V e-mailu máme pracovní i soukromou komunikaci, v cloudu rodinné fotografie a k účtům u Googlu či Applu bývají připojené také platební údaje a zálohy telefonu. Jeden napadený účet přitom může otevřít dveře k mnoha dalším. Pokud se například útočník dostane do vaší e-mailové schránky, může si přes ni nechat obnovit hesla k sociálním sítím, internetovým obchodům i dalším službám. Z původně nenápadného problému se tak může rychle stát pořádná nepříjemnost.
Samotné heslo proto už nelze považovat za dostatečnou ochranu. Může uniknout při napadení služby, útočník jej může vylákat na podvodné stránce nebo jej jednoduše uhodnout, pokud je příliš krátké či jej používáte na více místech. Rizikem bývají i dávno zapomenuté účty, které stále slouží jako záložní e-mail pro některou z důležitějších služeb. Jednou z nejúčinnějších obran je dvoufaktorové ověření, běžně označované zkratkou 2FA. Jeho používání doporučuje rovněž český Národní úřad pro kybernetickou a informační bezpečnost, podle kterého zvyšuje bezpečnost uživatelských účtů (viz nukib.gov.cz).
Co přesně znamená dvoufaktorové ověření?
Při běžném přihlášení prokazujete svoji totožnost heslem, tedy něčím, co znáte. Dvoufaktorové ověření k tomu přidává ještě jiný druh důkazu. Může jít například o telefon nebo bezpečnostní klíč, který vlastníte, případně o biometrický údaj v podobě otisku prstu či obličeje. Útočníkovi pak samotná znalost hesla k přihlášení nestačí.
Bezpečnostní standard NIST rozděluje autentizační faktory do tří hlavních skupin: něco, co uživatel zná, něco, co vlastní, a něco, čím je. Skutečné dvoufaktorové ověření musí kombinovat alespoň dvě rozdílné skupiny (viz nist.gov).
Heslo doplněné odpovědí na bezpečnostní otázku proto není plnohodnotným 2FA. V obou případech jde o něco, co uživatel zná, a oba údaje mohou uniknout stejným způsobem. Poskytovatelé služeb navíc často zaměňují pojmy dvoufaktorové, dvoufázové a dvoukrokové ověření. Nenechte se tím zmást. Mnohem důležitější je, jakou metodu služba skutečně používá.
Samostatnou kapitolou jsou biometrické údaje. Otisk prstu nebo rozpoznání obličeje zpravidla neputují ke vzdálené službě. Slouží především k odemknutí telefonu, přístupového klíče nebo jiného autentizačního prostředku. Služba následně obdrží kryptografické potvrzení, nikoliv kopii vašeho otisku prstu.
Jak přihlášení probíhá v praxi?
Po aktivaci 2FA zadáte při přihlašování heslo a následně potvrdíte svoji totožnost druhým způsobem. Může jít o opsání jednorázového kódu, potvrzení oznámení v telefonu, přiložení hardwarového klíče nebo použití přístupového klíče chráněného otiskem prstu.
Druhé ověření nemusí služba požadovat při každém použití. Osobní telefon či počítač si lze obvykle označit jako důvěryhodné zařízení. Nové ověření se následně objeví například po odhlášení, vymazání cookies, změně hesla nebo při pokusu o přihlášení z neznámého zařízení. To, že služba při každém otevření aplikace nepožaduje nový kód, proto automaticky neznamená, že je 2FA vypnuté.
Zapamatovat přihlášení byste měli pouze na vlastních zařízeních chráněných zámkem obrazovky. Na veřejném nebo sdíleném počítači tuto možnost nezaškrtávejte, byť by vám měla ušetřit několik sekund. Google obdobně doporučuje přeskakování druhého kroku pouze na zařízeních, která pravidelně nepoužívají další lidé (viz support.google.com).
SMS kód: lepší než nic, ale se slabými místy
Nejrozšířenější podobou druhého kroku byl (a někde stále je) kód doručený prostřednictvím SMS. Výhodou je jednoduchost a skutečnost, že uživatel nemusí instalovat další aplikaci. Pokud má daná služba na výběr pouze SMS nebo žádné dodatečné zabezpečení, je rozumnější SMS ověření zapnout.
Telefonní číslo však není vždy bezpečně svázáno se svým majitelem. Při takzvaném SIM swappingu podvodník přesvědčí operátora, aby číslo převedl na jinou SIM kartu nebo eSIM. Následně může přijímat hovory i SMS kódy určené původnímu majiteli. Před podobnými útoky varuje také evropská agentura ENISA, podle které může útočník tímto způsobem obejít zabezpečení e-mailu, sociálních sítí i dalších služeb (viz enisa.europa.eu).
