Modulul 2 · 2.3
Autentificare în doi pași: coduri, aplicații și sms
Modulul 2: Parole și autentificare · Timp de citire: 11 minute
Obiectiv: După această lecție veți putea compara formele de autentificare în doi pași (sms, e-mail, TOTP, push), veți recunoaște atacurile asupra acestora și veți pregăti un plan de recuperare pentru cazul în care vă pierdeți telefonul.
Noțiuni cheie: 2FA/MFA, factor (a ști, a avea, a fi), TOTP, secret partajat, notificare push, oboseală MFA, sim-swap, coduri de recuperare
Două dovezi diferite
O parolă este ceva ce știți. Dacă aceasta este expusă, oricine o cunoaște se poate autentifica. Autentificarea în doi pași (2FA) solicită de aceea o a doua dovadă, de alt tip. Când sunt implicate mai mult de două dovezi, se vorbește despre autentificare cu factori multipli (MFA); în practică termenii sunt folosiți unul în locul celuilalt.
Există trei tipuri de factori:
- A ști: o parolă sau un cod PIN.
- A avea: telefonul dumneavoastră cu o aplicație, o cheie de securitate, un card.
- A fi: amprenta dumneavoastră digitală sau chipul dumneavoastră.
De două ori același tip nu contează ca doi factori: o parolă plus o întrebare de securitate sunt două lucruri pe care le știți. NCSC-ul olandez recomandă insistent utilizarea MFA pe fiecare sistem și cont care o acceptă, și cu siguranță pe conturile accesibile prin internet și pe conturile cu drepturi de administrator. Pentru o afacere mică, acestea sunt cel puțin: e-mailul, găzduirea și înregistrarea domeniului, banca, contabilitatea, magazinul online, managerul de parole și rețelele sociale ale firmei.
Formele, una lângă alta
| Formă | Cum funcționează | Punct slab | Rezistă la phishing? |
|---|---|---|---|
| Cod prin sms | Serviciul trimite un cod la numărul dumneavoastră de telefon | Sim-swap, interceptare, numărul dumneavoastră nu este același lucru cu aparatul dumneavoastră | Nu |
| Cod prin e-mail | Serviciul trimite un cod în căsuța dumneavoastră de e-mail | La fel de sigur ca și căsuța dumneavoastră de e-mail; dacă aceasta a fost compromisă, acesta nu mai este un al doilea lacăt | Nu |
| Aplicație de autentificare (TOTP) | O aplicație generează un cod nou la fiecare 30 de secunde | Secretul poate fi expus la configurare sau într-o copie de siguranță necorespunzătoare; introduceți codul manual | Nu |
| Notificare push | Telefonul dumneavoastră vă întreabă „Sunteți dumneavoastră?” și apăsați Aprobare | Oboseală MFA | Nu, introducerea unui număr este mai sigură |
| Passkey sau cheie de securitate | Dispozitivul dumneavoastră demonstrează criptografic cine sunteți, doar pentru domeniul real | Recuperarea, dacă ați pierdut totul | Da (lecția 2.4) |
Fiecare formă este mult mai bună decât absența unui al doilea pas. Dar tabelul arată și altceva: orice metodă prin care introduceți manual un cod sau aprobați o notificare poate fi exploatată de un escroc pe un site fals al său. NIST o spune fără ocolișuri în SP 800-63B-4: metodele prin care introduceți rezultatul manual nu sunt rezistente la phishing.
Cum funcționează o aplicație de autentificare
O aplicație de autentificare folosește TOTP: Time-based One-Time Password, descris în RFC 6238. Funcționează astfel:
- La configurare, serviciul generează un secret partajat aleatoriu, de exemplu 32 de caractere precum
JBSWY3DPEHPK3PXP.... Acest secret este inclus în codul QR pe care îl scanați, sau îl introduceți manual ca „cheie manuală”. - Aplicația dumneavoastră și serviciul au acum același secret. După aceea nu mai este nevoie de niciun contact între cele două.
- La fiecare 30 de secunde, ambele calculează din secret și ora curentă un cod din 6 cifre. Deoarece au același secret și același ceas, rezultă același cod.
- La autentificare, serviciul compară codul dumneavoastră cu propriul său rezultat, de obicei cu o marjă de un interval de timp înainte sau după, pentru un ceas ușor decalat.
Două consecințe:
- Secretul este lacătul propriu-zis. Oricine vede codul QR sau cheia manuală poate genera pentru totdeauna aceleași coduri ca telefonul dumneavoastră. Așadar, nu faceți o captură de ecran a acestuia, nu îl împărtășiți nimănui și nu îl trimiteți unui coleg.
- Codul funcționează și fără internet și nu ajunge prin rețeaua de telefonie. De aceea TOTP este mai sigur decât sms-ul.
Aplicațiile de autentificare există în mai multe variante: separate pe telefonul dumneavoastră, integrate într-un manager de parole, open source sau de la o mare companie tehnologică, cu sau fără copie de siguranță criptată în cloud. Exemple sunt Aegis, Google Authenticator și Microsoft Authenticator, pe lângă funcția din manageri precum Bitwarden sau 1Password. O copie de siguranță este utilă la un telefon nou, dar NCSC-ul olandez avertizează: o copie de siguranță insuficient criptată oferă acces și unui atacator.
