Autentificarea cu doi factori, mai frecvent cunoscută sub numele de „2FA”, este una dintre cele mai ușoare și mai sigure metode de protejare a conturilor online sensibile de la accesarea unor potențiali fraude. O modalitate simplă de a proteja conturile, multe site-uri web de top și furnizorii de servicii oferă acum protecție de conectare 2FA pentru clienții lor.

Cu toate acestea, există încă relativ puțini oameni care folosesc 2FA, alegând în schimb să nu activeze protecția 2FA în ciuda disponibilității sale. unu firma de cercetare online a constatat că un șocant scăzut 28% dintre utilizatori folosesc în mod regulat 2FA pentru a accesa conturi sensibile, numai cu 54% dintre aceștia folosindu-l voluntar, mai degrabă decât să fie pusă în aplicare de către furnizorii lor de servicii.

Dar autentificarea cu doi factori nu este un proces nou și, deși unii utilizatori ar putea să o vadă ca un cerc suplimentar prin care să treacă, 2FA este unul dintre pașii cei mai critici pentru a asigura securitatea de bază a conturilor online.

Pentru utilizatorii de criptomonede, deținătorii de active digitale și cei care tranzacționează în mod regulat prin intermediul online schimburi criptografice, păstrarea securității informațiilor dvs. este o prioritate absolută. Utilizarea serviciilor 2FA este un prim pas important în acest proces de securitate. Aici, vă vom ghida ce este 2FA, care aplicații sunt cele mai bune, Limitările 2FA, și unde ar trebui să căutați pentru a vă spori securitatea.

Ce este 2FA?

Autentificarea autentificărilor sau identităților prin 2FA provine dintr-un concept numit „Autentificare multi-factor”Sau MFA. Autentificarea cu mai mulți factori se bazează pe faptul că un utilizator are cunoștințe specifice despre ceva personal pentru acesta, de exemplu, un cod PIN sau numele unui animal de companie; deținerea a ceva, de exemplu, smartphone-ul sau cardul bancar; sau ceva ce au, care este individual pentru ei, cum ar fi o amprentă digitală.

Ce este autentificarea cu doi factori?

Așa cum sugerează și numele, 2FA necesită doar doi dintre acești factori pentru autentificare un individ. Acest lucru este perfect adecvat pentru securitatea majorității conturilor de utilizator normale și necesită mult mai puțin timp decât verificarea prin trei sau mai mulți pași. Acesta este unul dintre principalele motive pentru care 2FA a devenit cea mai populară formă de verificare.

În timp ce vom vorbi despre 2FA pentru software-ul de verificare și autentificare online aici, sunt șanse ați folosit deja 2FA în viața ta de zi cu zi. Pentru furnizorii bancari tradiționali, cip și cod PIN este una dintre cele mai de bază forme ale unui proces de verificare în doi pași, care necesită un utilizator să prezinte un card bancar, ceea ce este „avea“, Alături de un cod PIN, care este ceva ce ei”știu‘.

Când tranzacționați online, cum ar fi introducerea detaliilor de conectare pe un site web, este posibil să nu aveți un cod PIN sau un card fizic. Deci, cum știe site-ul web că sunteți cine pretindeți că sunteți și nu un hacker care încearcă să obțină acces la contul dvs.? Aici sunt folosite metodele și aplicațiile moderne 2FA. Să explorăm modul în care funcționează aceste sisteme.

Cum funcționează 2FA?

Am explorat teoria din spatele 2FA, acum să examinăm cum funcționează în practică. Majoritatea aplicațiilor de autentificare funcționează prin ceea ce este cunoscut sub numele de „Parolă unică bazată pe timp”Sau„ TOTP ”. Acesta este un fel desoftware-token”, Și este tipul de 2FA pe care îl vom discuta pentru majoritatea acestui articol.

Cum funcționează 2FA?

Pentru a cunoaște diferența, un 2FA „jeton hardware‘Este o cod generat pe o fizic și piesă hardware dedicată, ca un portofel cu un mic ecran LCD. Aceste unități nu sunt utilizate în mod obișnuit acum, deoarece sunt scumpe și ușor de pierdut – sau furate cu ușurință. În schimb, să vedem cum funcționează sistemul 2FA bazat pe jetoane software cu un exemplu din lumea reală.