Riziko lze částečně snížit nastavením zákaznického PINu nebo hesla u mobilního operátora a omezením toho, jaké osobní údaje veřejně sdílíte. Ani potom ale SMS nedosahuje úrovně bezpečnostního nebo přístupového klíče. Za rizikové považuje ověřování přes veřejnou telefonní síť také NIST, který upozorňuje například na změnu SIM karty, přenos čísla nebo přesměrování komunikace (viz nist.gov).
Autentizační aplikace funguje i bez signálu
Bezpečnější, a přitom stále poměrně jednoduchou možností jsou aplikace typu Google Authenticator, Microsoft Authenticator či 2FAS. Při prvním nastavení služba zobrazí QR kód, jehož naskenováním se aplikace s účtem propojí. Od té chvíle vytváří krátké číselné kódy, které se zpravidla mění každých 30 sekund.
Jde obvykle o standard TOTP, tedy časově omezené jednorázové heslo. Telefon a služba při jeho vytváření vycházejí ze společného tajného klíče a aktuálního času.
K vytvoření kódu není potřeba mobilní signál ani internetové připojení. To se hodí při cestování, v zahraničí nebo zkrátka všude tam, kde není pokrytí. Pokud aplikace vytváří kódy, které služba odmítá, může být příčinou nesprávně nastavený čas telefonu.
QR kód zobrazený při aktivaci je citlivý údaj. Obsahuje informace potřebné k vytváření budoucích kódů, a neměli byste jej proto fotografovat, posílat jiné osobě ani nechávat volně uložený v galerii. Kdo jej získá, může si vytvořit kopii vašeho generátoru.
Google Authenticator umožňuje kódy synchronizovat s účtem nebo je ručně přenést do jiného telefonu. Synchronizace usnadňuje přechod na nový mobil, současně je ale potřeba důsledně chránit samotný Google účet. U kódů uložených pouze lokálně je zase nutné myslet na jejich přenos ještě před smazáním či prodejem původního telefonu (viz support.google.com).
Potvrzovací oznámení jsou pohodlná, schvalujte je však pozorně
Některé služby místo kódu zobrazí v telefonu oznámení s žádostí o potvrzení přihlášení. Často přidají přibližnou polohu, typ zařízení nebo číslo, které je nutné vybrat v mobilní aplikaci. Je to pohodlnější než opisování kódu, zároveň je ale potřeba skutečně číst, co v telefonu potvrzujete.
Pokud oznámení přijde ve chvíli, kdy se nikam nepřihlašujete, vždy jej odmítněte. Opakované výzvy mohou znamenat, že někdo zná vaše heslo a snaží se vás únavou přimět k potvrzení. V takovém případě změňte heslo, zkontrolujte přihlášená zařízení a ukončete neznámé relace.
Bezpečnější je potvrzování s porovnáním zobrazeného čísla, které používá například Microsoft Authenticator. Obyčejná tlačítka „povolit“ a „zamítnout“ jsou náchylnější k útokům spoléhajícím na záplavu opakovaných žádostí a nepozornost uživatele (viz microsoft.com).
Přístupové a hardwarové klíče ochrání také před phishingem
Za nejsilnější běžně dostupnou ochranu jsou považovány metody založené na standardech FIDO a WebAuthn. Pod složitými názvy se skrývají fyzické bezpečnostní klíče připojované přes USB, NFC nebo Bluetooth a také přístupové klíče neboli passkeys uložené v telefonu, počítači či správci hesel.
Jejich zásadní výhoda spočívá v tom, že uživatel nikam neopisuje tajný kód. Přihlášení je kryptograficky svázáno s konkrétní internetovou službou. Podvodná stránka napodobující například Google tak nemůže jednoduše získat údaj, který by útočník následně zadal na skutečném webu. NIST proto ručně zadávané jednorázové kódy nepovažuje za metodu odolnou proti phishingu, zatímco správně implementované kryptografické autentizátory tuto vlastnost splnit mohou (viz nist.gov).
Přístupový klíč může heslo i samostatný jednorázový kód úplně nahradit. Uživatel přihlášení potvrdí zámkem zařízení, například otiskem prstu, rozpoznáním obličeje nebo systémovým PINem. Ačkoliv při tom nemusí vidět dva samostatné kroky, ochrana může být silnější než kombinace hesla a SMS.
Hardwarový klíč dává smysl především pro nejdůležitější účty nebo pro osoby vystavené cíleným útokům. Je ale vhodné vlastnit alespoň dva kusy. Jeden lze nosit u sebe a druhý bezpečně uložit jako zálohu. Apple například při zapnutí bezpečnostních klíčů pro Apple účet vyžaduje minimálně dva certifikované klíče (viz support.apple.com). Použití více fyzických klíčů doporučuje také česká služba mojeID (viz mojeid.cz).
