Parole un divpakāpju verifikācija

8. modulis: Droši un bez raizēm · Lasīšanas laiks: 10 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kas ir stipra pastkastes parole, kas Jums jādara savās ierīcēs pēc paroles maiņas, kā rodas kods autentifikatora lietotnē un ko divpakāpju verifikācija tīmekļa pastā aizsargā un ko ne.

Pamatjēdzieni: pastkastes parole, paroļu pārvaldnieks, divpakāpju verifikācija, TOTP, kopīgais noslēpums, QR kods, atkopšanas kods, pulksteņa novirze, IMAP un SMTP bez otrās pakāpes

Kāpēc Jūsu pastkaste ir vissvarīgākais konts

Jūsu pastkaste ir Jūsu tiešsaistes dzīves atslēgu saišķis. Gandrīz katrs pakalpojums saiti paroles atiestatīšanai sūta uz Jūsu e-pastu. Tas, kuram ir piekļuve Jūsu pastkastei, var pārņemt arī Jūsu interneta veikalu, grāmatvedību un sociālos tīklus. Turklāt šī persona var sūtīt e-pastus Jūsu vārdā klientiem, kuri Jums uzticas. Tāpēc nozagtu pastkasti bieži izmanto rēķinu krāpšanai vai surogātpasta sūtīšanai. Pēdējais rada problēmas visam Jūsu domēnam: citi serveri sāk atteikties pieņemt Jūsu e-pastus.

Iebrucēju aiztur divas lietas: laba parole un otrā pakāpe pieteikšanās laikā.

Stipra parole galvenokārt ir gara un unikāla

Jūsu pastkastes parole attiecas uz vienu e-pasta adresi. Tā nav tā pati parole, kas Jūsu klienta kontam vai Jūsu pakas vadības panelim (nodarbība 1.3).

Kas padara paroli stipru? Nevis izsaukuma zīme aiz vārda, bet gan garums un nejaušība. Uzbrucēji izmēģina noplūdušas paroles un bieži lietotu vārdu un rakstu sarakstus. "Zomer2026!" ir šādā sarakstā; četru nejaušu vārdu virkne vai divdesmit nejaušas rakstzīmes tur nav. Tikpat svarīgi, lai parole būtu unikāla. Ja notiek noplūde interneta veikalā, kur Jūs izmantojāt to pašu paroli, noziedznieki to izmēģina arī Jūsu pastkastē.

Praktisks risinājums ir paroļu pārvaldnieks: programma, kas katram pakalpojumam izveido un atceras garu, nejaušu paroli. Jums jāatceras tikai viena stipra galvenā parole.

Pēc maiņas: atjauniniet visas ierīces

Paroli Jūs maināt tīmekļa pastā sadaļā Iestatījumi > Parole vai savas pakas vadības panelī, ja veco paroli vairs neatceraties. No šī brīža jaunā parole ir spēkā visur: tīmekļa pastā, Jūsu tālrunī un Jūsu e-pasta programmā.

Tieši šeit bieži rodas problēmas. Sanne de Vries pirmdienā nomaina adreses sanne@example.com paroli. Savu klēpjdatoru viņa atjaunina uzreiz. Par veco planšetdatoru virtuvē viņa aizmirst. Planšetdators ik pēc dažām minūtēm turpina pieteikties ar veco paroli. Pēc vairākiem neveiksmīgiem mēģinājumiem servera ugunsmūris konstatē savienojumu, kas atkal un atkal izmēģina nepareizu paroli, un bloķē IP adresi. Tā kā planšetdators un klēpjdators mājās izmanto vienu un to pašu IP adresi, Sanne pēkšņi nevar piekļūt savam e-pastam arī klēpjdatorā, un dažreiz arī savai vietnei.

Tāpēc pēc paroles maiņas uzreiz atjauniniet visas ierīces: tālruni, planšetdatoru, e-pasta programmu datorā un, ja tāds ir, printeri vai skeneri, kas sūta e-pastus.

