alderen for automatiseret godkendelse gennem biometrisk scanning er næsten her. Men selv i denne tid af Apples Face ID, vinduer 10 s Hello, og up-and-coming FIDO2 specifikation, adgangskoder er stadig den vigtigste måde, vi logger ind på vores forskellige konti. Derfor er tofaktorautentificering (2FA) et vigtigt sekundært skridt til at beskytte dine online data og tjenester.
Hvad er tofaktorautentificering?
to-faktor, eller multi-faktor, godkendelse er en ekstra login—kode til en konto-en anden forsvarslinje til din følsomme info.
den grundlæggende ide er, at en enkelt adgangskode til dine vigtige konti simpelthen ikke er nok. Hvis din adgangskode gættes, eller hackere stjæler en database med dine loginoplysninger i almindelig tekst, er din konto en siddende and. Tofaktorautentificering forsøger at løse denne fejl ved at kræve en sekundær kode kaldet en engangsadgangskode (OTP)-normalt seks tegn i længden og genereret af en smartphone—app—før du kan få adgang til din konto. På den måde, selvom en hacker har din adgangskode, skal de stadig knække en sekundær kode, hvilket gør det meget sværere at komme ind.
der er også en nemmere måde at bruge 2FA kaldet FIDO U2F-standarden, understøttet af Google, Facebook og mange andre. Med denne form for godkendelse bruger du en fysisk sikkerhedsnøgle, og indsæt den i din PC, tryk på tastens knap, og du er “automatisk” logget ind.
Googles Titan sikkerhedsnøgle.
2FA er dog ikke idiotsikker. Hvis du for eksempel beslutter at få dine 2FA-koder via SMS, kan koden potentielt opfanges af hackere, som forskere for Positive Technologies demonstrerede i 2017. Når det er sagt, er SMS-godkendelse stadig langt bedre end ingenting. I maj 2019 annoncerede Google en etårig undersøgelse, det gjorde i partnerskab med University of California, San Diego. Trioen fandt ud af, at SMS-godkendelse blokerede 96 procent af phishing-angreb i bulk, og 76 procent af målrettede angreb, der forsøgte at knække ind på din Google-konto.
det er ikke dårlig beskyttelse, men Googles hurtige strategi på enheden (Vi dækker dette senere) var endnu bedre og blokerede 99 procent af bulk phishing-angreb og 90 procent af målrettede angreb. App-baseret tofaktorautentificering er ens, idet det andet trin genereres på selve smartphonen. Så mens denne undersøgelse ikke nævner 2FA apps specifikt, forventer vi, at resultaterne ville være de samme som, hvis ikke bedre end, en on-device prompt.faktum er, at brug af en programmel – eller maskinbaseret 2FA-løsning på en enhed, du ejer, er en fantastisk måde at beskytte din konto på, og langt bedre end blot at bruge SMS.
programmel
enhver tjeneste, der understøtter standard OTP 2FA tilgang vil arbejde med alle de apps nedenfor, og det omfatter de fleste mainstream hjemmesider og tjenester. En bemærkelsesværdig undtagelse er Steam, som giver en hjemmelavet 2FA-mulighed i sin mobilapp.
Google Authenticator: bedste samlede
en af de mere almindelige måder at bruge tofaktorautentificering er Google Authenticator. Dette er en gratis smartphone-app fra Google, der er tilgængelig til både Android og iOS.
brug af det er meget enkelt og kan introducere begyndere til den grundlæggende forudsætning for de fleste 2FA-apps. Hvad du gør er at aktivere tofaktorautentificering på dine tjenester som Facebook, Gmail, Dropboks. osv. Når den er aktiveret, beder tjenesten dig om at tage et øjebliksbillede af en kode ved hjælp af appen—Android-brugere skal hente en app til læsning af kode for at arbejde med Google Authenticator.
Bemærk: i nogle tilfælde kaldes 2FA også totrinsbekræftelse, hvilket er en sondring, vi ikke kommer ind på her.når koden er blevet læst, vil Authenticator begynde at generere koder, og tjenesten vil typisk bede dig om at indtaste den aktuelle for at kontrollere, at 2FA fungerer. Du kan tilføje så mange konti, som du vil, til Google Authenticator, så længe de understøtter 2FA.
