Jelszó és kétlépcsős azonosítás

Modul 8: Biztonságosan és gondtalanul · Olvasási idő: 10 perc

Tanulási cél: A lecke végére el tudja magyarázni, mitől erős egy postafiók jelszava, mi a teendő egy jelszócsere után az eszközein, hogyan jön létre egy hitelesítő alkalmazás kódja, és mit véd, illetve mit nem véd a kétlépcsős azonosítás a webmailben.

Kulcsfogalmak: postafiók jelszava, jelszókezelő, kétlépcsős azonosítás, TOTP, közös titok, QR-kód, helyreállító kód, óraeltérés, IMAP és SMTP második lépés nélkül

Miért a postafiókja a legfontosabb fiókja

A postafiókja az online élete kulcscsomója. Szinte minden szolgáltatás az e-mail-címére küldi a jelszó-visszaállító linket. Aki megszerzi a postafiókját, az a webáruházát, a könyvelését és a közösségimédia-fiókjait is átveheti. Ráadásul az Ön nevében levelezhet olyan ügyfelekkel, akik megbíznak Önben. Az ellopott postafiókokat ezért gyakran számlacsalásra vagy spamküldésre használják. Ez utóbbi az egész domainjét bajba sodorja: más szerverek elkezdik visszautasítani a leveleit.

Két dolog tartja távol a behatolókat: egy jó jelszó és egy második lépés a bejelentkezéskor.

Az erős jelszó elsősorban hosszú és egyedi

A postafiók jelszava egyetlen e-mail-címhez tartozik. Nem azonos az ügyfélfiókja vagy a csomagja kezelőpaneljének jelszavával (1.3. lecke).

Mitől erős egy jelszó? Nem attól, hogy egy szó mögé felkiáltójelet tesz, hanem a hossztól és a véletlenszerűségtől. A támadók kiszivárgott jelszavakat, valamint gyakori szavakat és mintákat tartalmazó listákat próbálgatnak. A „Zomer2026!” szerepel egy ilyen listán, négy véletlenszerű szó vagy húsz véletlenszerű karakter viszont nem. Ugyanilyen fontos, hogy a jelszó egyedi legyen. Ha egy webáruházból, ahol ugyanazt a jelszót használta, kiszivárognak az adatok, a bűnözők a postafiókjánál is kipróbálják.

A gyakorlati megoldás egy jelszókezelő: egy program, amely minden szolgáltatáshoz hosszú, véletlenszerű jelszót készít és meg is jegyzi azt. Önnek így csak egyetlen erős mesterjelszót kell észben tartania.

Csere után: frissítse az összes eszközét

A jelszót a webmailben a Beállítások > Jelszó menüpontban módosíthatja, vagy a csomagja kezelőpaneljén, ha a régit már nem tudja. Ettől a pillanattól kezdve mindenhol az új jelszó érvényes: a webmailben, a telefonján és a levelezőprogramjában.

Itt sokszor becsúszik a hiba. Sanne de Vries hétfőn megváltoztatja a sanne@example.com jelszavát. A laptopján azonnal frissíti, a konyhában lévő régi tabletjéről viszont megfeledkezik. A tablet néhány percenként újra és újra megpróbál bejelentkezni a régi jelszóval. Több sikertelen próbálkozás után a szerver tűzfala észreveszi, hogy egy kapcsolat folyamatosan rossz jelszót próbál, és letiltja az IP-címet. Mivel otthon a tablet és a laptop ugyanazt az IP-címet használja, Sanne hirtelen a laptopjáról sem éri el a leveleit, és néha a weboldalát sem.

Ezért egy jelszócsere után azonnal frissítse az összes eszközét: a telefonját, a tabletjét, a számítógépén futó levelezőprogramot, és ha van ilyen, a leveleket küldő nyomtatót vagy szkennert is.

Kétlépcsős azonosítás: valami, amit tud, és valami, ami Önnél van

A kétlépcsős azonosítás esetén (a webmailben a neve Kétfaktoros bejelentkezés) a bejelentkezéshez két dologra van szüksége: a jelszavára (valami, amit tud) és egy kódra a telefonjáról (valami, ami Önnél van). Aki adathalászat vagy adatszivárgás révén megszerzi a jelszavát, így még nem jut be.

A kód egy hitelesítő alkalmazásból származik, például a jelszókezelője alkalmazásából vagy egy külön, ilyen kódokra szolgáló alkalmazásból. A módszer neve TOTP, time-based one-time password (időalapú egyszer használatos jelszó), leírása az RFC 6238-ban található. Így működik:

1. A bekapcsoláskor a webmail létrehoz egy közös titkot: egy véletlenszerű karaktersort. Ezt titkos kulcsként és QR-kódként látja.
2. A QR-kódot beolvassa az alkalmazással. Ettől kezdve a szerver és a telefonja is ugyanazt a titkot ismeri.
3. Mindkettő 30 másodpercenként a titokból és az aktuális időből kiszámít egy hatjegyű kódot.
4. Bejelentkezéskor a szerver összeveti az Ön kódját a saját eredményével.

Ebből két dolog következik. Az alkalmazásnak nincs szüksége internetre: csak a titokkal és az órával számol. Az órának viszont pontosnak kell lennie. Ha a telefonja néhány percet siet vagy késik, egy másik időablakkal számol, és a kód nem lesz jó. Állítsa a telefonján az időt automatikusra.

Van egy harmadik következmény is: a QR-kód maga a titok. Akinek van róla fényképe vagy képernyőképe, ugyanazokat a kódokat tudja előállítani. Ezért soha ne ossza meg, és ne tárolja képként.

