami.
Ir trīs faktoru veidi:
- Zināt: parole vai PIN kods.
- Piederēt: Jūsu tālrunis ar lietotni, drošības atslēga, karte.
- Būt: Jūsu pirksta nospiedums vai seja.
Divas reizes viens un tas pats faktoru veids neskaitās: parole plus drošības jautājums ir divas lietas, ko Jūs zināt. Nīderlandes CERT.LV (NCSC) sniedz stingru ieteikumu izmantot MFA ikvienā sistēmā un kontā, kas to atbalsta, un noteikti kontos, kas ir pieejami caur internetu, un kontos ar administratora tiesībām. Mazam uzņēmumam tie noteikti ir: e-pasts, mitināšana un domēna reģistrācija, banka, grāmatvedība, interneta veikals, paroļu pārvaldnieks un uzņēmuma sociālie tīkli.
Veidi blakus vienam otram
| Veids | Kā tas darbojas | Vājā vieta | Pret pikšķerēšanu? |
|---|---|---|---|
| Kods pa SMS | Pakalpojums nosūta kodu uz Jūsu tālruņa numuru | Sim-swap, pārtveršana, Jūsu numurs nav Jūsu ierīce | Nē |
| Kods pa e-pastu | Pakalpojums nosūta kodu uz Jūsu e-pasta kastīti | Tik droša, cik droša ir Jūsu e-pasta kastīte; ja tā ir pārņemta, tas vairs nav otrs slēdzis | Nē |
| Autentifikatora lietotne (TOTP) | Lietotne ik pēc 30 sekundēm izveido jaunu kodu | Noslēpums var noplūst iestatīšanas laikā vai sliktā rezerves kopijā; Jūs pārrakstāt kodu | Nē |
| Push paziņojums | Jūsu tālrunis jautā "Vai tas esat Jūs?" un Jūs pieskaraties pie Apstiprināt | MFA nogurums | Nē, labāk ir numura pārrakstīšana |
| Passkey vai drošības atslēga | Jūsu ierīce kriptogrāfiski pierāda, kas Jūs esat, tikai īstajam domēnam | Atjaunošana, ja viss ir pazudis | Jā (nodarbība 2.4) |
Katrs veids ir daudz labāks par otra soļa neesamību vispār. Bet tabula arī parāda: visu, ko Jūs ievadāt kā kodu vai apstiprināt kā paziņojumu, krāpnieks var likt Jums izdarīt savā viltus vietnē. ASV institūcija NIST dokumentā SP 800-63B-4 to saka bez aplinkiem: metodes, kurās rezultātu ievadāt ar roku, nav aizsargātas pret pikšķerēšanu.
Kā darbojas autentifikatora lietotne
Autentifikatora lietotne izmanto TOTP: Time-based One-Time Password, aprakstīts RFC 6238. Tas darbojas šādi:
- Iestatīšanas laikā pakalpojums izveido nejaušu koplietotu noslēpumu, piemēram, 32 rakstzīmes, piemēram,
JBSWY3DPEHPK3PXP.... Šis noslēpums ir ietverts QR kodā, ko Jūs noskenējat, vai Jūs to pārrakstāt kā "manuālo atslēgu". - Jūsu lietotnei un pakalpojumam tagad abiem ir tas pats noslēpums. Pēc tam starp šiem abiem vairs nav nepieciešams nekāds kontakts.
- Ik pēc 30 sekundēm abi aprēķina no noslēpuma un pašreizējā laika 6 ciparu kodu. Tā kā tiem ir vienāds noslēpums un vienāds pulkstenis, iznāk vienāds kods.
- Pieteikšanās laikā pakalpojums salīdzina Jūsu kodu ar savu paša rezultātu, parasti ar vienas laika vienības rezervi pirms vai pēc tam nedaudz neprecīzam pulkstenim.
Divas sekas:
- Noslēpums ir īstais slēdzis. Kas redz QR kodu vai manuālo atslēgu, var mūžīgi veidot tādus pašus kodus kā Jūsu tālrunis. Tāpēc nekad nefotografējiet to ekrānuzņēmumā, nedalieties ar to nevienam un nesūtiet to kolēģim.