Când creați un cont de schimb, să îl folosim Binance aici, aveți opțiunea de a activați 2FA și utilizați o aplicație de autentificare pentru a vă verifica datele de conectare. Să presupunem că folosim Google Authenticator cu contul nostru Binance. Binance ar genera o cheie secretă, pe care ai putea-o atunci scanează folosind un cod QR prin dispozitivul dvs. mobil. Puteți face acest lucru și cu multe alte aplicații de autentificare, deoarece cheia generată face parte dintr-un TOTP cod standardizat.

Acum, aceste două conturi sunt conectate și nimeni în afară de aplicația dvs. de autentificare și de furnizorul de servicii nu poate vedea codurile generate. Aplicația de autentificare vă va combina cheia secretă individuală cu un cod de acces, utilizând o funcție securizată de hash. Similar cu modul în care funcționează funcțiile hash într-o capacitate blockchain, autentificatorul va utiliza un hash criptografic pentru a autentifica cererea din schimb și generați un cod unic din șase cifre pentru a vă accesa contul.

În acest exemplu, atunci când încercați să vă conectați la Binance, schimbul va face acest lucru vă solicită codul 2FA. În acest moment, veți avea telefonul gata și aplicația de autentificare deschisă și veți căuta codul din 6 cifre marcat „Binance”.

Diagrama de autentificare cu doi factori

Pur și simplu introduceți acest cod și furnizorul de servicii vă va autoriza datele de conectare. Este simplu și rapid în practică, deși sunt câteva lucruri de reținut. În primul rând, deoarece acesta este un cod de acces unic, de obicei va expira și va genera un cod nou la fiecare 30 de secunde.

În al doilea rând, dacă tu pierdeți telefonul sau aplicația de autentificare, nu veți mai putea accesa conturile conectate. De aceea, este foarte important ca atunci când vă conectați pentru prima dată autentificatorul la un cont nou, să păstrați un înregistrarea sigură a cheii de recuperare din 16 cifre, care este generat la configurare. Acest lucru vă permite să restaurați rapid conturile, mai degrabă decât să așteptați ca identitatea dvs. să fie verificată manual de către furnizorul de servicii.

Cele mai bune aplicații de autentificare 2FA

În timp ce unele site-uri generează o formă simplă de 2FA pentru utilizatorii lor, cum ar fi trimiterea unui cod prin e-mail sau mesaj SMS, alții solicită ajutorul unor soluții mai avansate. În aceste cazuri, site-uri web sau furnizori de servicii va folosi codul standard pentru a genera un număr TOTP, care poate fi dezvăluit folosind o aplicație de autentificare dedicată.

Aceste aplicații de autentificare utilizează, în general, tehnici de criptare pentru a păstra datele utilizatorului în siguranță, pot necesita acces la un cod PIN sau date biometrice și, de obicei, pot fi accesate prin intermediul aplicațiilor mobile. Haideți examinați cele mai bune aplicații de autentificare de mai jos.

Authy

Authy a fost fondată în 2011 de experții în securitate Daniel Palacio și Gleb Chuvpilo. De la înființare, a devenit unul dintre cei mai folosiți autentificatori pe piață, deservind clienții în servicii precum Uber, LinkedIn și Gmail.

Authy Homepage

Disponibil pentru descărcare gratuită pe Android și iOS, Authy este unul dintre furnizori de frunte de soluții 2FA. Fiind aplicația de autentificare de top, Authy poate fi sincronizat pe mai multe dispozitive. Mulți utilizatori se bazează pe Authy pentru că este unul dintre singurele aplicații de autentificare care este dedicat 2FA, întrucât alte oferte precum Microsoft și autentificatorii Google sunt făcute în primul rând pentru a-și accesa propriile servicii.

Spre deosebire de Google Authenticator, Authy poate fi utilizat și cu desktop-urile Windows și cu ceasurile Apple. Cu toate acestea, dacă un utilizator nu are încredere în stocarea jetoanelor software pe mai multe dispozitive, poate dezactiva această funcție după bunul plac.

