Modul 2 · 2.3
Kétlépcsős azonosítás: kódok, alkalmazások és sms
Modul 2: Jelszavak és bejelentkezés · Olvasási idő: 11 perc
Tanulási cél: E lecke után Ön képes lesz összehasonlítani a kétlépcsős azonosítás formáit (sms, e-mail, TOTP, push), felismerni az ezek elleni támadásokat, és megszervezni a helyreállítást arra az esetre, ha elveszítené a telefonját.
Kulcsfogalmak: 2FA/MFA, tényező (tudás, birtoklás, lényeg), TOTP, megosztott titok, push-értesítés, MFA-fáradtság, sim-swap, helyreállítási kódok
Két különböző bizonyíték
A jelszó valami, amit Ön tud. Ha kiszivárog, bárki beléphet, aki ismeri. A kétlépcsős azonosítás (2FA) ezért egy másfajta második bizonyítékot kér. Kettőnél több tényező esetén többfaktoros hitelesítésről (MFA) beszélünk; a gyakorlatban a két kifejezést gyakran felváltva használják.
Háromféle tényező létezik:
- Tudás: egy jelszó vagy PIN-kód.
- Birtoklás: a telefonja egy alkalmazással, egy biztonsági kulcs, egy kártya.
- Lényeg: az Ön ujjlenyomata vagy arca.
Kétszer ugyanaz a fajta nem számít: egy jelszó plusz egy biztonsági kérdés két dolog, amit Ön tud. A holland NCSC nyomatékosan javasolja az MFA használatát minden olyan rendszeren és fiókon, amely ezt támogatja, különösen az interneten elérhető fiókokon és a jogosultsággal rendelkező fiókokon. Egy kisvállalkozás esetében ez mindenképpen a következőket jelenti: e-mail, tárhely (hosting) és domain regisztráció, bank, könyvelés, webáruház, a jelszókezelő és a cég közösségi médiafiókjai.
A formák egymás mellett
| Forma | Hogyan működik | Gyenge pont | Adathalászat ellen? |
|---|---|---|---|
| Kód sms-ben | A szolgáltatás kódot küld a telefonszámára | Sim-swap, lehallgatás, a száma nem egyenlő a készülékével | Nem |
| Kód e-mailben | A szolgáltatás kódot küld a postafiókjába | Csak annyira erős, mint a postafiókja; ha azt átvették, ez nem jelent második zárat | Nem |
| Authenticator-alkalmazás (TOTP) | Egy alkalmazás 30 másodpercenként új kódot készít | A titok kiszivároghat a beállításkor vagy egy rossz biztonsági mentésben; Ön a kódot begépeli | Nem |
| Push-értesítés | A telefonja megkérdezi: "Ön volt ez?", és Ön megérinti a Jóváhagyás gombot | MFA-fáradtság | Nem, a szám begépelése jobb |
| Passkey vagy biztonsági kulcs | Az eszköze kriptográfiailag bizonyítja, hogy ki Ön, kizárólag a valódi domainnek | Helyreállítás, ha mindent elveszít | Igen (2.4. lecke) |
Minden forma sokkal jobb, mint a második lépés hiánya. De a táblázat azt is mutatja: mindaz, amiben Ön begépel egy kódot vagy jóváhagy egy értesítést, egy csaló által az ő hamis oldalán is megtehető. A NIST az SP 800-63B-4 dokumentumban kertelés nélkül kimondja: azok a módszerek, amelyeknél Ön kézzel adja meg az eredményt, nem állnak ellen az adathalászatnak.
Hogyan működik egy authenticator-alkalmazás
Egy authenticator-alkalmazás TOTP-t használ: Time-based One-Time Password, amelyet az RFC 6238 ír le. Ez így működik:
- A beállításkor a szolgáltatás létrehoz egy véletlenszerű megosztott titkot, például 32 karaktert, mint
JBSWY3DPEHPK3PXP.... Ez a titok abban a QR-kódban van, amelyet beolvas, vagy "manuális kulcsként" begépelheti. - Az Ön alkalmazása és a szolgáltatás most ugyanazzal a titokkal rendelkezik. Ezután nincs szükség további kapcsolatra a kettő között.
