2FA - co to jest i czy warto stosować uwierzytelnianie dwuskładnikowe?

Internetowe konta bankowe, poczta elektroniczna i profile na różnych platformach online są nieustannie narażone na ataki cyberprzestępców, polujących na nasze dane. Przed takimi atakami chroni uwierzytelnianie dwuskładnikowe 2FA:

• 2FA to rodzaj silnego uwierzytelnienia, które polega na dwuetapowym logowaniu się do konta bankowego lub innego konta w internecie.
• Oprócz hasła do konta należy użyć dodatkowego elementu weryfikacyjnego np. kodu SMS.
• Uwierzytelnianie dwuskładnikowe jest usługą darmową, którą włączysz w prosty sposób w ustawieniach konta internetowego i bankowości elektronicznej.

Co znaczy 2FA?

Na początku wyjaśnijmy, co oznacza skrót 2FA i co to w ogóle jest. 2FA to skrót od angielskiego terminu „Two Factor Authenticaton”, które tłumaczymy jako „uwierzytelnianie dwuskładnikowe”.

Co to jest uwierzytelnianie dwuskładnikowe? Najprościej tłumacząc, jest to sposób zabezpieczania dostępu do kont internetowych poprzez zastosowanie dwóch składników weryfikacyjnych zamiast jednego.

Standardowo dostęp do konta internetowego zabezpiecza login oraz hasło. Przy uwierzytelnianiu dwuskładnikowym dochodzi natomiast jeszcze jeden element weryfikacyjny np. kod SMS, którego trzeba użyć dodatkowo oprócz hasła, aby logowanie było możliwe.

Ze względu na sposób działania 2FA często nazywane jest także logowaniem dwuetapowym lub dwupoziomowym. Warto też wiedzieć, że jest to jedna z najpopularniejszych metod silnego uwierzytelniania (SCA - ang. Strong Customer Authentication).

W jakim celu stosuje się uwierzytelnianie dwuskładnikowe?

Dwuskładnikowe uwierzytelnianie ma na celu zwiększyć nasze bezpieczeństwo w sieci, ponieważ utrudnia cyberprzestępcom włamanie się na konto internetowe lub konto bankowe. Nawet jeśli bowiem uda im się poznać login i złamać hasło, to i tak nie dostaną się do konta bez dokonania dodatkowej autoryzacji. Pozyskanie natomiast tego drugiego elementu weryfikacyjnego jest bardzo trudne, ponieważ zazwyczaj wiąże się z koniecznością przechwycenia dostępu do urządzenia użytkownika np. telefonu.

Jakie są metody uwierzytelnienia dwuskładnikowego?

Jak już wiesz, uwierzytelnianie dwuskładnikowe wymaga zastosowania dodatkowego elementu weryfikacyjnego podczas logowania się do konta internetowego. Tym elementem może być np.:

• kod jednorazowy SMS – jest on wysyłany na telefon użytkownika i należy go wpisać w formularzu logowania po prawidłowym wprowadzeniu hasła do konta; metoda ta jest popularna w bankach, gdzie kody SMS wykorzystywane są także do zatwierdzania transakcji internetowych w bankowości elektronicznej;
• dodatkowe uwierzytelnienie w aplikacji mobilnej – jest to kolejna metoda stosowana często przez banki, która polega na tym, że podczas logowania się do bankowości internetowej należy po wprowadzeniu hasła dodatkowo zalogować się do aplikacji mobilnej banku za pomocą kodu PIN;
• jednorazowe kody generowane w aplikacji mobilnej – w tym przypadku dodatkowym elementem uwierzytelniania jest jednorazowy kod wygenerowany przez dedykowaną aplikację (przykładem takiej aplikacji jest Google Authenticator i Microsoft Authenticator);
• link przesłany na adres e-mail – dodatkowe uwierzytelnienie polega tutaj na zalogowaniu się do swojej poczty elektronicznej i kliknięciu w otrzymany link (metoda ta uznawana jest za mało bezpieczną, ze względu na wysokie ryzyko otrzymania fałszywych linków);
• lista kodów autoryzacyjnych – jest to zazwyczaj fizyczna karta z zamaskowanymi kodami, które należy używać w odpowiedniej kolejności poprzez ich odsłonięcie (np. zdrapanie zewnętrznej warstwy maskującej) i przepisanie w formularzu internetowym podczas logowania się do konta;
• uwierzytelnienie biometryczne – metoda ta chroni najczęściej dostęp do aplikacji mobilnych i polega na wykorzystaniu podczas weryfikacji swoich danych biometrycznych np. odcisku palca, skanu twarzy lub próbki głosu;
• sprzętowy klucz U2F – ma on postać niewielkiego urządzenia przypominającego pendrive’a, które zawiera dane kryptograficzne służące do identyfikacji użytkownika i które podczas logowania do konta należy podpiąć do gniazda USB (są też tokeny działające zbliżeniowo w ramach NFC); jest to jedyna metoda uwierzytelniania dwuskładnikowego, która zabezpiecza w 100% przed phishingiem.

