Klucz fizyczny zapewnia najwyższą odporność na phishing, a aplikacja uwierzytelniająca daje większości osób lepszy balans bezpieczeństwa, wygody i kosztu. Obie metody są znacznie bezpieczniejsze niż samo hasło lub kod przesyłany SMS-em.
Klucz fizyczny czy aplikacja mobilna – porównanie
Uwierzytelnianie dwuskładnikowe, czyli 2FA, łączy coś, co znasz – hasło – z czymś, co posiadasz. Może to być fizyczny klucz bezpieczeństwa albo telefon z aplikacją generującą jednorazowe kody. Dzięki temu przejęcie samego hasła nie wystarcza do zalogowania się na konto.
| Cecha | Klucz fizyczny | Aplikacja mobilna |
|---|---|---|
| Odporność na phishing | Bardzo wysoka. Klucz kryptograficznie rozpoznaje właściwą witrynę i nie zatwierdza logowania na fałszywej stronie. | Wysoka w porównaniu z SMS-em, ale kod TOTP może zostać wyłudzony przez fałszywą stronę. |
| Koszt | Zwykle wymaga zakupu urządzenia. | Najczęściej bezpłatna, potrzebujesz tylko telefonu. |
| Wygoda | Wymaga podłączenia lub zbliżenia klucza i często jego dotknięcia. | Telefon zwykle masz przy sobie, a kod odczytasz bez dodatkowego urządzenia. |
| Przenośność | Mały, ale łatwo go zgubić, jeśli jest stale noszony osobno. | Jest dostępna razem ze smartfonem, choć awaria lub utrata telefonu może utrudnić dostęp. |
| Kopia zapasowa | Najlepiej mieć drugi zarejestrowany klucz. | Należy zabezpieczyć kody odzyskiwania lub skonfigurować bezpieczną kopię danych aplikacji. |
Dlaczego klucz fizyczny zapewnia najwyższą ochronę przed phishingiem?
Klucz bezpieczeństwa, na przykład działający w standardzie FIDO2, nie przekazuje stronie hasła ani kodu, który można skopiować. Podczas logowania wykonuje operację kryptograficzną powiązaną z konkretną domeną. Jeśli wejdziesz na stronę łudząco podobną do właściwej, klucz rozpozna inną domenę i nie potwierdzi autoryzacji.
To ważna różnica w porównaniu z kodem z aplikacji. Kod TOTP jest ważny krótko, ale użytkownik może wpisać go w formularzu przygotowanym przez oszusta. Przestępca może wtedy wykorzystać go, zanim wygaśnie. Klucz fizyczny nie daje takiej treści do przepisania, dlatego zapewnia odporność na typowe scenariusze phishingowe i część ataków typu man-in-the-middle.
Urządzenie jest też faktycznym drugim składnikiem logowania. Hasło należy do kategorii „coś, co znasz”, a klucz do kategorii „coś, co posiadasz”. Samo przejęcie hasła zdalnie nie wystarczy, jeśli atakujący nie ma fizycznego urządzenia. Trzeba jednak pamiętać, że utrata jedynego klucza może zablokować dostęp do konta. Z tego powodu warto zarejestrować zapasowy egzemplarz i zachować kody odzyskiwania.
Klucz szczególnie dobrze pasuje do kont administratorów, poczty głównej, menedżera haseł oraz osób, które mogą stać się celem ukierunkowanego ataku. Nie oznacza to, że aplikacja jest złym wyborem. Dla wielu użytkowników klucz stanowi dodatkowy koszt i obowiązek noszenia kolejnego przedmiotu.
Jak działa aplikacja uwierzytelniająca?
Aplikacje uwierzytelniające generują zwykle kody TOTP, czyli krótkie, jednorazowe ciągi cyfr zmieniające się w określonych odstępach czasu. Kod powstaje na podstawie sekretu zapisanego podczas konfiguracji oraz aktualnego czasu. Do jego wygenerowania nie jest potrzebny zasięg sieci komórkowej, co odróżnia tę metodę od SMS-ów.
Dla większości osób aplikacja jest najłatwiejszym sposobem odejścia od słabszego uwierzytelniania przez wiadomości tekstowe. Nie trzeba kupować dodatkowego urządzenia, a telefon i tak zwykle znajduje się pod ręką. Aplikacje są szeroko obsługiwane przez serwisy internetowe i dobrze sprawdzają się przy poczcie, zakupach online, mediach społecznościowych czy usługach administracyjnych.
Ich ograniczenie dotyczy przede wszystkim phishingu. Kod można wpisać na fałszywej stronie, dlatego aplikacja nie zapewnia takiej ochrony jak klucz kryptograficznie związany z domeną. Nadal jest jednak dużym wzmocnieniem konta, szczególnie gdy używasz unikalnego, długiego hasła.
Największej uwagi wymaga odzyskiwanie dostępu. Zapisz kody awaryjne w bezpiecznym miejscu i nie przechowuj ich jako zwykłej notatki obok hasła. Jeśli aplikacja obsługuje szyfrowaną kopię zapasową, skonfiguruj ją świadomie i zabezpiecz konto odzyskiwania. Sam telefon nie powinien być jedynym miejscem, w którym znajdują się dane potrzebne do logowania.
Jak wybrać metodę 2FA?
Wybierz klucz fizyczny, jeśli:
- Twoje konto zawiera szczególnie wrażliwe dane lub zarządzasz innymi systemami.
- Obawiasz się ukierunkowanego phishingu i chcesz ograniczyć ryzyko wpisania kodu na fałszywej stronie.
- Akceptujesz zakup urządzenia oraz konieczność posiadania zapasowego klucza lub alternatywnej metody odzyskiwania.
- Preferujesz ochronę, która działa bez przepisywania jednorazowych kodów.
Wybierz aplikację uwierzytelniającą, jeśli:
- Potrzebujesz bezpłatnego rozwiązania do codziennych kont.
- Telefon masz zwykle przy sobie i zależy Ci na szybkim logowaniu.
- Serwis nie obsługuje kluczy bezpieczeństwa, ale pozwala używać kodów TOTP.
- Potrafisz zabezpieczyć kody odzyskiwania i kopię konfiguracji aplikacji.
Najważniejsza zmiana to odejście od samego hasła, a w miarę możliwości także od kodów SMS. Dla zwykłego użytkownika aplikacja TOTP będzie rozsądnym standardem. Klucz fizyczny ma przewagę tam, gdzie odporność na phishing jest ważniejsza niż niski koszt i maksymalna wygoda. W przypadku najważniejszych kont można stosować oba rozwiązania, zachowując bezpieczną metodę zapasową.
