Parola și autentificarea în doi pași
Modulul 8: În siguranță și fără griji · Timp de citire: 10 minute
Obiectiv de învățare: După această lecție puteți explica ce înseamnă o parolă puternică pentru căsuța dumneavoastră poștală, ce trebuie să faceți pe dispozitive după o schimbare, cum apare un cod dintr-o aplicație de autentificare și ce protejează și ce nu protejează autentificarea în doi pași în webmail.
Noțiuni cheie: parola căsuței poștale, manager de parole, autentificare în doi pași, TOTP, secret partajat, cod QR, cod de recuperare, abaterea ceasului, IMAP și SMTP fără al doilea pas
De ce căsuța poștală este cel mai important cont
Căsuța dumneavoastră poștală este mănunchiul de chei al vieții dumneavoastră online. Aproape orice serviciu trimite pe e-mail un link pentru resetarea parolei. Cine are acces la căsuța dumneavoastră poștală poate deci prelua și magazinul online, contabilitatea și rețelele sociale. În plus, poate trimite mesaje în numele dumneavoastră, către clienți care au încredere în dumneavoastră. De aceea, o căsuță poștală furată este adesea folosită pentru fraude cu facturi sau pentru trimiterea de spam. Acesta din urmă pune în pericol întregul domeniu: alte servere vor începe să vă refuze mesajele.
Două lucruri țin un intrus afară: o parolă bună și un al doilea pas la autentificare.
O parolă puternică este în primul rând lungă și unică
Parola căsuței poștale aparține unei singure adrese de e-mail. Nu este aceeași cu parola contului de client sau a panoului de administrare al pachetului dumneavoastră (lecția 1.3).
Ce face o parolă puternică? Nu un semn de exclamare după un cuvânt, ci lungimea și caracterul aleatoriu. Atacatorii încearcă parole scurse și liste cu cuvinte și tipare folosite des. „Zomer2026!” apare într-o astfel de listă; o succesiune de patru cuvinte aleatorii sau douăzeci de caractere aleatorii nu apare. La fel de important este ca parola să fie unică. Dacă un magazin online unde ați folosit aceeași parolă are o scurgere de date, infractorii o vor încerca și pe căsuța dumneavoastră poștală.
Soluția practică este un manager de parole: un program care creează și reține pentru fiecare serviciu o parolă lungă și aleatorie. Dumneavoastră trebuie să rețineți doar o singură parolă principală puternică.
După schimbare: actualizați toate dispozitivele
Schimbați parola în webmail din Setări personale > Parolă sau, dacă nu o mai știți pe cea veche, în panoul de administrare al pachetului dumneavoastră. Din acel moment, parola nouă este valabilă peste tot: în webmail, pe telefon, în programul de e-mail.
Aici apar adesea probleme. Sanne de Vries schimbă luni parola pentru sanne@example.com. Își actualizează imediat laptopul. Uită însă de tableta veche din bucătărie. Tableta continuă să se autentifice la fiecare câteva minute cu parola veche. După un număr de încercări eșuate, firewallul serverului vede o conexiune care încearcă mereu o parolă greșită și blochează adresa IP. Deoarece tableta și laptopul folosesc acasă aceeași adresă IP, Sanne nu își mai poate accesa brusc e-mailul nici de pe laptop, uneori nici site-ul.
De aceea, după o schimbare actualizați imediat toate dispozitivele: telefonul, tableta, programul de e-mail de pe calculator și eventual o imprimantă sau un scanner care trimite e-mailuri.
Autentificarea în doi pași: ceva ce știți și ceva ce aveți
Cu autentificarea în doi pași (în webmail se numește Autentificare în doi pași) aveți nevoie de două lucruri la conectare: parola (ceva ce știți) și un cod de pe telefon (ceva ce aveți). Cineva care obține parola dumneavoastră prin phishing sau printr-o scurgere de date tot nu poate intra.
Codul provine dintr-o aplicație de autentificare, de exemplu aplicația managerului dumneavoastră de parole sau o aplicație separată pentru astfel de coduri. Metoda se numește TOTP, time-based one-time password, și este descrisă în RFC 6238. Funcționează astfel:
- La activare, webmailul creează un secret partajat: un șir aleatoriu de caractere. Îl vedeți ca cheie secretă și ca cod QR.
- Scanați codul QR cu aplicația. De acum, serverul și telefonul cunosc amândouă același secret.
- La fiecare 30 de secunde, ambele transformă secretul, împreună cu ora curentă, într-un cod de șase cifre.
- La autentificare, serverul compară codul dumneavoastră cu propriul rezultat.
De aici rezultă două lucruri. Aplicația nu are nevoie de internet: calculează doar cu secretul și cu ceasul. Iar ceasul trebuie să fie exact. Dacă telefonul dumneavoastră merge cu câteva minute înainte sau în urmă, calculează cu alt interval de timp și codul nu se potrivește. Setați ora telefonului pe automat.
O a treia consecință: codul QR este chiar secretul. Cine are o fotografie sau o captură de ecran a acestuia poate genera aceleași coduri. Așadar, nu îl distribuiți niciodată și nu îl păstrați ca imagine.
