שעון האבטחה: כיצד לא להיעלם מאימות דו-גורמי | מקסימום אדי

לעתים קרובות כלי אבטחה יוצרים מידה מסוימת של חרדה. מה קורה אם אני מאבד את הסיסמה שלי? או אם האנטי-וירוס שלי מוחק את הדברים שלי? הופעת האימות הדו-גורמי יצרה טוויסט חדש לחרדה מוכרת: מה קורה אם אני לא יכול להשתמש בגורם השני שלי וננעל מחוץ לחשבון שלי?

ג'רמי מקפטאון כתב עם כמה דאגות לגבי 2FA. ערכתי את המכתב שלו לקצרה.

אדון נכבד, אני לא טכני מדי ורוצה מכשיר אימות דו-גורמי שלא נתקל בסיבוכים מסובכים בעת הגדרה או גישה כמו שנתקלתם ב- Yubikey. הפחד הגדול ביותר שלי הוא לנעול את עצמי מה- Gmail שלי.

האם עדיף לקנות שני מפתחות, כאשר האחד כמפתח גיבוי?

בכנות, ג'רמי

במקרה שלא שמעת על אימות דו-גורמי, או 2FA, הנה התמצית: 2FA היא פעולה שנייה שתבצע לאחר שתזין את הסיסמה שלך כדי לאמת את זהותך. הרעיון הוא שתוקף עשוי להיות בעל הסיסמה שלך, אך לא יהיה להם מפתח האבטחה, אפליקציית האימות או קוד ה- SMS שלך. יש תיאוריה ותרגול שלם ל- 2FA שלא אכנס כאן, אבל אני כן מעודד אותך ומאפשר 2FA היכן שאתה יכול.

ג'רמי נמצא בחברה טובה בדאגתו מפני 2FA. אנשים רבים שמוכרים מבחינה טכנית וביטחונית, שאני מכיר, ממשיכים להימנע מהגנה על שני גורמים מכיוון שהם חוששים להסתגר, ואולי לאבד גישה לחומר שלהם לנצח. זה דאגה אמיתית ותקפה.

קורא, זה קרה לי

למען האמת, נעולתי בעבר מחשבונות המוגנים על ידי 2FA. יותר מפעם אחת. עוד באותו יום, אחת החברות הראשונות שהציעו אימות דו-גורמי הייתה Blizzard. שחקני World of Warcraft קיבלו גישה ראשונה, מכיוון שהם היו צריכים להגן על השלל הרווח שלהם. אתה זוכר אנשים שהסתובבו עם מחזיקי מפתחות של WoW שהציגו ספרות משתנות על גבי LCD. לאחר מכן, Blizzard חידד את החוויה לאפליקציה סלולרית, והפשילה את 2FA לכל משתמשי Battle.net.

בהיותי האדם הפרנואידי שאני, הפעלתי את 2FA בחשבון Blizzard שלי באמצעות האפליקציה המיוחדת של Blizzard Authenticator. שכחתי מיד שעשיתי זאת, ובחודשים שחלפו, מחקתי את האפליקציה מהטלפון ושכחתי את הסיסמא שלי. למרבה המזל, בליזארד יש שירות לקוחות מעולה. כמה הודעות דוא"ל עם הצוות הצעיר שלהם החזירו אותי לאינטרנט בעוד מספר ימים. אבל זה עדיין היה עוטף עצבים. הייתי כל כך רגיל להיות מסוגל להתמודד עם איפוס הסיסמאות שלי, והרעיון של צורך לעסוק עם אדם חי בפועל כחלק מתהליך זה הרגיש, טוב מאוד, מוזר.

מאז התרגלתי יותר לחוויה, ולמדתי להיות יותר חכמים לשמירה על האותנטיזציה שלי. עדיין הצלחתי להינעל מה- Battle.net שוב ושוב, כמו גם Steam ושירותים אחרים.

תלוי באופן בו חברה מגדירה את הצעת ה- 2FA שלה, אתה עלול למצוא את עצמך צריך להתכופף לאחור כדי לקבל שליטה על חשבונך בחזרה. עד כמה שזה נשמע מעצבן, זה בעצם אומר שהשירות עובד. אתה צריך לדלג דרך הרבה חישוקים אם אין לך את האמת. אם היה קל לך, אז היה קל לבחור רע.

הכפל את הגורמים שלך

למרבה המזל, יש דרך קלה למנוע את הנעילה על ידי 2FA: השתמש במספר אפשרויות של 2FA. אלה יכולים לפעול כגיבוי למקרה שאין לך גישה לאפשרות 2FA אחרת. לדוגמה, אני משתמש ב- YubiKey 5 NFC בחשבונות Google שלי, אך הפעלתי גם הקשה על הודעת דחיפת אימות בטלפון שלי. אם אין לי את Yubikey שלי, אני משתמש בזה במקום זאת.

הוספת מכשירים רב-פקטוריים יותר מגדילה את הסיכון שייתכן שתיפגע בחשבונך. כעת יש שתי דרכים להיכנס לחשבון שלך, במקום רק אחת. אני מאמין שהתמורה בכך שאינך ננעל מחוץ לחשבונך עולה על התרחיש הלא סביר ביותר שבו אתה סדוק והעובד לוקח את הארנק, המפתחות ואת מפתח האבטחה שלך וגם גורם לך לרשום את הסיסמה שלך.

צרור מפתח האבטחה של גוגל טיטאן.