- 30 másodpercenként mindkettő kiszámítja a titkot plusz az aktuális időt, és egy 6 jegyű kódot kap. Mivel mindkettőnek ugyanaz a titka és ugyanaz az órája, ugyanaz a kód jön ki.
- Bejelentkezéskor a szolgáltatás összehasonlítja az Ön kódját a saját eredményével, általában egy időegységnyi eltéréssel korábbra vagy későbbre, egy kicsit pontatlan óra miatt.
Két következmény:
- A titok maga a tulajdonképpeni zár. Aki látja a QR-kódot vagy a manuális kulcsot, örökre ugyanolyan kódokat tud létrehozni, mint az Ön telefonja. Ne készítsen róla képernyőfotót, senkivel ne ossza meg, és ne küldje el egy munkatársnak sem.
- A kód internet nélkül is működik, és nem a telefonhálózaton keresztül érkezik. Ezért a TOTP erősebb, mint az sms.
Az authenticator-alkalmazásoknak többféle típusa van: önálló a telefonon, beépítve egy jelszókezelőbe, nyílt forráskódú vagy egy nagy techcégtől, titkosított felhőbeli biztonsági mentéssel vagy anélkül. Példák: Aegis, Google Authenticator és Microsoft Authenticator, valamint az olyan jelszókezelők funkciója, mint a Bitwarden vagy az 1Password. Egy biztonsági mentés hasznos egy új telefonnál, de a holland NCSC figyelmeztet: egy gyengén titkosított biztonsági mentés egy támadónak is hozzáférést ad.
Sim-swap: miért az sms a leggyengébb forma
A sim-swap során egy csaló átveszi az Ön telefonszámát. Áthelyezteti a számát egy saját SIM-kártyára vagy eSIM-re. Ez sikerülhet úgy, hogy a szolgáltatójánál Önnek adja ki magát, vagy úgy, hogy Önt veszi rá a közreműködésre: a rendőrség figyelmeztet az "a szolgáltatója nevében" érkező sms-ekre és telefonhívásokra, amelyek szerint a SIM-kártyáját validálni kell, vagy sürgősen eSIM-re kell átváltani.
Amint ez sikerül:
- a telefonján hirtelen megszűnik a térerő, és Ön nem tud hívást kezdeményezni vagy sms-t küldeni;
- a csaló megkapja az összes sms-kódot, beleértve az "elfelejtett jelszó" kódokat is azoktól a szolgáltatásoktól, amelyek az Ön számát használják helyreállítási eszközként;
- néha pusztán az Ön száma birtokában is át tud venni fiókokat.
A nehézség: csak akkor veszi észre, amikor a telefonja már semmit sem csinál, gyakran este vagy hétvégén. A NIST ezért korlátozott módszernek nevezi az sms-t, és kimondja, hogy a szolgáltatóknak figyelniük kell az olyan jelekre, mint egy új SIM-kártya vagy egy áthelyezett szám. A holland NCSC azt javasolja, hogy ahol lehet, kerülje az sms-t, mivel az üzenetek nincsenek titkosítva és lehallgathatók.
Mit tegyen?
- Válasszon, ahol lehet, alkalmazást vagy passkeyt az sms helyett.
- Távolítsa el a telefonszámát mint helyreállítási eszközt, ahol ez gyenge pontot jelent, vagy védje meg azt külön.
- Kérdezze meg a szolgáltatóját, hogy beállíthat-e extra PIN-kódot vagy ellenőrzést a száma átvitelére.
- Ha a térereje hirtelen, indok nélkül megszűnik? Hívja fel a szolgáltatóját egy másik készülékről. Ne várjon.
Az sms még mindig jobb, mint a semmi. Ha egy szolgáltatás csak sms-t kínál, akkor is kapcsolja be.
