אימות דו-גורמי (2FA) נראה בעבר כמשהו ששמור לסרטי ריגול או מותחנים פוליטיים-מסוג הדברים שבהם איתן האנט של Mission Impossible צריך להשתמש כדי לגשת למשימה שלו לפני שהיא הורסת את עצמה. אבל זה כבר לא המצב. כמעט כולנו משתמשים ב- 2FA על בסיס יומי, בין אם זה 2FA ביומטרי במכשירים שלנו (טביעת אצבע או זיהוי פנים) או סיסמאות חד פעמיות נפוצות המתקבלות באמצעות SMS או אפליקציית אימות.
החשבונות שלנו פשוט יקרים מכדי שהאקרים יתעלמו מהם. אפילו חשבון דואר אלקטרוני שנפגע יכול להוות אבן דרך לגישה לחשבונות פיננסיים ולגזול ממך את הכסף שהרווחת קשה תוך יצירת תרחיש סיוט עבורך. למרות שסרטים מתארים האקר עטוי קפוצ'ונים ואצבעות עפות בזעם מעל המקלדת, המציאות היא שעל פי דיווחי חקירות הפרת הנתונים של Verizon2021-2022, רוב המכריע של הפרות האבטחה (85%) כוללות אלמנט אנושי. 2FA היא הדרך הטובה ביותר להילחם בהתקפה מסוג זה.
- שירותי ה- VPN הטובים ביותר 2022-2023-2022
- אפליקציית Norton Antivirus מאפשרת לך כעת להרוויח קריפטו - הנה מה שאתה יכול לכרות
- עסקאות המחשבים הניידים הטובים ביותר ביוני 2022-2023-2022
בין אם אתה חושב שזה מה שמדאיג אותך ובין אם לאו, חברות רבות עוברות ל- 2FA כאמצעי אבטחה נדרש, כאשר גוגל היא אחת האחרונות להודיע שהיא תדרוש 2FA בתקופה הקרובה.
לאחרונה סקרנו מדוע עליך להפסיק להשתמש במספר הטלפון שלך לאימות דו-גורמי, אם פספסת את זה ואינך בטוח מדוע זה רעיון כל כך גרוע, קרא אותו וחזור, כעת אנו נראה לך כיצד לעשות 2FA בדרך הנכונה.
מהו אימות דו-גורמי?
2FA היא הצורה הידועה והנפוצה ביותר של אימות רב-גורמי (MFA), שכפי שהשם מרמז מסתמכת על מספר גורמים על מנת לאמת את זהותך. דוגמה קלאסית היא קבלת כסף מכספומט, אתה צריך את הכרטיס וגם את מספר ה- PIN שלך כדי לגשת לחשבון שלך.
דוגמה זו כוללת שתיים מתוך שלוש הקטגוריות עבור MFA, "מה שיש לך" (אובייקט פיזי) ו"מה שאתה יודע "(סיסמה או שאלת אבטחה). האפשרות השלישית היא "מה שאתה" כלומר שיטה ביומטרית כמו סורק טביעות אצבע או זיהוי פנים. שלא כמו אפילו סיסמה מורכבת להפליא, הדבר מבטל את האפשרות להפרת חשבונך ללא גישה פיזית אליך.
בהודעה 2FA של Google, היא התייחסה לסיסמאות כ"איום הגדול ביותר על האבטחה המקוונת שלך ". לעת עתה, סיסמאות הן עדיין חלק מאוד מתהליך 2FA עבור רוב האנשים. עם זאת, הנקודה אומרת שהם נקודת התורפה בשרשרת שצריך לחזק לפחות גורם אחד נוסף. אז בואו נסתכל על האפשרויות הטובות ביותר עבור 2FA.
אימות דו-גורמי מבוסס אפליקציות
כמו כמעט בכל דבר, ישנם פתרונות אפליקציות להתמודדות עם 2FA, אלה נקראים אפליקציות אימות. יש עשרות בשוק, אבל כמה שאני ממליץ עליהם הם Authy, Microsoft Authenticator, LastPass ו- 1Password. מאמת Google הוא אופציה פופולרית נוספת, אך אני לא אוהב שהיא לא דורשת סיסמה או התחברות ביומטרית, זהו פער אבטחה פוטנציאלי בתהליך שמנסה לחסל אותם.
