Zabezpieczenie konta za pomocą hasła jest najprostszą i nadal najpopularniejszą metodą ochrony dostępu do poczty, serwera, bankowości, panelu administracyjnego czy aplikacji internetowej. Metoda ta nigdy nie była jednak pozbawiona wad. Z czasem sposób przechowywania haseł zmienił się z jawnego tekstu na bezpieczniejsze mechanizmy wykorzystujące skróty kryptograficzne, pojawiły się menedżery haseł, polityki silnych haseł i dodatkowe zabezpieczenia. Mimo to samo hasło dzisiaj często nie wystarcza. Dlatego od wielu lat coraz większe znaczenie ma 2FA, czyli Two-Factor Authentication – uwierzytelnianie dwuskładnikowe. W praktyce oznacza ono, że oprócz hasła musisz podać jeszcze drugi element potwierdzający Twoją tożsamość, np. kod wysłany SMS-em, kod przesłany na adres e-mail, kod wygenerowany w aplikacji typu Google Authenticator albo użyć fizycznego klucza bezpieczeństwa. Jeżeli widziałeś w filmie scenę, w której do uruchomienia ważnego systemu potrzebne były dwa niezależne klucze, zasada działania jest bardzo podobna – jeden element zabezpieczenia nie wystarcza.

Korzystasz z Panelu Klienta SEOHOST? Możesz włączyć dodatkową weryfikację podczas logowania. Po wpisaniu adresu e-mail i hasła zostaniesz dodatkowo poproszony o jednorazowy kod autoryzacyjny przesłany na adres e-mail przypisany do konta. Zobacz instrukcję: Jak włączyć 2FA w Panelu Klienta SEOHOST?

Czym jest 2FA i jak działa?

2FA – Two-Factor Authentication – oznacza uwierzytelnianie wykorzystujące dwa niezależne elementy potwierdzające tożsamość użytkownika. Najczęściej pierwszym elementem jest hasło, a drugim kod jednorazowy, aplikacja uwierzytelniająca, urządzenie fizyczne albo inna forma dodatkowego potwierdzenia.

Najprostszy przykład wygląda tak: logujesz się do systemu za pomocą adresu e-mail i hasła. Jeżeli dane są poprawne, system nie wpuszcza Cię jeszcze na konto, ale prosi o dodatkowy kod. Kod może zostać przesłany na telefon, e-mail albo wygenerowany w aplikacji uwierzytelniającej. Dopiero po podaniu obu elementów uzyskujesz dostęp.

Największą zaletą takiego rozwiązania jest to, że przejęcie samego hasła nie musi wystarczyć do zalogowania się na konto. Nawet jeśli hasło wycieknie, zostanie odgadnięte albo użytkownik wpisze je na fałszywej stronie, atakujący nadal potrzebuje drugiego elementu uwierzytelnienia.

2FA nie zastępuje silnego hasła. Najlepsze zabezpieczenie powstaje wtedy, gdy stosujesz oba mechanizmy jednocześnie: długie, unikalne hasło oraz dodatkowy składnik uwierzytelniania.

Trzy czynniki uwierzytelniania

Mechanizmy uwierzytelniania najczęściej dzieli się na trzy podstawowe grupy. Prawdziwe uwierzytelnianie wieloskładnikowe łączy elementy pochodzące z różnych kategorii.

• Coś, co wiesz – czynnik wiedzy. Hasło, kod PIN, odpowiedź na pytanie zabezpieczające.
• Coś, co masz – czynnik posiadania. Telefon, aplikacja Google Authenticator lub Microsoft Authenticator, klucz sprzętowy, karta, token.
• Coś, czym jesteś – czynnik biometryczny. Odcisk palca, rozpoznawanie twarzy, skan tęczówki lub inne dane biometryczne.

Klasyczny przykład 2FA to połączenie hasła z kodem generowanym na telefonie. Pierwszy składnik należy do kategorii wiedzy, drugi do kategorii posiadania.

Najpopularniejsze standardy 2FA

2FA nie oznacza jednego konkretnego rozwiązania. Drugi element uwierzytelnienia może być realizowany na kilka sposobów, które różnią się wygodą, kosztem wdrożenia i poziomem bezpieczeństwa.