MFA-fáradtság: az értesítés, amit elkattint
Egy push-értesítésnél Önnek nem kell semmit begépelnie: a telefonja megkérdezi: "Megpróbál bejelentkezni?", és Ön megérinti a Jóváhagyás gombot. Egyszerű, és pontosan ezért élnek vele vissza.
Az MFA-fáradtság (más néven push-bombázás) során a támadó már ismeri az Ön jelszavát. Újra és újra bejelentkezik, így az Ön telefonja egyik értesítést kapja a másik után, néha az éjszaka közepén. Az amerikai CISA leírja, hogyan érint az emberek bosszúságból vagy véletlenül a Jóváhagyás gombra, vagy azt gondolják, hogy a sok értesítés közül az egyik biztosan valódi lesz. Néha a támadó még fel is hívja, "ügyfélszolgálatként" bemutatkozva, azzal a kéréssel, hogy hagyja jóvá az értesítést.
A holland NCSC egy gyakorlati esetet ír le: a támadók MFA-fáradtság útján jutottak be egy szoftvercég e-mail fiókjaiba, és azokat utána számlacsalásra használták.
A szabályok:
- Soha ne hagyjon jóvá olyan értesítést, amit nem Ön maga indított el. A huszadikat se.
- Egy váratlan értesítés azt jelenti, hogy valaki ismeri az Ön jelszavát. Változtassa meg azonnal, és jelentse be.
- Válassza, ahol lehet, a szám begépelését: a bejelentkezési képernyő mutat egy számot, amelyet Önnek be kell gépelnie az alkalmazásba. Aki nem a bejelentkezési képernyő előtt ül, az így nem tudja jóváhagyni. A CISA ezt jó köztes lépésnek nevezi, de gyengébbnek, mint az adathalászatnak ellenálló MFA.
Helyreállítás: szervezze meg, mielőtt elveszítené a telefonját
A telefonja vízbe esik, ellopják, vagy elromlik. Felkészülés nélkül ekkor kizárja saját magát a saját fiókjaiból. Ezért léteznek helyreállítási kódok (más néven tartalék kódok): egy sor tartalékkód, amelyet a beállításkor kap, és amelyek mindegyike egyszer használható.
- Ne tárolja őket ugyanazon a telefonon, mint az authenticator-alkalmazását. Nyomtassa ki, és tegye a fontos papírjai mellé, vagy tárolja a jelszókezelőjében a megfelelő tételnél.
- Felhasznált egy helyreállítási kódot? Húzza át. Ha elfogynak, készítsen újakat.
- Gondoskodjon legalább két módszerről a bejutásra: például az alkalmazás plusz helyreállítási kódok, vagy két biztonsági kulcs.
- Új telefon esetén először vigye át a fiókjait, és csak utána törölje a régit.
- Ismerje a legfontosabb szolgáltatásai helyreállítási eljárását. Egy jó szolgáltatás nem egyszerűen visszaállítja a második lépését egy e-mail vagy telefonhívás alapján, hanem előbb ellenőrzi, hogy valóban Ön az.
A gyakorlatban: így néz ki
A WebOké rendszerében a Fiókom a jelszó után mindig kér egy második lépést: alapértelmezés szerint egy e-mailben küldött kódot, és áttérhet egy authenticator-alkalmazásra. A DirectAdminben ez Kétlépcsős hitelesítés néven szerepel, helyreállítási kódokkal. A Nextcloudban bekapcsolja a TOTP-t, és tíz tartalékkódot készít. Más szolgáltatóknál hasonlóan működik: keresse a profil vagy biztonsági beállítások között a "kétlépcsős azonosítás", "2FA", "authenticator" vagy "two-factor" kifejezéseket.
A lépések szinte mindig ugyanazok: QR-kód beolvasása, egy kód megadása ellenőrzésképpen, helyreállítási kódok mentése.
Összefoglalás
- A 2FA két különböző fajta tényezőt kombinál: tudás, birtoklás, lényeg.
- A TOTP egy megosztott titokkal és az órával működik. A titok (QR-kód) maga a tulajdonképpeni zár: soha ne ossza meg.
