Kaheastmeline autentimine: koodid, rakendused ja sms

Moodul 2: Paroolid ja sisselogimine · Lugemisaeg: 11 minutit

Õpieesmärk: pärast seda õppetundi oskad võrrelda kaheastmelise autentimise vorme (sms, e-post, TOTP, push), tunned ära nende vastu suunatud rünnakud ja oskad korraldada taastamise juhuks, kui su telefon kaob.

Põhimõisted: 2FA/MFA, faktor (teadmine, omamine, olemine), TOTP, jagatud saladus, push-teade, MFA-väsimus, sim-swap, taastekoodid

Kaks erinevat tõendit

Parool on midagi, mida sa tead. Kui see lekib, saab igaüks, kes seda teab, sisse logida. Kaheastmeline autentimine (2FA) nõuab seetõttu teist, teist liiki tõendit. Kui tõendeid on rohkem kui kaks, räägitakse mitmefaktorilisest autentimisest (MFA); praktikas kasutatakse neid mõisteid läbisegi.

Faktoreid on kolme liiki:

• Teadmine: parool või pin-kood.
• Omamine: su telefon koos rakendusega, turvavõti, kaart.
• Olemine: su sõrmejälg või nägu.

Kaks sama liiki tõendit ei lähe kokku: parool pluss turvaküsimus on kaks asja, mida sa tead. Madalmaade NCSC soovitab tungivalt kasutada MFA-d igas süsteemis ja kontol, mis seda toetab, ja kindlasti kontodel, mis on interneti kaudu kättesaadavad, ning kontodel, millel on administraatoriõigused. Väikese ettevõtte jaoks tähendab see vähemalt: e-post, majutus ja domeeniregistreerimine, pank, raamatupidamine, veebipood, paroolihaldur ja ettevõtte sotsiaalmeedia.

Vormid kõrvuti

Iga vorm on palju parem kui ühe-astmeline sisselogimine. Kuid tabel näitab ka: kõik, kus sa ise koodi sisestad või teate kinnitad, saab petis panna sind tegema oma võltsitud lehel. NIST ütleb seda standardis SP 800-63B-4 otsesõnu: meetodid, kus sa tulemuse käsitsi sisestad, ei ole andmepüügikindlad.

Kuidas autentimisrakendus töötab

Autentimisrakendus kasutab TOTP-d: Time-based One-Time Password, kirjeldatud standardis RFC 6238. See töötab nii:

1. Seadistamisel loob teenus juhusliku jagatud saladuse, näiteks 32 tähemärki nagu JBSWY3DPEHPK3PXP.... See saladus on QR-koodis, mille sa skannid, või kirjutad selle üle "käsitsi sisestatava võtmena".
2. Su rakendusel ja teenusel on nüüd mõlemal sama saladus. Pärast seda ei ole kahe vahel enam ühendust vaja.
3. Iga 30 sekundi järel arvutavad mõlemad saladuse ja hetke kellaaja põhjal 6-kohalise koodi. Kuna neil on sama saladus ja sama kell, tuleb välja sama kood.
4. Sisselogimisel võrdleb teenus sinu koodi oma arvutustulemusega, tavaliselt lubatakse ühe ajavahemiku võrra varasemat või hilisemat koodi, kui kell veidi erineb.

Sellest tuleneb kaks järeldust:

• Saladus ongi tegelik lukk. Kes näeb QR-koodi või käsitsi sisestatavat võtit, saab igavesti luua samu koode kui su telefon. Ära tee sellest kunagi ekraanipilti, ära jaga seda kellegagi ega saada seda kolleegile.
• Kood töötab ka ilma internetita ja ei tule telefonivõrgu kaudu. Seepärast on TOTP tugevam kui sms.

Autentimisrakendusi on mitut liiki: eraldi telefonis, sisseehitatud paroolihaldurisse, avatud lähtekoodiga või suure tehnoloogiaettevõtte oma, krüpteeritud pilvevarukoopiaga või ilma. Näited on Aegis, Google Authenticator ja Microsoft Authenticator, lisaks funktsioon haldurites nagu Bitwarden või 1Password. Varukoopia on kasulik uue telefoni puhul, kuid Madalmaade NCSC hoiatab: halvasti krüpteeritud varukoopia annab juurdepääsu ka ründajale.

