Dwuskładnikowe uwierzytelnianie (2FA) zebrało ostatnio baty jako mniej niż idealny środek bezpieczeństwa. Częścią problemu jest to, że niektóre kody 2FA są wysyłane za pomocą SMS-ów, które mogą zostać przechwycone.
W niektórych przypadkach (takich jak wiele instytucji bankowych), system 2FA nie pozwala na interakcję z aplikacjami takimi jak Authy lub Google Authenticator. Zamiast tego, nalegają na wysyłanie kodów 2FA przez SMS. Dla tych, którzy dbają o bezpieczeństwo, nie jest to naprawdę opcja. W rzeczywistości, dla niektórych osób nawet korzystanie z aplikacji mobilnych nie jest najlepszym pomysłem. Zwłaszcza, gdy masz do czynienia z kontem związanym z Twoją firmą.
Na szczęście niektóre usługi oferują kody zapasowe 2FA, które mogą być używane jako opcja analogowa. Google jest jedną z takich usług. Kiedy skonfigurujesz 2FA dla Google, masz możliwość wydrukowania siedmiu kodów zapasowych, które mogą być używane w nagłych przypadkach. Kody te działają, a gdy ich zabraknie, zawsze można wygenerować kolejne.
Już widzicie, dokąd zmierzam.
SEE: Polityka zarządzania hasłami (Tech Pro Research)
W niektórych przypadkach mam Google ustawione w przeglądarce jako bezpieczne, więc nie muszę wpisywać kodu 2FA za każdym razem, gdy się loguję. To tylko wtedy, gdy jestem z dala od mojego biura lub konfigurowania nowej maszyny, że muszę kod. Jeśli czuję się dość paranoicznie, używam jednego z tych kodów awaryjnych 2FA. Kiedy mi się skończą, generuję kolejne. To takie proste.
Ale jak to zrobić? Proste. Dowiedzmy się.
Jak odzyskać te kody
Jeśli nie wydrukowałeś tych kodów, po skonfigurowaniu 2FA, pierwszą rzeczą, którą będziesz musiał zrobić, jest ich odzyskanie. Aby to zrobić, musisz zalogować się na swoje konto Google, a następnie przejść do witryny Google 2FA, gdzie zostaniesz poproszony o ponowne zalogowanie się. Po pomyślnym uwierzytelnieniu zobaczysz wpis dotyczący kodów zapasowych. Kliknij przycisk POKAŻ KODY (Rysunek A).
Rysunek A
Odzyskiwanie kodów Google 2FA.
Wyświetli się okno wyskakujące z listą Twoich kodów awaryjnych 2FA. Możesz je następnie pobrać (jako plik .txt) lub bezpośrednio wydrukować. Lista pokaże również tylko te kody, których nie używałeś (pozostałe będą wymienione jako JUŻ UŻYTE). Handy.
Słowo przestrogi
Dla tych, którzy zdecydują się pobrać plik .txt, sugeruję, abyś to zrobił, a następnie zaszyfrował ten plik. Nie zostawiajcie go wiszącego, niezabezpieczonego, na lokalnym dysku dla wścibskich oczu, które mogą rzucić na niego okiem. Ponadto, w tym pliku znajduje się Twój adres Gmail powiązany z kontem. Gorąco polecam usunięcie tej linii w pliku (na wszelki wypadek, gdyby ktoś natknął się na ten plik i udało mu się go otworzyć). Ostatnią rzeczą, jakiej chcesz, jest ułatwienie złemu aktorowi połączenia dwóch i dwóch razem i zorientowania się, że te kody są powiązane z tym adresem. Jest tam również linia, która wygląda tak:
Need more? Visit https://g.co/2sv
Zalecam usunięcie tej linii, ponieważ może ona zdradzić tajemnicę, do czego służą te kody. Kiedy już usuniesz te linie, zapisz i zamknij plik. Zaszyfruj go, a Twoje kody będą mniej prawdopodobne do zobaczenia przez wścibskie oczy.
Jak wygenerować nowe kody
Niespodzianka! W tym samym okienku zobaczysz przycisk GET NEW CODES (Rysunek B). Kliknij ten przycisk, a wygeneruje się siedem nowych kodów.
Rysunek B
Okno wyskakujące z kodami kopii zapasowych Google.
Jest pewna wskazówka. Używaj tylko sześciu z tych kodów, a siódmy traktuj jako swój klucz do zdobycia kolejnych kodów. Jest to szczególnie prawdziwe, jeśli zdecydujesz się nie używać aplikacji mobilnej dla Google 2FA. Nie chcesz znaleźć się bez tego ostatniego klucza, więc możesz się zalogować i wygenerować więcej.
Nie jest to idealne rozwiązanie
2FA nie jest idealnym rozwiązaniem. Ale jeśli możesz uniknąć korzystania z witryn i usług, które wysyłają kody 2FA przez SMS (i jeśli te witryny zaczną wspierać mobilne aplikacje 2FA), będziesz mniej narażony na kradzież swoich kodów i wykorzystanie ich przeciwko tobie. Mimo to, możesz rozważyć używanie tylko tych kodów Google do uwierzytelniania 2FA. Użyj ich mądrze i zrozumieć, jeśli chodzi o bezpieczeństwo, nic nigdy nie jest 100%.
Zobacz także
- Przenieś Google Authenticator z jednego urządzenia z Androidem do drugiego (TechRepublic)
- Konta Firefox dostaje 2FA bezpieczeństwa: Możesz użyć kodów jednorazowych Google Authenticator (ZDNet)
- Jak skonfigurować uwierzytelnianie dwuskładnikowe w Linuksie (TechRepublic)
- Badania strategii cyberbezpieczeństwa: Common tactics, issues with implementation, and effectiveness (Tech Pro Research)
- How to set up two-factor authentication on CentOS 7 (TechRepublic)
- How to get users on board with two-factor authentication (TechRepublic)