Indholdsfortegnelse:
- Grundlæggende om 2FA
- De praktiske faldgruber
- Problemet med kontogendannelse
- 2FA er faktisk meget god
Video: iCloud Extraction (Oktober 2024)
Denne uge graver jeg tilbage i min bundløse posttaske for at tackle et andet spørgsmål om to-faktor-godkendelse (2FA). Det er et emne, jeg har berørt før, men ud fra mængden og specificiteten af de spørgsmål, jeg har modtaget om det, er det helt klart et spørgsmål, som mange mennesker tænker på. Da jeg betragter 2FA som måske den eneste bedste ting, som almindelige mennesker kan gøre for at forblive sikkert online, er jeg mere end glad for at tale uendeligt om det.
Dagens spørgsmål stammer fra Ted, som skrev i spørgsmålet om, hvorvidt 2FA-systemer virkelig er alt, hvad de er brudt op til at være. Bemærk, at Teds brev er redigeret for kortfattethed. Ted begynder sin besked med at henvise til nogle af mine andre forfattere på 2FA.
Du skrev "Når du har tilmeldt din sikkerhedsnøgle, vil SMS-adgangskoder være en backupindstilling i tilfælde af at du mister eller ikke får adgang til din nøgle." Hvis dette er sandt, hvorfor er denne enhed mere sikker end en 2FA SMS-kode? Som du også skrev: "Men telefoner kan stjæles, og SIM-jacking er tilsyneladende en ting, vi skal bekymre os om nu."
Hvad er der for at forhindre nogen i at fortælle Google, at det er du, har mistet sikkerhedsnøglen og har brug for en SMS-kode sendt til din stjålne / jackede telefon? Hvis jeg forstår dette korrekt, er denne enhed ikke mere sikker end 2FA SMS-tekster. Det er meget mere praktisk, det er helt sikkert, men jeg kan ikke se, hvordan det er mere sikkert.
Er resultatet af alt dette, at sikkerhedsnøglen øger din sikkerhed, men kun fordi du er mere tilbøjelig til at bruge den, ikke fordi den i sagens natur er mere sikker end 2FA? Hvad overser jeg?
Du savner ikke noget, Ted. Faktisk er du smart til at samle et grundlæggende problem, der ligger til grund for en masse af sikkerheden omkring online-godkendelse: hvordan kan du sikre dig, hvem folk er, uden at gøre det umuligt for dem at gendanne deres konti?
Grundlæggende om 2FA
Lad os først dække nogle grundlæggende. To-faktor-godkendelse, eller 2FA, er et sikkerhedskoncept, hvor du skal præsentere to identitetsbeviser, kaldet faktorer, fra en liste over en mulig tre.
- Noget, du ved , f.eks. En adgangskode.
- Noget du har , f.eks. En telefon.
- Noget du er , såsom dit fingeraftryk.
Rent praktisk betyder 2FA ofte en anden ting, du gør, når du har indtastet din adgangskode for at logge ind på et websted eller en tjeneste. Adgangskoden er den første faktor, og den anden kan enten være en SMS-besked, der sendes til din telefon med en speciel kode, eller ved hjælp af Apples FaceID på en iPhone. Tanken er, at selvom en adgangskode kan gætes eller stjæles, er det mindre sandsynligt, at en angriber kan få både dit kodeord og din anden faktor.
I sit brev spørger Ted specifikt om hardware 2FA-nøgler. Yubicos YubiKey-serie er sandsynligvis den bedst kendte mulighed, men den er langt fra den eneste mulighed. Google har sine egne Titan Security-nøgler, og Nitrokey tilbyder en open-source-nøgle for kun at nævne to.
De praktiske faldgruber
Intet sikkerhedssystem er perfekt, og 2FA er ikke anderledes. Guemmy Kim, produktstyringsleder for Googles kontosikkerhedsteam, påpegede med rette, at mange af de systemer, vi er afhængige af til gendannelse af konti og 2FA, er modtagelige for phishing. Det er her de onde bruger falske websteder for at narre jer til at indtaste private oplysninger.
Et af de mest eksotiske angreb ville være SIM-jacking, hvor en angriber kloner dit SIM-kort eller narrer dit telefonselskab med at afregistrere dit SIM-kort for at aflytte dine SMS-beskeder. I dette scenarie kunne angriberen meget effektivt efterligne dig, da de kunne bruge dit telefonnummer som deres eget.
Et ikke-så-eksotisk angreb er almindeligt gammelt tab og tyveri. Hvis din telefon eller en app på din telefon er din primære autentificering, og du mister den, vil det være en hovedpine. Det samme gælder hardwaretaster. Selvom hardwaresikkerhedsnøgler, som Yubico YubiKey, er svære at bryde, er de meget lette at miste.
Problemet med kontogendannelse
Hvad Ted påpeger i hans brev er, at mange virksomheder kræver, at du opretter en anden 2FA-metode ud over en hardwaresikkerhedsnøgle. Google kræver for eksempel, at du bruger enten SMS, installerer virksomhedens Authenticator-app eller tilmelder din enhed for at modtage push-meddelelser fra Google, der bekræfter din konto. Det ser ud til, at du har brug for mindst en af disse tre indstillinger som en sikkerhedskopi til enhver anden 2FA-indstilling, du bruger - såsom Titan-nøglerne fra Google.
