Sikkerhedswatch: hvordan man ikke bliver låst med to-faktor autentificering | max virvel

Sikkerhedsværktøjer skaber ofte en vis mængde angst. Hvad sker der, hvis jeg mister mit kodeord? Eller hvis min antivirus sletter mine ting? Fremkomsten af ​​tofaktorautentisering har skabt en ny vri på en velkendt angst: hvad sker der, hvis jeg ikke kan bruge min anden faktor og bliver låst ud af min konto?

Jeremy fra Capetown skrev ind med et par bekymringer om 2FA. Jeg har redigeret hans brev for kortfattethed.

Kære hr, Jeg er ikke for teknisk og vil have en tofaktors autentificeringsenhed, der ikke løber ud i vanskelige komplikationer, når jeg konfigurerer eller får adgang til, som du stødte på med Yubikey. Min største frygt er at låse mig ud af min Gmail.

Er det bedre at købe to nøgler, med den ene som en backup-nøgle?

Med venlig hilsen

Jeremy

I tilfælde af at du ikke har hørt om tofaktorautentisering eller 2FA, er her vigtigheden: 2FA er en anden handling, du udfører, når du har indtastet din adgangskode for at bekræfte din identitet. Ideen er, at en angriber måske har din adgangskode, men de har ikke din sikkerhedsnøgle, autentificeringsapp eller SMS-kode. Der er en hel teori og praksis for 2FA, som jeg ikke kommer ind på her, men jeg opfordrer dig til og aktiver 2FA, hvor du kan.

Jeremy er i godt selskab i sin bekymring over 2FA. Mange teknisk kyndige og sikkerhedsbevidste mennesker, jeg kender, fortsætter med at undgå beskyttelse af to faktorer, fordi de er bange for at blive låst ud og måske mister adgang til deres ting for evigt. Det er en reel og gyldig bekymring.

Læser, det skete for mig

Faktisk er jeg blevet låst ud af 2FA-beskyttede konti før. Mere end en gang. Tilbage i dag var Blizzard et af de første virksomheder, der tilbyder tofaktorautentisering. World of Warcraft-spillere fik først adgang, da de havde brug for at beskytte deres hårdt tjente tyvegods. Du husker muligvis folk, der gik rundt med WoW-nøgleringe, der viste skiftende cifre på en LCD. Blizzard forbedrede senere oplevelsen til en mobilapp og rullede 2FA ud til alle Battle.net-brugere.

Som den paranoide person, som jeg er, aktiverede jeg 2FA på min Blizzard-konto ved hjælp af den specielle Blizzard Authenticator-app. Jeg glemte straks, at jeg havde gjort dette, og i de mellemliggende måneder slettede appen fra min telefon og glemte min adgangskode. Heldigvis har Blizzard fremragende kundeservice. Et par e-mails med deres joviale personale havde mig tilbage online om et par dage. Det var dog stadig nervepirrende. Jeg var så vant til at være i stand til at håndtere mine nulstillede adgangskoder, og tanken om at skulle gå i kontakt med et faktisk levende menneske som en del af denne proces føltes, ja, meget underligt.

Jeg er siden blevet mere vant til oplevelsen, og jeg har lært at være klogere med at holde min autentificator sikker. Jeg har stadig formået at blive låst ud af Battle.net gentagne gange såvel som Steam og andre tjenester.

Afhængigt af hvordan et firma konfigurerer sit 2FA-tilbud, kan du muligvis finde dig selv nødt til at bøje dig bagud for at få kontrol over din konto tilbage. Så irriterende som det lyder, betyder det faktisk, at tjenesten fungerer. Du skal hoppe gennem en masse bøjler, hvis du ikke har godkenderen. Hvis det var let for dig, ville det være let for en dårlig fyr.

Multiplicer dine faktorer

Heldigvis er der en nem måde at forhindre, at 2FA er låst: Brug flere 2FA-indstillinger. Disse kan fungere som en sikkerhedskopi, hvis du ikke har adgang til en anden 2FA-mulighed. For eksempel bruger jeg en YubiKey 5 NFC med mine Google-konti, men jeg aktiverede også at trykke på en bekræftelses push-anmeldelse på min telefon. Hvis jeg ikke har min Yubikey, bruger jeg det i stedet.

Tilføjelse af flere multifaktorenheder øger risikoen for, at din konto kan kompromitteres. Nu er der to måder at komme ind på din konto i stedet for kun en. Jeg tror, ​​at fordelene ved ikke at være låst fra din konto i høj grad opvejer det meget usandsynlige scenario, hvor du er krænket, og perp'en tager din tegnebog, nøgler og sikkerhedsnøgle og har dig også til at skrive din adgangskode.

