Modul 2 · 2.3
Dvofaktorska autentifikacija: kodovi, aplikacije i SMS
Modul 2: Lozinke i prijava · Vrijeme čitanja: 11 minuta
Cilj učenja: Nakon ove lekcije moći ćete usporediti oblike dvofaktorske autentifikacije (SMS, e-pošta, TOTP, push), prepoznati napade na njih i unaprijed urediti postupak oporavka za slučaj da izgubite telefon.
Ključni pojmovi: 2FA/MFA, faktor (znanje, posjedovanje, biometrija), TOTP, dijeljena tajna, push obavijest, MFA zamor, sim-swap, kodovi za oporavak
Dva različita dokaza
Lozinka je nešto što znate. Ako procuri, svatko tko je zna može se prijaviti. Dvofaktorska autentifikacija (2FA) zato traži drugi dokaz druge vrste. Kad je uključeno više od dva faktora, govori se o višefaktorskoj autentifikaciji (MFA); u praksi se ti pojmovi koriste naizmjenično.
Postoje tri vrste faktora:
- Znanje: lozinka ili PIN kod.
- Posjedovanje: Vaš telefon s aplikacijom, sigurnosni ključ, kartica.
- Biometrija: Vaš otisak prsta ili lice.
Dva puta ista vrsta se ne računa: lozinka i sigurnosno pitanje su dvije stvari koje znate. Nizozemski NCSC izdaje izričitu preporuku da se MFA koristi na svakom sustavu i računu koji to podržava, a svakako na računima dostupnima putem interneta i na računima s administratorskim ovlastima. Za malu tvrtku to su u svakom slučaju: e-pošta, hosting i registracija domene, banka, računovodstvo, web trgovina, upravitelj lozinki i poslovne društvene mreže.
Oblici jedan uz drugi
| Oblik | Kako radi | Slaba točka | Otporno na phishing? |
|---|---|---|---|
| Kod putem SMS-a | Usluga šalje kod na Vaš telefonski broj | Sim-swap, presretanje, Vaš broj nije Vaš uređaj | Ne |
| Kod putem e-pošte | Usluga šalje kod u Vaš poštanski sandučić | Jak koliko i Vaš poštanski sandučić; ako je on preuzet, ovo nije drugi zasun | Ne |
| Autentifikatorska aplikacija (TOTP) | Aplikacija svakih 30 sekundi generira novi kod | Tajna može procuriti pri postavljanju ili u lošoj sigurnosnoj kopiji; kod prepisujete ručno | Ne |
| Push obavijest | Telefon pita "Jeste li to Vi?" i Vi dodirnete Odobri | MFA zamor | Ne, bolje je uz unos broja |
| Passkey ili sigurnosni ključ | Vaš uređaj kriptografski dokazuje tko ste, samo za pravu domenu | Oporavak ako sve izgubite | Da (lekcija 2.4) |
Svaki je oblik mnogo bolji od izostanka drugog koraka. No tablica također pokazuje: sve pri čemu Vi prepisujete kod ili odobravate obavijest, prevarant može navesti da učinite na svojoj lažnoj stranici. NIST to u dokumentu SP 800-63B-4 kaže bez okolišanja: metode kod kojih rezultat ručno unosite nisu otporne na phishing.
Kako radi autentifikatorska aplikacija
Autentifikatorska aplikacija koristi TOTP: Time-based One-Time Password, opisan u RFC 6238. Radi ovako:
- Pri postavljanju usluga generira nasumičnu dijeljenu tajnu, primjerice 32 znaka poput
JBSWY3DPEHPK3PXP.... Ta se tajna nalazi u QR kodu koji skenirate, ili je prepisujete kao "ručni ključ". - Vaša aplikacija i usluga sada imaju istu tajnu. Nakon toga više nije potreban nikakav kontakt između njih dvoje.
- Svakih 30 sekundi obje strane izračunaju tajnu i trenutačno vrijeme te dobiju kod od 6 znamenki. Budući da imaju istu tajnu i isti sat, dobiva se isti kod.
- Pri prijavi usluga uspoređuje Vaš kod sa svojim vlastitim rezultatom, obično s tolerancijom od jednog vremenskog razdoblja prije ili poslije za sat koji malo odstupa.
Dvije posljedice:
- Tajna je zapravo pravi zasun. Tko vidi QR kod ili ručni ključ, može zauvijek generirati iste kodove kao Vaš telefon. Zato od njega nemojte praviti snimku zaslona, nemojte ga dijeliti ni s kim i nemojte ga slati kolegi.
- Kod radi i bez interneta i ne stiže putem telefonske mreže. Zato je TOTP jači od SMS-a.