Authy היא אפליקציית אימות ייעודית והיא משמשת במפורש לכניסת 2FA. Microsoft Authenticator, LastPass ו- 1Password הם מנהלי סיסמאות ששילבו רכיב אימות. אם אתה זקוק למנהל סיסמאות או כבר משתמש באחד מאלה, הייתי הולך בדרך הזו מכיוון שהיא הופכת את תהליך 2FA ללא חיכוך ככל האפשר.
לאחר שתבחר את אפליקציית האימות ותתקין אותה, תוכל להתחיל בהגדרת 2FA עבור החשבונות שלך. זה הולך להיות החלק המייגע ביותר בתהליך מכיוון שהוא כרוך בביקור בכל שירות או אתר שאתה משתמש בו המציע תמיכה 2FA אחד אחד. אני חושד שזה הצעד שמדחה את רוב האנשים באמצעות 2FA, אבל בסופו של דבר זה שווה את זה בשביל האבטחה המקוונת שלך. וברגע שיש לך 2FA בהפעלה, זו לא הטרחה שחלקם גורמים לזה להיות.
במהלך ההגדרה הראשונית, תוכלו לסרוק קוד QR, או במקרים מסוימים להזין קוד ואז השירות יישמר ביישום האימות שלכם. תראה את החשבונות שלך עם קבוצה של שש ספרות לידם וטיימר נספר לאחור. כל 30 שניות נוצר קוד אקראי בן שש ספרות לכל אחת. אלה סיסמאות חד פעמיות מבוססות זמן (TOTP), הדומות למה שהיית מקבל באמצעות SMS או דוא"ל, אך אלה אינן מצריכות חיבור לאינטרנט ואינן יכולות ליירט על ידי אף אחד.
כעת, ברוב המקרים, לא תצטרך להזין את קוד TOTP שלך בכל פעם שאתה נכנס, אלא אם כן אתה רוצה את רמת האבטחה הזו. בדרך כלל נדרש להשתמש בו רק כאשר אתה מתחבר למכשיר חדש או לאחר שחלף פרק זמן מוגדר, 30 ימים הם נפוצים, אך אתרים ושירותים ישתנו בנושא.
אימות דו-גורמי מבוסס חומרה
עכשיו אמנם יש בהחלט גורם נוחות עם מאמתים ניידים. במחקר שנערך בשנתיים עם Google, פתרון מבוסס חומרה היה מהיר פי ארבעה, פחות נוטה לדרוש תמיכה ומאובטח יותר. פתרון חומרה MFA/2FA נראה מאוד כמו כונן הבזק מסוג USB. הם מגיעים בצורות וגדלים שונים המציעים תמיכה בכל המכשירים שלך עם USB Type-A, USB Type-C ו- Lightning. חלק מהאפשרויות המודרניות יציעו גם תמיכה אלחוטית באמצעות NFC או Bluetooth.
בעזרת מפתחות האבטחה האלה, אתה פשוט מחבר אותם למכשיר שלך או מחליק אותם מעל שבב ה- NFC במכשיר שלך וזו משמשת כשיטת 2FA שלך. זוהי קטגוריית ה- MFA של "מה שיש לך". קל לראות כיצד זה הולך להיות מהיר יותר מאשר לפתוח את אפליקציית האימות שלך, למצוא את קוד TOTP הרלוונטי ולאחר מכן להזין אותו לפני שהוא מתאפס.
בדיוק כמו אפליקציות האימות, ישנן מספר ניכר של אפשרויות בכל הקשור לחומרה 2FA. הבולט ביותר (וגם זה ש- Google הלכה איתו על למעלה מ -50,000 עובדיו) הוא YubiKey. לגוגל עצמה יש את מפתח האבטחה של טיטאן ותטיס היא שחקן חזק נוסף בשוק, אך כל האפשרויות הללו הן מוסמכות FIDO U2F, תקן פתוח שיצרו Google ויוביקו (החברה שעומדת מאחורי YubiKey) עוד בשנת 2007 כדי לקדם אימוץ רחב של מאובטחים אימות.
