Ενότητα 2 · 2.3
Έλεγχος ταυτότητας δύο παραγόντων: κωδικοί, εφαρμογές και sms
Ενότητα 2: Κωδικοί πρόσβασης και σύνδεση · Χρόνος ανάγνωσης: 11 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να συγκρίνετε τις μορφές ελέγχου ταυτότητας δύο παραγόντων (sms, email, TOTP, push), να αναγνωρίζετε τις επιθέσεις εναντίον τους και να ρυθμίζετε την επαναφορά για την περίπτωση που χάσετε το τηλέφωνό σας.
Κεντρικές έννοιες: 2FA/MFA, παράγοντας (κάτι που γνωρίζετε, κάτι που έχετε, κάτι που είστε), TOTP, κοινό μυστικό, ειδοποίηση push, κόπωση MFA, sim-swap, κωδικοί επαναφοράς
Δύο διαφορετικές αποδείξεις
Ένας κωδικός πρόσβασης είναι κάτι που γνωρίζετε. Αν διαρρεύσει, τότε οποιοσδήποτε τον γνωρίζει μπορεί να συνδεθεί. Ο έλεγχος ταυτότητας δύο παραγόντων (2FA) ζητάει γι' αυτόν τον λόγο μια δεύτερη απόδειξη διαφορετικού τύπου. Όταν υπάρχουν περισσότεροι από δύο, μιλάμε για έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA)· στην πράξη οι όροι χρησιμοποιούνται εναλλακτικά.
Υπάρχουν τρία είδη παραγόντων:
- Κάτι που γνωρίζετε: ένας κωδικός πρόσβασης ή PIN.
- Κάτι που έχετε: το τηλέφωνό σας με μια εφαρμογή, ένα κλειδί ασφαλείας, μια κάρτα.
- Κάτι που είστε: το αποτύπωμά σας ή το πρόσωπό σας.
Δύο φορές το ίδιο είδος δεν μετράει: ένας κωδικός πρόσβασης συν μια ερώτηση ασφαλείας είναι δύο πράγματα που γνωρίζετε. Το ολλανδικό NCSC συστήνει επιτακτικά τη χρήση MFA σε κάθε σύστημα και λογαριασμό που το υποστηρίζει, και σίγουρα σε λογαριασμούς που είναι προσβάσιμοι μέσω internet και λογαριασμούς με δικαιώματα διαχειριστή. Για μια μικρή επιχείρηση αυτά είναι σε κάθε περίπτωση: email, φιλοξενία (hosting) και καταχώριση domain, τράπεζα, λογιστική, ηλεκτρονικό κατάστημα, ο διαχειριστής κωδικών πρόσβασης και τα social media της επιχείρησης.
Οι μορφές δίπλα δίπλα
| Μορφή | Πώς λειτουργεί | Αδύναμο σημείο | Ανθεκτικό σε phishing; |
|---|---|---|---|
| Κωδικός μέσω sms | Η υπηρεσία στέλνει έναν κωδικό στον αριθμό τηλεφώνου σας | Sim-swap, υποκλοπή, ο αριθμός σας δεν είναι η συσκευή σας | Όχι |
| Κωδικός μέσω email | Η υπηρεσία στέλνει έναν κωδικό στο mailbox σας | Τόσο ισχυρό όσο το mailbox σας· αν αυτό έχει παραβιαστεί, αυτό δεν είναι δεύτερη κλειδαριά | Όχι |
| Εφαρμογή ελέγχου ταυτότητας (TOTP) | Μια εφαρμογή δημιουργεί κάθε 30 δευτερόλεπτα έναν νέο κωδικό | Το μυστικό μπορεί να διαρρεύσει κατά τη ρύθμιση ή σε ένα κακό αντίγραφο ασφαλείας· πληκτρολογείτε τον κωδικό | Όχι |
| Ειδοποίηση push | Το τηλέφωνό σας ρωτάει "Είστε εσείς;" και πατάτε Έγκριση | Κόπωση MFA | Όχι, καλύτερα με πληκτρολόγηση αριθμού |
| Passkey ή κλειδί ασφαλείας | Η συσκευή σας αποδεικνύει κρυπτογραφικά ποιος είστε, μόνο για το πραγματικό domain | Επαναφορά αν χάσετε τα πάντα | Ναι (μάθημα 2.4) |
Κάθε μορφή είναι πολύ καλύτερη από καμία δεύτερη ρύθμιση. Όμως ο πίνακας δείχνει επίσης: οτιδήποτε όπου εσείς πληκτρολογείτε έναν κωδικό ή εγκρίνετε μια ειδοποίηση, μπορεί ένας απατεώνας να σας κάνει να το κάνετε στην ψεύτικη ιστοσελίδα του. Το NIST το λέει στο SP 800-63B-4 χωρίς περιστροφές: μέθοδοι όπου εισάγετε το αποτέλεσμα χειροκίνητα δεν είναι ανθεκτικές σε phishing.