Divpakāpju verifikācija: kaut kas, ko Jūs zināt, un kaut kas, kas Jums ir

Izmantojot divpakāpju verifikāciju (tīmekļa pastā tā saucas Divpakāpju verifikācija), pieteikšanās laikā Jums vajag divas lietas: paroli (kaut ko, ko Jūs zināt) un kodu no Jūsu tālruņa (kaut ko, kas Jums ir). Persona, kas iegūst Jūsu paroli ar pikšķerēšanu vai noplūdes rezultātā, tik un tā netiek iekšā.

Kods nāk no autentifikatora lietotnes, piemēram, Jūsu paroļu pārvaldnieka lietotnes vai atsevišķas lietotnes šādiem kodiem. Metodi sauc TOTP, time-based one-time password (uz laiku balstīta vienreizējā parole), un tā ir aprakstīta RFC 6238. Tā darbojas šādi:

1. Ieslēdzot funkciju, tīmekļa pasts izveido kopīgo noslēpumu: nejaušu rakstzīmju virkni. Jūs to redzat kā slepeno atslēgu un kā QR kodu.
2. Jūs noskenējat QR kodu ar lietotni. No šī brīža serveris un Jūsu tālrunis zina vienu un to pašu noslēpumu.
3. Ik pēc 30 sekundēm abi no noslēpuma un pašreizējā laika aprēķina sešu ciparu kodu.
4. Pieteikšanās laikā serveris salīdzina Jūsu kodu ar savu rezultātu.

No tā izriet divas lietas. Lietotnei nav vajadzīgs internets: tā rēķina tikai ar noslēpumu un pulksteni. Un pulkstenim jābūt precīzam. Ja Jūsu tālruņa pulkstenis steidzas vai atpaliek par dažām minūtēm, tas rēķina ar citu laika intervālu, un kods nav pareizs. Iestatiet laiku savā tālrunī uz automātisku.

Trešās sekas: QR kods pats ir noslēpums. Tas, kuram ir tā fotoattēls vai ekrānuzņēmums, var veidot tos pašus kodus. Tāpēc nekad nedalieties ar to un neglabājiet to kā attēlu.

Attēlā redzams ekrāns, kurā ieslēdz divpakāpju verifikāciju, ar slepeno atslēgu, atkopšanas kodiem un QR kodu.

Atkopšanas kodi un pazaudēts tālrunis

Ieslēdzot funkciju, Jūs saņemat arī četrus atkopšanas kodus. Katrs no tiem darbojas vienu reizi lietotnes koda vietā. Tie ir Jūsu rezerves atslēga, ja tālrunis ir salūzis, nozagts vai nomainīts. Glabājiet tos citā vietā, ne tālrunī: paroļu pārvaldniekā vai uz papīra atvilktnē.

Ja izmantojat atkopšanas kodu, uzreiz no jauna iestatiet divpakāpju verifikāciju ar savu jauno tālruni. Tad Jūs saņemsiet arī jaunus atkopšanas kodus. Ja atkopšanas kodu vairs nav, Jūsu e-pasta pakalpojumu sniedzējs pēc Jūsu identitātes pārbaudes var izslēgt otro pakāpi Jūsu pastkastei.

Savā datorā pieteikšanās laikā Jūs varat izvēlēties, lai tīmekļa pasts 30 dienas atkārtoti neprasa kodu. Koplietojamā datorā to nekad nedariet.

Ko divpakāpju verifikācija neaizsargā

Šis ir svarīgākais slazds, un daudzi par to nezina. Divpakāpju verifikācija tīmekļa pastā attiecas tikai uz tīmekļa pastu. Jūsu e-pasta programma un e-pasta lietotne tālrunī piesakās, izmantojot IMAP (saņemšana) un SMTP (sūtīšana), un tie prasa tikai paroli. Tātad uzbrucējs, kuram ir Jūsu parole, ar e-pasta programmu joprojām var lasīt Jūsu e-pastus un sūtīt tos Jūsu vārdā.

Tāpēc divpakāpju verifikācija ir papildinājums, nevis aizstājējs. Jūsu parolei joprojām jābūt garai un unikālai. Divpakāpju verifikāciju klienta kontam Jūs iestatāt atsevišķi; tas ir cits konts ar savu aizsardzību.