Kod wysyłany e-mailem lub SMS-em

To jeden z najprostszych sposobów dodatkowej weryfikacji. Po podaniu prawidłowego hasła system wysyła jednorazowy kod na wcześniej zdefiniowany adres e-mail albo numer telefonu. Użytkownik przepisuje kod i dopiero wtedy uzyskuje dostęp do konta.

Rozwiązanie jest łatwe do wdrożenia i nie wymaga instalowania dodatkowej aplikacji. Jego bezpieczeństwo zależy jednak również od bezpieczeństwa skrzynki e-mail lub numeru telefonu, na który dostarczany jest kod.

W Panelu Klienta SEOHOST obecnie stosowany jest właśnie mechanizm kodu jednorazowego wysyłanego na adres e-mail. Po poprawnym wpisaniu adresu e-mail i hasła system może poprosić Cię o dodatkowy kod autoryzacyjny. Instrukcję konfiguracji znajdziesz w poradniku Jak włączyć 2FA w Panelu Klienta SEOHOST?.

TOTP – kod generowany w aplikacji

TOTP, czyli Time-based One-Time Password, to jeden z najpopularniejszych standardów uwierzytelniania. Podczas konfiguracji konto zostaje połączone z aplikacją, np. Google Authenticator, Microsoft Authenticator czy innym kompatybilnym generatorem kodów.

Aplikacja generuje jednorazowe kody, które zmieniają się zazwyczaj co kilkadziesiąt sekund. Do zalogowania potrzebujesz więc nie tylko hasła, ale również urządzenia, na którym skonfigurowano aplikację.

Takie rozwiązanie jest często stosowane w panelach administracyjnych, systemach serwerowych, VPN, aplikacjach biznesowych i usługach hostingowych.

Klucze sprzętowe U2F i FIDO2

Jeszcze wyższy poziom zabezpieczenia mogą zapewnić fizyczne klucze bezpieczeństwa wykorzystujące standardy U2F lub FIDO2/WebAuthn. Są to niewielkie urządzenia podłączane przez USB albo komunikujące się przez NFC.

Zamiast przepisywać kod, użytkownik potwierdza logowanie za pomocą klucza. Mechanizm opiera się na kryptografii klucza publicznego i jest szczególnie odporny na typowe ataki phishingowe, ponieważ uwierzytelnienie jest powiązane z konkretną usługą lub domeną.

Powiadomienia push

W niektórych systemach po wpisaniu hasła użytkownik otrzymuje powiadomienie w aplikacji mobilnej z pytaniem, czy rzeczywiście próbuje się zalogować. Wystarczy zatwierdzić lub odrzucić próbę.

Takie rozwiązania są często spotykane w usługach biznesowych, systemach korporacyjnych i aplikacjach bankowych.

2FA, MFA i 2SV – czym się różnią?

W praktyce pojęcia 2FA, MFA i weryfikacja dwuetapowa bywają używane zamiennie, chociaż technicznie nie zawsze oznaczają dokładnie to samo.

• 2FA – Two-Factor Authentication – uwierzytelnianie wykorzystujące dwa różne czynniki.
• MFA – Multi-Factor Authentication – pojęcie szersze, oznaczające uwierzytelnianie wieloskładnikowe, wykorzystujące co najmniej dwa czynniki.
• 2SV – Two-Step Verification – weryfikacja dwuetapowa, czyli logowanie przebiegające w dwóch krokach. Nie zawsze oba kroki muszą reprezentować dwa różne typy czynników.

Dla zwykłego użytkownika najważniejsze jest jednak nie nazewnictwo, lecz zasada: samo hasło przestaje być jedyną rzeczą potrzebną do uzyskania dostępu do konta.

2FA w praktyce

Uwierzytelnianie dwuskładnikowe warto włączać przede wszystkim wszędzie tam, gdzie konto daje dostęp do ważnych danych lub pozwala zmieniać konfigurację systemu. Dotyczy to m.in. poczty e-mail, bankowości, hostingu, paneli administracyjnych, WordPressa, kont firmowych i systemów wewnętrznych.

2FA w Panelu Klienta SEOHOST

Panel Klienta SEOHOST daje dostęp do Twojego konta, domen, usług hostingowych, płatności i innych ustawień administracyjnych. Z tego powodu warto zabezpieczyć dostęp nie tylko silnym hasłem, ale również dodatkowym etapem uwierzytelnienia.

