Dvoufázové ověření (2FA): co to je a kde ho zapnout
Dvoufázové ověření (2FA, také dvoufaktorové) znamená, že k přihlášení nestačí heslo. Kromě něj musíte potvrdit, že jste to vy, něčím dalším: kódem z aplikace v telefonu, potvrzením na mobilu, bezpečnostním klíčem nebo otiskem prstu. Když heslo unikne, útočník se k účtu stejně nedostane.
Aktualizováno
Proč nestačí silné heslo
Hesla unikají i ve chvíli, kdy jsou silná: z cizí služby, kde jste stejné heslo použili, z podvodné stránky, na kterou jste ho zadali, nebo z napadeného počítače. Útočníci pak zkouší uniklé kombinace e-mailu a hesla automaticky na dalších službách. Druhý krok ověření je přesně to, co tyhle útoky zastaví.
Druhy ověření a jak jsou bezpečné
| Metoda | Jak funguje | Bezpečnost |
|---|---|---|
| SMS kód | Kód přijde zprávou na telefon | Lepší než nic; zranitelná výměnou SIM a přesměrováním. |
| Ověřovací aplikace | Aplikace generuje kód, který se mění každých pár vteřin | Dobrá; funguje i bez signálu. |
| Potvrzení v aplikaci | Na telefonu ťuknete „Ano, to jsem já“ | Dobrá, pozor na potvrzování žádostí, které jste nespustili. |
| Bezpečnostní klíč | Fyzický klíč do USB nebo přes NFC | Velmi dobrá; odolá i podvodným stránkám. |
| Passkey | Přihlášení otiskem, obličejem nebo PINem zařízení bez hesla | Velmi dobrá; vázaná na skutečnou adresu služby. |
U potvrzování v aplikaci platí jedno pravidlo: když vám přijde žádost o přihlášení, kterou jste nespustili, neschvalujte ji. Je to znamení, že někdo zná vaše heslo – změňte ho.
Které firemní účty zabezpečit jako první
- E-mail – přes něj jde obnovit heslo ke všemu ostatnímu; viz firemní e-mail.
- Účet u registrátora domény a DNS – kdo ho ovládne, přesměruje web i poštu.
- Hosting a administrace webu nebo e-shopu.
- Bankovnictví, platební brána, fakturace.
- Google účet (Analytics, profil firmy, reklama) a účty na sociálních sítích.
- Správce hesel, pokud ho používáte.
Kde všechny přístupy mít a jak je předávat, popisuje průvodce přístupy k webu.
Záložní kódy a sdílené účty
Při zapnutí ověření služba obvykle nabídne záložní kódy. Uložte je hned – do správce hesel nebo vytištěné na bezpečné místo. Pro důležité účty nastavte dvě metody (aplikaci a klíč, nebo aplikaci na dvou zařízeních).
Firemní účty, ke kterým přistupuje víc lidí, nesdílejte jedním heslem a jedním telefonem. Kde to služba umí, dejte každému vlastní přístup s vlastním ověřením a oprávněními. Když někdo odejde, jeho přístup zrušíte a ostatní nic nemění. Celkový pohled na zabezpečení webu (zálohy, aktualizace, hesla) najdete v průvodci zabezpečení webu.
Dvoufázové ověření pro vaše zákazníky
Pokud web nebo aplikace má přihlašování zákazníků (klientská zóna, B2B portál, administrace), nabídněte jim dvoufázové ověření taky, u přístupu k citlivým datům ho vyžadujte. Při stavbě klientských zón a aplikací na míru ho navrhujeme od začátku; drobné úpravy stávajícího řešení účtujeme hodinou za 1 000 Kč.
Časté otázky
Je rozdíl mezi dvoufázovým a dvoufaktorovým ověřením?
V běžné řeči se oba výrazy používají pro totéž: k heslu přidáte druhý krok. Přesněji je dvoufaktorové ověření takové, kde jsou kroky různého druhu – něco, co víte (heslo), a něco, co máte (telefon, klíč). Dva kroky stejného druhu, třeba dvě hesla, by dvoufaktorové nebyly.
Co když ztratím telefon s ověřovací aplikací?
Pak se přihlásíte pomocí záložních kódů, které služba vygenerovala při zapnutí ověření, nebo druhou nastavenou metodou. Proto si záložní kódy vždy uložte do správce hesel nebo vytiskněte a u důležitých účtů mějte dvě metody. Bez nich bývá obnova účtu zdlouhavá.
Je ověření přes SMS bezpečné?
Je výrazně lepší než samotné heslo, ale je to nejslabší z běžných metod. SMS se dá zachytit nebo přesměrovat například podvodnou výměnou SIM karty. U e-mailu, domény a administrace webu dejte přednost aplikaci, bezpečnostnímu klíči nebo passkey.