Volali mi raz o pol jedenástej večer. Kamarátka, hlas napätý ako struna: niekto sa jej nabúral do e-mailu a odtiaľ postupne do všetkého ostatného, čo bolo naviazané na tú istú adresu. Internetbanking, sociálne siete, aj účet, cez ktorý platila poistku na byt. Heslo mala síce slušné, dvanásť znakov, číslice, špeciálny znak. Problém bol inde. To isté heslo používala aj na fóre o záhradkárčení, ktoré niekedy v roku 2019 uniklo do databázy, ktorú si dnes môže kúpiť hocikto za pár dolárov na temnom webe. Dvojfaktorové overenie by jej bolo ušetrilo tri týždne telefonátov s bankou a jednu poriadne nervovú vyrážku.
Heslo je dnes v podstate len prvá prekážka, cez ktorú útočník preskočí, ak má trochu šťastia a databázu z niektorého úniku. Druhý faktor — teda niečo, čo máte fyzicky pri sebe, napríklad telefón — mení celú rovnicu. Útočník môže poznať vaše heslo naspamäť, no bez kódu z aplikácie alebo bez fyzického kľúča sa ďalej nedostane. Znie to ako maličkosť. V praxi je to rozdiel medzi tým, či niekto vyprázdni váš účet o druhej ráno, alebo si len s povzdychom skúsi šťastie inde.
Prečo SMS kód nie je ideálne riešenie
Väčšina ľudí, ktorí dvojfaktorové overenie vôbec zapli, si zvolili tú najjednoduchšiu možnosť — kód cez SMS. Chápem to, je to intuitívne a nevyžaduje žiadnu ďalšiu aplikáciu. Lenže SMS je z bezpečnostného hľadiska najslabší článok celého systému. Existuje technika zvaná SIM swapping, pri ktorej útočník presvedčí operátora, aby preniesol vaše číslo na inú kartu, a odvtedy chodia kódy jemu, nie vám. Znie to exoticky, ale v USA aj v Európe sa takéto prípady riešia pravidelne, a obeťami bývajú aj celkom bežní ľudia, nielen tí, čo majú na účte kryptomeny za milióny.
Lepšia cesta je autentifikačná aplikácia — Google Authenticator, Authy alebo česko-slovenský obľúbenec Aegis pre Android. Vygenerujú kód priamo vo vašom telefóne, bez toho, aby čokoľvek putovalo cez mobilnú sieť. Ešte o level vyššie sú fyzické bezpečnostné kľúče typu YubiKey, ktoré si zastrčíte do USB portu alebo priložíte k telefónu cez NFC. Pre bežného smrteľníka je to možno prehnané, ale pre novinárov, aktivistov alebo ľudí s prístupom k firemným financiám ide o rozumnú investíciu okolo päťdesiat eur.
Dvojfaktorové overenie nezastaví každého útočníka, ale zastaví deväťdesiatdeväť percent tých, ktorí idú po najľahšej koristi.
Kde začať, aby to nebolo o polnoci v panike
Netreba zapínať dvojfaktorové overenie všade naraz, to by vás odradilo hneď na začiatku. Začnite tam, kde by prípadný únik spôsobil najviac škody. E-mailová schránka je prvá voľba, pretože cez ňu si útočník dokáže resetovať heslá takmer ku všetkému ostatnému. Potom banka, ak ju ešte nemá nastavenú povinne. Následne sociálne siete, hlavne ak cez ne komunikujete pracovne alebo máte naviazané platobné údaje. Nakoniec cloudové úložiská, kde bývajú fotky, dokumenty, občas aj sken občianskeho preukazu, ktorý by ste rozhodne nechceli vidieť niekde na predaj.
Praktická rada, ktorú väčšina ľudí ignoruje: pri zapínaní dvojfaktorového overenia vám služba ponúkne zálohové kódy, zvyčajne desať kúskov. Vytlačte si ich, alebo si ich uložte do zaheslovaného správcu hesiel, nie do poznámky v telefóne, ktorý raz stratíte na pláži. Tieto kódy sú vaša záchranná sieť, keď telefón spadne do vody alebo sa jednoducho pokazí deň pred dôležitým prihlásením.
Päť minút proti mesiacom papierovania
Kamarátka zo začiatku si nakoniec dvojfaktorové overenie nastavila, samozrejme až po tom, čo strávila tri týždne dokazovaním bankám a poisťovniam, že tá platba za notebook v Hongkongu nebola jej. Odvtedy hovorí, že tých päť minút nastavovania berie ako poistku, na ktorú sa netreba pýtať, či sa oplatí. Väčšina bezpečnostných opatrení v živote je nudná presne do momentu, keď zrazu nie je. Dvojfaktorové overenie patrí medzi tie zriedkavé výnimky, kde investícia pár minút stojí oproti možným týždňom nervov v úplne inom pomere, než by si človek pri prvom pohľade myslel.