Κωδικός πρόσβασης και επαλήθευση δύο βημάτων

Ενότητα 8: Με ασφάλεια και χωρίς ανησυχίες · Χρόνος ανάγνωσης: 10 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα μπορείτε να εξηγήσετε τι είναι ένας ισχυρός κωδικός πρόσβασης για το γραμματοκιβώτιό σας, τι πρέπει να κάνετε στις συσκευές σας μετά από μια αλλαγή, πώς δημιουργείται ένας κωδικός από μια εφαρμογή authenticator και τι προστατεύει και τι δεν προστατεύει η επαλήθευση δύο βημάτων στο webmail.

Βασικές έννοιες: κωδικός πρόσβασης γραμματοκιβωτίου, διαχειριστής κωδικών πρόσβασης, επαλήθευση δύο βημάτων, TOTP, κοινό μυστικό, κωδικός QR, κωδικός ανάκτησης, απόκλιση ρολογιού, IMAP και SMTP χωρίς δεύτερο βήμα

Γιατί το γραμματοκιβώτιό σας είναι ο σημαντικότερος λογαριασμός

Το γραμματοκιβώτιό σας είναι η αρμαθιά κλειδιών της διαδικτυακής σας ζωής. Σχεδόν κάθε υπηρεσία στέλνει στο email σας έναν σύνδεσμο για να ορίσετε ξανά τον κωδικό πρόσβασής σας. Όποιος αποκτήσει το γραμματοκιβώτιό σας μπορεί λοιπόν να αναλάβει και το ηλεκτρονικό σας κατάστημα, τη λογιστική σας και τα μέσα κοινωνικής δικτύωσης. Επιπλέον μπορεί να στέλνει μηνύματα στο όνομά σας, σε πελάτες που σας εμπιστεύονται. Γι' αυτό ένα κλεμμένο γραμματοκιβώτιο χρησιμοποιείται συχνά για απάτες με τιμολόγια ή για αποστολή spam. Το τελευταίο φέρνει σε δύσκολη θέση ολόκληρο το domain σας: άλλοι servers αρχίζουν να απορρίπτουν τα μηνύματά σας.

Δύο πράγματα κρατούν έναν εισβολέα έξω: ένας καλός κωδικός πρόσβασης και ένα δεύτερο βήμα κατά τη σύνδεση.

Ένας ισχυρός κωδικός είναι κυρίως μακρύς και μοναδικός

Ο κωδικός πρόσβασης του γραμματοκιβωτίου σας ανήκει σε μία διεύθυνση email. Δεν είναι ο ίδιος με τον κωδικό του λογαριασμού πελάτη σας ή του πίνακα διαχείρισης του πακέτου σας (μάθημα 1.3).

Τι κάνει έναν κωδικό ισχυρό; Όχι ένα θαυμαστικό μετά από μια λέξη, αλλά το μήκος και η τυχαιότητα. Οι επιτιθέμενοι δοκιμάζουν κωδικούς που έχουν διαρρεύσει και λίστες με συνηθισμένες λέξεις και μοτίβα. Το "Zomer2026!" βρίσκεται σε τέτοια λίστα· μια σειρά από τέσσερις τυχαίες λέξεις ή είκοσι τυχαίους χαρακτήρες όχι. Εξίσου σημαντικό είναι ο κωδικός να είναι μοναδικός. Αν διαρρεύσει ένα ηλεκτρονικό κατάστημα όπου χρησιμοποιούσατε τον ίδιο κωδικό, οι εγκληματίες θα τον δοκιμάσουν και στο γραμματοκιβώτιό σας.

Η πρακτική λύση είναι ένας διαχειριστής κωδικών πρόσβασης: ένα πρόγραμμα που δημιουργεί και θυμάται έναν μακρύ τυχαίο κωδικό για κάθε υπηρεσία. Εσείς θυμάστε πλέον μόνο έναν ισχυρό κύριο κωδικό.