- Kods darbojas arī bez interneta un nenāk caur telefonu tīklu. Tāpēc TOTP ir drošāks par SMS.
Autentifikatoru lietotnes ir dažādas: atsevišķas Jūsu tālrunī, iebūvētas paroļu pārvaldniekā, atvērtā pirmkoda vai no liela tehnoloģiju uzņēmuma, ar vai bez šifrētas rezerves kopijas mākonī. Piemēri ir Aegis, Google Authenticator un Microsoft Authenticator, kā arī funkcija tādos pārvaldniekos kā Bitwarden vai 1Password. Rezerves kopija ir noderīga, iegādājoties jaunu tālruni, bet Nīderlandes CERT.LV (NCSC) brīdina: slikti šifrēta rezerves kopija dod piekļuvi arī uzbrucējam.
Sim-swap: kāpēc SMS ir vājākais veids
Veicot sim-swap, krāpnieks pārņem Jūsu tālruņa numuru. Viņš liek Jūsu numuru pārcelt uz SIM karti vai eSIM, kas pieder viņam pašam. Tas izdodas, piemēram, izliekoties par Jums pie Jūsu operatora, vai liekot Jums pašam līdzdarboties: CERT.LV un Valsts policija brīdina par SMS ziņām un zvaniem "operatora vārdā", kuros norādīts, ka Jūsu SIM karte ir jāvalidē vai steidzami jāpārceļ uz eSIM.
Tiklīdz tas izdodas:
- Jūsu tālrunim pēkšņi vairs nav signāla un Jūs pats nevarat zvanīt vai sūtīt SMS;
- krāpnieks saņem visus SMS kodus, tostarp "aizmirsta parole" kodus no pakalpojumiem, kas Jūsu numuru izmanto kā atjaunošanas līdzekli;
- dažkārt viņš var pārņemt kontus, zinot tikai Jūsu numuru.
Neērtā lieta ir tā, ka Jūs to pamanāt tikai tad, kad Jūsu tālrunis vairs nekādi nereaģē, bieži vien vakarā vai nedēļas nogalē. Tāpēc NIST SMS sauc par ierobežotu metodi un norāda, ka pakalpojumiem jāpievērš uzmanība tādiem signāliem kā jauna SIM karte vai pārcelts numurs. Nīderlandes CERT.LV (NCSC) iesaka, kad vien iespējams, izvairīties no SMS, jo ziņas nav šifrētas un tās var pārtvert.
Ko darīt?
- Kur vien iespējams, izvēlieties lietotni vai passkey, nevis SMS.
- Noņemiet savu tālruņa numuru kā atjaunošanas līdzekli, ja tā ir vājā vieta, vai aizsargājiet to papildus.
- Pajautājiet savam operatoram, vai varat iestatīt papildu PIN kodu vai pārbaudi numura pārcelšanai.
- Ja signāls pēkšņi pazūd bez iemesla? Zvaniet savam operatoram no citas ierīces. Negaidiet.
SMS joprojām ir labāks par nekā neko. Ja pakalpojums piedāvā tikai SMS, tomēr ieslēdziet to.
MFA nogurums: paziņojums, ko Jūs noklikšķināt prom
Push paziņojuma gadījumā Jums nekas nav jāpārraksta: Jūsu tālrunis jautā "Vai mēģināt pieteikties?" un Jūs pieskaraties pie Apstiprināt. Vienkārši, un tieši tāpēc tiek ļaunprātīgi izmantots.
MFA noguruma (saukts arī par push bombardēšanu) gadījumā uzbrucējam jau ir Jūsu parole. Viņš atkārtoti pieteicas, lai Jūsu tālrunis saņemtu paziņojumu pēc paziņojuma, dažreiz vidū naktī. ASV institūcija CISA apraksta, kā cilvēki tad no kaitinājuma vai nejauši pieskaras Apstiprināt, vai domā, ka kāds no paziņojumiem tomēr būs īsts. Dažreiz uzbrucējs arī piezvana, izliekoties par "atbalsta dienestu", lūdzot Jūs vienkārši apstiprināt.