Které účty zabezpečit jako první?
Ideální je aktivovat dodatečné ověření všude, kde je dostupné. Nemusíte ale během jednoho večera obcházet desítky služeb. Začněte u účtů, jejichž odcizení by vás bolelo nejvíce:
- Hlavní e-mailová schránka – přijímá odkazy pro obnovu hesel a často slouží jako uživatelské jméno k ostatním službám.
- Správce hesel – obsahuje přístupové údaje k velké části vašeho digitálního života.
- Účty u Googlu, Applu a Microsoftu – mohou obsahovat fotografie, dokumenty, zálohy, platební údaje i možnost dohledání nebo smazání zařízení.
- Bankovnictví a platební služby – zde se řiďte metodami a pokyny konkrétní finanční instituce.
- Bankovní identita, Identita občana a datová schránka – jejich prostřednictvím lze v Česku komunikovat s úřady, přistupovat k osobním údajům a potvrzovat svoji totožnost.
- Sociální sítě a komunikační aplikace – napadený profil může útočník využít k podvodům na vaše přátele a rodinu.
- Cloudová úložiště a pracovní účty – často obsahují dokumenty, které nelze jednoduše nahradit.
- Internetové obchody – mohou uchovávat adresy, historii objednávek a platební metody.
Nejdůležitější bývá zabezpečení e-mailu. Pokud je schránka současně prostředkem pro obnovu ostatních účtů, může její napadení obejít ochranu nastavenou jinde. V českém prostředí nepřehlížejte ani služby elektronické identity. K portálům veřejné správy se lze přihlašovat například Mobilním klíčem eGovernmentu, bankovní identitou, NIA ID nebo mojeID (viz identita.gov.cz).
Jak 2FA nastavit a přitom se nezamknout venku?
Nastavení se obvykle schovává v části Zabezpečení, Přihlášení, Heslo a zabezpečení nebo Dvoufaktorové ověření. Názvy nabídek se mohou s aktualizacemi aplikací měnit, samotný postup ale zůstává podobný.
- Otevřete nastavení zabezpečení daného účtu.
- Vyhledejte dvoufaktorové, dvoufázové nebo vícefaktorové ověření.
- Vyberte nejsilnější metodu, kterou služba i vaše zařízení podporují.
- Přidejte záložní způsob přihlášení, například druhý klíč nebo další důvěryhodné zařízení.
- Vygenerujte a bezpečně uložte obnovovací kódy.
- Před odhlášením ověřte v anonymním okně prohlížeče, že se novou metodou skutečně dokážete přihlásit.
- Zkontrolujte správnost obnovovacího e-mailu a telefonního čísla.
U Apple účtu je vhodné přidat další důvěryhodné telefonní číslo, které není spojeno pouze s jediným iPhonem. Může jít například o číslo blízké osoby nebo jiné zařízení, ke kterému máte dlouhodobý přístup (viz support.apple.com).
Facebook umožňuje použít autentizační aplikaci, SMS nebo bezpečnostní klíč. Současně nabízí obnovovací kódy pro situaci, kdy uživatel nemá k běžné ověřovací metodě přístup (viz facebook.com).
Záložní kódy nejsou zbytečný papír
Obnovovací nebo záložní kódy jsou určené pro případ ztráty telefonu, poruchy zařízení nebo nedostupnosti mobilní sítě. Každý kód lze zpravidla použít pouze jednou. Jakmile vygenerujete novou sadu, starší kódy mohou přestat fungovat.
S kódy zacházejte podobně jako s heslem. Klidně je vytiskněte a uložte doma na bezpečném místě nebo je vložte do důvěryhodného šifrovaného správce hesel. Nedává však smysl mít je pouze v telefonu, jehož ztrátu mají řešit, ani výhradně v účtu, který se pomocí nich snažíte obnovit.
Google používá sadu jednorázových osmimístných záložních kódů a výslovně upozorňuje, že je uživatel nemá s nikým sdílet (viz support.google.com). Facebook nabízí deset jednorázových obnovovacích kódů (viz facebook.com).
Co dělat při ztrátě nebo výměně telefonu?
Pokud máte účet stále otevřený na jiném důvěryhodném zařízení, máte napůl vyhráno. Nejprve přidejte nový způsob ověření a teprve poté odeberte ztracený nebo starý telefon. Zkontrolujte také seznam přihlášených zařízení a ukončete relace, které již nepoužíváte.
U ztraceného telefonu využijte vzdálené uzamčení nebo vymazání, pokud bylo předem aktivované. Při ztrátě SIM karty kontaktujte operátora a požádejte o její zablokování. Samotné zablokování SIM však neochrání aplikace dostupné z odemčeného telefonu, a proto je zásadní používat silný zámek obrazovky.