האישור הטוב ביותר לשימוש ביותר ממכשיר 2FA אחד מגיע מגוגל, המספקת שני מפתחות בצרור ה- Titan Key שלה. אלה נוצרו במיוחד כדי לעבוד עם מערכת ההגנה המתקדמת של גוגל, המחייבת לרשום שני מפתחות אבטחה נפרדים. אתה משתמש באחד בכל יום, ומרחיק את השני למקרה חירום. אז, כדי לענות ישירות על השאלה של ג'רמי: לא רעיון רע יש שני מפתחות לחשבונך.

למרבה הצער, לא כל האתרים מאפשרים לך להירשם ליותר מאפשרות רב-פקטורית אחת. אם זה המקרה, אני ממליץ להשתמש באפשרות 2FA שלדעתך אמינה ביותר עבורך.

בנה את המאמת שלך ארסנל

אם תבחר לרכוש מפתחות 2FA חומרה מרובים, אני ממליץ על מפתח האבטחה של Choice Editors מאת Yubico או על צרור ה- Titan Key מגוגל. מפתח האבטחה של יוביקו עולה 20 דולר בלבד כל אחד, או 36 דולר לשניים. הצרור של גוגל עולה 50 דולר וכולל שני מכשירים: מפתח USB אחד ודונגל Bluetooth המופעל באמצעות סוללה.

מפתח האבטחה מאת יוביקו

במשך שנים, הדרך הנפוצה ביותר להשתמש ב- 2FA הייתה לשלוח קודים חד פעמיים לטלפון שלך באמצעות הודעת טקסט. כנראה שאתה עדיין צריך להשתמש בזה בבנק שלך, מכיוון שמוסדות פיננסיים נוטים לאמץ טכנולוגיות חדשות לאט יותר. באופן מעניין, גוגל עדיין דורשת שתפעיל קודי SMS אם ברצונך להשתמש במערכות 2FA אחרות. לשאלת ג'רמי, פירוש הדבר שכשאתה הולך לרשום את מפתח האבטחה החדש שלך בגוגל, תצטרך כבר לאפשר אפשרות 2FA שנייה בצורה של קודי SMS.

אפשרות נוספת היא להשתמש ב- Google Authenticator, או באפליקציה דומה כמו המאמת של LastPass. אפליקציות סלולריות אלה מייצרות קוד שישה ספרות בכל 30 שניות. פשוט פתח את האפליקציה, העתק את הקוד ואתה נמצא בה. אלה שימושיים במיוחד כאפשרות 2FA לגיבוי, מכיוון שהאפליקציה עובדת גם ללא שירות סלולרי או Wi-Fi.

אם כל אלה נראים מדאיגים, תוכלו להשתמש בשיטה המועדפת עלי: קודי גיבוי פיזיים. יתכן שראית את אלה בעת יצירת חשבונות, או נרשמת ל- 2FA. זהו רשת של מספר מספרים שבהם תוכלו להשתמש במקום סיסמה ואסימוני 2FA. הם נוצרים רק פעם אחת, ואם אתה מייצר אותם מחדש, הישנים נזרקים. באופן אידיאלי, תוכלו לאבטח את אלה בכספת קבצים מוצפנת, או עדיף על פיסת נייר שתוחבה במקום בטוח.

כאשר יצרה את תוכנית ההגנה המתקדמת שלה, גוגל בחרה במספר מפתחות חומרה מכיוון שאפשר לתפוס את כל שאר האפשרויות שפירטתי לעיל - כולל קודי גיבוי - באמצעות דף דיוג עשוי היטב. זיוף מפתח אבטחה הרבה יותר קשה.

• אימות דו-גורמי: מי יש לו ואיך להגדיר אותו אימות דו-גורמי: למי יש זאת ואיך להגדיר אותה
• מדוע אינך משתמש באימות דו-גורמי? מדוע אינך משתמש באימות דו-גורמי?
• גוגל: התקפות פישינג שיכולות לנצח דו-גורמים עולות בעלייה גוגל: התקפות דיוג שיכולות לנצח דו-פקטור נמצאות בעלייה

זכור כי לא כל האתרים תומכים בכל סוג של אימות. LastPass, למשל, מאפשר לך להשתמש במפתחות אבטחה, אך רק במקשים התומכים בקודי פיסקה חד פעמיים. להבין באילו מאמתים להשתמש הוא לרוב פונקציה של האפשרויות הנתמכות בהן.

הצעדים הראשונים שלך לאימות דו-גורמי

עם זאת, אני ממליץ לכל מי שחדש ב- 2FA לנסות זאת עם מערכת אחרת מלבד מפתחות אבטחה. אם אינך רגיל לדבר השני הזה כדי להתחבר, סביר יותר שתתעסק במשהו לא מוכר כמו מפתח אבטחה. במקום זאת, נסה להשתמש בהודעות דחיפה, קודים שנשלחו באמצעות הודעת טקסט, Duo או המאמת של גוגל (או מחולל קוד דומה). אלה משתמשים במכשירים שכבר יש לך, כך שאין עלות כניסה. ברגע שאתה מכיר כיצד עובד 2FA, וזה מתחיל להרגיש כמו טבע שני, אתה יכול לחשוב על צמצום הכסף עבור מפתח / ים ביטחון.

תכונת אבטחה חשובה רק אם אתה משתמש בה בפועל. אז אפשר 2FA, אך תן לעצמך אישור להסתובב איתה ולמצוא שיטה שמתאימה לך.