O altă caracteristică excelentă pe care Authy o oferă utilizatorilor săi este backup-uri criptate în cloud. Asta înseamnă că dacă tu pierdeți dispozitivul mobil, atâta timp cât aveți activată funcționalitatea multi-dispozitiv, puteți pur și simplu accesați conturile dvs. de pe alt dispozitiv conectat. Alte aplicații nu oferă acest lucru, deci dacă vă pierdeți telefonul mobil, trebuie să vă resetați toate codurile de autentificare.

Authy este complet gratuit pentru ca utilizatorii finali să poată descărca și utiliza. În loc să taxeze utilizatorii, Authy generează bani din serviciile lor colaborarea cu furnizorii de servicii și întreprinderi care cumpără soluții software prin intermediul companiei lor mamă, Twilio. Ca urmare, este probabil Authy va rămâne întotdeauna un serviciu gratuit.

Microsoft Authenticator

autentificator oficial de la gigantul de calcul Microsoft este disponibil atât pe Android, cât și pe iOS și permite conturi multiple pentru a fi adăugat la aplicație. După cum puteți vedea în captura de ecran, Microsoft Authenticator generează coduri din 6 cifre valabile 30 de secunde.

Pagina de pornire Microsoft Authenticator

Ca și alți autentificatori, Aplicația Microsoft folosește TOTP standard industrial pentru generarea codurilor de autentificare. Aceasta înseamnă că orice cont care utilizează același standard poate fi adăugat la aplicația Microsoft Authenticator, indiferent dacă este sau nu în familia de software Microsoft. in orice caz, Autentificatorul Microsoft este numai pentru dispozitive mobile.

Microsoft’s Authenticator este un software simplu și funcțional, dar, în ciuda acestui fapt, nu s-a bucurat de același grad de utilizare ca alte aplicații de autentificare.

Google Authenticator

Software-ul Google Authenticator este una dintre cele mai frecvent utilizate și mai ușoare aplicații pentru a efectua 2FA cu. La fel ca alte aplicații, Google Authenticator folosește un algoritm de parolă standard TOTP pentru a genera coduri de acces.

Verificare în doi pași Google

Pentru a accepta aplicația Google Authenticator, furnizorii de servicii trebuie să genereze un foarte sigur Cheie secretă pe 80 de biți pentru fiecare utilizator individual, care permite aplicației să genereze un HMAC-SHA1 mesaj criptografic sau cod.

Lansat inițial pe o licență open-source, Google Authenticator este acum un software proprietar, care poate indica cât de mare este Google care vede piața 2FA în anii următori. Cu toate acestea, în ciuda faptului că este proprietar, Aplicația Google Authenticator este în prezent complet gratuită pentru descărcare și utilizare.

Google Authenticator este în prezent disponibil numai pe dispozitive mobile, și spre deosebire de Authy, nu poate fi folosit pe desktopuri. În ciuda acestui fapt, poate fi instalat atât pe dispozitivele Android, cât și pe iOS, inclusiv pe tablete și iPad-uri.

Ce site-uri folosesc deja 2FA?

Există mii de site-uri care acceptă 2FA. Acestea includ site-uri web de socializare importante, cum ar fi Facebook, Stare de nervozitate, LinkedIn, și Instagram, pentru comercianții cu amănuntul eBay, Etsy, și Shopify. În ultima perioadă, numărul de site-uri web care acceptă software-token bazat pe 2FA crește rapid.

Servicii populare care acceptă autentificarea cu doi factori

În ciuda acestui fapt, există încă câteva site-uri web importante care încă nu acceptă software-token 2FA. Gigant chinez cu amănuntul, AliExpress, nu acceptă 2FA pe site-ul lor, în ciuda faptului că este legat de metodele de plată și deține detalii despre adresa personală. În mod similar, serviciul de streaming din SUA Netflix nu acceptă 2FA conectare și, în mod surprinzător, nici serviciul de streaming muzical Spotify.