Lielos pakalpojumos, piemēram, Gmail vai Outlook.com, tas darbojas mazliet citādi: tur otrā pakāpe bieži attiecas uz visu kontu, un e-pasta programmai vajadzīga atsevišķa lietotnes parole vai sava pieteikšanās metode. Doma ir tā pati: parole plus kaut kas, kas Jums ir.

Praksē: tā tas darbojas tīmekļa pastā

Paroli Jūs maināt sadaļā Iestatījumi > Parole, divpakāpju verifikāciju ieslēdzat sadaļā Iestatījumi > Divpakāpju verifikācija. Tur Jūs atzīmējat izvēles rūtiņu Aktivizēt, ļaujat tīmekļa pastam aizpildīt laukus, noskenējat QR kodu, pārbaudāt kodu un saglabājat. Soļi ir aprakstīti Roundcube rokasgrāmatā (10.3, 10.4 un 10.5). Citos tīmekļa pastos ir līdzīgi iestatījumi, bieži zem Security.

Kopsavilkums

• Jūsu pastkaste ir atslēga uz citiem Jūsu kontiem: aizsargājiet to ar garu, unikālu paroli no paroļu pārvaldnieka.
• Pēc paroles maiņas atjauniniet visas ierīces; ierīce ar veco paroli var izraisīt Jūsu IP adreses bloķēšanu.
• TOTP ik pēc 30 sekundēm izveido kodu no kopīgā noslēpuma un laika; Jūsu tālruņa pulkstenim jābūt precīzam, un QR kods ir noslēpums.
• Glabājiet četrus atkopšanas kodus ārpus tālruņa; katrs kods darbojas vienu reizi.
• Divpakāpju verifikācija tīmekļa pastā aizsargā tikai tīmekļa pastu, nevis IMAP un SMTP Jūsu e-pasta programmā.

Tests (quiz)

Uzdevums

Uzdevums A8.1: Vingrinājums ar autentifikatora lietotni. Noklikšķiniet uz pogas, lai saņemtu vingrinājuma noslēpumu. Jūs saņemsiet vingrinājuma konta QR kodu. Noskenējiet to ar jebkuru autentifikatora lietotni pēc savas izvēles (vai ievadiet parādīto atslēgu) un ievadiet sešu ciparu kodu, ko rāda lietotne. Programma, izmantojot to pašu vingrinājuma noslēpumu un laiku, pārbauda, vai Jūsu kods ir pareizs; arī kods no iepriekšējā vai nākamā laika intervāla tiek ieskaitīts, lai neliela pulksteņa novirze neradītu problēmas. Zaļš: kods ir pareizs. Sarkans: kods nav pareizs; tādā gadījumā pārbaudiet sava tālruņa pulksteni un to, vai lietotnē izmantojat pareizo rindu. Vingrinājuma noslēpums nav saistīts ar Jūsu pastkasti, tam nav nekādas vērtības, un tas izzūd 24 stundu laikā. Pēc tam izdzēsiet vingrinājuma kontu no savas lietotnes.

Papildu lasāmviela

Ja ir aprakstīti soļi tīmekļa pastā, tie attiecas uz WebOké tīmekļa pastu; citos tīmekļa pastos tas darbojas līdzīgi.

• Roundcube Webmail 10.3: Divpakāpju verifikācijas ieslēgšana
• Roundcube Webmail 10.4: Autorizēšanās ar divpakāpju verifikāciju
• Roundcube Webmail 10.5: Pastkastes paroles maiņa
• E-pasta adreses paroles vai limitu maiņa
• Paroļu pārvaldnieks un piekļuves atslēgas: kā droši pārvaldīt savu pieteikšanos
• Bezmaksas kurss Droši tiešsaistē uzņēmējiem 2.1: Kas patiesībā ir spēcīga parole
• Bezmaksas kurss Droši tiešsaistē uzņēmējiem 2.3: Divu faktoru autentifikācija: kodi, lietotnes un SMS
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (angļu valodā): https://www.rfc-editor.org/rfc/rfc6238