Autentizace, autorizace a 2FA
Forma zabezpečení, se kterou se setkáváme každý úplně běžně je přihlášení, obvykle pomocí přihlašovacího jména/emailu a hesla.
Přihlášení má dvě odlišné fáze, které se často pletou:
- Autentizace ověřuje, kdo jste. Prokážete se heslem nebo jiným způsobem.
- Autorizace pak rozhoduje, co smíte. Systém vás pustí jen k tomu, na co máte právo.
Prokázání totožnosti (kdo jste)
Prokázat totožnost jde třemi způsoby, říká se jim faktory:
- něco, co znáte – heslo, PIN
- něco, co máte – telefon, hardwarový klíč, čipová karta
- něco, čím jste – biometrické údaje (otisk prstu, obličej)
Dvoufázové ověření
2FA (dvoufázové/dvoufaktorové ověření) vyžaduje faktory ze dvou různých skupin. Samotné heslo se dá odkoukat, uhodnout nebo vytáhnout z úniku dat. Když k němu přibude jednorázový kód z aplikace v telefonu, útočníkovi heslo samo nestačí.
| Druhá fáze | Bezpečnost | Poznámka |
|---|---|---|
| Kód z autentizátoru (TOTP) | vysoká | funguje i bez signálu |
| Hardwarový klíč (FIDO2) | nejvyšší | odolný i vůči phishingu |
| SMS kód | nižší | dá se přesměrovat, ale pořád lepší než nic |
Kód do e-mailu se taky počítá jako druhá fáze – patří do skupiny „něco, co máte”, stejně jako SMS nebo autentizátor. Je to ale ta nejslabší varianta ze všech: e-mailová schránka bývá chráněná jen heslem, a hesla se často recyklují napříč účty. Když útočník zná heslo k účtu, který napadá, dost možná zná nebo uhodne i heslo k e-mailu – a druhá fáze pak pro něj není žádnou překážkou.
Přihlášení přes třetí stranu
Tlačítko „Přihlásit přes Google“ používá protokol OAuth. Nepředáváte webu heslo – Google jen potvrdí, že jste to vy, a případně předá pár údajů (jméno, e-mail), s kterými souhlasíte. Výhoda: web vaše heslo nikdy nevidí. Nevýhoda: účet u Googlu se stává jediným bodem, na kterém všechno závisí. Pokud ztratíte přístup ke Google účtu, ztratíte přístup i k účtům, kde jste přihlášení přes Google použili.
Když zapínáte 2FA, hned si uložte zálohové kódy na papír nebo do správce hesel. Bez nich se při ztrátě telefonu ke svému účtu nedostanete.