Πώς λειτουργεί μια εφαρμογή ελέγχου ταυτότητας
Μια εφαρμογή ελέγχου ταυτότητας χρησιμοποιεί TOTP: Time-based One-Time Password, που περιγράφεται στο RFC 6238. Λειτουργεί ως εξής:
- Κατά τη ρύθμιση, η υπηρεσία δημιουργεί ένα τυχαίο κοινό μυστικό, για παράδειγμα 32 χαρακτήρες όπως
JBSWY3DPEHPK3PXP.... Αυτό το μυστικό βρίσκεται στον κωδικό QR που σαρώνετε, ή το πληκτρολογείτε ως "χειροκίνητο κλειδί". - Η εφαρμογή σας και η υπηρεσία έχουν τώρα και οι δύο το ίδιο μυστικό. Μετά από αυτό δεν χρειάζεται πλέον επαφή μεταξύ των δύο.
- Κάθε 30 δευτερόλεπτα και οι δύο υπολογίζουν το μυστικό συν την τρέχουσα ώρα σε έναν κωδικό 6 ψηφίων. Επειδή έχουν το ίδιο μυστικό και το ίδιο ρολόι, προκύπτει ο ίδιος κωδικός.
- Κατά τη σύνδεση, η υπηρεσία συγκρίνει τον κωδικό σας με το δικό της αποτέλεσμα, συνήθως με περιθώριο ενός χρονικού διαστήματος πριν ή μετά για ένα ρολόι που αποκλίνει ελαφρώς.
Δύο συνέπειες:
- Το μυστικό είναι η πραγματική κλειδαριά. Όποιος δει τον κωδικό QR ή το χειροκίνητο κλειδί, μπορεί για πάντα να δημιουργεί τους ίδιους κωδικούς με το τηλέφωνό σας. Μην βγάζετε λοιπόν screenshot του, μην τον μοιράζεστε με κανέναν και μην τον στέλνετε σε συνάδελφο.
- Ο κωδικός λειτουργεί και χωρίς internet και δεν φτάνει μέσω του τηλεφωνικού δικτύου. Γι' αυτό το TOTP είναι ισχυρότερο από το sms.
Οι εφαρμογές ελέγχου ταυτότητας υπάρχουν σε διάφορα είδη: ξεχωριστά στο τηλέφωνό σας, ενσωματωμένες σε διαχειριστή κωδικών πρόσβασης, ανοιχτού κώδικα ή από μεγάλη εταιρεία τεχνολογίας, με ή χωρίς κρυπτογραφημένο αντίγραφο ασφαλείας στο cloud. Παραδείγματα είναι το Aegis, το Google Authenticator και το Microsoft Authenticator, εκτός από τη λειτουργία σε διαχειριστές όπως το Bitwarden ή το 1Password. Ένα αντίγραφο ασφαλείας είναι χρήσιμο όταν αποκτάτε νέο τηλέφωνο, αλλά το ολλανδικό NCSC προειδοποιεί: ένα κακώς κρυπτογραφημένο αντίγραφο ασφαλείας δίνει πρόσβαση και σε έναν επιτιθέμενο.
Sim-swap: γιατί το sms είναι η πιο αδύναμη μορφή
Με το sim-swap, ένας απατεώνας αναλαμβάνει τον αριθμό τηλεφώνου σας. Μεταφέρει τον αριθμό σας σε μια κάρτα sim ή eSIM που έχει ο ίδιος. Αυτό πετυχαίνει για παράδειγμα παριστάνοντας εσάς στον πάροχό σας, ή κάνοντάς σας να συνεργαστείτε: η Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος (https://www.cyberalert.gr/) προειδοποιεί για sms και τηλεφωνήματα "εκ μέρους του παρόχου σας" ότι η κάρτα sim σας πρέπει να επικυρωθεί ή να μετατραπεί επειγόντως σε eSIM.