Jak włączyć 2FA?

W większości przypadków logowanie dwuetapowe 2FA trzeba samodzielnie włączyć i zazwyczaj można to zrobić bezpośrednio w ustawieniach swojego konta internetowego. Procedura może się różnić w zależności od serwisu i konta, jednak zwykle jest bardzo prosta.

Poniżej wyjaśniamy, jak włączyć uwierzytelnianie dwuskładnikowe na dwóch przykładach kont: konta Google oraz w bankowości internetowej banku Pekao, czyli w Pekao24.

Jak włączyć 2FA na koncie Google:

1. Zaloguj się do swojego konta Google.
2. Wejdź w zakładkę „Zarządzaj swoim kontem Google”.
3. Wybierz z listy po lewej stronie „Bezpieczeństwo”.
4. W sekcji „Sposób logowania się w Google” włącz opcję „Weryfikacja dwuetapowa”.
5. Wybierz metodę dodatkowej weryfikacji – do wyboru są: klucze dostępu, potwierdzenie od Google na drugim urządzeniu, aplikacja Authenticator i numer telefonu (kody SMS).

Jak włączyć 2FA w bankowości Pekao24:

1. Zaloguj się do serwisu Pekao24.
2. Otwórz kolejno: „Ustawienia” i „Bezpieczeństwo”.
3. Odszukaj opcję „Logowanie dwuskładnikowe” i je aktywuj.
4. Zaznacz PeoPay jako metodę dodatkowej weryfikacji (uwierzytelnienie dwuskładnikowe będzie polegało na dodatkowym zalogowaniu się do aplikacji PeoPay).
5. Potwierdź aktywację usługi np. autoryzacją mobilną w aplikacji PeoPay.

Gdzie skorzystasz z opcji 2FA?

Uwierzytelnianie dwuskładnikowe 2FA dostępne jest już praktycznie w niemal każdym serwisie internetowym. Skorzystasz z niego bowiem w takich miejscach jak:

• bankowość internetowa;
• Profil Zaufany – w tym przypadku jest już wymagane uwierzytelnianie dwuskładnikowe i jest ono ustawione domyślnie;
• serwisy społecznościowe – np. Facebook, Linkedin, Instagram;
• poczta elektroniczna,
• dostęp do kont Google, Apple, Microsoft itp.,
• platformy sprzedażowe np. Allegro,
• platformy transakcyjne np. XTB.

W jaki jeszcze sposób możesz zabezpieczyć się przed oszustami w internecie?

Jeśli chcesz skutecznie chronić swoje konto bankowe, dane osobowe i inne zasoby zgromadzone na różnych kontach internetowych, koniecznie rozważ stosowanie uwierzytelnienia dwuskładnikowego. Pamiętaj jednak, żeby stosować także inne metody zabezpieczenia się przed oszustami w internecie.

Przede wszystkim uważaj na fałszywe sklepy internetowe i linki prowadzące do fałszywych stron bankowych, przez które możesz stracić pieniądze z konta. Aby uchronić się dodatkowo przed kradzieżą tożsamości w internecie, chroń swoje hasła i stosuj na swoich urządzeniach dobre programy typu antyspyware. Pomyśl także o zabezpieczeniu się przed zaciągnięciem kredytu na Twoje dane poprzez zastrzeżenie PESEL lub dodatkowo wykupienie usługi Alerty BIK.