Po włączeniu 2FA podczas logowania najpierw podajesz adres e-mail i hasło. Następnie system wysyła jednorazowy kod autoryzacyjny na adres e-mail przypisany do konta. Dopiero poprawne podanie kodu pozwala zakończyć logowanie.

Chcesz uruchomić dodatkowe zabezpieczenie? Zobacz instrukcję krok po kroku: Jak włączyć 2FA w Panelu Klienta SEOHOST?.

2FA w DirectAdmin

DirectAdmin służy do technicznego zarządzania hostingiem. Z poziomu panelu możesz między innymi zarządzać domenami, pocztą, bazami danych, plikami, kontami FTP oraz certyfikatami SSL. Z tego powodu dodatkowe zabezpieczenie dostępu ma szczególne znaczenie.

Zaloguj się do DirectAdmin i sprawdź dostępne ustawienia bezpieczeństwa swojego konta. W zależności od konfiguracji usługi możesz korzystać z mechanizmu uwierzytelniania opartego na jednorazowych kodach generowanych przez aplikację.

Jeżeli konfigurujesz TOTP, aplikacja poprosi Cię o zeskanowanie kodu QR, a następnie wpisanie wygenerowanego kodu w celu potwierdzenia konfiguracji.

Jeżeli system udostępnia kody awaryjne, zachowaj je w bezpiecznym miejscu. Mogą umożliwić odzyskanie dostępu, jeśli utracisz telefon albo aplikację wykorzystywaną do generowania kodów.

2FA w WordPressie

Panel administracyjny WordPressa również warto chronić dodatkowym składnikiem uwierzytelnienia, szczególnie w przypadku kont Administratora i innych użytkowników posiadających szerokie uprawnienia.

WordPress w standardowej instalacji nie oferuje kompletnego mechanizmu 2FA, dlatego najczęściej wykorzystuje się odpowiednią wtyczkę bezpieczeństwa lub rozwiązanie przeznaczone wyłącznie do uwierzytelniania dwuskładnikowego.

• Przykładami są wtyczki takie jak Solid Security, WP 2FA czy Two Factor Authentication. Po instalacji można skonfigurować np. kody TOTP generowane w aplikacji uwierzytelniającej.

Jeżeli z jednej strony korzysta kilka osób, warto rozważyć wymaganie 2FA przynajmniej dla użytkowników o najwyższych uprawnieniach.

Jak bezpiecznie korzystać z 2FA?

Samo włączenie 2FA znacząco zwiększa bezpieczeństwo, ale warto pamiętać o kilku podstawowych zasadach.

• Używaj unikalnego hasła. 2FA nie powinno być usprawiedliwieniem dla prostego lub wielokrotnie używanego hasła.
• Zabezpiecz skrzynkę e-mail. Jeżeli kod 2FA jest wysyłany pocztą, bezpieczeństwo skrzynki e-mail ma bezpośrednie znaczenie dla bezpieczeństwa całego konta.
• Nie zatwierdzaj nieznanych prób logowania. Nieoczekiwany kod lub powiadomienie może oznaczać, że ktoś zna już Twoje hasło.
• Zachowaj kody awaryjne. Jeżeli dana usługa je udostępnia, przechowuj je poza urządzeniem wykorzystywanym do 2FA.
• Nie udostępniaj jednorazowych kodów. Pracownik banku, hostingu czy administrator systemu nie powinien prosić Cię o przekazanie kodu służącego do zatwierdzenia logowania.
• Zabezpieczaj konta administracyjne w pierwszej kolejności. Dotyczy to Panelu Klienta, DirectAdmin, WordPressa, poczty administratora i innych usług umożliwiających zmianę konfiguracji.

Silne hasło i 2FA uzupełniają się. Hasło powinno być długie, unikalne i przechowywane w bezpieczny sposób, a drugi składnik powinien utrudniać dostęp do konta w sytuacji, gdy hasło zostanie przejęte.

Jeżeli zarządzasz hostingiem, stroną internetową albo pocztą firmową, warto również sprawdzić poradnik Jaki powinien być bezpieczny hosting? oraz zasady tworzenia i przechowywania bezpiecznych haseł.

Korzystasz z SEOHOST? Zacznij od zabezpieczenia najważniejszego miejsca, czyli swojego konta klienta. Zobacz jak włączyć 2FA w Panelu Klienta SEOHOST.