Sim-swap: de ce sms-ul este cea mai slabă formă
În cazul sim-swap-ului, un escroc preia numărul dumneavoastră de telefon. El transferă numărul dumneavoastră pe o cartelă SIM sau un eSIM pe care îl deține. Acest lucru reușește, de exemplu, prezentându-se furnizorului dumneavoastră de telefonie drept dumneavoastră, sau determinându-vă pe dumneavoastră înșivă să cooperați: poliția și autoritatea națională de securitate cibernetică avertizează cu privire la sms-uri și apeluri telefonice „din partea furnizorului dumneavoastră” prin care vi se cere ca această cartelă SIM să fie validată sau transformată urgent într-un eSIM.
Odată ce reușește:
- telefonul dumneavoastră rămâne brusc fără semnal și nu mai puteți suna sau trimite sms-uri;
- escrocul primește toate codurile prin sms, inclusiv codurile de „parolă uitată” ale serviciilor care folosesc numărul dumneavoastră ca metodă de recuperare;
- uneori poate prelua conturi doar cu numărul dumneavoastră.
Partea dificilă: observați abia când telefonul nu mai funcționează deloc, adesea seara sau în weekend. NIST numește de aceea sms-ul o metodă limitată și spune că serviciile trebuie să fie atente la semnale precum o cartelă SIM nouă sau un număr transferat. NCSC-ul olandez recomandă evitarea sms-ului acolo unde este posibil, deoarece mesajele nu sunt criptate și pot fi interceptate.
Ce faceți?
- Alegeți, acolo unde este posibil, o aplicație sau un passkey în locul sms-ului.
- Eliminați numărul dumneavoastră de telefon ca metodă de recuperare acolo unde acesta reprezintă un punct slab, sau protejați-l suplimentar.
- Întrebați furnizorul dumneavoastră de telefonie dacă puteți stabili un cod PIN suplimentar sau o verificare pentru transferul numărului dumneavoastră.
- Semnalul dispare brusc fără motiv? Sunați furnizorul dumneavoastră de pe un alt aparat. Nu așteptați.
Sms-ul rămâne mai bun decât nimic. Dacă un serviciu oferă doar sms, activați-l oricum.
Oboseala MFA: notificarea pe care o închideți
La o notificare push, nu trebuie să introduceți nimic manual: telefonul dumneavoastră întreabă „Încercați să vă autentificați?” și apăsați Aprobare. Simplu, și tocmai de aceea exploatat abuziv.
În cazul oboselii MFA (numită și bombardament de notificări push), un atacator deține deja parola dumneavoastră. El se autentifică repetat, astfel încât telefonul dumneavoastră primește o notificare după alta, uneori în miezul nopții. Agenția americană CISA descrie cum oamenii, din enervare sau din greșeală, apasă Aprobare, sau cred că una dintre notificări trebuie să fie reală. Uneori atacatorul sună și el, pretinzând că este „serviciul de asistență”, cerându-vă să aprobați.
Un caz real descris de NCSC-ul olandez: atacatorii au pătruns prin oboseală MFA în conturile de e-mail ale unei companii de software și le-au folosit apoi pentru fraudă cu facturi.
Regulile:
- Nu aprobați niciodată o notificare pe care nu ați generat-o dumneavoastră înșivă. Nici măcar pe a douăzecea.
- O notificare neașteptată înseamnă că cineva deține parola dumneavoastră. Schimbați-o imediat și raportați incidentul.
- Alegeți, acolo unde este posibil, introducerea unui număr: ecranul de autentificare afișează un număr pe care îl introduceți în aplicație. Cine nu se află în fața ecranului de autentificare nu poate aproba atunci. CISA numește acest lucru un pas intermediar bun, dar mai slab decât MFA rezistentă la phishing.
Recuperare: pregătiți-o înainte să vă pierdeți telefonul
Telefonul dumneavoastră cade în apă, este furat sau se defectează. Fără pregătire, vă aflați atunci în afara propriilor conturi. De aceea există codurile de recuperare (numite și coduri de rezervă): un șir de coduri de rezervă pe care le primiți la configurare și care funcționează fiecare o singură dată.
- Nu le păstrați pe același telefon ca și aplicația dumneavoastră de autentificare. Tipăriți-le și păstrați-le alături de documentele dumneavoastră importante, sau salvați-le în managerul dumneavoastră de parole la elementul corespunzător.
- Ați folosit un cod de recuperare? Tăiați-l. Dacă se epuizează, generați altele noi.
- Asigurați-vă cel puțin două metode de a vă autentifica: de exemplu aplicația plus coduri de recuperare, sau două chei de securitate.
- La un telefon nou, transferați mai întâi conturile dumneavoastră și abia după aceea ștergeți vechiul telefon.