Μόλις αυτό πετύχει:
- το τηλέφωνό σας ξαφνικά δεν έχει πλέον σήμα και δεν μπορείτε ο ίδιος να κάνετε κλήσεις ή να στείλετε sms·
- ο απατεώνας λαμβάνει όλους τους κωδικούς sms, ακόμα και τους κωδικούς "ξέχασα τον κωδικό πρόσβασης" υπηρεσιών που χρησιμοποιούν τον αριθμό σας ως μέσο επαναφοράς·
- μπορεί μερικές φορές με μόνο τον αριθμό σας να αναλάβει λογαριασμούς.
Το δύσκολο: το αντιλαμβάνεστε μόνο όταν το τηλέφωνό σας δεν κάνει τίποτα πια, συχνά το βράδυ ή το σαββατοκύριακο. Το NIST αναφέρει γι' αυτό το sms ως περιορισμένη μέθοδο, και λέει ότι οι υπηρεσίες πρέπει να προσέχουν σημάδια όπως μια νέα κάρτα sim ή έναν αριθμό που έχει μεταφερθεί. Το ολλανδικό NCSC συστήνει να αποφεύγεται το sms όπου είναι δυνατόν, επειδή τα μηνύματα δεν είναι κρυπτογραφημένα και μπορούν να υποκλαπούν.
Τι κάνετε;
- Επιλέξτε όπου είναι δυνατό μια εφαρμογή ή passkey αντί για sms.
- Αφαιρέστε τον αριθμό τηλεφώνου σας ως μέσο επαναφοράς όπου αυτό είναι αδύναμο σημείο, ή προστατέψτε τον επιπλέον.
- Ρωτήστε τον πάροχό σας αν μπορείτε να ρυθμίσετε έναν επιπλέον κωδικό PIN ή έλεγχο για τη μεταφορά του αριθμού σας.
- Χάνεται ξαφνικά το σήμα σας χωρίς λόγο; Καλέστε τον πάροχό σας από άλλη συσκευή. Μην περιμένετε.
Το sms παραμένει καλύτερο από το τίποτα. Αν μια υπηρεσία προσφέρει μόνο sms, ενεργοποιήστε το ούτως ή άλλως.
Κόπωση MFA: η ειδοποίηση που απλώς κλείνετε
Με μια ειδοποίηση push δεν χρειάζεται να πληκτρολογήσετε τίποτα: το τηλέφωνό σας ρωτάει "Προσπαθείτε να συνδεθείτε;" και πατάτε Έγκριση. Εύκολο, και ακριβώς γι' αυτό καταχρηστικό.
Με την κόπωση MFA (επίσης γνωστή ως βομβαρδισμός push), ένας επιτιθέμενος έχει ήδη τον κωδικό πρόσβασής σας. Συνδέεται συνεχώς ξανά, έτσι ώστε το τηλέφωνό σας να λαμβάνει τη μία ειδοποίηση μετά την άλλη, μερικές φορές μέσα στη νύχτα. Η αμερικανική CISA περιγράφει πώς οι άνθρωποι τότε από ενόχληση ή κατά λάθος πατάνε Έγκριση, ή σκέφτονται ότι μία από τις ειδοποιήσεις θα είναι πράγματι αληθινή. Μερικές φορές ο επιτιθέμενος τηλεφωνεί επιπλέον, ως "το helpdesk", ζητώντας να εγκρίνετε.
Μια περίπτωση από την πράξη που περιγράφει το ολλανδικό NCSC: επιτιθέμενοι μπήκαν μέσω κόπωσης MFA στους λογαριασμούς email μιας εταιρείας λογισμικού και τους χρησιμοποίησαν μετά για απάτη τιμολογίων.
Οι κανόνες:
- Μην εγκρίνετε ποτέ μια ειδοποίηση που δεν προκαλέσατε εσείς ο ίδιος. Ούτε την εικοστή.
- Μια απρόσμενη ειδοποίηση σημαίνει ότι κάποιος έχει τον κωδικό πρόσβασής σας. Αλλάξτε τον αμέσως και αναφέρετέ το.
- Επιλέξτε όπου είναι δυνατό πληκτρολόγηση αριθμού: η οθόνη σύνδεσης δείχνει έναν αριθμό που πληκτρολογείτε στην εφαρμογή. Όποιος δεν βρίσκεται μπροστά στην οθόνη σύνδεσης, δεν μπορεί τότε να εγκρίνει. Η CISA το αναφέρει ως καλό ενδιάμεσο βήμα, αλλά πιο αδύναμο από ανθεκτικό σε phishing MFA.