Sim-swap: miks sms on kõige nõrgem vorm

Sim-swapi puhul võtab petis üle su telefoninumbri. Ta laseb su numbri üle kanda enda valduses olevale sim-kaardile või eSIM-ile. See õnnestub näiteks esinedes sinuna su operaatori juures või pannes sind endale kaasa aitama: CERT-EE (RIA, https://www.ria.ee/) ja politsei (https://www.politsei.ee/) hoiatavad sõnumite ja kõnede eest "operaatori nimel", kus väidetakse, et su sim-kaart tuleb valideerida või kiiresti eSIM-iks muuta.

Niipea kui see õnnestub:

• jääb su telefon ootamatult levialast välja ja sa ei saa enam helistada ega sõnumeid saata;
• saab petis kõik sms-koodid, sealhulgas "unustasin parooli" koodid teenustest, mis kasutavad su numbrit taastamisvahendina;
• võib ta mõnikord pelgalt su numbri abil kontod üle võtta.

Keeruline on see, et märkad seda alles siis, kui telefon enam midagi ei tee, sageli õhtul või nädalavahetusel. NIST nimetab seetõttu sms-i piiratud meetodiks ja ütleb, et teenused peaksid jälgima selliseid märke nagu uus sim-kaart või numbri ülekandmine. Madalmaade NCSC soovitab sms-i võimalusel vältida, kuna sõnumid ei ole krüpteeritud ja neid saab pealt kuulata.

Mida teha?

• Vali võimalusel sms-i asemel rakendus või passkey.
• Eemalda oma telefoninumber taastamisvahendina, kui see on nõrk koht, või kaitse seda lisaks.
• Küsi oma operaatorilt, kas saad seada lisapin-koodi või kontrolli numbri ülekandmise jaoks.
• Kui levi kaob ootamatult ilma põhjuseta, helista oma operaatorile teisest seadmest. Ära oota.

Sms on ikkagi parem kui mitte midagi. Kui teenus pakub ainult sms-i, lülita see ikkagi sisse.

MFA-väsimus: teade, mille sa lihtsalt ära klõpsad

Push-teate puhul ei pea sa midagi üle kirjutama: telefon küsib "Kas proovid sisse logida?" ja sa vajutad Kinnita. Lihtne, ja just seetõttu kuritarvitatav.

MFA-väsimuse puhul (ka push-pommitamine) on ründajal juba su parool. Ta logib korduvalt sisse, nii et su telefon saab ühe teate teise järel, mõnikord keset ööd. Ameerika CISA kirjeldab, kuidas inimesed vajutavad siis tüdimusest või kogemata Kinnita, või arvavad, et üks teadetest on ju ometi õige. Mõnikord helistab ründaja ka ise, "tugiteenusena", ja palub sul kinnitada.

Üks tegelik juhtum, mida Madalmaade NCSC kirjeldab: ründajad said MFA-väsimuse abil ligi tarkvaraettevõtte postkastidele ja kasutasid neid hiljem arvepettuseks.

Reeglid:

• Ära kunagi kinnita teadet, mille sa ise ei põhjustanud. Ka mitte kahekümnendat.
• Ootamatu teade tähendab, et keegi teab su parooli. Muuda see kohe ja teata sellest.
• Vali võimalusel numbri ümberkirjutamine: sisselogimisekraan näitab numbrit, mille sa rakendusse sisestad. Kes ei istu sisselogimisekraani ees, ei saa siis kinnitada. CISA nimetab seda heaks vahesammuks, kuid nõrgemaks kui andmepüügikindel MFA.

Taastamine: korralda see enne, kui telefon kaob

Su telefon kukub vette, varastatakse ära või läheb katki. Ilma ettevalmistuseta jääd siis oma kontodest välja. Seepärast on olemas taastekoodid (ka varukoodid): rida varukoode, mille saad seadistamisel ja mis igaüks töötab ainult üks kord.

