Baza wiedzy

Uwierzytelnienie wieloskładnikowe, czyli MFA z ang. Multi-Factor Authentication (najczęściej stosowane jako dwuskładnikowe, czyli 2FA – Two-Factor Authentication), bo o nim mowa, to skuteczny sposób zabezpieczenia kont e-mail czy profili w mediach społecznościowych. Dzięki niemu - nawet jeśli cyberprzestępca w jakiś sposób pozna nasze hasło - nie dostanie się do konta.

Włącz!

Jeśli korzystacie z bankowości elektronicznej będziecie wiedzieli o co chodzi. Banki mają bowiem prawny obowiązek stosowania uwierzytelnienia dwuskładnikowego. Jeden składnik to najczęściej hasło lub PIN, którym logujecie się do konta. Drugi – to np. sms z kodem, który trzeba wpisać przy potwierdzaniu przelewu.

Tak samo to działa w przypadku kont e-mail czy profili w mediach społecznościowych. Tam nie jest to jednak zawsze automatyczne ustawienie. Często musimy włączyć je sami. Warto to zrobić! 
- Uwierzytelnienie dwuskładnikowe warto stosować do ważnych kont, czyli tych, na których naprawdę nam zależy, na które włamanie spowodowałoby dla nas największe szkody – mówi minister Marek Zagórski, pełnomocnik rządu ds. cyberbezpieczeństwa. – To np. poczta elektroniczna. Jeśli przestępcy dostaną się do naszej skrzynki odbiorczej – mogą ją wykorzystać do resetowania haseł na innych kontach. Dlatego warto zadbać o dodatkowe zabezpieczenie – dodaje.

Tak jak już wspominaliśmy - niektóre usługi online będą miały od razu włączone 2FA. Większość jednak nie ma takiej opcji. Musimy zatem włączyć je sami. Jeśli opcja włączenia dwuskładnikowego uwierzytelnienia jest dostępna - zwykle znajduje się w ustawieniach zabezpieczeń konta (może być tam nazwana np. „weryfikacją dwuetapową”).

Dwa typy

A czym dokładnie jest drugi składnik uwierzytelnienia (pierwszy to hasło)? Opcji jest kilka. Jedną z najpopularniejszych są wiadomości SMS.

Podczas uruchamiania 2FA podajemy swój numer telefonu, a usługa – np. przy zmianie hasła lub próbie logowania - wysyła nam wiadomość zawierającą kod. Dopiero po jego wprowadzeniu będziemy mogli się zalogować lub zmienić hasło.

Wiadomości tekstowe nie są najbezpieczniejszym typem 2FA, ale nadal oferują znacznie lepszą ochronę niż jego brak.

Co jeśli nie SMS? Lista kodów lub bezpłatne aplikacje generujące kody jednorazowe.

Najpierw lista kodów. Po włączeniu 2FA na niektórych kontach dostaniemy listę kodów do wykorzystania. Każdy kod będzie działał tylko raz, więc gdy użyjemy wszystkich – będziemy musieli utworzyć kolejne. Kody zapasowe są bardzo przydatne, jeśli musimy się zalogować bez telefonu. Trzeba jednak pamiętać, by trzymać je w bezpiecznym miejscu.

Dużo wygodniejszym i bezpieczniejszym niż listy kodów narzędziami wspierającymi uwierzytelnienie dwuskładnikowe są bezpłatne aplikacje. Najpopularniejsze z nich to Google Authenticator i Microsoft Authenticator generujące kody do najpopularniejszych usług oraz wspierające uwierzytelnienie dwuskładnikowe w logowaniu do zasobów organizacji (np. wewnętrznych portali).

Instrukcje konfiguracji aplikacji:

• Google Authenticator
• Microsoft Authenticator

Istnieją jeszcze inne drugie składniki, które oferuje kilka usług. Niektóre aplikacje po zalogowaniu proszą np. o pozwolenie. Inne umożliwiają korzystanie z „kluczy bezpieczeństwa”, czyli małych urządzeń (tokeny), które można dokupić. Czasem można także użyć adresu e-mail jako drugiego składnika, pod warunkiem, że jest to inne konto e-mail niż to użyte do zresetowania hasła.

Jeśli Twoje konto oferuje choćby jeden z nich i Twoim zdaniem działa prawidłowo - wszystkie one są dobrymi drugimi czynnikami.

A co jeśli 2FA nie jest dostępne? Wtedy jedynym sposobem na wzmocnienie ochrony konta jest silne i unikatowe hasło. Jak takie utworzyć? Sprawdź nasze podpowiedzi.

Możesz też rozważyć zmianę usług na takie, które oferują uwierzytelnianie dwuskładnikowe.

Więcej informacji o tworzeniu bezpiecznych haseł, dwuetapowej weryfikacji i inne wskazówki, jak dbać o swoje bezpieczeństwo w internecie – znajdziecie w naszym poradniku „Jak chronić się przed cyberatakami?” oraz w bazie wiedzy o cyberbezpieczeństwie, którą stale uzupełniamy.

Zobacz jak ustawić 2FA w Google

Zobacz jak ustawić 2FA  na Facebook’u

Zobacz jak ustawić 2FA dla Apple ID 

Zobacz jak ustawić 2FA dla konta Microsoft 

Zobacz, co radzi Twitter 

O projekcie

Projekt „Kampanie edukacyjno-informacyjne na rzecz upowszechniania korzyści z wykorzystywania technologii cyfrowych” realizowany jest przez KPRM (wcześniej Ministerstwo Cyfryzacji) we współpracy z Państwowym Instytutem Badawczym NASK. Kampanie mają na celu promowanie wykorzystywania technologii w codziennym życiu przez osoby w różnym wieku, przełamywanie barier z tym związanych oraz wzrost cyfrowych kompetencji społeczeństwa. Projekt obejmuje cztery obszary: jakość życia, e-usługi publiczne, bezpieczeństwo w sieci i programowanie.