Επαναφορά: ρυθμίστε την πριν χάσετε το τηλέφωνό σας
Το τηλέφωνό σας πέφτει στο νερό, κλέβεται ή χαλάει. Χωρίς προετοιμασία βρίσκεστε τότε έξω από τους δικούς σας λογαριασμούς. Γι' αυτό υπάρχουν οι κωδικοί επαναφοράς (επίσης κωδικοί back-up): μια σειρά εφεδρικών κωδικών που λαμβάνετε κατά τη ρύθμιση και που ο καθένας λειτουργεί μία φορά.
- Μην τους φυλάσσετε στο ίδιο τηλέφωνο με την εφαρμογή ελέγχου ταυτότητάς σας. Εκτυπώστε τους και φυλάξτε τους μαζί με τα σημαντικά σας χαρτιά, ή φυλάξτε τους στον διαχειριστή κωδικών πρόσβασής σας στο σωστό στοιχείο.
- Χρησιμοποιήσατε έναν κωδικό επαναφοράς; Διαγράψτε τον. Αν τελειώσουν, δημιουργήστε νέους.
- Φροντίστε να έχετε τουλάχιστον δύο τρόπους να μπείτε: για παράδειγμα την εφαρμογή συν κωδικούς επαναφοράς, ή δύο κλειδιά ασφαλείας.
- Όταν αποκτήσετε νέο τηλέφωνο, μεταφέρετε πρώτα τους λογαριασμούς σας και διαγράψτε μετά το παλιό.
- Γνωρίζετε πώς λειτουργεί η διαδικασία επαναφοράς των σημαντικότερων υπηρεσιών σας. Μια καλή υπηρεσία δεν επαναφέρει απλώς τη δεύτερη ρύθμισή σας μέσω ενός email ή τηλεφωνήματος, αλλά ελέγχει πρώτα ότι είστε πράγματι εσείς.
Στην πράξη: έτσι μοιάζει
Στο περιβάλλον του WebOké, το Το WebOké μου ζητάει μετά τον κωδικό πρόσβασής σας πάντα μια δεύτερη ρύθμιση: εξ ορισμού έναν κωδικό μέσω email, και μπορείτε να μεταβείτε σε εφαρμογή ελέγχου ταυτότητας. Στο DirectAdmin ονομάζεται Two-Step Authentication, με κωδικούς επαναφοράς. Στο Nextcloud ενεργοποιείτε το TOTP και δημιουργείτε δέκα κωδικούς back-up. Σε άλλους παρόχους λειτουργεί παρόμοια: ψάξτε στο προφίλ σας ή στις ρυθμίσεις ασφαλείας για "έλεγχος ταυτότητας δύο παραγόντων", "2FA", "authenticator" ή "two-factor".
Τα βήματα είναι σχεδόν πάντα τα ίδια: σάρωση κωδικού QR, συμπλήρωση ενός κωδικού για έλεγχο, αποθήκευση κωδικών επαναφοράς.
Σύνοψη
- Το 2FA συνδυάζει δύο είδη παραγόντων: κάτι που γνωρίζετε, κάτι που έχετε, κάτι που είστε.
- Το TOTP λειτουργεί με ένα κοινό μυστικό και το ρολόι. Το μυστικό (κωδικός QR) είναι η πραγματική κλειδαριά: μην το μοιράζεστε ποτέ.
- Το sms είναι η πιο αδύναμη μορφή λόγω sim-swap και υποκλοπής, αλλά καλύτερο από το τίποτα.
- Κόπωση MFA: μην εγκρίνετε ποτέ μια ειδοποίηση που δεν προκαλέσατε εσείς ο ίδιος, και αλλάξτε τότε τον κωδικό πρόσβασής σας.
- Οι κωδικοί και οι ειδοποιήσεις δεν είναι ανθεκτικοί σε phishing· τα passkeys και τα κλειδιά ασφαλείας είναι (μάθημα 2.4).
- Ρυθμίστε κωδικούς επαναφοράς και μια δεύτερη μέθοδο πριν χάσετε το τηλέφωνό σας.