Așadar, am putea întreba, are nevoie fiecare site web sau fiecare utilizator pentru a activa 2FA? Dacă accesați doar site-uri în care securitatea nu este o preocupare majoră, este posibil să nu doriți pasul suplimentar de autentificare prin autentificare prin 2FA. În schimb, există alte modalități de autentificare ușoară a unei date de conectare, cum ar fi scanarea biometrică a amprentelor digitale sau recunoașterea facială. Acestea fiind spuse, este încă vă recomandăm să aveți 2FA activat pe toate conturile dvs.!

E-mail & Autentificare SMS VS. Aplicații de autentificare

S-ar putea să vă gândiți, de ce să vă descurcați să descărcați o aplicație dedicată pentru 2FA, când companiile pot pur și simplu trimite un cod către un cont de e-mail asociat sau prin SMS? Este o întrebare grozavă Autentificare bazată pe SMS și e-mail metodele sunt încă mai sigur decât să nu aveți deloc autentificare în doi pași.

Dar când vine vorba de protejarea conturilor dvs., SMS-urile și e-mailurile nu sunt nici pe departe la fel de sigure ca autentificatorii dedicați. Iată câteva dintre modalitățile prin care hackerii ar putea ocoli o metodă simplă de autentificare prin SMS sau e-mail.

  • Sim Swapping – Schimb de sim devine din ce în ce mai problematică. În esență, schimbul de SIM este atunci când infractorii contactați operatorul de rețea mobilă și solicitați transferul numărului dvs. pe o nouă cartelă SIM. Deși s-ar putea să vă întrebați de ce un operator de transport ar permite acest lucru, este o practică obișnuită dacă un utilizator și-a pierdut telefonul și dorește să-și păstreze numărul de telefon original. Bineînțeles, odată ce un fraudator are numărul dvs. de telefon, fiecare SMS destinat dvs. se va îndrepta către ei. Dacă 2FA bazat pe SMS este singura protecție a contului dvs., iar acest hacker are deja numele dvs. de utilizator și parola, acum au acces complet la contul dvs.. Dacă acesta este un cont de schimb, cum ar fi Bitmex, acestea ar putea să vă retragă toate fondurile. Acesta este un motiv major pentru care majoritatea conturilor de schimb vor preveni utilizarea metodelor de autentificare bazate pe SMS.
  • Email Pwnage – Site-ul popular „Am fost Pwned?‘Este o bază de date imensă cu toate cele mai mari încălcări de date care au loc la nivel mondial. Cu excepția cazului în care sunteți un utilizator incredibil de meticulos, probabil vei găsi asta la un moment dat, datele dvs. au fost încălcate. Încălcările de date au loc atunci când site-urile pentru care v-ați înscris pentru a utiliza adresa dvs. de e-mail sunt compromise și datele utilizatorilor sunt furate. În cele mai nefavorabile scenarii, aceasta poate include informații despre plată și identitate, dar hackerii fură adesea nume de utilizator, e-mailuri, și parole. Dacă sunteți ca majoritatea utilizatorilor, probabil că refolosiți exact aceeași parolă sau o parolă similară pentru mai multe site-uri. Acesta este visul unui hacker – pentru că dacă vă cunosc e-mailul și parola dintr-o singură încălcare, ar putea să le folosească pentru a vă accesa e-mailul. Am explorat de ce aveți nevoie de un manager de parole securizat aici; dar în scopul 2FA bazat pe e-mail, cel mai bine este să presupunem că contul dvs. ar putea fi compromis.

În schimb, după cum am examinat, autentificatorii oferă securitate criptată pe un dispozitiv separat. Dacă un hacker dorea să aibă acces la contul dvs. de schimb, care a fost protejat de Google 2FA, de exemplu, ar trebui să aibă fizic dispozitivul dvs. mobil sau să fie un hacker destul de experimentat.

Dacă aplicația dvs. de autentificare 2FA este, de asemenea, protejată de un marker biometric, cum ar fi o amprentă digitală, va fi și mai greu pentru un hacker să aibă acces. cu toate acestea, 2FA nu este antiglonț. Iată câteva cazuri în care 2FA a fost încălcat.

Unde a eșuat 2FA?

Nicio tehnologie nu este infailibilă, iar 2FA nu face excepție. Au existat cazuri în care 2FA nu a reușit să protejeze conturile de utilizator – dar asta nu înseamnă că nu ar trebui să-l folosiți. Să analizăm câteva cazuri în care s-a dovedit că 2FA este vulnerabil și de ce.