- Cunoașteți procedura de recuperare a serviciilor dumneavoastră cele mai importante. Un serviciu bun nu vă resetează al doilea pas pe baza unui simplu e-mail sau apel telefonic, ci verifică mai întâi că sunteți chiar dumneavoastră.
În practică: cum arată
În mediul WebOké, Contul meu WebOké solicită întotdeauna, după parolă, un al doilea pas: implicit un cod prin e-mail, iar dumneavoastră puteți trece la o aplicație de autentificare. În DirectAdmin se numește Two-Step Authentication, cu coduri de recuperare. În Nextcloud activați TOTP și generați zece coduri de rezervă. La alți furnizori funcționează similar: căutați în profilul dumneavoastră sau în setările de securitate termenii „autentificare în doi pași”, „2FA”, „authenticator” sau „two-factor”.
Pașii sunt aproape întotdeauna aceiași: scanarea codului QR, introducerea unui cod de verificare, salvarea codurilor de recuperare.
Rezumat
- 2FA combină două tipuri de factori: a ști, a avea, a fi.
- TOTP funcționează cu un secret partajat și ceasul. Secretul (codul QR) este lacătul propriu-zis: nu îl împărtășiți niciodată.
- Sms-ul este cea mai slabă formă din cauza sim-swap-ului și a interceptării, dar este mai bun decât nimic.
- Oboseala MFA: nu aprobați niciodată o notificare pe care nu ați generat-o dumneavoastră, și apoi schimbați-vă parola.
- Codurile și notificările nu sunt rezistente la phishing; passkey-urile și cheile de securitate sunt (lecția 2.4).
- Pregătiți coduri de recuperare și o a doua metodă înainte să vă pierdeți telefonul.
Test
Exercițiu
Exercițiul A2.3: Conectarea unei aplicații de autentificare. Primiți un cod QR de la un cont de exercițiu „WebOké oefening”. Scanați-l cu o aplicație de autentificare la alegere și introduceți două coduri care apar unul după altul. Programul verifică dacă aplicația dumneavoastră calculează corect. Secretul de exercițiu nu are nicio valoare și este șters după 24 de ore; eliminați după aceea contul de exercițiu din aplicația dumneavoastră.
Exercițiul D2.3: Activarea autentificării în doi pași pe conturile dumneavoastră cele mai importante. Activați autentificarea în doi pași pe e-mailul, găzduirea sau înregistrarea domeniului, banca, contabilitatea și managerul dumneavoastră de parole. Păstrați codurile de recuperare într-un al doilea loc și răspundeți la întrebarea ce faceți dacă mâine vă pierdeți telefonul.
Exercițiul D2.3: Activarea autentificării în doi pași pe conturile dumneavoastră cele mai importante
Iată cum procedați: (1) Faceți o listă cu conturile dumneavoastră cele mai importante: căsuța de e-mail, găzduirea și înregistrarea domeniului, banca, contabilitatea, magazinul online, managerul de parole, rețelele sociale ale afacerii. (2) Activați autentificarea în doi pași pentru fiecare. Alegeți, în această ordine, ce oferă serviciul respectiv: passkey sau cheie de securitate, aplicație de autentificare, notificare push cu introducerea unui număr, cod prin e-mail, SMS. (3) Păstrați pentru fiecare cont codurile de recuperare într-un al doilea loc (tipărite sau în managerul de parole), nu pe același telefon pe care aveți aplicația de autentificare. (4) Asigurați-vă că aveți cel puțin două modalități de a vă conecta la fiecare cont important. (5) Întrebați furnizorul dumneavoastră dacă puteți configura un control suplimentar sau un cod PIN pentru transferul numărului de telefon. (6) Stabiliți împreună cu echipa dumneavoastră: o notificare de conectare pe care nu ați generat-o personal nu o aprobați niciodată, ci o raportați imediat.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lectură suplimentară
Pașii din articolele WebOké se aplică mediului WebOké; la alți furnizori funcționează similar.
- Verificarea în doi pași în Contul meu WebOké și configurarea unei aplicații authenticator
- Manual WebOké 3.2: Codul de autentificare prin e-mail (verificarea în doi pași)
- Manual WebOké 3.3: Utilizarea unei aplicații de autentificare
- Manual DirectAdmin 3.2: Configurarea Autentificării în Doi Pași
- Manual DirectAdmin 3.3: Coduri de rezervă și ce faceți dacă ați pierdut aplicația de autentificare
- Manual Nextcloud 3.3: Configurarea unei aplicații de autentificare și păstrarea codurilor de rezervă
- Manual Nextcloud 3.10: Ați pierdut telefonul sau codul 2FA: iată cum reveniți în cont
- Configurarea verificării în doi pași (2FA) în Nextcloud
- NCSC-ul olandez, Cum alegeți o metodă MFA? (în neerlandeză): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
- Autoritatea Națională pentru Securitate Cibernetică, ENISA, Recomandări privind autentificarea multi-factor: https://www.enisa.europa.eu/
- CISA, Implementing Number Matching in MFA Applications (în engleză): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (în engleză): https://www.rfc-editor.org/rfc/rfc6238