LastPass Authenticator: Runner up
LastPass gratis authentication app bruger en funktion kaldet One-tap push notifikationer, der lader dig log ind for at vælge sider på pc ‘ er med et klik i stedet for at indtaste koder. LastPass har en video på YouTube, der demonstrerer funktionen.
One-tap logins arbejder med LastPass selv, og også med fem tredjepartssider, herunder
det kan alle virke temmelig mystisk, men her er hvad der foregår bag kulisserne med et-tryk logins på tredjeparts sites. Når en bruger logger ind på et kompatibelt sted, sender LastPass-udvidelsen en push-meddelelse til brugerens telefon, der advarer brugeren om, at der anmodes om et login. Brugeren tapper tillade på telefonen, og en bekræftelsesmeddelelse returneres til udvidelsen, der indeholder den krævede 2FA-kode. Udvidelsen modtager disse oplysninger, giver det til hjemmesiden, og brugeren er logget ind.
LastPass Authenticator integreres også med flere sider, der ejes af adgangskodeadministratorens moderselskab, LogMeIn, for at tilbyde en lignende type login med et tryk. Disse steder omfatter LastPass, LogMeIn Pro/Central, GotoAssist, LogMeIn Rescue, Ksively.
Microsoft Authenticator
Microsoft har også en gratis authenticator-app til Android, iOS og Vinduer 10 Mobil. Det griber koder til sider som Facebook og Dropboks ved at snappe en KR-kode ligesom de andre. For personlige Microsoft-konti understøtter det dog meddelelser med et tryk, der ligner LastPass.
Microsofts funktion kan logge dig ind på din konto på enhver enhed. Alt hvad du skal gøre er at godkende login, og det er lige så godt som at indtaste den korte kode. Det er ikke en stor tidsbesparelse, men det er lidt mere praktisk.
Authy: Bedste multi-enhedsløsning
Hvis du har brugt 2FA i nogen tid, så ved du, at en af ulemperne er, at du skal gå igennem besværet med at genaktivere dine godkendelseskoder hver gang du skifter til en ny smartphone.
Hvis du har 10 konti med 2FA, betyder det at snappe 10 koder igen. Hvis du er en smartphone-narkoman, der kan lide at skifte enheder hvert eller to år, kan processen være besværet.
Authys gratis service sigter mod at løse dette problem ved at gemme alle dine 2FA—tokens—dataene bag kulisserne, der får dine 2FA-koder til at fungere-i skyen på dens servere. For at bruge denne funktion skal du først aktivere krypterede sikkerhedskopier, og derefter gemmes dine tokens på Authys servere.
på den måde, når du logger ind på en hvilken som helst Authy-app, det være sig på din smartphone, tablet eller vinduer eller Mac-bærbar computer, har du adgang til dine koder. Der er endda en Chrome-app til Chrome OS-brugere.
Multi-enhed adgang til dine 2FA koder er fantastisk, men det kommer med en ulempe. Authy siger, at dine sikkerhedskopier er krypteret baseret på en adgangskode, der er indtastet på din smartphone, før du rammer skyen. Det betyder, at din adgangskode er den eneste måde at dekryptere dem på, og Authy har den ikke på filen. Hvis du glemmer din adgangskode, kan du blive låst ud af dine konti, da du ikke har 2FA-koderne. Hvordan du genvinder adgang til hver konto afhænger af hver tjenestes politikker for gendannelse af konto.
Hvis du er ny i 2FA, er dette muligvis ikke appen for dig, medmindre du er parat til at tage passende skridt for at sikre, at du aldrig mister adgangen til Authy—som at skrive din adgangskode ned og gemme den et sikkert sted.
Udstyrsindstillinger
den absolut sikreste måde at låse dine konti med tofaktorautentificering på er at bruge en fysisk sikkerhedsnøgle. I den Google-undersøgelse, jeg nævnte tidligere, fandt den, at sikkerhedsnøgler blokerede 100 procent af bulk phishing og målrettede angreb.
ulempen ved at bruge en sikkerhedsnøgle er imidlertid, at hvis du nogensinde mister eller bryder din nøgle, kan du blive låst ud af dine konti—og du bliver nødt til at skifte din andenfaktorautentificeringsmetode til en ny nøgle.
