Uwierzytelnianie użytkownika to proces sprawdzania, czy osoba logująca się do systemu jest tym, za kogo się podaje. Najczęściej wykorzystuje hasło, urządzenie lub cechę biometryczną, a najwyższy poziom ochrony zapewnia połączenie kilku różnych czynników, czyli MFA.
Czym jest uwierzytelnianie?
Uwierzytelnianie następuje podczas logowania do konta, aplikacji albo urządzenia. System porównuje podane informacje z zapisanymi danymi i na tej podstawie potwierdza tożsamość użytkownika. Hasło jest tylko jedną z dostępnych metod.
Nie należy mylić uwierzytelniania z autoryzacją. Pierwszy proces odpowiada na pytanie „kim jesteś?”, a drugi sprawdza, do jakich zasobów możesz uzyskać dostęp po pomyślnym zalogowaniu. Przykładowo system może rozpoznać użytkownika jako pracownika firmy, a następnie zezwolić mu tylko na odczyt dokumentów, bez prawa ich usuwania.
Trzy czynniki uwierzytelniania
Metody weryfikacji tożsamości dzieli się na trzy podstawowe grupy: coś, co wiesz, coś, co masz, oraz coś, czym jesteś. Każdy czynnik ma inne zalety i inne ograniczenia.
| Typ czynnika | Przykłady | Główna zaleta | Główne ryzyko |
|---|---|---|---|
| Coś, co wiesz | Hasło, PIN, odpowiedź na pytanie | Łatwe wdrożenie i niski koszt | Możliwość odgadnięcia, wyłudzenia lub przejęcia po wycieku |
| Coś, co masz | Telefon, token, klucz sprzętowy | Napastnik potrzebuje fizycznego urządzenia | Utrata, kradzież albo zablokowanie urządzenia |
| Coś, czym jesteś | Odcisk palca, rozpoznawanie twarzy, głos | Wygodne użycie bez zapamiętywania sekretu | Trudniejsza zmiana danych biometrycznych po ich ujawnieniu |
Czynnik wiedzy obejmuje informacje znane użytkownikowi. Hasło powinno być długie, unikalne i niepowiązane z łatwymi do odgadnięcia danymi, takimi jak imię czy data urodzenia. Samo hasło nie chroni jednak dobrze konta, jeśli użytkownik stosuje je w wielu serwisach.
Czynnik posiadania wykorzystuje urządzenie lub przedmiot znajdujący się w rękach użytkownika. Może to być telefon odbierający kod, aplikacja uwierzytelniająca, token albo klucz sprzętowy. W razie utraty urządzenia potrzebna jest wcześniej przygotowana metoda awaryjnego odzyskania dostępu.
Czynnik inherencji, nazywany też czynnikiem cechy, opiera się na właściwościach ciała. Biometria ułatwia logowanie, ale nie jest całkowicie wolna od ryzyka. Odcisk palca lub cechy twarzy nie da się zmienić tak jak hasła, dlatego dane biometryczne powinny być przechowywane i przetwarzane przez zaufane rozwiązania.
Rodzaje metod używanych obecnie
Wybór metody zależy od wartości chronionych danych, rodzaju urządzenia i możliwości danego systemu. Najczęściej spotykane rozwiązania to:
- Hasła i kody PIN – działają jako czynnik wiedzy, ale wymagają unikalności i bezpiecznego przechowywania. Menedżer haseł może generować oraz przechowywać różne dane logowania.
- Kody SMS i kody z aplikacji – potwierdzają posiadanie telefonu lub dostęp do aplikacji. Kody generowane przez aplikacje uwierzytelniające, takie jak Google Authenticator, nie zależą od dostarczenia wiadomości SMS.
- Biometria – obejmuje między innymi odcisk palca i rozpoznawanie twarzy. Zapewnia wygodę, lecz wrażliwe dane biometryczne wymagają szczególnej ochrony.
- Klucze sprzętowe – fizyczne urządzenia używane przy logowaniu. Są odporne na część oszustw polegających na wyłudzeniu hasła, ponieważ potwierdzenie odbywa się na konkretnym kluczu.
MFA i 2FA – jaka jest różnica?
Uwierzytelnianie wieloskładnikowe, czyli MFA, polega na połączeniu co najmniej dwóch niezależnych czynników. Przykładem jest hasło oraz kod z aplikacji, czyli czynnik wiedzy i czynnik posiadania. Dzięki temu przejęcie samego hasła nie wystarcza do zalogowania.
2FA jest szczególnym przypadkiem MFA, w którym stosuje się dokładnie dwa czynniki. Każde 2FA jest więc MFA, ale MFA może obejmować także więcej niż dwa składniki. Nie powinno się natomiast traktować dwóch haseł jako dwóch niezależnych czynników, ponieważ oba należą do kategorii wiedzy.
Wiadomość SMS może być lepszą ochroną niż samo hasło, ale aplikacja uwierzytelniająca lub klucz sprzętowy zwykle ogranicza więcej rodzajów ataków. Niezależnie od wybranej metody, MFA znacząco zmniejsza skutki wycieku hasła.
Jak lepiej zabezpieczyć konta?
Podstawowe działania można wdrożyć bez specjalistycznej wiedzy. Poniższa lista obejmuje najważniejsze czynności dla prywatnych kont:
- Włącz MFA wszędzie, gdzie jest dostępne, szczególnie dla poczty elektronicznej, bankowości i kont przechowujących dane osobowe.
- Używaj osobnego hasła dla każdego serwisu i przechowuj je w menedżerze haseł.
- Twórz długie hasła, najlepiej o długości co najmniej 12 znaków, bez danych osobowych i prostych sekwencji.
- Sprawdzaj powiadomienia o nowych logowaniach oraz listę aktywnych sesji, a nieznane urządzenia wyloguj.
- Zapisz kody zapasowe lub przygotuj alternatywną metodę dostępu na wypadek utraty telefonu z aplikacją uwierzytelniającą.
- Nie podawaj kodów logowania na stronach otwieranych z podejrzanych wiadomości i nie udostępniaj ich innym osobom.
Gdy konto zawiera szczególnie ważne dane, warto połączyć unikalne hasło z aplikacją uwierzytelniającą albo kluczem sprzętowym. Sama biometria może poprawić wygodę, ale nie powinna być jedynym kryterium oceny bezpieczeństwa.
Najważniejsza zasada jest prosta: hasło identyfikuje użytkownika tylko jednym sposobem, natomiast połączenie wiedzy, posiadania i cech biometrycznych tworzy dodatkowe warstwy ochrony. Dlatego przejście z pojedynczego hasła na MFA jest jednym z najbardziej użytecznych działań zabezpieczających konto.