- Az sms a leggyengébb forma a sim-swap és a lehallgatás miatt, de jobb, mint a semmi.
- MFA-fáradtság: soha ne hagyjon jóvá olyan értesítést, amit nem Ön indított el, és ezután változtassa meg a jelszavát.
- A kódok és az értesítések nem állnak ellen az adathalászatnak; a passkeyk és biztonsági kulcsok igen (2.4. lecke).
- Szervezzen helyreállítási kódokat és egy második módszert, mielőtt elveszítené a telefonját.
Kvíz
Feladat
A2.3 feladat: Egy authenticator alkalmazás összekapcsolása. Kap egy QR-kódot egy "WebOké oefening" gyakorlófiókhoz. Olvassa be egy tetszőleges authenticator-alkalmazással, és adjon meg két egymás után megjelenő kódot. A program ellenőrzi, hogy az alkalmazása helyesen számol-e. A gyakorlótitoknak nincs értéke, és 24 óra múlva törlődik; utána távolítsa el a gyakorlófiókot az alkalmazásából.
D2.3 feladat: Kétlépcsős azonosítás bekapcsolása a legfontosabb fiókjain. Kapcsolja be a kétlépcsős azonosítást az e-mail fiókján, a tárhelyén vagy domain regisztrációján, a bankjánál, a könyvelésben és a jelszókezelőjében. Tárolja a helyreállítási kódokat egy második helyen, és válaszolja meg, mit tenne, ha holnap elveszítené a telefonját.
D2.3. feladat: Kétlépcsős azonosítás bekapcsolása a legfontosabb fiókjain
Így kezdjen hozzá: (1) Készítsen listát a legfontosabb fiókjairól: postafiók, tárhely (hosting) és domainregisztráció, bank, könyvelés, webáruház, jelszókezelő, a cég közösségi média fiókjai. (2) Mindegyiknél kapcsolja be a kétlépcsős azonosítást. Ebben a sorrendben válassza ki, amit a szolgáltató kínál: passkey vagy biztonsági kulcs, authenticator-alkalmazás, push értesítés számbeírással, kód e-mailben, sms. (3) Minden fióknál tárolja a helyreállító kódokat egy második helyen (kinyomtatva vagy a jelszókezelőjében), ne azon a telefonon, amelyen az authenticator-alkalmazás van. (4) Minden fontos fiókhoz gondoskodjon legalább két belépési módról. (5) Kérdezze meg szolgáltatójától, hogy beállítható-e extra ellenőrzés vagy PIN-kód a szám átírására. (6) Beszéljék meg a csapatban: olyan bejelentkezési értesítést, amelyet nem Ön okozott, soha ne hagyjon jóvá, hanem jelezze azonnal.
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
Bővebben
A WebOké cikkeiben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.
- A kétlépcsős azonosítás beállítása a Fiókom felületen és egy hitelesítő alkalmazásban
- WebOké útmutató 3.2: A belépési kód e-mailben (kétlépcsős azonosítás)
- WebOké útmutató 3.3: Hitelesítő alkalmazás használata
- DirectAdmin útmutató 3.2: Kétlépcsős hitelesítés beállítása
- DirectAdmin útmutató 3.3: Biztonsági mentési kódok, és mi a teendő, ha elveszett a hitelesítő alkalmazás
- Nextcloud kézikönyv 3.3: Hitelesítő alkalmazás beállítása és biztonsági kódok mentése
- Nextcloud kézikönyv 3.10: Elveszett telefon vagy elveszett kétlépcsős azonosítás: így tud újra bejelentkezni
- Kétlépcsős azonosítás (2FA) beállítása a Nextcloudban
- NKI, Hogyan válasszon MFA-módszert?: https://nki.gov.hu/
- Rendőrség, Figyelmeztetés a szolgáltató nevében érkező hamis üzenetekre: SIM-kártya átvétele: https://www.police.hu/
- CISA, Implementing Number Matching in MFA Applications (angol nyelvű): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (angol nyelvű): https://www.rfc-editor.org/rfc/rfc6238