Μετά την αλλαγή: ενημερώστε όλες τις συσκευές

Αλλάζετε τον κωδικό στο webmail από Ρυθμίσεις > Κωδικός πρόσβασης, ή στον πίνακα διαχείρισης του πακέτου σας αν δεν θυμάστε πια τον παλιό. Από εκείνη τη στιγμή ο νέος κωδικός ισχύει παντού: στο webmail, στο τηλέφωνό σας, στο πρόγραμμα email σας.

Εδώ συχνά κάτι πάει στραβά. Η Sanne de Vries αλλάζει τη Δευτέρα τον κωδικό του sanne@example.com. Ενημερώνει αμέσως το laptop της. Ξεχνά όμως το παλιό tablet στην κουζίνα. Αυτό το tablet συνεχίζει να συνδέεται κάθε λίγα λεπτά με τον παλιό κωδικό. Μετά από αρκετές αποτυχημένες προσπάθειες, το firewall του server βλέπει μια σύνδεση που δοκιμάζει συνεχώς λάθος κωδικό και μπλοκάρει τη διεύθυνση IP. Επειδή το tablet και το laptop στο σπίτι μοιράζονται την ίδια διεύθυνση IP, η Sanne ξαφνικά δεν έχει πρόσβαση στο email της ούτε από το laptop, και μερικές φορές ούτε στον ιστότοπό της.

Γι' αυτό, μετά από μια αλλαγή, ενημερώστε αμέσως όλες τις συσκευές: τηλέφωνο, tablet, πρόγραμμα email στον υπολογιστή σας, καθώς και τυχόν εκτυπωτή ή σαρωτή που στέλνει email.

Επαλήθευση δύο βημάτων: κάτι που γνωρίζετε και κάτι που έχετε

Με την επαλήθευση δύο βημάτων (στο webmail ονομάζεται Διπλή Πιστοποίηση) χρειάζεστε δύο πράγματα κατά τη σύνδεση: τον κωδικό πρόσβασής σας (κάτι που γνωρίζετε) και έναν κωδικό από το τηλέφωνό σας (κάτι που έχετε). Κάποιος που αποκτά τον κωδικό σας μέσω phishing ή διαρροής δεν μπορεί ακόμη να μπει.

Ο κωδικός προέρχεται από μια εφαρμογή authenticator, όπως η εφαρμογή του διαχειριστή κωδικών σας ή μια ξεχωριστή εφαρμογή για τέτοιους κωδικούς. Η μέθοδος ονομάζεται TOTP, time-based one-time password, και περιγράφεται στο RFC 6238. Λειτουργεί ως εξής:

1. Κατά την ενεργοποίηση, το webmail δημιουργεί ένα κοινό μυστικό: μια τυχαία σειρά χαρακτήρων. Το βλέπετε ως μυστικό κλειδί και ως κωδικό QR.
2. Σαρώνετε τον κωδικό QR με την εφαρμογή. Από εδώ και πέρα ο server και το τηλέφωνό σας γνωρίζουν και οι δύο το ίδιο μυστικό.
3. Κάθε 30 δευτερόλεπτα και οι δύο συνδυάζουν το μυστικό με την τρέχουσα ώρα και υπολογίζουν έναν εξαψήφιο κωδικό.
4. Κατά τη σύνδεση, ο server συγκρίνει τον δικό σας κωδικό με το δικό του αποτέλεσμα.

Από αυτό προκύπτουν δύο πράγματα. Η εφαρμογή δεν χρειάζεται internet: υπολογίζει μόνο με το μυστικό και το ρολόι. Και το ρολόι πρέπει να είναι σωστό. Αν το τηλέφωνό σας πηγαίνει μερικά λεπτά μπροστά ή πίσω, υπολογίζει με άλλο χρονικό διάστημα και ο κωδικός δεν ταιριάζει. Ρυθμίστε την ώρα στο τηλέφωνό σας σε αυτόματη.

Μια τρίτη συνέπεια: ο κωδικός QR είναι το ίδιο το μυστικό. Όποιος έχει φωτογραφία ή στιγμιότυπο οθόνης του μπορεί να δημιουργεί τους ίδιους κωδικούς. Μην τον μοιράζεστε λοιπόν ποτέ και μην τον αποθηκεύετε ως εικόνα.