Gadījums no prakses, ko apraksta Nīderlandes CERT.LV (NCSC): uzbrucēji, izmantojot MFA nogurumu, iekļuva programmatūras uzņēmuma e-pasta kontos un pēc tam izmantoja tos rēķinu krāpšanai.
Noteikumi:
- Nekad neapstipriniet paziņojumu, ko neesat izraisījis Jūs pats. Pat ne divdesmito.
- Negaidīts paziņojums nozīmē, ka kādam ir Jūsu parole. Nomainiet to nekavējoties un ziņojiet par to.
- Kur vien iespējams, izvēlieties numura pārrakstīšanu: pieteikšanās ekrānā parādās skaitlis, ko Jūs ievadāt lietotnē. Kas nesēž pie pieteikšanās ekrāna, tas nevar apstiprināt. CISA to sauc par labu starpposma risinājumu, taču tas ir vājāks par pret pikšķerēšanu aizsargātu MFA.
Atjaunošana: sakārtojiet to, pirms Jūsu tālrunis ir pazudis
Jūsu tālrunis iekrīt ūdenī, tiek nozagts vai salūzt. Bez sagatavošanās Jūs tad paliekat ārā no saviem pašu kontiem. Tāpēc pastāv atjaunošanas kodi (saukti arī par rezerves kodiem): rinda rezerves kodu, ko Jūs saņemat iestatīšanas laikā un katrs no tiem darbojas vienu reizi.
- Neglabājiet tos tajā pašā tālrunī, kurā ir Jūsu autentifikatora lietotne. Izdrukājiet tos un nolieciet pie svarīgajiem dokumentiem, vai saglabājiet tos savā paroļu pārvaldniekā pie attiecīgā ieraksta.
- Izmantojāt atjaunošanas kodu? Pārsvītrojiet to. Ja tie beidzas, izveidojiet jaunus.
- Nodrošiniet vismaz divus veidus, kā tikt iekšā: piemēram, lietotni plus atjaunošanas kodus, vai divas drošības atslēgas.
- Iegādājoties jaunu tālruni, vispirms pārceliet savus kontus un tikai pēc tam dzēsiet veco.
- Zinat, kā darbojas Jūsu svarīgāko pakalpojumu atjaunošanas procedūra. Labs pakalpojums neatiestata Jūsu otro soli vienkārši pēc vēstules vai zvana, bet vispirms pārbauda, ka tas tiešām esat Jūs.
Praksē: šādi tas izskatās
WebOké vidē Mans WebOké pēc Jūsu paroles vienmēr pieprasa otru soli: pēc noklusējuma kodu pa e-pastu, un Jūs varat pāriet uz autentifikatora lietotni. DirectAdmin to sauc par Two-Step Authentication, ar atjaunošanas kodiem. Nextcloud Jūs ieslēdzat TOTP un izveidojat desmit rezerves kodus. Citiem pakalpojumu sniedzējiem tas darbojas līdzīgi: meklējiet savā profilā vai drošības iestatījumos "divu faktoru autentifikācija", "2FA", "autentifikators" vai "two-factor".
Soļi gandrīz vienmēr ir vieni un tie paši: noskenēt QR kodu, ievadīt vienu kodu pārbaudei, saglabāt atjaunošanas kodus.
Kopsavilkums
- 2FA apvieno divus faktoru veidus: zināt, piederēt, būt.
- TOTP darbojas ar koplietotu noslēpumu un pulksteni. Noslēpums (QR kods) ir īstais slēdzis: nekad nedalieties ar to.
- SMS ir vājākais veids sim-swap un pārtveršanas dēļ, bet tas ir labāks par neko.
- MFA nogurums: nekad neapstipriniet paziņojumu, ko neesat izraisījis pats, un tad nomainiet savu paroli.