A képen az a képernyő látható, ahol a kétlépcsős azonosítást bekapcsolja, a titkos kulccsal, a helyreállító kódokkal és a QR-kóddal.

Helyreállító kódok és az elveszett telefon

A bekapcsoláskor négy helyreállító kódot is kap. Mindegyik egyszer használható, az alkalmazás kódja helyett. Ezek a tartalékkulcsai arra az esetre, ha a telefonja elromlik, ellopják vagy lecseréli. A telefonjától elkülönítve tárolja őket: a jelszókezelőjében vagy papíron egy fiókban.

Ha felhasznál egy helyreállító kódot, azonnal állítsa be újra a kétlépcsős azonosítást az új telefonjával. Ekkor új helyreállító kódokat is kap. Ha már nincs helyreállító kódja, a levelezési szolgáltatója a személyazonossága ellenőrzése után kikapcsolhatja a postafiókjánál a második lépést.

A saját számítógépén bejelentkezéskor beállíthatja, hogy a webmail 30 napig ne kérjen újra kódot. Közös használatú számítógépen ezt soha ne tegye.

Amit a kétlépcsős azonosítás nem véd

Ez a legfontosabb buktató, és sokan nem ismerik. A webmail kétlépcsős azonosítása csak a webmailre vonatkozik. A levelezőprogramja és a telefonja levelezőalkalmazása IMAP (letöltés) és SMTP (küldés) protokollon keresztül jelentkezik be, és ezek csak a jelszót kérik. Egy támadó, aki ismeri a jelszavát, egy levelezőprogrammal tehát továbbra is olvashatja a leveleit, és küldhet az Ön nevében.

A kétlépcsős azonosítás ezért kiegészítés, nem helyettesítés. A jelszavának továbbra is hosszúnak és egyedinek kell lennie. Az ügyfélfiókja kétlépcsős azonosítását külön kell beállítania: az egy másik fiók, saját védelemmel.

A nagy szolgáltatóknál, például a Gmailnél vagy az Outlook.comnál ez kicsit másként működik: ott a második lépés gyakran az egész fiókra vonatkozik, és a levelezőprogramnak külön alkalmazásjelszóra vagy saját bejelentkezési módra van szüksége. Az alapelv ugyanaz: jelszó plusz valami, ami Önnél van.

A gyakorlatban: így működik a webmailben

A jelszót a Beállítások > Jelszó menüpontban módosíthatja, a kétlépcsős azonosítást pedig a Beállítások > Kétfaktoros bejelentkezés menüpontban kapcsolhatja be. Ott bejelöli az Aktiválás jelölőnégyzetet, hagyja, hogy a webmail kitöltse a mezőket, beolvassa a QR-kódot, ellenőriz egy kódot, majd ment. A lépéseket a Roundcube kézikönyv írja le (10.3, 10.4 és 10.5). Más webmailekben hasonló beállítások vannak, gyakran a Biztonság menüpont alatt.

Összefoglalás

• A postafiókja a kulcs a többi fiókjához: védje egy jelszókezelőből származó hosszú, egyedi jelszóval.
• Jelszócsere után frissítse az összes eszközét; egy régi jelszót használó eszköz miatt letilthatják az IP-címét.
• A TOTP 30 másodpercenként kódot készít egy közös titokból és az időből; a telefonja órájának pontosnak kell lennie, és a QR-kód maga a titok.
• A négy helyreállító kódot a telefonján kívül tárolja; mindegyik kód egyszer használható.
• A webmail kétlépcsős azonosítása csak a webmailt védi, a levelezőprogram IMAP- és SMTP-kapcsolatát nem.

Kvíz

Feladat

A8.1. feladat: Gyakorlás hitelesítő alkalmazással. Kattintson a gombra egy gyakorló titokért. Egy gyakorló fiók QR-kódját kapja meg. Olvassa be egy tetszőleges hitelesítő alkalmazással (vagy gépelje be a megjelenített kulcsot), és írja be a hatjegyű kódot, amelyet az alkalmazás mutat. A program ugyanazzal a gyakorló titokkal és az idővel ellenőrzi, hogy a kódja helyes-e; az előző vagy a következő időablak kódját is elfogadja, így egy kis óraeltérés nem okoz gondot. Zöld: a kód helyes. Piros: a kód nem helyes; ilyenkor ellenőrizze a telefonja óráját, és azt, hogy az alkalmazásban a megfelelő sort használja-e. A gyakorló titok nem tartozik a postafiókjához, nincs értéke, és 24 órán belül megszűnik. Utána törölje a gyakorló fiókot az alkalmazásból.

Bővebben olvasva

Ahol a webmail lépései szerepelnek, azok a WebOké webmailjére vonatkoznak; más webmailekben hasonlóan működik.

• Roundcube Webmail 10.3: Kétlépcsős azonosítás bekapcsolása
• Roundcube Webmail 10.4: Bejelentkezés kétlépcsős azonosítással
• Roundcube Webmail 10.5: A postafiók jelszavának módosítása
• E-mail-cím jelszavának vagy korlátainak módosítása
• Jelszókezelő és passkeyek: így intézheti biztonságosan a bejelentkezéseit
• Ingyenes tanfolyam: Biztonságos online jelenlét vállalkozóknak 2.1: Mit jelent valójában az erős jelszó
• Ingyenes tanfolyam: Biztonságos online jelenlét vállalkozóknak 2.3: Kétlépcsős azonosítás: kódok, alkalmazások és sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (angol nyelven): https://www.rfc-editor.org/rfc/rfc6238