Στην εικόνα βλέπετε την οθόνη όπου ενεργοποιείτε την επαλήθευση δύο βημάτων, με το μυστικό κλειδί, τους κωδικούς ανάκτησης και τον κωδικό QR.

Κωδικοί ανάκτησης και ένα τηλέφωνο που χάθηκε

Κατά την ενεργοποίηση λαμβάνετε επίσης τέσσερις κωδικούς ανάκτησης. Ο καθένας λειτουργεί μία φορά, στη θέση ενός κωδικού από την εφαρμογή. Είναι το εφεδρικό σας κλειδί αν το τηλέφωνό σας χαλάσει, κλαπεί ή αντικατασταθεί. Φυλάξτε τους σε άλλο σημείο από το τηλέφωνό σας: στον διαχειριστή κωδικών σας ή σε χαρτί σε ένα συρτάρι.

Αν χρησιμοποιήσετε έναν κωδικό ανάκτησης, ρυθμίστε αμέσως ξανά την επαλήθευση δύο βημάτων με το νέο σας τηλέφωνο. Έτσι παίρνετε και νέους κωδικούς ανάκτησης. Αν δεν σας έχουν απομείνει κωδικοί ανάκτησης, ο πάροχος email σας μπορεί να απενεργοποιήσει το δεύτερο βήμα για το γραμματοκιβώτιό σας, αφού επαληθεύσει την ταυτότητά σας.

Στον δικό σας υπολογιστή μπορείτε κατά τη σύνδεση να επιλέξετε το webmail να μη ζητά ξανά κωδικό για 30 ημέρες. Σε κοινόχρηστο υπολογιστή μην το κάνετε ποτέ.

Τι δεν προστατεύει η επαλήθευση δύο βημάτων

Αυτή είναι η σημαντικότερη παγίδα, και πολλοί δεν τη γνωρίζουν. Η επαλήθευση δύο βημάτων στο webmail ισχύει μόνο για το webmail. Το πρόγραμμα email σας και η εφαρμογή email στο τηλέφωνό σας συνδέονται μέσω IMAP (λήψη) και SMTP (αποστολή), και αυτά ζητούν μόνο τον κωδικό πρόσβασής σας. Ένας επιτιθέμενος με τον κωδικό σας μπορεί επομένως, μέσω ενός προγράμματος email, να διαβάζει ακόμη τα μηνύματά σας και να στέλνει στο όνομά σας.

Γι' αυτό η επαλήθευση δύο βημάτων είναι συμπλήρωμα, όχι αντικατάσταση. Ο κωδικός πρόσβασής σας πρέπει να παραμένει μακρύς και μοναδικός. Την επαλήθευση δύο βημάτων για τον λογαριασμό πελάτη σας τη ρυθμίζετε ξεχωριστά· είναι άλλος λογαριασμός με δική του ασφάλεια.

Σε μεγάλες υπηρεσίες όπως το Gmail ή το Outlook.com λειτουργεί λίγο διαφορετικά: εκεί το δεύτερο βήμα ισχύει συχνά για ολόκληρο τον λογαριασμό, και ένα πρόγραμμα email χρειάζεται ξεχωριστό κωδικό εφαρμογής ή δική του μέθοδο σύνδεσης. Η ιδέα είναι η ίδια: κωδικός πρόσβασης συν κάτι που έχετε.

Στην πράξη: έτσι λειτουργεί στο webmail

Τον κωδικό πρόσβασης τον αλλάζετε από Ρυθμίσεις > Κωδικός πρόσβασης, την επαλήθευση δύο βημάτων την ενεργοποιείτε από Ρυθμίσεις > Διπλή Πιστοποίηση. Εκεί επιλέγετε το πλαίσιο Ενεργοποίηση, αφήνετε το webmail να συμπληρώσει τα πεδία, σαρώνετε τον κωδικό QR, ελέγχετε έναν κωδικό και αποθηκεύετε. Τα βήματα περιγράφονται στο εγχειρίδιο του Roundcube (10.3, 10.4 και 10.5). Άλλα webmail έχουν παρόμοιες ρυθμίσεις, συχνά κάτω από Security.