Autentifikatorske aplikacije dolaze u različitim oblicima: samostalne na telefonu, ugrađene u upravitelj lozinki, otvorenog koda ili od velike tehnološke tvrtke, s ili bez šifrirane sigurnosne kopije u cloudu. Primjeri su Aegis, Google Authenticator i Microsoft Authenticator, uz funkciju u upraviteljima poput Bitwarden ili 1Password. Sigurnosna kopija je korisna pri nabavi novog telefona, ali nizozemski NCSC upozorava: loše šifrirana sigurnosna kopija napadaču daje pristup jednako lako.
Sim-swap: zašto je SMS najslabiji oblik
Kod sim-swapa prevarant preuzima Vaš telefonski broj. On Vaš broj prebacuje na SIM karticu ili eSIM koju sam posjeduje. To mu uspijeva, primjerice, tako da se kod Vašeg operatera predstavi kao Vi, ili tako da Vas navede da sami surađujete: policija i nacionalni CERT upozoravaju na SMS poruke i pozive "u ime operatera" koji tvrde da je potrebno potvrditi SIM karticu ili hitno prebaciti broj na eSIM.
Čim mu to uspije:
- Vaš telefon odjednom nema signala i ne možete ni zvati ni primati SMS poruke;
- prevarant dobiva sve SMS kodove, uključujući kodove za "zaboravljenu lozinku" usluga koje Vaš broj koriste kao način oporavka;
- ponekad samo s Vašim brojem može preuzeti račune.
Problem je u tome što to primijetite tek kad telefon prestane raditi, često navečer ili vikendom. NIST zato SMS naziva ograničenom metodom i kaže da usluge trebaju obratiti pažnju na signale poput nove SIM kartice ili prebačenog broja. Nizozemski NCSC savjetuje da se SMS po mogućnosti izbjegava, jer poruke nisu šifrirane i mogu se presresti.
Što učiniti?
- Gdje god je moguće, birajte aplikaciju ili passkey umjesto SMS-a.
- Uklonite svoj telefonski broj kao način oporavka tamo gdje je to slaba točka, ili ga dodatno zaštitite.
- Pitajte svog operatera možete li postaviti dodatni PIN ili provjeru za prebacivanje Vašeg broja.
- Signal odjednom nestane bez razloga? Nazovite operatera s drugog uređaja. Nemojte čekati.
SMS je i dalje bolji od ničega. Ako usluga nudi samo SMS, ipak ga uključite.
MFA zamor: obavijest koju samo odbacite
Kod push obavijesti ne morate ništa prepisivati: telefon pita "Pokušavate li se prijaviti?" i Vi dodirnete Odobri. Jednostavno, i upravo zato zloupotrebljavano.
Kod MFA zamora (poznatog i kao push bombardiranje) napadač već ima Vašu lozinku. On se neprestano iznova pokušava prijaviti, tako da Vaš telefon prima jednu obavijest za drugom, ponekad usred noći. Američka agencija CISA opisuje kako ljudi tada iz ljutnje ili slučajno dodirnu Odobri, ili pomisle da će barem jedna od obavijesti biti stvarna. Ponekad napadač uz to i nazove, predstavljajući se kao "služba za korisnike", s molbom da samo odobrite.
Slučaj iz prakse koji opisuje nizozemski NCSC: napadači su putem MFA zamora ušli u poštanske račune softverske tvrtke i potom ih koristili za prijevaru s lažnim računima.
Pravila:
- Nikad ne odobravajte obavijest koju sami niste izazvali. Pa ni dvadesetu.
- Neočekivana obavijest znači da netko ima Vašu lozinku. Odmah je promijenite i prijavite slučaj.
- Gdje god je moguće, birajte unos broja: zaslon za prijavu prikazuje broj koji unosite u aplikaciju. Tko ne sjedi pred zaslonom za prijavu, ne može tada odobriti. CISA to naziva dobrim privremenim korakom, ali slabijim od MFA otporne na phishing.
Oporavak: uredite to prije nego izgubite telefon
Vaš telefon padne u vodu, bude ukraden ili se pokvari. Bez pripreme ostajete izvan vlastitih računa. Zato postoje kodovi za oporavak (poznati i kao rezervni kodovi): niz rezervnih kodova koje dobijete pri postavljanju, a svaki radi samo jednom.
- Nemojte ih čuvati na istom telefonu kao Vašu autentifikatorsku aplikaciju. Ispišite ih i spremite uz važne papire, ili ih spremite u svoj upravitelj lozinki uz odgovarajuću stavku.
- Iskoristili ste kod za oporavak? Precrtajte ga. Ako Vam ponestane kodova, generirajte nove.
- Osigurajte barem dva načina za pristup: primjerice aplikaciju i kodove za oporavak, ili dva sigurnosna ključa.
- Pri novom telefonu prvo prebacite svoje račune, a tek nakon toga obrišite stari.