Selv hvis du tilmelder en anden sikkerhedsnøgle som en sikkerhedskopi, skal du stadig aktivere SMS, Google Authenticator eller push-meddelelser. Hvis du vil bruge Googles avancerede beskyttelsesprogram, skal du tilmelde dig en anden nøgle.
Tilsvarende kræver Twitter også, at du bruger enten SMS-koder eller en autentificeringsapp ud over en valgfri hardwaresikkerhedsnøgle. Desværre tillader Twitter kun dig at tilmelde dig en sikkerhedsnøgle ad gangen.
Som Ted påpegede, er disse alternative metoder teknisk set mindre sikre end at bruge en sikkerhedsnøgle i sig selv. Jeg kan kun gætte, hvorfor disse systemer blev implementeret på denne måde, men jeg formoder, at de ønsker at sikre, at deres kunder altid har adgang til deres konti. SMS-koder og autentificeringsapps er tidstestede indstillinger, der er lette for folk at forstå og ikke kræver, at de køber ekstra enheder. SMS-koder løser også problemet med enhedstyveri. Hvis du mister din telefon, eller den er stjålet, kan du fjernlåse den, fraeautorisere dens SIM-kort og få en ny telefon, der kan modtage SMS-koder for at komme tilbage online.
Personligt kan jeg godt lide at have flere muligheder tilgængelige, for mens jeg er bekymret for sikkerhed, kender jeg også mig selv, og ved, at jeg mister eller ødelægger ting temmelig regelmæssigt. Jeg ved, at folk, der aldrig har brugt 2FA før, er meget bekymrede over at finde sig selv låst ud af deres konto, hvis de bruger 2FA.
2FA er faktisk meget god
Det er altid vigtigt at forstå ulemperne ved ethvert sikkerhedssystem, men det ugyldiggør ikke systemet. Mens 2FA har sine svagheder, har det været en enorm succes.
Igen skal vi kun se til Google. Virksomheden krævede internt brug af hardware 2FA-nøgler, og resultaterne taler for sig selv. Succesfuld kontoovertagelse af Google-medarbejdere forsvandt effektivt. Dette er især vigtigt i betragtning af at Google-ansatte, med deres position inden for tech-industrien og (formodet) formue, er de bedste til målrettede angreb. Det er her angribere bruger en stor indsats for at målrette specifikke personer i et angreb. Det er sjældent og normalt succes, hvis angriberen har tilstrækkelige midler og tålmodighed.
Advarslen her er, at Google krævede en bestemt type 2FA: hardwaresikkerhedsnøgler. Disse har fordelen i forhold til andre 2FA-ordninger som værende meget vanskelige at phish eller på anden måde aflytte. Nogle kan sige umuligt, men jeg så, hvad der skete med Titanic og ved bedre.
Stadig er metoderne til aflytning af 2FA SMS-koder eller autentificeringsmærker ret eksotiske og skaleres ikke rigtig godt. Det betyder, at de usandsynligt vil blive brugt af den gennemsnitlige forbryder, der ser ud til at tjene nogle penge så hurtigt og nemt som muligt på den gennemsnitlige person, som dig.
Til Teds punkt: hardwaresikkerhedsnøgler er den mest sikre måde, vi endnu har set at gøre 2FA. De er meget svære at phish og meget vanskelige at angribe, selvom de ikke er uden deres iboende svagheder. Derudover er 2FA-hardwaretaster i nogen grad fremtidssikret. Mange virksomheder bevæger sig væk fra SMS-koder, og nogle har endda omfavnet adgangskodeløs login, der helt afhænger af hardware 2FA-nøgler, der bruger FIDO2-standarden. Hvis du bruger en hardware-nøgle nu, er der en god chance for, at du vil være sikker i de kommende år.
- To-faktorautentisering: Hvem har det, og hvordan man opsætter det To-faktor autentificering: Hvem har det og hvordan man opsætter det
- Google: Phishing-angreb, der kan slå to-faktor, er på vej Google: Phishing-angreb, der kan slå to-faktor, er på vej
- SecurityWatch: Hvordan man ikke bliver låst ud med tofaktorautentisering SecurityWatch: Hvordan man ikke bliver låst ud med tofaktorautentisering
Så sikre som 2FA-nøgler er, kræver det større økosystem nogle kompromiser for at forhindre at du unødigt låser dig fra din konto. 2FA skal være en teknologi, som folk faktisk bruger, ellers er det slet ikke noget værd.
I betragtning af valget tror jeg, at de fleste vil bruge app- og SMS-baserede 2FA-indstillinger, da de er lettere at opsætte og effektivt gratis. Disse er muligvis ikke de bedst mulige muligheder, men de fungerer meget godt for de fleste mennesker. Det kan dog snart ændre sig, nu hvor Google giver dig mulighed for at bruge en mobilenhed, der kører Android 7.0 eller nyere som en hardware-sikkerhedsnøgle.
På trods af sine begrænsninger er 2FA sandsynligvis den eneste bedste ting for forbrugersikkerhed siden antivirus. Det forhindrer pænt og effektivt nogle af de mest ødelæggende angreb, alt uden at tilføje for meget kompleksitet i folks liv. Dog vælger du at bruge 2FA, skal du vælge en metode, der giver mening for dig. At ikke bruge 2FA er langt mere skadeligt end at bruge en lidt mindre god 2FA-smag.
