Parool ja kaheastmeline kinnitamine

Moodul 8: Turvaliselt ja muretult · Lugemisaeg: 10 minutit

Õpieesmärk: Pärast seda õppetundi oskad selgitada, milline on postkasti tugev parool, mida pead pärast parooli muutmist oma seadmetes tegema, kuidas tekib autentimisrakenduse kood ning mida kaheastmeline kinnitamine veebipostis kaitseb ja mida mitte.

Põhimõisted: postkasti parool, paroolihaldur, kaheastmeline kinnitamine, TOTP, jagatud saladus, QR-kood, taastekood, kella nihe, IMAP ja SMTP ilma teise sammuta

Miks on postkast sinu kõige tähtsam konto

Sinu postkast on su veebielu võtmekimp. Peaaegu iga teenus saadab parooli lähtestamise lingi sinu e-postile. Kes saab su postkasti enda kätte, saab üle võtta ka su veebipoe, raamatupidamise ja sotsiaalmeedia. Lisaks saab ta saata kirju sinu nimel klientidele, kes sind usaldavad. Seetõttu kasutatakse varastatud postkasti sageli arvepettusteks või rämpsposti saatmiseks. Viimane toob probleeme kogu sinu domeenile: teised serverid hakkavad su kirju tagasi lükkama.

Sissetungija hoiavad eemal kaks asja: hea parool ja sisselogimisel teine samm.

Tugev parool on eelkõige pikk ja ainulaadne

Sinu postkasti parool kuulub ühele e-posti aadressile. See ei ole sama mis sinu kliendikonto või paketi halduspaneeli parool (õppetund 1.3).

Mis teeb parooli tugevaks? Mitte hüüumärk sõna lõpus, vaid pikkus ja juhuslikkus. Ründajad proovivad lekkinud paroole ning sageli kasutatud sõnade ja mustrite loendeid. "Suvi2026!" on sellises loendis, neli juhuslikku sõna järjest või kakskümmend juhuslikku märki aga mitte. Sama tähtis on, et parool oleks ainulaadne. Kui lekib veebipood, kus kasutasid sama parooli, proovivad kurjategijad seda ka sinu postkasti peal.

Praktiline lahendus on paroolihaldur: programm, mis loob iga teenuse jaoks pika juhusliku parooli ja jätab selle meelde. Ise pead siis meeles pidama ainult üht tugevat ülemparooli.

Pärast muutmist: uuenda kõiki seadmeid

Parooli muudad veebipostis jaotises Seaded > Parool või, kui vana parool on meelest läinud, oma paketi halduspaneelis. Sellest hetkest kehtib uus parool kõikjal: veebipostis, telefonis ja e-posti programmis.

Siin läheb sageli midagi viltu. Sanne de Vries muudab esmaspäeval aadressi sanne@example.com parooli. Sülearvuti uuendab ta kohe. Köögis olev vana tahvelarvuti ununeb. Tahvelarvuti proovib iga paari minuti järel vana parooliga sisse logida. Mitme ebaõnnestunud katse järel näeb serveri tulemüür ühendust, mis proovib pidevalt valet parooli, ja blokeerib IP-aadressi. Kuna tahvelarvuti ja sülearvuti jagavad kodus sama IP-aadressi, ei pääse Sanne äkki ka sülearvutist oma e-postile ja mõnikord ka mitte oma veebilehele.

Seepärast uuenda pärast muutmist kohe kõiki seadmeid: telefoni, tahvelarvutit, arvuti e-posti programmi ning printerit või skannerit, kui see kirju saadab.

Kaheastmeline kinnitamine: midagi, mida tead, ja midagi, mis sul on

Kaheastmelise kinnitamise puhul (veebipostis on selle nimi Kaheastmeline kinnitamine) on sisselogimiseks vaja kahte asja: parooli (midagi, mida tead) ja telefoni koodi (midagi, mis sul on). Kes saab su parooli õngitsuse või lekke kaudu kätte, ei pääse siis veel sisse.

Kood tuleb autentimisrakendusest, näiteks paroolihalduri rakendusest või eraldi rakendusest selliste koodide jaoks. Meetodi nimi on TOTP, time-based one-time password (ajapõhine ühekordne parool), ja see on kirjeldatud dokumendis RFC 6238. Nii see töötab:

1. Sisselülitamisel loob veebipost jagatud saladuse: juhusliku märgijada. Näed seda salajase võtmena ja QR-koodina.
2. Skannid QR-koodi rakendusega. Nüüd teavad nii server kui ka su telefon sama saladust.
3. Iga 30 sekundi järel arvutavad mõlemad saladusest ja praegusest kellaajast kuuekohalise koodi.
4. Sisselogimisel võrdleb server sinu koodi enda tulemusega.

Sellest järeldub kaks asja. Rakendus ei vaja internetti: see arvutab ainult saladuse ja kella põhjal. Ja kell peab õige olema. Kui su telefon on paar minutit ees või taga, arvutab see teise ajavahemiku järgi ja kood ei sobi. Sea telefoni kellaaeg automaatseks.

Kolmas järeldus: QR-kood ongi saladus. Kellel on sellest foto või ekraanipilt, saab luua samu koode. Seepärast ära jaga seda kunagi ega hoia seda pildina.