Κουίζ
Άσκηση
Άσκηση A2.3: Σύνδεση μιας εφαρμογής ελέγχου ταυτότητας. Λαμβάνετε έναν κωδικό QR από έναν λογαριασμό εξάσκησης "cursus-oefening". Σαρώστε τον με μια εφαρμογή ελέγχου ταυτότητας της επιλογής σας και συμπληρώστε δύο κωδικούς που εμφανίζονται διαδοχικά. Το πρόγραμμα ελέγχει αν η εφαρμογή σας υπολογίζει σωστά. Το μυστικό εξάσκησης δεν έχει καμία αξία και διαγράφεται μετά από 24 ώρες· αφαιρέστε τον λογαριασμό εξάσκησης μετά από αυτό από την εφαρμογή σας.
Άσκηση D2.3: Ενεργοποίηση ελέγχου ταυτότητας δύο παραγόντων στους σημαντικότερους λογαριασμούς σας. Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων στο email σας, στη φιλοξενία (hosting) ή την καταχώριση domain, την τράπεζα, τη λογιστική και τον διαχειριστή κωδικών πρόσβασής σας. Φυλάξτε τους κωδικούς επαναφοράς σε δεύτερο σημείο και απαντήστε στην ερώτηση τι θα κάνετε αν χάσετε αύριο το τηλέφωνό σας.
Άσκηση D2.3: Ενεργοποίηση ελέγχου ταυτότητας δύο παραγόντων στους σημαντικότερους λογαριασμούς σας
Έτσι το αντιμετωπίζετε: (1) Φτιάξτε μια λίστα με τους σημαντικότερους λογαριασμούς σας: γραμματοκιβώτιο, φιλοξενία (hosting) και καταχώριση domain, τράπεζα, λογιστική, ηλεκτρονικό κατάστημα, διαχειριστής κωδικών πρόσβασης, social media της επιχείρησης. (2) Ενεργοποιήστε σε καθέναν έλεγχο ταυτότητας δύο παραγόντων (2FA). Επιλέξτε με αυτή τη σειρά ό,τι προσφέρει η υπηρεσία: passkey ή κλειδί ασφαλείας, authenticator-app, ειδοποίηση push με πληκτρολόγηση αριθμού, κωδικός μέσω email, sms. (3) Φυλάξτε για καθέναν τους κωδικούς ανάκτησης σε δεύτερο σημείο (εκτυπωμένους ή στον διαχειριστή κωδικών πρόσβασής σας), όχι στο ίδιο τηλέφωνο με την authenticator-app σας. (4) Φροντίστε να υπάρχουν τουλάχιστον δύο τρόποι πρόσβασης για κάθε σημαντικό λογαριασμό. (5) Ρωτήστε τον πάροχό σας αν μπορείτε να ορίσετε επιπλέον έλεγχο ή κωδικό PIN για τη μεταφορά του αριθμού σας. (6) Συμφωνήστε με την ομάδα σας: μια ειδοποίηση σύνδεσης που δεν προκαλέσατε εσείς οι ίδιοι δεν την εγκρίνετε ποτέ, την αναφέρετε αμέσως.
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.
- Ρύθμιση επαλήθευσης δύο βημάτων στο Το WebOké μου και εφαρμογής authenticator
- Εγχειρίδιο WebOké 3.2: Ο κωδικός σύνδεσης μέσω email (επαλήθευση δύο βημάτων)
- Εγχειρίδιο WebOké 3.3: Χρήση μιας εφαρμογής authenticator
- Εγχειρίδιο DirectAdmin 3.2: Ρύθμιση ελέγχου ταυτότητας δύο βημάτων
- Εγχειρίδιο DirectAdmin 3.3: Backup κωδικοί και τι να κάνετε αν χάσετε το authenticator σας
- Οδηγός Nextcloud 3.3: Μια εφαρμογή πιστοποίησης ρυθμίζετε και εφεδρικούς κωδικούς αποθηκεύετε
- Οδηγός Nextcloud 3.10: Χάσατε το τηλέφωνό σας ή τον έλεγχο ταυτότητας δύο παραγόντων; Να πώς θα ξαναμπείτε
- Ρύθμιση επαλήθευσης δύο βημάτων (2FA) στο Nextcloud
- Το ολλανδικό NCSC, Πώς επιλέγετε μια μέθοδο MFA (ολλανδικά): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
- Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος: https://www.cyberalert.gr/
- CISA, Implementing Number Matching in MFA Applications (αγγλικά): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (αγγλικά): https://www.rfc-editor.org/rfc/rfc6238