• Ära hoia neid samas telefonis, kus on su autentimisrakendus. Prindi need välja ja hoia oma tähtsate paberite juures, või hoia neid paroolihalduris õige kirje juures.
• Kasutasid taastekoodi? Tõmba see maha. Kui need otsa saavad, tee uued.
• Hoolitse vähemalt kahe viisi eest sisselogimiseks: näiteks rakendus pluss taastekoodid, või kaks turvavõtit.
• Uue telefoni puhul vii kontod esmalt üle ja kustuta vana telefon alles pärast seda.
• Tea, kuidas toimib su kõige tähtsamate teenuste taastamisprotsess. Hea teenus ei lähtesta su teist astet pelgalt kirja või kõne peale, vaid kontrollib enne, et see oled tõesti sina.

Praktikas: nii näeb see välja

WebOké keskkonnas küsib Minu WebOké pärast su parooli alati teist sammu: vaikimisi koodi e-postiga, ja saad üle minna autentimisrakendusele. DirectAdminis kannab see nime Two-Step Authentication, koos taastekoodidega. Nextcloudis lülitad sisse TOTP ja loote kümme varukoodi. Teiste pakkujate juures töötab see sarnaselt: otsi oma profiili või turvaseadete alt "kaheastmeline autentimine", "2FA", "autentimisrakendus" või "two-factor".

Sammud on peaaegu alati samad: QR-koodi skannimine, ühe kontrollkoodi sisestamine, taastekoodide salvestamine.

Kokkuvõte

• 2FA ühendab kaks liiki faktoreid: teadmine, omamine, olemine.
• TOTP töötab jagatud saladuse ja kella abil. Saladus (QR-kood) ongi tegelik lukk: ära jaga seda kunagi.
• Sms on kõige nõrgem vorm sim-swapi ja pealtkuulamise tõttu, kuid parem kui mitte midagi.
• MFA-väsimus: ära kunagi kinnita teadet, mille sa ise ei põhjustanud, ja muuda seejärel oma parool.
• Koodid ja teated ei ole andmepüügikindlad; passkey'd ja turvavõtmed on (õppetund 2.4).
• Korralda taastekoodid ja teine meetod enne, kui telefon kaob.

Test

Ülesanne

Ülesanne A2.3: Autentimisrakenduse sidumine. Saad QR-koodi harjutuskontolt "WebOké oefening". Skanni see autentimisrakendusega omal valikul ja sisesta kaks järjestikku ilmuvat koodi. Programm kontrollib, kas su rakendus arvutab õigesti. Harjutussaladusel pole väärtust ja see kustutatakse 24 tunni pärast; eemalda harjutuskonto pärast seda oma rakendusest.

Ülesanne D2.3: Lülita sisse kaheastmeline autentimine oma kõige tähtsamatel kontodel. Lülita kaheastmeline autentimine sisse oma e-postil, majutusel või domeeniregistreerimisel, pangal, raamatupidamisel ja paroolihalduril. Hoia taastekoodid teises kohas ja vasta küsimusele, mida teed, kui su telefon homme kaob.

Loe edasi

WebOké artiklite sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures töötab see sarnaselt.

• Kaheastmeline autentimine WebOké kontos ja autentimisrakenduse seadistamine
• WebOké juhend 3.2: De sisselogimiskood e-posti teel (kaheastmeline autentimine)
• WebOké juhend 3.3: Autentimisrakenduse kasutamine
• DirectAdmin juhend 3.2: Two-Step Authentication seadistamine
• DirectAdmin juhend 3.3: Varukoodid ja mida teha, kui su autentija on kadunud
• Nextcloudi juhend 3.3: Autentimisrakenduse seadistamine ja varukoodide salvestamine
• Nextcloudi juhend 3.10: Telefon kadunud või 2FA kadunud: nii pääsed uuesti sisse
• Kaheastmelise kinnituse (2FA) seadistamine Nextcloudis
• Madalmaade NCSC, Kuidas valida MFA meetod? (hollandi keeles): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• CERT-EE (RIA) ja politsei, teated võltskõnede ja -sõnumite kohta: https://www.ria.ee/
• CISA, Implementing Number Matching in MFA Applications (inglise keeles): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (inglise keeles): https://www.rfc-editor.org/rfc/rfc6238