Klucz sprzętowy czy aplikacja: dwuskładnikowe logowanie w małej firmie
Hasło do firmowej poczty wycieka najczęściej nie przez włamanie do serwera, tylko przez jednego pracownika, który wpisał je na podrobionej stronie logowania. Logowanie dwuskładnikowe ma przerwać ten łańcuch. Problem w tym, że trzy popularne metody drugiego składnika różnią się odpornością tak bardzo, że traktowanie ich zamiennie mija się z celem.
SMS: lepszy niż nic, gorszy niż się wydaje
Kod z wiadomości tekstowej jest najprostszy do wdrożenia i najłatwiejszy do obejścia. Atakujący, który podstawił fałszywą stronę, poprosi o kod od razu po haśle i przepisze go na prawdziwej stronie w ciągu kilkudziesięciu sekund. Ofiara niczego nie zauważy, bo formularz wygląda jak zwykle.
Osobne ryzyko to przejęcie numeru u operatora. Ktoś podszywa się pod właściciela, zamawia duplikat karty i przejmuje wszystkie kody. Zdarza się to rzadko, ale zwykle akurat tym osobom, które mają dostęp do pieniędzy firmy.
Mimo tych wad SMS włączony jest lepszy niż drugi składnik wyłączony. Jeżeli w firmie nie ma dziś nic, to jest sensowny pierwszy krok na tydzień, a nie docelowe rozwiązanie.
Aplikacja uwierzytelniająca: rozsądny środek
Aplikacje takie jak Google Authenticator, Microsoft Authenticator czy Aegis generują kod lokalnie na telefonie, bez udziału operatora. Odpada więc problem duplikatu karty SIM i przechwycenia wiadomości.
Nie odpada natomiast podstawowa słabość: kod da się przepisać na podrobionej stronie tak samo jak ten z SMS. Aplikacja nie sprawdza, na jakim adresie się logujesz, tylko odlicza czas.
Zaletą jest koszt, czyli zero, oraz to, że działa wszędzie tam, gdzie działa telefon. Wadą bywa migracja przy zmianie sprzętu. Zanim wdrożysz to w zespole, ustal, gdzie trafiają kody zapasowe, bo inaczej pierwszy zgubiony telefon zablokuje komuś dostęp do wszystkiego.
Klucz sprzętowy: jedyna metoda odporna na podrobioną stronę
Klucz w standardzie FIDO2 lub U2F, na przykład YubiKey firmy Yubico albo Google Titan, robi coś, czego nie robią dwie poprzednie metody. Sprawdza adres strony, na której się logujesz, i odmawia współpracy, jeżeli adres się nie zgadza.
To przenosi rozpoznanie fałszywki z człowieka na urządzenie. Pracownik może nie zauważyć literówki w domenie, klucz zauważy zawsze. Dlatego przy stanowiskach z dostępem do przelewów albo do panelu hostingu jest to jedyna metoda, która realnie zamyka temat phishingu.
Koszt to zwykle 150 do 350 zł za sztukę. Do tego dochodzi zasada, o której łatwo zapomnieć: kupuje się dwa klucze na osobę. Jeden na co dzień, drugi jako zapasowy w szufladzie. Pojedynczy klucz, który zniknie razem z kurtką, oznacza procedurę odzyskiwania konta.
Porównanie w skrócie
| Metoda | Koszt | Odporność na podrobioną stronę | Sensowne zastosowanie |
|---|---|---|---|
| Kod SMS | 0 zł | Niska | Start, konta o małym znaczeniu |
| Aplikacja z kodem | 0 zł | Niska, ale bez ryzyka SIM | Większość stanowisk |
| Klucz FIDO2 lub U2F | 150 do 350 zł | Wysoka | Finanse, administracja, hosting |
Od czego zacząć w firmie na kilkanaście osób
Zacznij od spisania kont, których utrata boli najbardziej. Zwykle jest to poczta właściciela, bankowość, panel domen i hostingu oraz konto administratora w systemie księgowym. To zamknięta lista czterech, pięciu pozycji, a nie audyt całej infrastruktury.
Na te konta kup klucze sprzętowe i wdroż je najpierw u siebie, zanim ogłosisz to zespołowi. Reszcie stanowisk włącz aplikację uwierzytelniającą i przy okazji ustal jedno miejsce na kody zapasowe, najlepiej w firmowym menedżerze haseł, a nie w notatniku w telefonie.
Na końcu zaplanuj jedną rzecz, którą większość firm pomija: test odzyskiwania dostępu. Raz na jakiś czas ktoś zgubi telefon albo odejdzie z pracy z kluczem w plecaku. Procedura, której nikt nie sprawdził, przestaje działać dokładnie w tym momencie, w którym jest potrzebna.