Prima și cea mai importantă vulnerabilitate este un atac de phishing direct. FBI-ul are recent avertizat utilizatori care hackerii ar putea folosi un „om în mijloc” introduceți un atac de phishing pentru a atrage utilizatorii să-și introducă datele de conectare și codurile de acces într-un site fals.

Unde a eșuat 2FA?

Astfel de site-uri, care pot fi legate printr-un e-mail cu aspect complet autentic, retransmiteți aceste informații pe site-ul real și apoi permiteți hackerilor accesul la contul dvs. Acesta este un tip de atac care folosește ingineria socială. Deși poate părea simplu, ingineria socială este una dintre cele mai eficiente forme de phishing pentru datele utilizatorilor și conturile de hacking.

În esență, ingineria socială se bazează pe faptul că utilizatorul mediu nu va observa că este redirecționat către un site fals, care poate avea un URL imperceptibil diferit, de exemplu, „gmaiI (punct) com”, unde „L” este, de fapt, un „i” capital. Aceste tipuri de atacuri sunt frecvente și, pentru un utilizator mediu, sunt incredibil de greu de detectat.

Compania de securitate digitală, Knowbe4, avertizează adesea că hackerii sunt doar după jetoanele de sesiune ale utilizatorului. Acesta este un cookie unic care este generat pentru fiecare sesiune pe care o începe un utilizator pe un site web, de exemplu, LinkedIn sau Facebook. Hackerii pot atunci fura jetonul sesiunii și folosește-l pentru deturnează sesiunea legitimă a unui utilizator – accesarea tuturor datelor lor private.

Pagina de pornire KnowBe4

Knowbe4 avertizează, de asemenea, că hackeri mai avansați pot creați un generator de cod duplicat. În acest caz, un atacator ar putea afla numărul de semințe și algoritmul folosit pentru a genera codul de autentificare și pentru a le folosi generează un cod identic cu victimele. Dacă atacatorul vă cunoaște deja numele de utilizator sau parola, ar putea folosi această metodă pentru a finaliza autentificarea 2FA.

Acestea ar putea părea îngrijorătoare, dar dacă nu sunteți o țintă destul de înaltă, Este puțin probabil ca hackerii să folosească aceste metode costisitoare și care necesită mult timp pentru a vă compromite conturile. În mod similar, în cazurile în care 2FA nu a fost utilizat deloc, hackerii pot avea acces la conturile de utilizator mult mai rapid și cu efecte dezastruoase – să examinăm unele dintre cele mai hacks de profil înalt unde 2FA ar fi putut ajuta.

Hacks pe care 2FA le-ar fi putut preveni

La sfârșitul anului 2016 și până la începutul anului 2017, agenția americană de raportare a creditelor de consum Equifax a suferit o încălcare a datelor ceea ce a dus la un număr mare de creanțe fiscale frauduloase. În încălcare, hackerii au accesat codul PIN simplu din 4 cifre, care a fost emis angajaților platformei pentru a-și accesa înregistrările..

Equifax – Sursa: Shutterstock.com

După ce au ridicat aceste informații și au răspuns cu succes la întrebări personale, infractorii au trimis date post-fiscale, furate dintr-un „servicii legate de salarizare‘. Aceste date erau apoi obișnuite depune cereri frauduloase de returnare a impozitelor în numele angajaților pentru a fura rambursările fiscale.

Dacă Equifax ar fi avut 2FA pentru acești angajați, în loc de un simplu cod PIN, atunci este foarte puțin probabil ca hackerii să nu fi avut atât de mult succes. În mod similar, acest lucru arată și modul în care informațiile noastre personale, cum ar fi întrebările de securitate, nu sunt la fel de sigure sau secrete pe cât credem.

Un scenariu similar a avut loc cu mai multe site-uri populare și afectate GoToMyPC al Citrix în 2016. Multe site-uri au suferit încălcări la scară largă în care utilizatorii au avut nume de utilizator și parole furate. Deși aceste site-uri, care numărau LinkedIn și MySpace printre rândurile lor, au identificat hacks și au notificat toți utilizatorii, aceste informații furate erau încă listate spre vânzare pe dark web.