- Kodi un paziņojumi nav aizsargāti pret pikšķerēšanu; passkeys un drošības atslēgas ir (nodarbība 2.4).
- Sakārtojiet atjaunošanas kodus un otru metodi, pirms Jūsu tālrunis ir pazudis.
Tests
Uzdevums
Uzdevums A2.3: Autentifikatora lietotnes pievienošana. Jūs saņemat QR kodu no mācību konta "WebOké oefening". Noskenējiet to ar izvēlētu autentifikatora lietotni un ievadiet divus kodus, kas parādās viens pēc otra. Programma pārbaudīs, vai Jūsu lietotne aprēķina pareizi. Mācību noslēpumam nav vērtības un tas tiek dzēsts pēc 24 stundām; pēc tam izdzēsiet mācību kontu no savas lietotnes.
Uzdevums D2.3: Divu faktoru autentifikācijas ieslēgšana Jūsu svarīgākajos kontos. Ieslēdziet divu faktoru autentifikāciju savam e-pastam, mitināšanai vai domēna reģistrācijai, bankai, grāmatvedībai un paroļu pārvaldniekam. Saglabājiet atjaunošanas kodus otrā vietā un atbildiet uz jautājumu, ko Jūs darīsiet, ja rīt Jūsu tālrunis būs pazudis.
Uzdevums D2.3: Divu faktoru autentifikācijas ieslēgšana Jūsu svarīgākajos kontos
Rīkojieties šādi: (1) Izveidojiet sarakstu ar savu svarīgāko kontu, pastkasti, mitināšanu un domēna reģistrāciju, banku, grāmatvedību, tiešsaistes veikalu, paroļu pārvaldnieku, uzņēmuma sociālo mediju kontus. (2) Katram no tiem ieslēdziet divu faktoru autentifikāciju. Izvēlieties šādā secībā to, ko pakalpojums piedāvā: passkey vai drošības atslēga, autentifikatora lietotne, push paziņojums ar numura ievadi, kods pa e-pastu, SMS. (3) Katram kontam saglabājiet atkopšanas kodus otrā vietā (izdrukātus vai paroļu pārvaldniekā), nevis tajā pašā tālrunī, kurā ir autentifikatora lietotne. (4) Nodrošiniet vismaz divus veidus, kā piekļūt katram svarīgam kontam. (5) Jautājiet savam pakalpojumu sniedzējam, vai varat iestatīt papildu pārbaudi vai PIN kodu numura pārcelšanai. (6) Vienojieties savā komandā: pieteikšanās paziņojumu, kuru Jūs paši neesat izraisījuši, nekad neapstiprina; par to nekavējoties ziņo.
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Lasiet tālāk
Soļi WebOké rakstos attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.
- Divpakāpju verifikācija Mans WebOké un autentifikatora lietotnes iestatīšana
- WebOké rokasgrāmata 3.2: Pieteikšanās kods pa e-pastu (divpakāpju verifikācija)
- WebOké rokasgrāmata 3.3: Autentifikatora lietotnes izmantošana
- DirectAdmin rokasgrāmata 3.2: Divpakāpju autentifikācijas iestatīšana
- DirectAdmin rokasgrāmata 3.3: Rezerves kodi un ko darīt, ja esat pazaudējis savu autentifikatoru
- Nextcloud rokasgrāmata 3.3: Autentificētājlietotnes iestatīšana un rezerves kodu saglabāšana
- Nextcloud rokasgrāmata 3.10: Pazudis tālrunis vai pazaudēta divfaktoru autentifikācija: kā atkal tikt iekšā
- Divpakāpju verifikācijas (2FA) iestatīšana Nextcloud
- Nīderlandes CERT.LV (NCSC), Kā izvēlēties MFA metodi (nīderlandiešu valodā): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
- CERT.LV un Valsts policija, brīdinājums par viltus ziņām operatoru vārdā: SIM kartes pārņemšana: https://cert.lv/
- CISA, Implementing Number Matching in MFA Applications (angļu valodā): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (angļu valodā): https://www.rfc-editor.org/rfc/rfc6238