Σύνοψη

• Το γραμματοκιβώτιό σας είναι το κλειδί για τους άλλους λογαριασμούς σας: προστατέψτε το με έναν μακρύ, μοναδικό κωδικό από έναν διαχειριστή κωδικών πρόσβασης.
• Μετά από αλλαγή κωδικού ενημερώνετε όλες τις συσκευές· μια συσκευή με τον παλιό κωδικό μπορεί να προκαλέσει μπλοκάρισμα της διεύθυνσης IP σας.
• Το TOTP δημιουργεί κάθε 30 δευτερόλεπτα έναν κωδικό από ένα κοινό μυστικό και την ώρα· το ρολόι του τηλεφώνου σας πρέπει να είναι σωστό και ο κωδικός QR είναι το μυστικό.
• Φυλάξτε τους τέσσερις κωδικούς ανάκτησης εκτός τηλεφώνου· κάθε κωδικός λειτουργεί μία φορά.
• Η επαλήθευση δύο βημάτων στο webmail προστατεύει μόνο το webmail, όχι το IMAP και το SMTP στο πρόγραμμα email σας.

Κουίζ

Άσκηση

Άσκηση A8.1: Εξάσκηση με μια εφαρμογή authenticator. Πατήστε το κουμπί για ένα μυστικό εξάσκησης. Λαμβάνετε έναν κωδικό QR ενός λογαριασμού εξάσκησης. Σαρώστε τον με μια εφαρμογή authenticator της επιλογής σας (ή πληκτρολογήστε το κλειδί που εμφανίζεται) και συμπληρώστε τον εξαψήφιο κωδικό που δείχνει η εφαρμογή. Το πρόγραμμα υπολογίζει με το ίδιο μυστικό εξάσκησης και την ώρα αν ο κωδικός σας είναι σωστός· ένας κωδικός από το προηγούμενο ή το επόμενο χρονικό διάστημα μετράει επίσης ως σωστός, ώστε μια μικρή απόκλιση ρολογιού να μην αποτελεί πρόβλημα. Πράσινο: ο κωδικός είναι σωστός. Κόκκινο: ο κωδικός δεν είναι σωστός· ελέγξτε τότε το ρολόι του τηλεφώνου σας και αν χρησιμοποιείτε τη σωστή γραμμή στην εφαρμογή. Το μυστικό εξάσκησης δεν ανήκει στο γραμματοκιβώτιό σας, δεν έχει αξία και διαγράφεται μέσα σε 24 ώρες. Στη συνέχεια διαγράψτε τον λογαριασμό εξάσκησης από την εφαρμογή σας.

Περαιτέρω ανάγνωση

Όπου περιγράφονται βήματα στο webmail, ισχύουν για το webmail της WebOké· σε άλλα webmail η λειτουργία είναι παρόμοια.

• Roundcube Webmail 10.3: Ενεργοποίηση επαλήθευσης δύο βημάτων
• Roundcube Webmail 10.4: Σύνδεση με επαλήθευση δύο βημάτων
• Roundcube Webmail 10.5: Αλλαγή του κωδικού πρόσβασης του mailbox σας
• Αλλαγή κωδικού πρόσβασης ή ορίων μιας διεύθυνσης email
• Διαχειριστής κωδικών πρόσβασης και passkeys: έτσι οργανώνετε με ασφάλεια τη σύνδεσή σας
• Δωρεάν μάθημα Ασφαλείς online για επιχειρηματίες 2.1: Τι είναι πραγματικά ένας ισχυρός κωδικός πρόσβασης
• Δωρεάν μάθημα Ασφαλείς online για επιχειρηματίες 2.3: Έλεγχος ταυτότητας δύο παραγόντων: κωδικοί, εφαρμογές και sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (στα αγγλικά): https://www.rfc-editor.org/rfc/rfc6238