Pagina de pornire GoToMyPC

Drept urmare, atacatorii au încercat să folosească informațiile pentru a accesa conturile de pe „GoToMyPC”, un furnizor de software de la distanță pentru desktop, care permite utilizatorilor să acceseze desktopul computerului lor de pe alte mașini. Bineînțeles, acesta este un țintă foarte atractivă pentru hackeri, posibil datorită securității slabe a parolei celor mai mulți oameni. Încălcarea a fost identificată, dar nu înainte ca atacatorii să reușească să acceseze conturile unor utilizatori.

Cu toate acestea, dacă 2FA ar fi fost activat în acest scenariu, atacatorii nu ar fi reușit să treacă de pagina inițială de autentificare GoToMyPC. Atât LinkedIn, cât și GoToMyPC au implementat de atunci autentificarea de autentificare 2FA.

2FA Pro

  • Adaugă un strat suplimentar de securitate conturilor tale online
  • Esențial pentru siguranța fondului la schimburi
  • Mai bine decât autentificarea prin SMS sau e-mail
  • Nu infailibil, dar securitate sporită
  • Atunci când este utilizat împreună cu un manager de parole, face conturile incredibil de sigure

2FA Cons

  • Adaugă un pas suplimentar procesului de conectare
  • Dacă vă pierdeți aplicația de autentificare, poate fi dificil să vă accesați conturile

Ar trebui să utilizați 2FA?

Răspunsul scurt este da. Deși unii utilizatori pot fi dezamăgiți de pașii de conectare suplimentari necesari, 2FA oferă, fără îndoială, un aspect important strat suplimentar de securitate pentru conturile dvs. online.

Gândiți-vă la 2FA ca la alegerea utilizării centurii de siguranță într-un vehicul. Toată lumea știe că centura de siguranță le va crește șansele de supraviețuire într-un accident. În timp ce este nu o garanție totală de siguranță, este un strat suplimentar de protecție esențială.

Concluzie - Sursa: Shutterstock.comConcluzie – Sursa: Shutterstock.com

În același mod, în timp ce 2FA nu poate garanta că conturile dvs. nu vor fi compromise, o face mult mai greu pentru un hacker să aibă acces. Deci, la fel cum ai fi nebun să nu porți centura de siguranță într-o mașină cu viteză mare, ai fi nebun să nu folosești soluții 2FA pentru a-ți proteja conturile online.

Acestea fiind spuse, este dificil să alegeți cele mai bune aplicații de autentificare. Per total, fiecare dintre aplicațiile de autentificare am discutat mai sus sunt opțiuni excelente pentru toate tipurile pentru a adăuga un strat suplimentar de protecție conturilor dvs. Cu toate acestea, toți utilizatorii ar trebui să ia în considerare utilizarea Aplicații 2FA împreună cu un manager de parole, și asigurați-vă că este utilizat un PIN sau un cod biometric suficient de puternic pentru a accesa dispozitivul dvs. mobil.

De fapt, nici nu vă recomandăm să utilizați propriul dispozitiv mobil pentru a accesa 2FA. Cel mai bun mod de a-l păstra în siguranță este să îl păstrați pe un telefon sau un tampon pe care nu îl utilizați și care nu este conectat la internet sau la un număr de telefon. În acest fel, este puțin probabil să-l pierdeți, deoarece nu îl purtați cu dvs. (așa cum ați face cu telefonul mobil) și este mai puțin probabil să fie o țintă a hackerilor sau a swapp-urilor de SIM, deoarece nu este conectat la un număr de telefon mobil sau internetul.

De asemenea, vă recomandăm să utilizați un browser securizat și un serviciu VPN de renume pentru a crește în continuare securitatea și confidențialitatea online.

Referințe

Unsprezece moduri de a învinge autentificarea cu doi factori de Roger Grimes

Biblia de schimb de SIM: Ce să faceți când schimbarea SIM se întâmplă cu dvs.

Cum Parole unice bazate pe timp funcționează și de ce ar trebui să le folosiți în aplicația dvs.

Mike Owergreen Administrator
Sorry! The Author has not filled his profile.
follow me