Před prodejem či továrním obnovením starého telefonu zkontrolujte, zda byly přeneseny také účty v autentizační aplikaci. Některé aplikace používají cloudovou zálohu, jiné vyžadují ruční export nebo nové naskenování QR kódů. Pracovní účty mohou po obnově aplikace vyžadovat nové přihlášení a potvrzení správcem.
Pokud nemáte žádné další důvěryhodné zařízení, použijte záložní kód nebo oficiální proces obnovení účtu. Po úspěšném přihlášení zrušte platnost starých záložních kódů a vytvořte novou sadu.
Ověřovací kód nikdy nikomu nediktujte
Jednorázový kód je určen pouze pro přihlašovací formulář, který jste sami otevřeli. Pracovník banky, operátora, policie ani technické podpory jej nepotřebuje znát. Pokud vám někdo zavolá, pošle zprávu a pod časovým tlakem žádá o nadiktování kódu, berte to jako jasný varovný signál.
Útočník může současně zadávat vaše heslo na skutečné stránce a snažit se od vás získat právě doručený kód. Pokud mu jej sdělíte dostatečně rychle, přihlášení dokončí ještě před vypršením jeho platnosti. Policie ČR proto opakovaně připomíná, že banka ani policie po telefonu nepožadují přístupové údaje nebo autorizační kódy. Podvodník navíc dokáže napodobit telefonní číslo banky či jiné instituce, takže známé číslo na displeji není zárukou pravosti hovoru (viz policie.gov.cz).
Stejné pravidlo platí pro potvrzovací oznámení. Neschvalujte žádost jen proto, že ji údajný pracovník podpory popisuje jako ověření, zrušení útoku nebo vrácení peněz.
Je autentizační aplikace ve stejném telefonu bezpečná?
Tuto otázku si klade řada uživatelů: má autentizační aplikace smysl, když je ve stejném telefonu jako služba, do které se přihlašují? Není to ideální oddělení zařízení, stále však výrazně pomáhá proti vzdálenému útočníkovi, který získal pouze heslo. Bez přístupu k telefonu nebo tajnému klíči nedokáže správný jednorázový kód vytvořit.
Ochrana je slabší v případě, že útočník získá odemčený telefon, napadne jeho operační systém nebo dokáže současně ovládat přihlašovací aplikaci i generátor kódů. Telefon proto chraňte dostatečně silným PINem nebo heslem, biometrickým zámkem a aktuálním softwarem. Na displeji uzamčeného telefonu by se rovněž neměl zobrazovat celý obsah citlivých oznámení.
Dvoufaktorové ověření není neprůstřelný štít
2FA výrazně zvyšuje bezpečnost, nevyřeší ale všechny způsoby napadení. Jednorázový kód lze vylákat prostřednictvím podvodné stránky a okamžitě předat skutečné službě. Škodlivý software může získat již vytvořenou přihlašovací relaci a útočník se může pokusit zneužít také slabě zabezpečený proces obnovy účtu.
Právě proto jsou proti phishingu nejúčinnější přístupové a hardwarové klíče. Ani jejich používání ale neznamená, že lze ignorovat aktualizace, kontrolu přihlášených zařízení, podezřelé odkazy nebo zabezpečení obnovovacího e-mailu.
2FA by mělo doplňovat další základní opatření: unikátní heslo pro každou službu, důvěryhodný správce hesel, aktualizovaný systém, zámek obrazovky a zdravou opatrnost při otevírání odkazů. Pokud některá služba nabízí jen SMS kód, zapněte alespoň ten. Kde je dostupná autentizační aplikace, dejte jí přednost. U nejdůležitějších účtů pak stojí za zvážení přístupový nebo fyzický bezpečnostní klíč.
Několik minut, které mohou zachránit celý digitální život
Zapnutí dvoufaktorového ověření většinou zabere jen několik minut. Začněte hlavním e-mailem, účty spojenými s telefonem a cloudem, správcem hesel, bankovní identitou, sociálními sítěmi a platebními službami. Právě u nich může několik minut nastavování ušetřit hodiny řešení napadeného účtu.
Současně nezapomeňte na záložní cestu. Přidejte druhé důvěryhodné zařízení nebo bezpečnostní klíč, uložte obnovovací kódy a jednou za čas zkontrolujte, zda uvedené telefonní číslo a e-mail stále používáte. Dobře nastavené 2FA nemá pouze komplikovat přihlášení útočníkovi. Musí také zajistit, abyste se při ztrátě telefonu dokázali bezpečně vrátit ke svému účtu vy.