Yubico Authenticator
denne mulighed er min personlige favorit. Yubicos YubiKey er en maskinbaseret 2FA-løsning. Det er en lille kortlignende enhed med den ene ende, der går i en standard type-en USB-port. Det kan verificere godkendelse med et knaptryk i stedet for manuelt at indtaste en kort kode. YubiKeys er også meget holdbare og vandtætte, hvilket gør det vanskeligt at ødelægge disse enheder.
denne tilgang med et tryk fungerer kun for konti, der understøtter den førnævnte FIDO U2F-standard, såsom Google og GitHub. For de tjenester, der ikke understøtter standarden, kan en YubiKey også gemme 2FA-tokens og vise koder i Yubico Authenticator-appen.
hvordan du bruger Yubico Authenticator til at få en 2FA-kode afhænger af, om du bruger authenticator-appen på en PC eller en Android-smartphone. På skrivebordet indsætter du bare nøglen i en USB-port, og autentificatoren viser straks dine korte koder og lader dig tilføje nye. Fjern din YubiKey, og appen stopper med at vise koder med det samme. Yubico Authenticator på skrivebordet fungerer med de fleste YubiKey-modeller undtagen den grundlæggende FIDO U2F-nøgle.
på Android har du brug for en YubiKey, der understøtter NFC og Yubico Authenticator-appen, som ved denne skrivning er YubiKey 5 NFC ($45), og den nu ophørte (men stadig understøttede) YubiKey Neo. Med disse taster er alt, hvad du gør, at åbne Authenticator på din telefon, trykke på tasten i nærheden af telefonens NFC-chip, og dine koder vises i appen. Der er også en $27 sikkerhedsnøgle NFCRemove ikke-produktlink, men det understøtter kun FIDO U2F-godkendelse (og FIDO2-adgangskodefri logins), ikke engangsadgangskodefunktionalitet.
i lighed med Authy er YubiKeys skønhed, at det giver dig mulighed for nemt at overføre dine godkendelseskoder fra en enhed til den næste.
Titan Security Key
Google debuterede sin egen sikkerhedsnøgle i 2018, Titan Security Keyfjerne ikke-produktlink. Denne nøgle kommer i en $50 bundle med to fysiske enheder. Den første er en nøgle med en USB-en indsats svarende til YubiKey. Den anden er en Bluetooth-dongle, der kan oprette forbindelse til din telefon trådløst. Titan sikkerhedsnøglen har et par ulemper. Først, det understøtter kun sider, der bruger FIDO-og FIDO2F-standarden, hvilket betyder, at du ikke kan falde tilbage på OTP-koder til sider, der understøtter 2FA, men ikke FIDO one-touch-indgang. Google måtte også for nylig huske sine Bluetooth-dongler, efter at der blev opdaget en alvorlig sikkerhedsfejl. Yubico har til sammenligning endnu ikke frigivet en Bluetooth-version af sin sikkerhedsnøgle, fordi den ikke mener, at teknologien er sikker nok.
Bonus: Google on-device prompts
et eksempel på Googles on-device prompts.
Hvis dykning i verden af 2FA er for meget for dig lige nu, hvorfor ikke dyppe din tå i oplevelsen med Google on-device prompter? Dette er en simpel sikkerhedsforanstaltning, der hjælper med at beskytte din Google-konto.
når du vil logge ind på Google på en ny maskine, skal du godkende det med et enkelt klik på din Android-eller iOS-enhed. For at få dette til at fungere på Android skal du bruge den nyeste version af Google Play services, som de fleste mennesker skal have automatisk. Alle på iOS-enheder har brug for en aktuel version af Google-eller Gmail-apps.
tofaktorautentificering er et vigtigt skridt at tage for at beskytte dine vigtige konti, når det er muligt. Det kan til tider virke som en smerte at indtaste den ekstra kode—som du muligvis kun skal gøre en gang pr.enhed eller en gang hver 30. dag—men det er en pris, der er værd at betale for at gøre dine online-konti mere sikre.