Pildil on kuva, kus kaheastmelise kinnitamise sisse lülitad, koos salajase võtme, taastekoodide ja QR-koodiga.

Taastekoodid ja kadunud telefon

Sisselülitamisel saad ka neli taastekoodi. Iga kood töötab ühe korra rakenduse koodi asemel. Need on sinu varuvõti, kui telefon läheb katki, varastatakse või vahetatakse välja. Hoia neid telefonist eraldi: paroolihalduris või paberil sahtlis.

Kui kasutad taastekoodi, seadista kaheastmeline kinnitamine kohe uue telefoniga uuesti. Siis saad ka uued taastekoodid. Kui taastekoode enam pole, saab sinu e-posti teenuse pakkuja pärast su isiku kontrollimist teise sammu postkasti jaoks välja lülitada.

Oma arvutis saad sisselogimisel valida, et veebipost ei küsiks 30 päeva jooksul uuesti koodi. Jagatud arvutis ära seda kunagi tee.

Mida kaheastmeline kinnitamine ei kaitse

See on kõige olulisem lõks ja paljud ei tea sellest. Veebiposti kaheastmeline kinnitamine kehtib ainult veebipostile. Sinu e-posti programm ja telefoni e-posti rakendus logivad sisse IMAP-i (kirjade toomine) ja SMTP (saatmine) kaudu ning need küsivad ainult parooli. Ründaja, kellel on su parool, saab seega e-posti programmi abil ikka su kirju lugeda ja sinu nimel saata.

Seepärast on kaheastmeline kinnitamine täiendus, mitte asendus. Parool peab endiselt olema pikk ja ainulaadne. Kliendikonto kaheastmelise kinnitamise seadistad eraldi: see on teine konto oma turvalisusega.

Suurte teenuste, nagu Gmail või Outlook.com, puhul on asi veidi teisiti: seal kehtib teine samm sageli kogu kontole ja e-posti programm vajab eraldi rakenduse parooli või oma sisselogimisviisi. Mõte on sama: parool pluss midagi, mis sul on.

Praktikas: nii käib see veebipostis

Parooli muudad jaotises Seaded > Parool, kaheastmelise kinnitamise lülitad sisse jaotises Seaded > Kaheastmeline kinnitamine. Seal märgi ruut Lülita sisse, lase veebipostil väljad täita, skanni QR-kood, kontrolli üht koodi ja salvesta. Sammud on kirjas Roundcube'i kasutusjuhendis (10.3, 10.4 ja 10.5). Teistes veebipostides on sarnased seaded, sageli jaotise Security all.

Kokkuvõte

• Sinu postkast on võti su teiste kontode juurde: kaitse seda paroolihaldurist pärit pika ja ainulaadse parooliga.
• Pärast parooli muutmist uuenda kõiki seadmeid; vana parooliga seade võib lasta su IP-aadressi blokeerida.
• TOTP loob iga 30 sekundi järel koodi jagatud saladusest ja kellaajast; telefoni kell peab olema õige ja QR-kood on saladus.
• Hoia nelja taastekoodi telefonist eraldi; iga kood töötab ühe korra.
• Veebiposti kaheastmeline kinnitamine kaitseb ainult veebiposti, mitte IMAP-i ja SMTP-d sinu e-posti programmis.

Test (quiz)

Ülesanne

Ülesanne A8.1: Harjuta autentimisrakendusega. Klõpsa nuppu, et saada harjutussaladus. Saad harjutuskonto QR-koodi. Skanni see enda valitud autentimisrakendusega (või sisesta näidatud võti käsitsi) ja sisesta kuuekohaline kood, mida rakendus näitab. Programm arvutab sama harjutussaladuse ja kellaaja põhjal, kas sinu kood on õige; ka eelmise või järgmise ajavahemiku kood loetakse õigeks, nii et väike kella nihe pole probleem. Roheline: kood on õige. Punane: kood ei sobi; kontrolli siis telefoni kella ja seda, kas kasutad rakenduses õiget rida. Harjutussaladus ei ole seotud sinu postkastiga, sel pole väärtust ja see kaob 24 tunni jooksul. Kustuta pärast harjutuskonto oma rakendusest.

Lisalugemist

Kus on kirjas veebiposti sammud, kehtivad need WebOké veebipostile; teistes veebipostides käib see sarnaselt.

• Roundcube Webmail 10.3: Kaheastmelise kinnituse sisselülitamine
• Roundcube Webmail 10.4: Kaheastmelise kinnitusega sisselogimine
• Roundcube Webmail 10.5: Postkasti parooli muutmine
• E-posti aadressi parooli või limiitide muutmine
• Paroolihaldur ja pääsuvõtmed: nii korraldad oma sisselogimise turvaliselt
• Tasuta kursus Turvaline veebis tegutsemine ettevõtjatele 2.1: Mida tähendab tugev parool tegelikult
• Tasuta kursus Turvaline veebis tegutsemine ettevõtjatele 2.3: Kaheastmeline autentimine: koodid, rakendused ja sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (inglise keeles): https://www.rfc-editor.org/rfc/rfc6238