תהליך ההתקנה הבסיסי זהה במהותו לשיטת האימות הנייד, יהיה עליך ללכת לכל שירות ולפעול לפי ההנחיות להגדרת 2FA. במקום לסרוק קוד QR ולקבל את קודי TOTP, תוכל לחבר או להחליק את מפתח האבטחה שלך כאשר תתבקש ואז הוא יירשם לשירות זה. כאשר תתבקש לעשות זאת בעתיד, יהיה עליך פשוט לחבר שוב את התוסף או לסחוב את מפתח האבטחה שלך ולהקיש על איש הקשר שבו. אם אינך בטוח באילו שירותים ויישומים אתה משתמש התומכים במפתח אבטחה תוכל לעיין בקטלוג שימושי זה מבית Yubico.
החשש הנפוץ ביותר עם מפתח האבטחה הוא מה לעשות אם אתה מאבד אותו או שהוא נשבר. יש שם כמה אפשרויות. זה שגוגל מעסיקה ויוביקו ממליץ עליו לשמור על שני מפתחות אבטחה, אחד שמאוחסן בצורה מאובטחת ושני שאתה שומר עליך. למעט חלק ממפתחות האבטחה הזעירים שנועדו להישאר מחוברים לצמיתות למכשירים הנמצאים במיקום מאובטח, לכל מפתחות האבטחה יש חור המאפשר לחבר אותם לחוג המפתחות שלך.
זה אומר שבכל פעם שאתה נרשם לשירות 2FA אתה צריך להריץ את שני מפתחות האבטחה מכיוון שהוא נרשם לחומרה הפיזית ולא לחשבון, אבל שוב לאחר ההתקנה הראשונית, זה לא צריך להיות תכוף כל כך נושא. אלה לא יקרים במיוחד עם NubiKey 5 NFC למשל במחיר של 45 $ ומפתח האבטחה Thetis FIDO2 BLE הזמין בפחות מ -30 $ ולא צריך להחליף אותם במשך שנים, כך שזה לא פתרון רע.
האלטרנטיבה היא שעליך לשמור על קודי הגיבוי המסופקים על ידי כל האתרים והשירותים בהם אתה משתמש ב- 2FA. ניתן להדפיס ולשמור אותן במיקום מאובטח או להצפין ולאחסן את קבצי הטקסט במקום בטוח או בתיקייה נעולה באמצעות סיסמה ומוצפנת או בכונן הבזק המאוחסן בצורה מאובטחת.
סקירה כללית
לא משנה אם בוחרים בפתרון 2FA מבוסס אפליקציות או חומרה, אין ספק שההגדרה הראשונית היא אחת המכשולים הגדולים ביותר בהתחשב בהיקף האתרים, השירותים והאפליקציות העצומים שרבים מאיתנו משתמשים בהם. היה לי קל יותר פשוט לעשות 3-5 ביום עד שעשיתי את דרכי בכולם במקום ללכת למפגש רישום מרתון אחד.
לאחר שתסיים את התהליך הראשוני, זהו שלב נוסף למדי ללא כאבים, שמציע לך הרבה יותר אבטחה מאשר סיסמה בלבד או פתרון 2FA מבוסס SMS או דוא"ל. אתה עלול לגעת קצת בזמן הנוסף שאתה צריך להזין מדי פעם את הקוד או לחבר את מפתח האבטחה שלך, אך הוא מחוויר בהשוואה לכאב הראש של הצורך להתמודד עם מישהו הגונב את אישוריך ועלול להפוך את חייך כפי שאתה מנסה. להחזיר את השליטה בחשבונות שלך.
כשחברות כמו PayPal, Google ואחרות עוברות לדירוג 2FA כדרישה, תזדקק לפתרון 2FA. אל תסתפקו בפתרונות מבוססי SMS או דוא"ל, הם פשוט עוקפים בקלות רבה מדי. הן אפליקציות המאמת והן מפתחות אבטחת החומרה מציעים אבטחה חזקה של 2FA ובעקבות תהליך ההתקנה הראשוני, היא הופכת במהירות לחלק חלק מהרגלי האבטחה המקוונים שלך.