În imagine vedeți ecranul în care activați autentificarea în doi pași, cu cheia secretă, codurile de recuperare și codul QR.
Coduri de recuperare și un telefon pierdut
La activare primiți și patru coduri de recuperare. Fiecare funcționează o singură dată, în locul unui cod din aplicație. Ele sunt cheia dumneavoastră de rezervă dacă telefonul se strică, este furat sau înlocuit. Păstrați-le în alt loc decât telefonul: în managerul de parole sau pe hârtie, într-un sertar.
Dacă folosiți un cod de recuperare, configurați imediat din nou autentificarea în doi pași cu noul telefon. Veți primi atunci și coduri de recuperare noi. Dacă nu mai aveți coduri de recuperare, furnizorul dumneavoastră de e-mail poate dezactiva al doilea pas pentru căsuța poștală, după ce vă verifică identitatea.
Pe propriul calculator puteți alege la autentificare ca webmailul să nu vă mai ceară un cod timp de 30 de zile. Pe un calculator folosit în comun nu faceți niciodată acest lucru.
Ce nu protejează autentificarea în doi pași
Aceasta este cea mai importantă capcană, iar mulți oameni nu o cunosc. Autentificarea în doi pași din webmail se aplică numai pentru webmail. Programul de e-mail și aplicația de e-mail de pe telefon se conectează prin IMAP (descărcare) și SMTP (trimitere), iar acestea cer doar parola. Un atacator care are parola dumneavoastră poate deci, printr-un program de e-mail, să vă citească în continuare mesajele și să trimită mesaje în numele dumneavoastră.
De aceea, autentificarea în doi pași este o completare, nu un înlocuitor. Parola trebuie să rămână lungă și unică. Autentificarea în doi pași pentru contul de client o configurați separat; este un alt cont, cu propria securitate.
La serviciile mari precum Gmail sau Outlook.com funcționează puțin diferit: acolo al doilea pas se aplică adesea întregului cont, iar un program de e-mail are nevoie de o parolă separată pentru aplicație sau de o metodă proprie de autentificare. Ideea este aceeași: parola plus ceva ce aveți.
În practică: cum funcționează în webmail
Parola o schimbați din Setări personale > Parolă, iar autentificarea în doi pași o activați din Setări personale > Autentificare în doi pași. Acolo bifați Activează, lăsați webmailul să completeze câmpurile, scanați codul QR, verificați un cod și salvați. Pașii sunt descriși în Manualul Roundcube (10.3, 10.4 și 10.5). Alte aplicații de webmail au setări similare, adesea sub Security.
Rezumat
- Căsuța poștală este cheia către celelalte conturi: protejați-o cu o parolă lungă și unică, generată de un manager de parole.
- După schimbarea parolei actualizați toate dispozitivele; un dispozitiv cu parola veche poate duce la blocarea adresei IP.
- TOTP generează la fiecare 30 de secunde un cod din secretul partajat și oră; ceasul telefonului trebuie să fie exact, iar codul QR este secretul.
- Păstrați cele patru coduri de recuperare în afara telefonului; fiecare cod funcționează o singură dată.
- Autentificarea în doi pași din webmail protejează doar webmailul, nu și IMAP și SMTP din programul de e-mail.
Test (quiz)
Exercițiu
Exercițiul A8.1: Exersați cu o aplicație de autentificare. Faceți clic pe buton pentru a obține un secret de exercițiu. Veți primi un cod QR pentru un cont de exercițiu. Scanați-l cu o aplicație de autentificare la alegere (sau tastați cheia afișată) și introduceți codul de șase cifre afișat de aplicație. Programul calculează cu același secret de exercițiu și cu ora dacă codul dumneavoastră este corect; un cod din intervalul de timp anterior sau următor este de asemenea acceptat, astfel încât o mică abatere a ceasului nu este o problemă. Verde: codul este corect. Roșu: codul nu este corect; verificați atunci ceasul telefonului și dacă folosiți rândul potrivit din aplicație. Secretul de exercițiu nu aparține căsuței dumneavoastră poștale, nu are nicio valoare și dispare în 24 de ore. Ștergeți apoi contul de exercițiu din aplicație.
Lecturi suplimentare
Acolo unde sunt descriși pași în webmail, aceștia se aplică webmailului WebOké; în alte aplicații de webmail funcționează în mod similar.
- Roundcube Webmail 10.3: Activarea verificării în doi pași
- Roundcube Webmail 10.4: Autentificarea cu verificare în doi pași
- Roundcube Webmail 10.5: Schimbarea parolei căsuței de e-mail
- Modificarea parolei sau a limitelor unei adrese de e-mail
- Manager de parole și passkeys: cum vă gestionați autentificarea în siguranță
- Curs gratuit Siguranță online pentru antreprenori 2.1: Ce înseamnă cu adevărat o parolă puternică
- Curs gratuit Siguranță online pentru antreprenori 2.3: Autentificare în doi pași: coduri, aplicații și sms
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (în engleză): https://www.rfc-editor.org/rfc/rfc6238