- Znajte kako funkcionira postupak oporavka Vaših najvažnijih usluga. Dobra usluga ne vraća Vaš drugi korak samo na temelju e-pošte ili poziva, nego prvo provjerava da ste to zaista Vi.
U praksi: ovako to izgleda
U okruženju WebOké, Moj WebOké nakon lozinke uvijek traži drugi korak: standardno kod putem e-pošte, a možete prijeći na autentifikatorsku aplikaciju. U DirectAdmin to se zove Two-Step Authentication, s kodovima za oporavak. U Nextcloud uključujete TOTP i generirate deset rezervnih kodova. Kod drugih pružatelja usluga radi slično: potražite u postavkama profila ili sigurnosti izraze "dvofaktorska autentifikacija", "2FA", "authenticator" ili "two-factor".
Koraci su gotovo uvijek isti: skeniranje QR koda, unos jednog koda radi provjere, spremanje kodova za oporavak.
Sažetak
- 2FA kombinira dvije vrste faktora: znanje, posjedovanje, biometriju.
- TOTP radi pomoću dijeljene tajne i sata. Tajna (QR kod) je zapravo pravi zasun: nikad je ne dijelite.
- SMS je najslabiji oblik zbog sim-swapa i presretanja, ali je bolji od ničega.
- MFA zamor: nikad ne odobravajte obavijest koju sami niste izazvali, a zatim promijenite lozinku.
- Kodovi i obavijesti nisu otporni na phishing; passkeyjevi i sigurnosni ključevi jesu (lekcija 2.4).
- Uredite kodove za oporavak i drugu metodu prije nego izgubite telefon.
Kviz
Zadatak
Zadatak A2.3: Povezivanje authenticator aplikacije. Dobit ćete QR kod probnog računa "WebOké vježba". Skenirajte ga autentifikatorskom aplikacijom po izboru i unesite dva koda koja se prikažu jedan za drugim. Program provjerava računa li Vaša aplikacija ispravno. Probna tajna nema nikakvu vrijednost i briše se nakon 24 sata; nakon toga uklonite probni račun iz svoje aplikacije.
Zadatak D2.3: Uključivanje dvofaktorske autentifikacije na Vašim najvažnijim računima. Uključite dvofaktorsku autentifikaciju na svojoj e-pošti, hostingu ili registraciji domene, banci, računovodstvu i upravitelju lozinki. Pohranite kodove za oporavak na drugom mjestu i odgovorite na pitanje što radite ako sutra izgubite telefon.
Zadatak D2.3: Uključivanje dvofaktorske autentifikacije na Vašim najvažnijim računima
Evo kako to riješiti: (1) Napravite popis svojih najvažnijih računa: poštanski sandučić, hosting i registracija domene, banka, knjigovodstvo, web trgovina, upravitelj lozinki, društvene mreže tvrtke. (2) Kod svakog uključite dvofaktorsku autentifikaciju. Birajte ovim redoslijedom, ovisno o tome što usluga nudi: passkey ili sigurnosni ključ, authenticator aplikacija, push obavijest s upisivanjem broja, kod putem e-pošte, SMS. (3) Kod svakog spremite kodove za oporavak na drugo mjesto (ispisane ili u Vašem upravitelju lozinki), ne na istom telefonu na kojem je Vaša authenticator aplikacija. (4) Pobrinite se da imate barem dva načina prijave za svaki važan račun. (5) Pitajte svog pružatelja usluge možete li postaviti dodatnu provjeru ili PIN kod za prijenos broja. (6) Dogovorite se s timom: obavijest o prijavi koju sami niste izazvali nikada ne odobravate; odmah je prijavljujete.
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatna literatura
Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.
- Dvofaktorska provjera autentičnosti u Moj WebOké i postavljanje aplikacije za autentifikaciju
- Priručnik za WebOké 3.2: Kod za prijavu putem e-pošte (dvostupanjska provjera)
- Priručnik za WebOké 3.3: Korištenje aplikacije za autentifikaciju
- DirectAdmin priručnik 3.2: Postavljanje dvostupanjske autentifikacije
- DirectAdmin priručnik 3.3: Sigurnosni kodovi i što učiniti ako izgubite pristup aplikaciji za autentifikaciju
- Nextcloud priručnik 3.3: Postavljanje aplikacije za autentifikaciju i spremanje pričuvnih šifri
- Nextcloud priručnik 3.10: Izgubljeni telefon ili izgubljena dvofaktorska autentifikacija: ovako ponovno dobivate pristup
- Postavljanje dvostupanjske provjere (2FA) u Nextcloudu
- Nizozemski NCSC, Kako odabrati MFA metodu? (nizozemski): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
- Nacionalni CERT, preporuke o prijavi lažnih poruka i sumnjivih poziva: https://www.cert.hr/
- CISA, Implementing Number Matching in MFA Applications (engleski): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (engleski): https://www.rfc-editor.org/rfc/rfc6238