Bundtet til Google Titan Security Key.

Den bedste påtegning ved at bruge mere end en 2FA-enhed kommer fra Google, der indeholder to nøgler i dens Titan Key-bundt. Disse blev oprettet specifikt for at arbejde med Googles avancerede beskyttelsessystem, som kræver, at du tilmelder to separate sikkerhedstaster. Du bruger en hver dag, og du lægger den anden væk i nødsituationer. Så for direkte at svare på Jeremys spørgsmål: Det er ikke en dårlig ide at have to nøgler til din konto.

Desværre tillader ikke alle sider, at du tilmelder dig mere end en multifaktorindstilling. Hvis det er tilfældet, anbefaler jeg, at du bruger den 2FA-indstilling, som du synes er mest pålidelig for dig.

Opbyg din autenticator Arsenal

Hvis du vælger at købe flere hardware 2FA-nøgler, anbefaler jeg enten vores Editors 'Choice Security Key af Yubico eller Titan Key-bundtet fra Google. Yubicos sikkerhedsnøgle koster kun $ 20 hver eller $ 36 for to. Googles bundt koster $ 50 og inkluderer to enheder: en USB-nøgle og en batteridrevet Bluetooth-dongle.

Sikkerhedsnøglen af ​​Yubico

I årevis var den mest almindelige måde at bruge 2FA at få engangskoder sendt til din telefon via sms. Du er sandsynligvis stadig nødt til at bruge dette med din bank, da finansielle institutioner har tendens til at indføre nye teknologier langsommere. Google kræver interessant nok, at du aktiverer SMS-koder, hvis du vil bruge andre 2FA-systemer. På Jeremys spørgsmål betyder det, at når du går til at tilmelde din nye sikkerhedsnøgle hos Google, skal du allerede aktivere en anden 2FA-mulighed i form af SMS-koder.

En anden mulighed er at bruge Google Authenticator eller en lignende app som LastPass Authenticator. Disse mobile apps genererer sekscifrede adgangskoder hvert 30. sekund. Bare åbn appen, kopier koden, og du er i. Disse er især nyttige som en 2FA-sikkerhedskopi-indstilling, fordi appen fungerer selv uden mobiltjeneste eller Wi-Fi.

Hvis alle disse synes foruroligende, kan du bruge min foretrukne metode: fysiske backup-koder. Du har muligvis set disse, når du opretter konti eller tilmelder dig 2FA. Det er et gitter med flere numre, som du kan bruge i stedet for et kodeord og 2FA-symboler. De genereres kun én gang, og hvis du gengenererer dem, kastes de gamle ud. Ideelt set sikrer du disse i et krypteret filhvelv eller endnu bedre på et stykke papir gemt på et sikkert sted.

Da det oprettede sit avancerede beskyttelsesprogram, valgte Google flere hardwaretaster, fordi alle de andre indstillinger, jeg nævnte ovenfor - inklusive sikkerhedskoder - potentielt kunne indfanges med en veludviklet phishing-side. Det at se på en sikkerhedsnøgle er meget sværere.

• To-faktorautentisering: Hvem har det, og hvordan man opsætter det To-faktor autentificering: Hvem har det og hvordan man opsætter det
• Hvorfor bruger du ikke tofaktorautentisering? Hvorfor bruger du ikke tofaktorautentisering?
• Google: Phishing-angreb, der kan slå to-faktor, er på vej Google: Phishing-angreb, der kan slå to-faktor, er på vej

Husk, at ikke alle websteder understøtter enhver slags autentificering. LastPass, for eksempel, giver dig mulighed for at bruge sikkerhedstaster, men kun nøgler, der understøtter engangskodekoder. At finde ud af, hvilke godkendere der skal bruges, er ofte en funktion af, hvilke muligheder der understøttes.

Dine første trin til tofaktorautentisering

Når det er sagt, anbefaler jeg, at alle, der er nye på 2FA, først prøver det med et andet system end sikkerhedstaster. Hvis du ikke er vant til at have den anden ting rundt om at logge på, er det mere sandsynligt, at du roder med noget så ukendt som en sikkerhedsnøgle. Prøv i stedet at bruge push-meddelelser, koder sendt via tekstbesked, Duo eller Google Authenticator (eller lignende kodegenerator). Disse bruger de enheder, du allerede har, så der er ingen omkostninger ved indrejse. Når du er fortrolig med, hvordan 2FA fungerer, og det begynder at føles som en anden art, kan du tænke på at nedlægge pengene til en sikkerhedsnøgle.

En sikkerhedsfunktion er kun værdifuld, hvis du rent faktisk bruger den. Så aktiver 2FA, men giv dig selv tilladelse til at lege med det og finde en metode, der fungerer for dig.