Biztonság a négyzeten

A kétlépcsős azonosítás révén a felhasználók jobban meg tudják védeni magukat az interneten. A Google-fiók számos lehetőséget kínál.

A sikeres adatfeltörések kellemetlen következményekkel járhatnak. Előfordultak olyan esetek, amikor ismeretlen támadók az áldozatok fiókjával visszaélve trollkodtak a felhasználó nevében a közösségi médiában, illetve megtévesztő e-maileket terjesztettek. Mások azt tapasztalták, hogy pénz tűnt el az online bankszámlájukról. Az emberek gyakran csak akkor veszik észre, hogy feltörték a fiókjukat, amikor már megtörtént a baj.

Az adatlopások ismételt felbukkanásának az oka az, hogy a felhasználók túlságosan a jelszavaikra támaszkodnak az online világban történő védelem terén. Az emberek nem tudnak azokról az online listákról, amelyek több millió felhasználónév és jelszó kombinációját tartalmazzák. Ezek a jelszógyűjtemények olyan listák, melyeket számos adatlopás eredményeiből állítanak össze. Mivel sokan számos különböző célra használják jelszavaikat, a Google-fiókjaik bejelentkezési adatai még akkor is bekerülhetnek ilyen jelszógyűjteményekbe, ha nem törték fel a fiókjukat. Folyamatos fenyegetést jelent az adathalászat is – ez olyan megtévesztő kísérlet, melynek célja, hogy jelszavakat vagy más információkat csaljanak ki látszólagosan megbízható e-mailek vagy webhelyek segítségével.

Ezért a Google és a hozzá hasonló cégek azt javasolják, hogy a felhasználók kétlépcsős azonosítással tegyék biztonságossá fiókjukat, amely két különböző lépcsőt ír elő a bejelentkezéshez (például jelszót és SMS-ben küldött kódot). Ez a hitelesítési módszer rendkívül elterjedtté vált, különösen a bankoknál és a hitelkártya-kezelőknél.

A biztonsági szakértők a biztonsági lépcsők három alapvető típusát különböztetik meg. Az első valamilyen információ (olyasmi, amit tud), például a felhasználó kódot kap SMS-en keresztül, majd beírja, illetve válaszol a biztonsági kérdésre. A második valamilyen fizikai tárgy (olyasmi, ami Önnél van), melyet hitelesítésre használhat, például a hitelkártyája. A harmadik valamilyen biometrikus adat (olyasmi, ami az Ön része), például amikor az okostelefonok felhasználói az ujjlenyomatukkal oldják fel a képernyőjüket. Minden kétlépcsős azonosítási stratégia kettő különböző lépcsőt alkalmaz ezek közül.

A Google a kétlépcsős azonosítás különböző típusait kínálja. A hagyományos jelszavak mellett a felhasználók megadhatnak egyszer használatos biztonsági kódot is, amelyet SMS-ben vagy hanghíváson keresztül kapnak meg, illetve amelyet a Google Hitelesítő alkalmazásban generálnak, amely használható Androidon és az Apple mobil operációs rendszerén, az iOS-en is. A felhasználók emellett megadhatják a megbízható eszközök listáját is a Google-fiókjukban. Ha a felhasználó olyan eszközről próbál bejelentkezni, amely nem szerepel a listán, akkor biztonsági figyelmeztetést kap a Google-tól.

A Google három éve már fizikai biztonsági tokent is kínál, ezt biztonsági kulcsnak hívják. Ez USB-, NFC- vagy Bluetooth-kulcs lehet, melyet csatlakoztatni kell az adott eszközhöz. A folyamat a FIDO konzorcium által fejlesztett Universal 2nd Factor (U2F) elnevezésű nyílt hitelesítési szabványon alapul. A Google is tagja ennek a konzorciumnak olyan szervezetekkel együtt, mint a Microsoft, a Mastercard vagy a PayPal. Az U2F szabványon alapuló biztonsági tokenek különböző gyártóktól szerezhetők be alacsony áron. Rendkívül sikeresnek bizonyultak – a biztonsági kulcsok megjelenése óta lényegesen csökkent az adatlopások kockázata. Míg az online fiókokat elméletben a világ bármely részéről fel lehet törni, a fizikai biztonsági tokennek ténylegesen a tolvaj kezében kell lennie (ráadásul az áldozat bejelentkezési adatai is szükségesek a fiókhoz való hozzáféréshez). A Google mellett még számos más cég is támogatja már ezeket a biztonsági tokeneket.

A kétlépcsős azonosításnak természetesen hátrányai is vannak. Az SMS-es kódokat használók keze ügyében kell lennie a telefonjuknak, amikor új eszközön jelentkeznek be; az USB- és Bluetooth-kulcsok pedig elveszhetnek. Ezek azonban nem megoldhatatlan problémák, és mindenképpen megérik a kockázatot, ha figyelembe vesszük, hogy mennyi plusz biztonságot nyújtanak. Ha valaki elveszíti a biztonsági kulcsát, eltávolíthatja az elveszett tokent a fiókjából, majd hozzáadhat újat. Alternatív lehetőségként már a szolgáltatás használatának megkezdésekor regisztrálhat második biztonsági kulcsot, amelyet biztonságos helyen tud tárolni.

További információ:

g.co/2step

Illusztráció: Birgit Henne